CELEX: 51992PC0422
Language: es
Date: 1992-10-15
Title: Propuesta modificada de DIRECTIVA DEL CONSEJO relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos

COMISION DE LAS COMUNIDADES EUROPEAS
                                     COM(92) 422 final- SYN 287
                                       Bruselas, 15 de octubre de 1992
                       Propuesta modificada de
                        DIRECTIVA DEL CONSEJO
 relativa a la protección de las personas físicas en lo que respecta
     al tratamiento de datos personales y a la libre circulación
                            de estos datos
       (presentada por la Comisión en virtud del apartado 3 del
                    artículo 149 del Tratado CEE)
 ---pagebreak---                                    - 2 -
                           EXPOSICIÓN DE MOTIVOS
                            PRESENTACIÓN GENERAL
El 18 de julio de 1990, la Comisión presentó al Consejo un conjunto de
propuestas, entre las que figuraban dos directivas y una decisión,
destinadas a facilitar la libre circulación de datos en la Comunidad,
garantizando un elevado grado de protección de las personas con respecto al
tratamiento de datos personales e incrementando la seguridad de los
tratamientos de datos, en vista sobre todo del desarrollo de las redes
abiertas de telecomunicaciones.
El Comité Económico y Social emitió su dictamen sobre estas propuestas el
24 de abril de 1991 (Diario Oficial de 17 de junio de 1991).
Siguiendo el procedimiento de cooperación, las comisiones del Parlamento
Europeo estudiaron detenidamente estas propuestas. Tras debatir el informe
de la Comisión Jurídica y de los Derechos de los Ciudadanos (cuyo ponente
fue el Sr. Hoon) el 10 de febrero de 1992, el Parlamento adoptó por cuasi
unanimidad,' el 11 de marzo de 1992, un dictamen favorable sobre las
propuestas, tal y como las había modificado en muchos puntos.
El Consejo adoptó la propuesta de decisión en materia de seguridad de los
sistemas de información el 31 de marzo de 1992 (Diario Oficial de 5 de mayo
de 1992).
La presente propuesta modificada tiene presente el dictamen del Parlamento
Europeo.
 A.. Principales modificaciones
1.   Concepción de la protección
     La propuesta modificada contiene dos importantes enmiendas solicitadas
     por el Parlamento Europeo. Se refieren a:
         el abandono de la distinción formal entre las normas aplicables al
         sector público y al privado,
         la elaboración de disposiciones relativas a los procedimientos
         selectivos de notificación a la autoridad de control y a los
         códigos de conducta.
     Estas modificaciones tienen el mérito de indicar claramente que la
     protección debe ser la misma en todos los sectores afectados.
      Además, permiten soslayar el peligro de burocratización y contribuyen
     a la convergencia y equivalencia de los métodos encaminados a
     garantizar una protección efectiva en los Estados miembros, al aportar
      precisiones sobre el alcance de los procedimientos de notificación y
 ---pagebreak---                                   - 3 -
   sobre los cometidos de las autoridades independientes de control, en
   función del grado de riesgo que suponen los tratamientos de datos
   personales con respecto a los derechos y           libertades de   los
   interesados.
2. Conceptos y definiciones
   La discusión sobre las enmiendas del Parlamento, cuyos objetivos son,
   por una parte, eliminar de la propuesta el concepto de fichero, por
   considerarse obsoleto y sin pertinencia a la luz del desarrollo de la
   automatización y de las telecomunicaciones y, por otra parte, incluir
   la recogida de datos en la definición del tratamiento de datos
   personales, ha llevado a proponer que el objeto de la regulación sea
   el tratamiento de datos personales.
   Esta modificación supone una ventaja doble: los principios de la
   protección que emanan de la Directiva no dependen de una tecnologia ni
   de una organización técnica especial; el concepto del tratamiento de
   datos permite elaborar un enfoque global, gracias al que la atención
   se centra en los datos utilizados y en el conjunto de las operaciones
   a que se refieren, en función de los objetivos perseguidos.
   Por otra parte, se juzgó necesario mantener y precisar el concepto de
   fichero, con objeto de ceñir el anujito de aplicación de la Directiva,
   cuando los tratamientos no están automatizados, a los datos personales
   contenidos en ficheros o que se incluirán en ellos.
   Por último, se añade una definición de los terceros a quienes se
   comunican datos personales.
3. Ámbito de aplicación y exenciones especiales
   Para responder a las preocupaciones del Parlamento se proponen las
   siguientes modificaciones. Su objetivo es velar por los derechos y las
   libertades en cuestión y conciliarios, para garantizar la libre
   circulación de los datos.
      Las criticas sobre la no pertinencia de la disposición inicial,
      relr.civa a la exclusión del ámbito de aplicación, en determinados
      casos, de los tratamientos realizados por asociaciones sin ánimo de
      lucro, han llevado, de acuerdo con varias enmiendas del Parlamento
      relativas al tratamiento de datos especiales, a proponer que dichos
      tratamientos se incluyan en el ámbito de la Directiva, previendo al
      propio   tiempo  la   exención   particular  a   la  obligación  de
      notificación, necesaria para garantizar la libertad de opinión.
   -  Sobre los tratamientos llevados a cabo con fines periodísticos, se
      propone sustituir la facultad por la obligación de que los Estados
      miembros concedan las exenciones necesarias para conciliar la
      protección de la intimidad de los interesados con la libertad de
      expresión.
      Sobre los tratamientos que no plantean riesgos especiales y que se
      llevan a cabo para responder, en particular, a obligaciones de tipo
      jurídico, se propone una exención a la obligación de notificación.
 ---pagebreak--- 4.    Terceros países
      Para que no se dieran ambigüedades sobre el objetivo propuesto, se ha
      precisado la norma encaminada a evitar el riesgo de transgresión de la
      normativa comunitaria durante la transferencia de datos a terceros
      países, estableciendo la prohibición de efectuar dichas transferencias
      a terceros países que no garanticen el suficiente grado de protección.
      Para ello se han añadido criterios de evaluación de la idoneidad de
      dicha protección. Además, se prevén varias excepciones a este
      principio, en un reducido número de casos, para tener en cuenta
      situaciones cuya particularidad lo justifica.
Β     Estructura y contenido de la propuesta modificada
Como ya se ha indicado, la propuesta se ha reestructurado para tener
presente la supresión de la distinción formal entre sector público y sector
privado, así como la elaboración de normas relativas a la notificación a
las autoridades de control. La nueva estructura tiene también por objetivo
destacar los diferentes elementos del mecanismo de protección. Por último,
tiene er cuenta las críticas sobre las redundancias del texto inicial. La
reestructuración de la propuesta afecta a las diposiciones de los capítulos
II a VI de la propuesta inicial, que sr. reagrupan básicamente en un nuevo
capítulo II, donde se recoge el conjunto de las condiciones generales para
la licitud de los tratamientos de datos personales, modificándose su orden.
No se modifica la estructura de los primitivos capítulos I, VII y
siguientes.
El capítulo II de la propuesta modificada está dividido en secciones, donde
se exponen, sucesivamente, los principios que deben guiar el diseño y la
realización de los tratamientos de datos personales (secciones 1, 2 y 3),
los derechos de información, acceso y oposición del interesado (secciones
4, 5 y 6), las obligaciones en materia de seguridad (sección 7) y los
 procedimientos de notificación a las autoridades de control (sección 8).
La sección 1 se refiere a los principios comunes a las legislaciones de
todos los Estados miembros y derivados de lo dispuesto por el Convenio 108
del Consejo de Europa en materia de la calidad de los datos objeto de
tratamiento. Corresponde al antiguo artículo 16. La inclusión, a petición
del Parlamento, de la recogida de datos en el concepto de tratamiento ha
 obligado a realizar ciertas modificaciones en la redacción. Por otr ·< parte,
 se ha tenido presente la solicitud del Parlamento sobre el archivo ^e los
 datos destinados a la investigación científica.
 Entre los principios enumerados en la sección 1, el de la finalidad
 legítima de los tratamientos de datos personales se expone en la sección 2,
 relativa al fundamento de los tratamientos. En esta sección se recoge,
 aclarándola y conservando al propio tiempo su carácter general, la lista,
 incluida en los antiguos capítulos II y III, de las circunstancias
 alternativas en que pueden efectuarse los tratamientos. En esta relación se
 prevé que dichas circunstancias pueden ser, en especial, el consentimiento
 del interesado, la ejecución de un contrato concluido con el interesado, el
 cumplimiento de una obligación legal, etc. o para restablecer el equilibrio
 ---pagebreak---                                     - 5 -
entre intereses enfrentados. Este "equlibrio entre intereses", que puede
referirse a tratamientos muy diferentes, como los destinados a la
 prospección comercial o de datos para difusión, deberán efectuarlo los
 Estados miembros de acuerdo con procedimientos que ellos mismos determinen,
teniendo en cuenta, en particular, los principios generales recogidos en la
sección 1 y los derechos de los interesados.
La sección 3 se refiere a las normas específicas que rigen los tratamientos
 relacionados con las libertades fundamentales. Esta sección trata, por una
 parte, de las normas que, remitiéndose al citado Convenio y al dictamen del
 Parlamento, recogido en parte, establecen una mayor protección de los datos
 especiales, es decir, relacionados especialmente con la libertad de
 opinión. Estas normas corresponden al antiguo artículo 17. Tienen presente
 las solicitudes del Parlamento, sobre todo en materia de tratamientos
efectuados por asociaciones de tipo político o sindical, razón por la que
entran, en la propuesta modificada, en el ámbito de aplicación de la
Directiva, lo que permite garantizar los derechos de las personas ante
dichos tratamientos y que los citados datos puedan circular libremente. Por
otra parte, la sección 3 trata de las normas ya mencionadas y relativas a
 los tratamientos con fines periodísticos, normas cuyo objetivo consiste en
conciliar esas dos libertades fundamentales que son la libertad de
expresión y el derecho a la intimidar!.
La sección 4 se refiere a las obligaciones del responsable del tratamiento
en materia de información del interesado sobre los tratamientos llevados a
cabo, obligaciones con las se quiere garantizar la transparencia de los
tratamientos, contribuyendo así a aplicar el principio del tratamiento leal
de los datos previsto en el Convenio 108 del Consejo de Europa y citado en
la sección 1. La sección 4 corresponde a normas que figuraban en los
antiguos capítulos II, III y IV y que se han vuelto a estructurar <·>η la
propuesta modificada, para suprimir en particular las redundancias, que
podían provocar problemas de interpretación.
La sección 5 trata sobre el derecho de acceso y de rectificación de los
interesados sobre los datos que les conciernen. Coincide con las
correspondientes disposiciones del antiguo capítulo IV y recoge las
enmiendas del Parlamento, que amplían a grandes rasgos el alcance de dicho
derecho jen particular, el derecho del interesado a conocer el origen de
los datos tratados y los argumentos utilizados para oponerle los resultados
de los tratamientos automatizados). Las normas modificadas también tienen
presente la solicitud del Parlamento de hacer extensiva al sector privado
la posibilidad de limitar el ejercicio del derecho de acceso, y ello en las
mismas condiciones que regían en un principio sólo al sector público.
La sección 6 se refiere al derecho de oposición del interesado, por motivos
legítimos. Recoge las correspondientes normas de los capítulos III y IV de
la propuesta inicial. En ella se establece la obligación de ofrecer a los
interesados la posibilidad de "opt out" antes de efectuar la comunicación
de datos a terceros con fines de prospección por escrito.
La sección 7 recoge, con varias modificaciones en la redacción, las normas
sobre seguridad previstas en el antiguo capítulo V.
 ---pagebreak---                                    - 6 -
La sección 8 desarrolla las normas iniciales sobre notificación. La
finalidad del sistema de selección propuesto, inspirado en buena nieUiJa en
las enmiendas del Parlamento, es garantizar la transparencia de los
tratamientos y, en concreto, la determinación de sus fines, dirigiendo al
propio tiempo la intervención de las autoridades de control sobre los
tratamientos que exigen una atención especial, por comportar riesgos. Parte
del principio de que todo tratamiento automatizado total o parcialmente
debe notificarse a la autoridad de control. Dicha notificación puede
referirse a un conjunto de tratamientos cuyos fines estén relacionados
desde el punto de vista de su responsable y con respecto a los interesados.
Por otra parte, se propone 'que, en función de su experiencia, los Estados
miembros adopten medidas para eximir de la obligación de notificación a los
tratamientos cuya realización no conlleve riesgo alguno para los derechos y
libertades de los interesados, o para simplificar dicha obligación. Las
medidas adoptadas enumeran los tratamientos concernidos y los requisitos
para que se lleven a cabo. Por último, se propone que se pueda reconocer a
las autoridades de control el derecho a examinar, antes de que se lleven a
cabo, los tratamientos notificados.
El capítulo III agrupa las normas de los capítulos IV y VII de la propuesta
inicial relativas al recurso del interesado, a la responsabilidad y a las
sanciones. Estas normas se han modificado para tener en cuenta el dictamen
del Parlamento.
El capítulo IV trata de las transferencias de datos personales a terceros
 países. Corresponde al antiguo capítulo VIII, modificado tal y como ya se
 ha indicado, y recoge las normas encaminadas a dotar a la Comunidad de una
 política común en este ámbito.
 El capítulo V se refiere a los códigos de conducta. Recoge las
 correspondientes normas del capítulo VI inicial y se inspira en el dictamen
 del Parlamento sobre su proceso de elaboración, en el que deben participar
 las autoridades de control independientes. Establece también la posibilidad
 de que los Estados miembros hagan participar a los sectores profesionales
 en la aplicación de la legislación mediante la elaboración de códigos de
 conducta nacionales.
 El capítulo VI trata de las autoridades nacionales de control y del Grupo
 de Protección de Datos encargado de contribuir a la aplicación homogénea de
 las normas nacionales de aplicación de la Directiva y de asesorar a la
 Comisión. Tal y como solicitó el Parlamento, se precisa la facultad de
 investigación de las autoridades nacionales. Se mantiene la composición
 inicial del grupo europeo para velar por su independencia, razón por la
 cual se prevé también que sea el grupo quien elija a su presidente. Se
 detallan las circunstancias en que deberá consultarlo la Comisión.
 El capítulo VII se refiere a las competencias de ejecución que el Consejo
 debería delegar en la Comisión. A este respecto, la Comisión mantiene su
 postura inicial, en contra de la opinión del Parlamento, por considerar que
 será necesario tomar medidas técnicas de aplicación, debido al alcance y al
 carácter técnico del ámbito del tratamiento de datos personales.
 ---pagebreak---                                    - 7 -
Disposiciones finales: para responder a la solicitud del Parlamento, se
establece un plazo de 3 años para la aplicación de las nuevas legislaciones
nacionales a las condiciones prevalentes en cada país, plazo que se añadirá
al de aplicación de la Directiva.
 ---pagebreak---                                     - 8 -
               COMENTARIOS SOBRE EL TÍTULO Y LOS CONSIDERANDOS
TÍTULO
Se han introducido dos precisiones en el título:
      se ha añadido la expresión "y a la libre circulación de datos" para
      puntualizar que el objetivo de la propuesta es la instauración y el
      funcionamiento del mercado interior, mediante una armonización que
      garantice la protección de las personas;
      para eliminar cualquier ambigüedad acerca del ámbito de aplicación de
      la propuesta, se precisa que la protección sólo recae sobre las
      personas físicas.
CONSIDERANDOS
La Comisión ha modificado los considerandos para incorporar                las
modificaciones introducidas a las disposiciones de la propuesta.
 Además, se pueden hacer las siguientes observaciones:
      el considerando ns 2 recoge el di''amen del Parlamento (enmienda ns 9)
      que recalca las ventajas que suponen los sistemas de tratamiento
      automatizado de datos cuando respetan los derechos de las personas y
       las libertades individuales;
       se ha considerado preferible incluir el considerando relativo al
       Convenio de 28 de enero de 1981 del Consejo de Europa (ns 10) entre
       los que tratan sobre la problemática de una política comunitaria en
       este ámbito, dado que la Directiva concreta los principios contenidos
       en el Convenio. En la propuesta inicial, este considerando (ns 22),
       cuyo texto no se ha modificado, estaba incluido en las disposiciones
       relativas a las transferencias de datos a terceros países;
       se incluye un nuevo considerando (ns 14), para resumir brevemente los
       principios de la protección, tal y como se expresan en los
       considerandos que le siguen;
       las modificaciones a los considerandos ns 4 (nuevo) y ns 5 se han
       realizado para reforzar la descripción de los hechos que debe.1 generar
       una iniciativa comunitaria, cuya importancia se destaca >?n los
       considerandos 7 y 8.
 ---pagebreak---                                     _ 9 -
                       COMENTARIOS SOBRE LOS ARTÍCULOS
CAPÍTULO I
DISPOSICIONES GENERALES
Articulo 1
Objeto de la Directiva
El primer articulo se consagra al objeto de la Directiva, que es el de
garantizar la libre circulación de datos personales entre los Estados
miembros merced a una armonización de las legislaciones nacionales:
      en virtud del apartado 1, los Estados miembros tienen la obligación de
      garantizar la protección de los derechos y libertades de las personas
      físicas, y en particular de su derecho a la intimidad, en lo referente
      al tratamiento de datos personales. (Esta terminología es la misma que
      la del primer artículo del Convenio 108 del Consejo de Europa);
      ya que, en virtud de la Directiva, la protección se garantizará de
      acuerdo con los mismos principios en todos los Estados miembros y será
      por lo tanto equivalente en todo    territorio comunitario, éstos, con
      arreglo al apartado 2, no podrán restringir, en los ámbitos que cubre
      la Directiva, la circulación de los datos por motivos relacionadaos
      con la mencionada protección del interesado.
De este modo, la propuesta permite, como solicitó el Parlamento (enmienda
ns 10, segunda parte), conciliar los imperativos de la realización del
mercado interior con los de la protección de las personas.
Por otra parte, la enmienda n? 10 (primera parte) queda recogida en la
propuesta modificada en la medida en que la noción de tratamiento, tal y
como se define en la letra a) del artículo 2, cubre la recogida de datos.
Artículo 2
Def inicioies
El objetivo de este artículo es definir los principales conceptos
utilizados en la Directiva. Las definiciones recogen las del Convenio 108
del Consejo de Europa, añadiendo sin embargo las adaptaciones y precisiones
necesarias para garantizar una protección equivalente y de alto nivel en la
Comunidad.
a)    "Datos personales". La propuesta modificada da   cabida al deseo del
      Parlamento de adoptar la definición más general  posible del concepto
      de "dato personal", con objeto de abarcar todos  los datos que pueden
      relacionarse con una persona física (enmienda    12). En efecto, una
 ---pagebreak---                                  - 10 -
   persona puede identificarse bien de manera directa, mediante un
   nombre, bien de manera indirecta, mediante un número de teléfono, el
   código de su coche, de la seguridad social, del pasaporte o mediante
   un haz de rasgos distintivos, que permita aislarla en un grupo (edad,
   cargo desempeñado, dirección, etc.). La definición comprende también
   datos como la imagen y la voz, las huellas digitales y las
   caraterísticas genéticas.
   No se definen los datos anónimos, ya que este término no se utiliza en
   la Directiva. El anonimato de una información no depende ya asi del
   coste de retorno a la información original (enmienda 13). Sin embargo,
   cuando los datos se agregan en estadísticas, se ha considerado
   oportuno precisar que no puede considerarse que sean de índole
   personal, ya que no puede identificarse a los interesados.
b) "Tratamiento de datos personales" (tratamiento). La definición
   escogida también propugna un ámbito de aplicación amplio, que permita
   garantizar la protección de las personas (enmienda 15), puesto que
   comprende los datos desde su recogida hasta su supresión, pasando por
   su    organización,    explotación,    consulta,    comunicación     (por
   transmisión), difusión o cualquier forma de cesión (enmienda 16),
   interconexión y bloqueo.
c) "Fichero de datos personales" (f:~hero). Se ofrece esta definición,
   que   comprende  tanto   los   ficheros   automatizados   como   los   no
   automatizados. Permite, en lo referente a los tratamientos de datos no
   automatizados, circunscribir el ámbito de aplicación de la Directiva a
   los datos estructurados para facilitar el acceso y la búsqueda de
   aquéllos que se refieran a personas físicas. De esta manera quedan
   excluidos los datos personales que no están organizados para su
   utilización en relación con los interesados. De hecho, estos datos no
   comportan los mismos riesgos para las personas y resulta más realista
   no someterlos a las mismas obligaciones.
   Para garantizar la protección de las personas, se precisa que los
   criterios de acceso deben tener "como objeto o efecto" facilitar la
   utilización o el cotejo de datos, para no obligar al interesado a
   revelar sus intenciones, lo que volvería muy delicada la aplicación de
   la normativa nacional.
   Por último, se da preferencia al concepto de "cotejo" frente al de
   "interconexión", ya que puede aplicarse tanto a los trabamientos
   automatizados como a los ficheros de papel.
d) "Responsable del tratamiento". Esta definición se toma del concepto de
   "jefe del fichero" del Convenio 108 del Consejo de Europa.
   Dado que el objetivo principal de la Directiva es regular la
   utilización de los datos en función de los fines a que se destinan,
   resulta   preferible   referirse   al   concepto  de    responsable   del
   tratamiento.
   Se trata de la persona responsable, en última instancia, de las
   opciones escogidas a la hora de determinar y llevar a cabo los
   tratamientos (en la mayoría de los casos, el jefe de empresa), y no
 ---pagebreak---                                  -Il­
   de las personas que efectúan las operaciones de tratamiento de acuerdo
   con las instrucciones del responsable, razón por la cual se indica que
   es el responsable quien decide "los objetivos" del tratamiento. Este
   punto se inspira en la enmienda 17. El responsable del tratamiento
   puede tratar los datos por sí mismo o hacer que los traten los
   miembros del personal a su cargo o el agente tratante, persona
   jurídicamente diferente del responsable pero que actúa por cuenta de
   él.
e) "Agente tratante". Se trata de una definición útil, propuesta por el
   Parlamento (enmienda 18).
f) "Terceros". Esta definición es resultado de una enmienda parlamentaria
   (ns 134), que fue alterada en la propuesta modificada con objeto de
   indicar claramente que no se consideran terceros ni el interesado ni
   el responsable del tratamiento ni las personas autorizadas a tratar
   los datos bajo su autoridad directa o actuando por cuenta propia, como
   ocurre con el agente tratante.
   Las personas que trabajan en otra empresa, aunque forme parte del
   mismo grupo o sociedad de cartera, deberían considerarse por lo
   general terceros.
   En cambio, las sucursales bancarias que efectúan tratamientos para la
   gestión de la clientela y que están situadas bajo la autoridad directa
   de la sede no deberían consider se terceros. Lo mismo puede decirse
   de los agentes de seguros; por el contrario, en lo que respecta a los
   representantes de seguros, la situación puede diferir en cada caso.
g) "Consentimiento del interesado". En la propuesta inicial, la
   definición del consentimiento del interesado a un tratamiento de datos
   personales que le conciernen figuraba en el artículo 12, en el
   capítulo dedicado a los derechos de las personas.
   Este hecho provocó confusiones, pues varios sectores profesionales
   dedujeron que cualquier tratamiento exigía el consentimiento previo
   del interesado, cuando no se trata más que de uno de los supuestos
   para la licitud del tratamiento.
   Por consiguiente, parece más lógico que las disposiciones relativas al
   consentimiento figuren en el artículo 2 de la Directiva, con algunas
   modificaciones en la redacción tendentes a darle la forma de una
   definición.
   Se ha suprimido el adjetivo "expreso" como calificativo de
   consentimiento, con objeto de evitar que se pueda interpretar como la
   exigencia de un texto por escrito (procedimiento reservado a los datos
   especiales del artículo 8 de la propuesta modificada), sustituyéndose
   por la expresión "manifestación explícita de voluntad", que puede ser
   escrita u oral.
   En la propuesta modificada se señala que el consentimiento debe ser
   "libre", previéndose así los casos en que se pudiera ejercer una
   presión sobre el interesado (caso, por ejemplo, del trabajador con
   respecto a su empleador).
 ---pagebreak---                                   - 12 -
     Para que el interesado pueda apreciar los riesgos y las ventajas del
     tratamiento de datos que le conciernen y ejercer los derechos que le
     reconoce el artículo 13 de la propuesta de directiva (rectificación,
     supresión, bloqueo), el consentimiento deberá darse disponiéndose de
     la información suficiente, razón por la cual el responsable del
     tratamiento debe comunicar al interesado las informaciones que
     requiere, como el nombre y dirección del responsable del tratamiento
     o, en su defecto, de su representante (véase el apartado 2 del
     artículo 4), el objeto del tratamiento, los datos registrados, etc.
     El consentimiento del interesado debe ser específico, es decir, que
     debe referirse a un tratamiento de datos en concreto, que conciernan
     al interesado y que lleve a cabo un responsable determinado con fines
     determinados.
     El interesado puede revocar su consentimiento en cualquier momento.
     Sin embargo, esta revocación no tiene efectos retroactivos pues, de lo
     contrario, una tratamiento de datos que hubiera sido lícito se
     volvería ilícito retroactivamente.
Se eliminan tres definiciones que figuraban en la propuesta original:
     la definición de la autoridad de control, por ser redundante con el
     artículo 32 de la propuesta modif;rada;
     las definiciones de sector público y sector privado, debido a la
     fusión de las disposiciones relativas a dichos sectores (véase el
     capítulo II de la propuesta modificada).
Artículo 3
Ámbito de aplicación
El primer apartado de la propuesta modificada concilia los puntos de vista
de quienes desean ceñirse, en informática, al concepto de "tratamiento
automatizado" (ya que un tratamiento automatizado no implica necesariamente
la existencia de un fichero) y de quienes no quieren que la Directiva
comprenda cualquier tipo de datos, incluso no estructurados, que figuren
sobre soporte papel.
Por consiguiente, la propuesta modificada adopta criterios diferentes para
delimitar el ámbito de aplicación de la Directiva, en función de que los
datos sean o no objeto de tratamiento automatizado: sólo es aplicable al
tratamiento no automatizado de datos si dichos datos están contenido."! en un
fichero; en cambio, en materia informática, la definición supera el
concepto de fichero, y la Directiva se aplica a cualquier tratamiento
automatizado de datos, aunque dichos datos no estén contenidos en un
fichero.
En definitiva, se aplica a datos personales estructurados, bien por su
organización   en  un   fichero  manual,   bien  mediante   un   tratamiento
informático.
 ---pagebreak---                                     - 13 -
Se hace referencia a los tratamientos automatizados "completamente o en
 parte" para recalcar que un tratamiento constituye un todo, incluso aunque
sólo esté informatizada una parte de dicho tratamiento (el Indice, por
ejemplo).
El apartado 2 establece dos exenciones:
-     La primera afecta a los tratamientos efectuados para ejercer
      actividades que no figuran en el ámbito de aplicación del Derecho
      comunitario (como los servicios secretos). El ámbito de aplicación de
      la Directiva se define en relación con el ámbito de aplicación del
      Derecho comunitario, para permitirle evolucionar conjuntamente con
      éste.
-     La segunda exclusión se refiere a la utilización de datos en el
      ejercicio de actividades exclusivamente privadas, como por ejemplo la
      agenda electrónica (enmienda 22).
-     No se prevén más excepciones, ya que, en caso de eximir de cualquier
      obligación a grupos de organismos de diversa índole, los derechos de
      los ciudadanos acabarían por dejar de estar protegidos: si resulta
      legítimo simplificar el régimen aplicable a determinadas categorías de
      tratamientos de datos personales (véase la sección VIII del capítulo
      II, relativa a la notificación y en la que establecen posibilidades de
      exención o simplificación de las formalidades), no debe tratarse en
      cambio de una exención global.
El caso particular de las asociaciones se aborda en el artículo que prevé
excepciones en la recogida de datos especiales (artículo 8 de la propuesta
modificada).
Artículo 4
Derecho nacional aplicable
Este artículo fija los criterios necesarios para determinar cuál es la
legislación nacional aplicable a los tratamientos que entran dentro del
ámbito de aplicación de la Directiva, con objeto de evitar:
      por una parte, que el interesado carezca de protección, en particular
      debido a una elusion de la legislación;
      por otra, que un mismo tratamiento se vea sometido a la aplicación de
      varias legislaciones nacionales.
De acuerdo con la propuesta original, el lugar de localización del fichero
determinaba la competencia territorial; este criterio no se ha recogido en
la propuesta modificada, ya que la localización de un fichero o de un
tratamiento serán a menudo imposibles de determinar. En efecto, éstos
últimos podrían localizarse en múltiples puntos, estar repartidos entre
varios Estados miembros, especialmente en el caso de las bases de datos y
de las redes, fenómenos en constante expansión.
Por consiguiente, de acuerdo con la propuesta modificada, el derecho
aplicable se define por referencia al lugar de establecimiento del
responsable del tratamiento.
 ---pagebreak---                                    - 14 -
En caso de que el responsable del tratamiento no esté radicado en el
territorio de la Comunidad, pero utilice medios, automatizados o no, para
efectuar un tratamiento (terminales, cuestionarios, etc.), y localizados en
el territorio de un Estado miembro, el derecho aplicable será el del Estado
en cuyo territorio estén localizados dichos medios. Además, el responsable
del tratamiento deberá nombrar a un representante radicado en dicho
territorio, que quedará subrogado en sus derechos y obligaciones.
En ese caso, será a este representante a quien le incumba la obligación de
notificación (véase la sección VIII del capítulo II); de la misma manera,
cualquier información de los interesados acerca del responsable del
tratamiento prevista por la propuesta de directiva, deberá completarse
mediante una información sobre su representante.
La enmienda 24 se ha recogido en la medida en que suprime la referencia a
una utilización esporádica, expresión que no remitía a nada en concreto y
se habría interpretado por tanto de muy diferentes maneras.
Además, debido a la elección del criterio del establecimiento del
responsable del tratamiento, el desplazamiento temporal de un fichero no
modifica el derecho aplicable. Por consiguiente, el apartado 3 del artículo
4 de la propuesta inicial no se ha recogido.
CAPÍTULO II
CONDICIONES GENERALES PARA LA LICITUD DEL TRATAMIENTO DE DATOS PERSONALES
La estructura de la propuesta modificada difiere de la de la propuesta
inicial: en efecto, el nuevo capítulo II recoge el conjunto de principios,
derechos y obligaciones que determinan la licitud de los tratamientos
efectuados. De acuerdo con el dictamen del Parlamento, se han fusionado las
disposiciones relativas al sector público y al sector privado.
Artículo 5
Este artículo recoge el apartado 2 del artículo 6 y los apartados 1 y 3 del
artículo 8 de la propuesta inicial.
Señala que los Estados miembros dispondrán que los tratamientos de datos
sólo serán lícitos cuando se ajusten a lo dispuesto en el capítulo II, que
constituye una unidad.
Se menciona también, en último lugar, que los Estados miembros podrán
precisar en su legislación en qué casos son lícitos los tratamientos, sin
 perjuicio de lo dispuesto en el capítulo II. Estas precisiones podrán
consistir, por ejemplo, en determinar por sectores en qué casos debe
 prevalecer el interés legítimo del interesado (letra f) del artículo 7),
 las modalidades de acuerdo con las cuales se informará a los interesados
(sección IV) o las condiciones de ejercicio del derecho de oposición
(sección VI). Estas precisiones no podrán atentar contra el principio de la
 libre circulación de datos en el interior de la Comunidad.
 ---pagebreak---                                    - 15 -
SECCIÓN I
PRINCIPIOS RELATIVOS A LA CALIDAD DE LOS DATOS
Articulo 6
Este artículo recoge los principios esenciales del artículo 5 del Convenio
108 del Consejo de Europa.
Al tratarse de disposiciones relativas a los derechos fundamentales de las
personas con respecto al tratamiento de la información, figuran al
principio del capítulo dedicado a la licitud de los tratamientos. Resulta
necesario remitirse a ellas para interpretar los siguientes artículos de
este capítulo.
Las disposiciones del artículo 6 recogen las del Convenio 108 del Consejo
de Europa con ciertas modificaciones, encaminadas a adaptarlas a las
definiciones escogidas en el artículo 2 (y, en particular, a la definición
del tratamiento) y al ámbito de aplicación de la Directiva, que,
contrariamente al Convenio 108, abarca tanto los tratamientos automatizados
de datos contenidos en los ficheros como los no automatizados.
La letra a) del artículo 6 establece que el tratamiento de datos personales
deberá efectuarse de forma lícita y leal. Esta disposición afecta al
tratamiento tal y como se define en la letra e) del artículo 2 y comprende
así, como es natural, la recogida.
La norma enunciada en la letra a) del artículo 6 excluye en particular la
utilización de aparatos ocultos para obtener datos subrepticiamente y sin
conocimiento del interesado, en concreto mediante escuchas telefónicas y
otros medios, etc. Esta disposición prohibe asimismo que los responsables
de los tratamientos realicen o utilicen tratamientos clandestinos sobre
datos personales.
La letra b) del artículo 6 enuncia el principio de la determinación de la
finalidad de la recogida de datos (independientemente de que se realice con
medios automatizados o no). De acuerdo con este principio, sólo se podrán
conservar datos personales para fines determinados, explícitos y legítimos.
El objeto de la recogida de datos personales debe determinarse, esto es, la
finalidad de la recogida y utilización de los datos deberá definirse de la
manera más precisa posible. Una definición o descripción vagas del objeto
del tratamiento ("con fines comerciales", por ejemplo) no será acorde con
el principio de la definición de la finalidad enunciada en la letra b) del
artículo 6.
Es necesario precisar la finalidad del tratamiento antes de efectuar la
recogida de los datos. En caso de que los datos se recaben del propio
interesado, el artículo 11 establece que la finalidad deberá haberse
determinado antes de que se realice la recogida.
Una modificación posterior de la finalidad de un tratamiento sólo será
legítima en la medida en que sea compatible con la finalidad inicial.
 ---pagebreak---                                   - 16 -
La letra b) del articulo 6 obliga también al responsable del tratamiento a
determinar la finalidad de la conservación y registro de los datos.
En la medida en que la finalidad de la conservación y utilización de datos
personales debe ser legítima, las finalidades potenciales de un tratamiento
son limitadas. Dicho tratamiento sólo puede crearse y utilizarse para un
objeto que se ajuste a las disposiciones de la Directiva y de las
legislaciones nacionales de los Estados miembros.
La letra c) del artículo 6 estipula que los datos deberán ser adecuados,
pertinentes y no excesivos con relación a los fines que se persiguen. Este
principio implica que la naturaleza de los datos debe corresponderse con el
objetivo perseguido.
Lo dispuesto en la letra d) del artículo 6 está estrechamente relacionado
con lo que establecen las letras b) ye) del apartado 1 del artículo 6. Los
datos deben ser exactos y, cuando sea necesario, deben actualizarse. En
caso de que hubiera datos incorrectos o incompletos con respecto a los
fines para los que fueron recogidos, la letra d) del artículo 6 prevé que
se supriman o rectifiquen.
La letra e) del artículo 6 se refiere a la duración máxima de conservación
de datos personales. De acuerdo con ella, su conservación en una forma que
permita la identificación del interesado sólo queda autorizada durante el
periodo que sea necesario para alcanzar los fines para los que se
registraron los datos.
Sin embargo, en determinados casos y tras cierto plazo, si un tratamiento
ha dejado de ser un instrumento de gestión, puede ser necesario conservarlo
por motivos históricos o de investigación, por ejemplo. La letra e) del
artículo 6 precisa por ello que, de conformidad con el dictamen del
Parlamento (enmienda ns 60), los Estados miembros podrán prever garantías
apropiadas para los datos archivados por motivos históricos, estadísticos o
científicos, para conciliar el principio estricto de la finalidad con el
derecho al olvido y, por otra parte, satisfacer las exigencias de la
investigación.
El apartado 2 del artículo 6 obliga al responsable del tratamiento a
garantizar el respeto de las disposiciones sobre la calidad de los datos
establecidas en el apartado 1.
SECCIÓN II
PRINCIPIOS RELATIVOS AL TRATAMIENTO DE DATOS
Articulo 7
El artículo 7 agrupa las condiciones de licitud del tratamiento de datos
personales que, en la propuesta inicial, figuraban en los artículos 5, 6 y
8, y las presenta de una nueva manera simplificada.
 ---pagebreak---                                     - 17 -
Se recoge la supresión de la distinción entre sector público y sector
 privado propuesta en las enmiendas parlamentarias nog27, 28 y 29.
 El texto no hace ninguna referencia especial al tratamiento de datos con
 fines distintos a aquellos para los que se realizó en un principio (antigua
 letra b) del apartado 1 del artículo 5), ni a criterios de legitimidad de
 la comunicación de datos personales (antiguos artículo 6 y apartado 2 del
 artículo 8). Se consideran suficientes el principio general de la
 compatibilidad de los objetivos (letra b) del apartado 1 del artículo 6
 modificada) y las condiciones estipuladas en el artículo 7.
 Con todo, las condiciones especiales propuestas por las enmiendas 30 y 32
 sólo se han recogido de manera parcial y previa modificación del texto.
El consentimiento ya no se considera el criterio principal ni se establecen
 excepciones, sino que se convierte en una condición más (letra a) del
artículo 7, modificada).
En lugar de hacerse referencia a una "relación de confianza cuasi
contractual", expresión que muchos han juzgado vaga o incluida en la de
"relación contractual" o de "interés legítimo" (nueva letra f) del artículo
7), se ha incluido la de "medidas previas a la celebración del contrato y
tomadas como respuesta a una solicitud del interesado", para contemplar la
situación anterior a la creación de una relación contractual (nueva letra
b) del artículo 7).
Se conserva el tratamiento realizado a raíz de una obligación impuesta por
el Derecho nacional o comunitario (nueva letra c) del artículo 7).
Lo mismo puede decirse de las letras e) y, en parte, f), del nuevo artículo
7.
Se ha añadido la letra d) para regular los casos en que el interesado tenga
un interés vital en el tratamiento de sus datos personales, pero no esté en
condiciones de dar su consentimiento (por ejemplo, en caso de enfermedad
grave).
La letra f) -motivada en parte por la enmienda parlamentaria ns 32-
constituye un desarrollo de la antigua letra c) del apartado 1 del artículo
8, para contemplar el hecho de que puede resultar necesario tener presentes
importantes intereses legítimos diferentes de los del responsable del
tratamiento y del interesado. Se ha suprimido la letra b) del apartado 1
del artículo 8, pues la Comisión ha constatado que, en determinados casos,
algunas fuentes de acceso público general pueden contener datos personales
especiales. Además, en la mayoría de los casos, los datos han sido tratados
con fines específicos y, por consiguiente, no deberían utilizarse con otro
objeto sin tener en cuenta las demás disposiciones de la Directiva.
 ---pagebreak---                                   - 18 -
SECCIÓN III
CATEGORÍAS ESPECIALES DE TRATAMIENTOS
Articulo 8
Este artículo corresponde al antiguo artículo 17.
Se suele admitir que el derecho a la intimidad está amenazado no por el
contenido de los datos personales, sino por el contexto en que se sitúa el
tratamiento de dichos datos. Existe sin embargo un amplio consenso entre
los Estados miembros sobre el hecho de que ciertas categorías de datos,
debido a su contenido, suponen un riesgo de violación del derecho a la
intimidad de los interesados. El artículo 8 de la propuesta de directiva
plantea así límites estrictos al tratamiento y a la explotación de las
siguientes categorías de datos especiales: origen racial (incluida la
información sobre el color de la piel); opiniones políticas, creencias
religiosas, convicciones filosóficas y morales, incluida la falta de
creencia religiosa (estas categorías engloban informaciones sobre las
actividades del interesado en el terreno político, religioso o filosófico);
la afiliación sindical; la salud del interesado (incluidas la información
sobre su estaçlo físico o mental en el pasado, presente y futuro, así como
sobre el abuso de drogas y de alcohol); la vida sexual. Las creencias no
religiosas o filosóficas también pueden constituir datos especiales, por lo
que se ha añadido el concepto de "convicciones morales".
El antiguo artículo 17 ha sido modificado y reestructurado para dar cabida
a varias observaciones realizadas por el Parlamento (enmiendas 63, 149 y
65).
El apartado 1 dispone que, por regla general, el tratamiento de datos
especiales (informático o no automatizado, tal y como lo solicitó el
Parlamento en su enmienda 63) está prohibido.
El apartado 2 contempla varias excepciones a esta regla general:
     en lugar de subordinar el tratamiento de dichos datos a la condición
     general de un "acuerdo libre, expreso y por escrito", que puede gozar
     de excepciones, se ha considerado más conveniente que este acuerdo
     constituya una de las excepciones a la prohibición general de tratar
     dichos datos;
-    el tratamiento de estos datos lo pueden efectuar fundaciones o
     asociaciones de carácter político, filosófico, religioso o sindical,
     para la consecución de sus objetivos legítimos, pero siempre que se
     refiera exclusivamente a los miembros y corresponsales de la fundación
     o asociación que hayan consentido en participar y que los datos no se
     comuniquen a terceros. Se trata de una función juzgada necesaria en
 ---pagebreak---                                    - 19 -
     las sociedades democráticas. Estos tratamientos están asimismo exentos
     de la obligación de notificación prevista en el capítulo VIII de la
     propuesta modificada, de conformidad con la solicitud del Parlamento
     (enmienda 149);
     el tratamiento podrá realizarse cuando sea en circunstancias tales que
     resulte manifiesto que no causa perjuicio a la intimidad ni a las
     libertades del interesado. Pueden darse como ejemplo los datos de tipo
     político sobre una personalidad pública, la recogida, por un periodo
     breve y en condiciones estrictas de seguridad, de los nombres de las
     personas sometidas a una encuesta.
El apartado 3 recoge el apartado 2 del artículo 17 de la propuesta inicial,
que establecía excepciones "por motivos importantes de interés público". En
particular,   estas    excepciones   deberían   concederse   a    organismos
internacionales de defensa de los derechos humanos cuyas actividades
requieran tales datos, siempre que ofrezcan las suficientes garantías.
El dictamen del Parlamento (enmienda 65), que establecía que los datos
relativos a las condenas penales sólo podrían conservarlos las autoridades
judiciales, se recoge en parte en el apartado 4 de este artículo. Se ha
considerado que, además de las autoridades judiciales, también deberían
poder poseerlos las personas directamente afectadas por las deciciones
judiciales   en   cuestión o     sus  representantes.   Dado   el   carácter
particularmente delicado de estos datos, se ha considerado que las
excepciones sólo podrían otorgarse mediante disposiciones legislativas en
las que se establezcan las garantías apropiadas (nuevo apartado 4 del
artículo 8).
La letra a) del apartado 3 propuesta (dictamen del Parlamento, enmienda ηs
65, segunda parte), en la que se solicita a los Estados miembros que
determinen las condiciones en las que podrá utilizarse un número nacional
de identificación, en caso de que exista, o cualquier otro identificador de
carácter general, se ha aceptado y recogido en el apartado 5.
Artículo 9
Tratamientos realizados por la prensa
Este artículo corresponde al antiguo artículo 19. Se insta a los Estados
miembros a que establezcan, para los organismos de prensa y del sector
audiovisual, excepciones a las disposiciones de la Directiva, en la medida
en que sean necesarias para conciliar los derechos fundamentales del
individuo, y en particular el derecho a la intimidad con la libertad de
expresión, pues hay un riesgo de conflicto entre ambas categorías de
derechos fundamentales. El enfoque escogido hace hincapié en la obligación
de sopesar los intereses en conflicto, teniéndose en particular presente la
posibilidad o no de que el interesado solicite sanciones o ejerza el
 ---pagebreak---                                   - 20 -
derecho de recurso, la existencia de un código de ética profesional, los
límites marcados por el Convenio Europeo de Derechos Humanos y los
principios generales del Derecho.
Teniendo en cuenta el texto inicial y por motivos de armonización, las
excepciones concedidas a los organismos de prensa y del sector audiovisual,
así como a los periodistas (mención que se añade al texto inicial), son
obligatorias para los Estados miembros. Se precisa que dichas excepciones
sólo conciernen a los tratamientos efectuados para usos periodísticos. En
el término "periodista" se incluye a los reporteros y fotógrafos, así como
a los autores y biógrafos.
SECCIÓN IV
INFORMACIÓN AL INTERESADO
La sección IV agrupa todas las disposiciones relativas a la información al
interesado que estaban desperdigadas en la propuesta inicial (artículos 9,
13, apartado 3 del artículo 14).
Artículo 10
Información sobre la existencia de un tratamiento
Este artículo corresponde al antiguo apartado 3 del artículo 14, que
establecía el derecho del interesado a "conocer la existencia de un
fichero, sus fines principales, así como la identidad del responable del
fichero, su residencia habitual, su sede y el organismo para el que
trabaja".
Se han añadido al texto inicial las modificaciones citadas a continuación.
El derecho a ser informado puede ejercerse previa solicitud. Se ha
sustituido "su residencia habitual, su sede y el organismo para el que
trabaja" por "el nombre y la dirección del responsable del tratamiento o,
en su defecto, de su representante", información juzgada suficiente para el
ejercicio por el interesado de sus derechos. Por considerarse que los
terceros a quienes se comunican los datos y las categorías de datos
utilizadas para el tratamiento son de igual importancia, se han añadido a
la información que el interesado tiene derecho a obtener.
Los Estados miembros pueden prever excepciones a este derecho de
información por los motivos y en las condiciones indicados en el apartado 1
del artículo 14 (seguridad nacional, defensa, orden público, etc.).
 ---pagebreak---                                    - 21 -
Articulo 11
Información al interesado durante la recogida de datos
Este artículo, que garantiza a las personas de las que se recaban datos
personales el derecho a determinada información específica, corresponde al
antiguo artículo 13.
La recogida legítima y leal de datos personales presupone que el interesado
decida divulgar o no los datos que le conciernen, basándose en un
conocimiento fiable de la finalidad del tratamiento, el carácter
obligatorio o facultativo de la obligación de divulgar los datos en
cuestión y todas las consecuencias que podrían derivarse de una ausencia de
respuesta. Para que pueda ejercer sus derechos y controlar con eficacia la
utilización de los datos que le conciernen, debe asimismo estar informado
acerca de su derecho de acceder a los datos que le conciernen y de sus
destinatarios.
Se han añadido las siguientes modificaciones al texto original:
     En el título se indica que el artículo se aplica en caso de que los
     datos se recaben del interesado.
     Así queda confirmado en el apartado 1, donde se expone claramente que,
     cuando los datos se recaban de los interesados, el hecho de obtener la
     información no es sólo un derecho del interesado (ejercido previa
     solicitud), sino una obligación del responsable del tratamiento. La
     aplicación de este artículo dependerá de las circunstancias en que se
     produzca la recogida.
     Al igual que en la propuesta inicial (apartado 2 del artículo 15), el
     apartado 2 del artículo 11 autoriza a los Estados miembros a limitar
     la obligación de informar al interesado por motivos de interés
     superior. De acuerdo con esta disposición, la obligación de ofrecer
     las informaciones mencionadas en el apartado 1 del artículo 11 no se
     aplica cuando la información del interesado impediría el ejercicio de
     las funciones de control y verificación de una autoridad pública o el
     mantenimiento del orden público.
Artículo 12
Información en caso de comunicación a un tercero
Este artículo corresponde al artículo 9 del texto inicial. Con objeto de
permitir al interesado el ejercicio de sus derechos, el apartado 1 exige
del responsable del tratamiento que garantice que se informe al
 ---pagebreak---                                   - 22 -
interesado de la comunicación que le concierne. El interesado puede de este
modo ejercer su derecho de acceso y oponerse a que se continue realizando
el tratamiento en cuestión.
Se recoge en parte la enmienda 35, en cuanto se refiere a las disposiciones
de la enmienda 32 que se han adoptado. Así, la antigua letra a) del
apartado 2 del artículo 8, que figuraba en la enmienda ns 35, corresponde a
la nueva letra c) del artículo 7, así como al artículo 13 modificado; la
letra e) del apartado 2 del artículo 8 corresponde a la letra b) del
artículo 7 y la letra g) del apartado 2 del artículo 8 corresponde en parte
a la letra f) del artículo 7.
El derecho del interesado a oponerse al tratamiento (así como a la
comunicación) lo regula la sección VI y, en particular, los artículos 15 y
16 del texto modificado. El artículo 15 modificado se inspira del espíritu
del apartado 3 de la enmienda ns 35 (sin hacer referencia sin embargo al
concepto de "agente", que es inútil y podría resultar ambiguo).
El texto modificado no hace distinción entre el sector público y el sector
privado (la obligación de informar de toda comunicación se aplicaba en el
texto inicial sobre todo al sector privado).
El texto no menciona la "consulta en línea", dado que está comprendida en
el concepto de comunicación. La obligación de informar no se aplica:
     cuando la comunicación es necesaria para la salvaguarda del interés
     vital del interesado (en tal caso, la información puede resultar
     imposible o contraria a los intereses de la persona concernida);
     cuando ya se ha señalado       al   interesado la  comunicación  o  la
     posibilidad de comunicación;
     cuando se impone la comunicación en virtud de una ley que prevé una
     excepción a la obligación de informar al interesado;
     cuando la comunicación está motivada por una de las razones enumeradas
     en el apartado 1 del artículo 14 (seguridad nacional, defensa, orden
     público, etc.).
Además de la finalidad del tratamiento, de las categorías de datos tratados
y del nombre y dirección del responsable del tratamiento (o de su
representante), se ha considerado necesario informar también al interesado
sobre los destinatarios o categorías de destinatarios y la existencia de su
derecho de acceso, rectificación y oposición.
El apartado 3 del artículo 12 modificado corresponde al artículo 10 del
texto inicial, que se refería a las exenciones a la obligación de informar
al interesado (cuando dicha información resultara imposible, o exigiera
esfuerzos desproporcionados, o se enfrentara a intereses legítimos
                                      \
                                       i
                                      J
 ---pagebreak---                                   - 23 -
predominantes del responsable del fichero o a un interés semejante de un
tercero). Se ha añadido que, cuando autoriza una excepción, la autoridad de
control debe prever las garantías apropiadas, cuando resulte necesario
(para velar por que la falta de información no suponga menoscabo de los
derechos y libertades del interesado).
Debería utilizarse la facultad de conceder excepciones a la obligación de
informar al interesado, en particular en lo referente a las asociaciones de
defensa de los derechos humanos y a las organizaciones humanitarias, para
no estorbarlas en sus actividades legítimas.
Artículo 13
Derecho de acceso
Este artículo contiene las disposiciones del artículo 14 inicial, que
concierne el derecho del interesado a acceder a sus propios datos
personales y el derecho complementario a obtener la rectificación,
supresión o bloqueo de dichos datos (apartados 4 y 7). Tal y como lo hacía
el apartado 4 del artículo 4 del texto inicial, el apartado 1 del artículo
13 modificado confiere al interesado el derecho de obtener, con una
frecuencia razonable y sin gastos ni esperas excesivos, la confirmación de
la existencia o inexistencia de datos personales que le conciernen y, en
caso afirmativo, la comunicación de estos datos en forma inteligible.
Es a los Estados miembros a quienes incumbe precisar cómo deben ofrecerse
estas informaciones al interesado, para garantizar por ejemplo que los
datos se divulguen exclusivamente al interesado o facilitar el ejercicio
del derecho de acceso, tanto para el responsable del tratamiento de datos
como para el interesado, cuando se han realizado varios tratamientos, en
particular en el caso de los ficheros manuales. Incumbe asimismo a los
Estados miembros determinar en su legislación la expresión "frecuencia
razonable". Teniendo presentes los intereses del interesado y los del
responsable del tratamiento, los legisladores de los Estados miembros
pueden prever que el responsable del tratamiento no pueda exigirle al
interesado que ejerce su derecho de acceso una remuneración superior al
coste real. El derecho percibido no debe ser excesivo.
El apartado 1 del artículo 13 (antiguo apartado 4 del artículo 14) se ha
modificado para tener en cuenta la enmienda na 48, que se ha recogido en
parte. El derecho de acceso puede ejercerse previa solicitud. El interesado
tiene derecho a obtener información sobre el origen (pero no el origen en
general, lo que resultaría demasiado vago y, por consiguiente, inútil) y
sobre la utilización en general (y no la utilización puntual, lo que podría
resultar demasiado pesado y burocrático) de los datos personales en
cuestión. Este artículo permite además a los Estados miembros crear una
norma especial relativa al ejercicio del derecho de acceso del interesado a
 ---pagebreak---                                    - 24 -
los datos de tipo médico. Para proteger al interesado de cualquier
conmoción que pudiera tener graves repercusiones psicológicas, esta
información se la puede ofrecer un médico.
El apartado 2 del artículo 13 se ha añadido para introducir en el texto la
enmienda 132. Previene los abusos en el ejercicio del derecho de acceso que
pudieran cometerse en menoscabo de los intereses legítimos del interesado
(ejemplo que dio el Parlamento: el interesado no debe ser obligado por un
tercero a ejercer su derecho de acceso como condición previa a su
contratación o a la conservación de su puesto de trabajo). Sin embargo, sí
se permite el acceso como respuesta a la solicitud de un tercero, siempre
que esté basada en la normativa nacional o comunitaria (ejemplo:
certificado de estado civil, etc. necesario para determinar los derechos a
diferentes prestaciones sociales).
El apartado 3 del artículo 13 (antiguo apartado 5 del artículo 14) concede
a los interesados el derecho de obtener, en cada caso, la rectificación,
supresión o bloqueo de los datos, cuando su tratamiento sea incompatible
con la Directiva. El texto inicial del apartado 5 se ha modificado
ligeramente, con objeto de que correspondiera con mayor precisión a los
deseos del Parlamento (enmienda 46).
Asimismo, se ha adoptado en parte la enmienda ns 49. Los datos "omitido
completamente o en parte" se llaman "datos incompletos" y se incluyen en el
apartado 3 del artículo 13 modificado. Por otra parte, los términos "en su
caso" y "supresión" son útiles en este contexto y, por lo tanto, se han
conservado en el texto modificado.
La fórmula utilizada en la Directiva ("en su caso") deja a la legislación
de cada Estado miembro en materia de protección de datos la tarea de
adaptar   los derechos del      interesado sobre supresión,      bloqueo o
rectificación a las diferentes situaciones en las que se tratan y explotan
datos personales incumpliendo esta Directiva.
El apartado 4 del artículo 13 corresponde al antiguo apartado 7 del
artículo 14. Este apartado protege los intereses del interesado al prever
que los terceros a quienes se hayan transmitido datos tratados de manera
incorrecta o ilegítima reciban una notificación de la rectificación,
supresión o bloqueo de los datos, con objeto de que puedan rectificar,
suprimir o bloquear a su vez los datos en cuestión.
El apartado 5 del artículo 13 se ha añadido a título de garantía
suplementaria en el caso de decisiones tomadas por un sistema automatizado
y que dé resultados contrarios a los intereses del interesado. En tal caso,
el interesado tiene el derecho de conocer los razonamientos utilizados en
los tratamientos en cuestión.
 ---pagebreak---                                   - 25 -
Articulo 14
Excepción al derecho de acceso
Este artículo corresponde al antiguo artículo 15. Autoriza a los Estados
miembros a limitar los derechos de acceso de los interesados para proteger
un interés público superior o el interés de un particular que equivalga al
derecho privado del interesado.
Corresponde a los Estados miembros decidir en qué medida deben incluir en
su legislación nacional relativa a la protección de datos excepciones
basadas en el artículo 14, salvo en el caso en que una obligación que emane
del Derecho comunitario (por ejemplo, en materia de control bancario o de
blanqueo de capitales) no haga obligatorias dichas excepciones. Sin
embargo, las excepciones enumeradas en esta disposición se limitan a
aquellas que son necesarias para la salvaguarda de los valores
indispensables para una sociedad democrática y que deben adoptarse en la
legislación nacional.
Se ha adoptado la enmienda ns 54. El artículo 14 modificado no se aplica
tan sólo al tratamiento efectuado por el sector público, sino que puede
afectar igualmente a un tratamiento realizado por el sector privado.
La relación de los intereses que deben salvaguardarse, ofrecida en el
apartado 1 y que justifica una limitación del derecho de acceeo en virtud
del artículo 14 de la Directiva, es exhaustiva.
Por "seguridad del Estado" hay que entender la protección de la soberanía
nacional contra amenazas internas y externas.
Las "actuaciones penales" abarcan las actuaciones contra delitos que ya se
habían cometido, mientras que el concepto de "seguridad pública" comprende
todas las funciones policiales de los órganos del Estado, incluida la
prevención del crimen. La expresión "un interés económico y financiero
imperativo debidamente justificado de un Estado miembro o de la Comunidad
Europea" se refiere a todas las medidas de política económica y a los
medios de financiación de las políticas de un Estado miembro o de la
Comunidad, como por ejemplo el control de los cambios, del comercio
exterior o la recaudación fiscal. No obstante, este interés debe ser
imperativo para justificar una limitación del derecho de acceso.
Por último, el interés de otra persona, incluido en su caso el del propio
responsable del tratamiento, al equivaler al derecho de acceso del
interesado, así como los derechos y libertades de los terceros, se
consideran motivos válidos para limitar el derecho de acceso. Estos
intereses comprenden: los secretos de negocios de terceros; las normas del
secreto profesional a que están sometidas las profesiones jurídicas o
médicas; el derecho de un tercero a elaborar su propia defensa en litigios;
la protección de los derechos humanos. Por ello deberían conceder las
autoridades de control excepciones al derecho de acceso de los interesados
a datos que les conciernen y que están en posesión de asociaciones de
 ---pagebreak---                                   - 26 -
defensa de los derechos humanos, puesto que si el acceso fuera ilimitado
podría poner en peligro a otros particulares (por ejemplo, en el caso de
fuentes de información confidenciales) o los intereses vitales de dichas
organizaciones.
Si el interesado no puede tener acceso a datos que le conciernen y que
figuran en un fichero, debido a la protección de un interés cubierto por el
apartado 1 del artículo 14, el apartado 2 del artículo 14 prevé que la
autoridad de control debe, previa solicitud, proceder a las verificaciones
y a los controles necesarios del fichero en el que figuran los datos en
cuestión (como se preveía en el antiguo apartado 2 del artículo 15). El
objeto de este control es el de verificar la licitud de los tratamientos
con relación a los criterios que plantea esta Directiva. Al efectuar este
control, la autoridad deberá evitar atentar contra los intereses cuya
salvaguarda contempla el apartado 1.
El apartado 3 del artículo 14 autoriza (al igual que el antiguo apartado 3
del artículo 15) a los Estados miembros a limitar el derecho de acceso del
interesado a datos que se traten temporalmente con fines estadísticos, ya
que dichas operaciones no constituyen un riesgo importante para el
interesado.
SECCIÓN VI
DERECHO DE OPOSICIÓN DEL INTERESADO
Artículo 15
Oposición por motivos legítimos
Con arreglo al apartado 1 del artículo 15, que recoge el apartado 1 del
artículo 14 de la propuesta inicial, el interesado tiene el derecho de
oponerse, por motivos legítimos, a que los datos personales que le
conciernan sean objeto de tratamiento. Los motivos legítimos en cuestión
pueden ser la falta de justificación legal de un tratamiento determinado de
datos personales, por ejemplo porque no se cumplan las condiciones
previstas por el capítulo II de la Directiva sobre la licitud de dicho
tratamiento. En cambio, un interesado no podría oponerse legítimamente a un
tratamiento lícito y necesario para la ejecución de un contrato que lo
vincula con el responsable.
El apartado 2 recoge el apartado 3 del artículo 9 de la propuesta inicial.
Precisa que, en caso de oposición ejercida en las condiciones previstas en
el apartado 1, el responsable del tratamiento debe suspender dicha
actividad.
El apartado 3 desarrolla las disposiciones del apartado 6 del artículo 14
de la propuesta inicial. Su objeto es precisar las obligaciones del
responsable del tratamiento con respecto a los interesados, cuando, en
aplicación de las demás disposiciones de la propuesta de directiva, está
 ---pagebreak---                                   - 27 -
autorizado a comunicar datos a terceros con fines de prospección
particular. Estas obligaciones se aplican independientemente del carácter
de la prospección, de que se trate de una prospección comercial o de que la
efectúe un organismo de caridad o un partido político. Estas obligaciones
consisten en que el responsable del tratamiento vele por que se ofrezca de
manera explícita al interesado, antes de la comunicación, la posibilidad de
suprimir gratuitamente los datos. También se aplica cuando los datos no se
comunican, sino que los utiliza con los mismos fines el responsable del
tratamiento por cuenta de un tercero. El responsable del tratamiento podrá
cumplir sus obligaciones durante los contactos habituales que mantiene con
los interesados, sin tener que notificárselo específicamente por escrito.
Este apartado se refiere exclusivamente a la prospección por escrito. Las
medidas encaminadas a proteger a las personas contra solicitudes no
deseadas y realizadas por medios de telecomunicación se tratan en la
propuesta modificada de directiva relativa a la protección de las personas
en el ámbito de las redes de telecomunicación.
Artículo 16
Decisiones individuales automatizadas
La utilización abusiva de la informática en la toma de decisiones
constituye uno de los riesgos esenciales que se plantean en el futuro, ya
que el resultado que proporciona la máquina, que utiliza programas cada día
más refinados, e incluso sistemas expertos, tiene un carácter aparentemente
objetivo e incontestable, al que el encargado de tomar las decisiones puede
conceder   una    importancia  excesiva,    en  dejación   de   su   propia
responsabilidad. El apartado 1 del artículo 16 enuncia por ello el
principio de que las personas tendrán el derecho a no verse sometidas a una
decisión administrativa o privada que les resulte perjudicial y que se base
únicamente en un tratamiento automatizado que dé un perfil de su
personalidad.
Dicho apartado se ha vuelto a redactar teniendo presente la propuesta
inicial, con objeto de precisar con mayor exactitud a qué reducido número
de casos se aplican tales disposiciones.
En efecto, deben reunirse tres condiciones:
     La persona debe estar sometida a una decisión que le resulte
     perjudicial. Debe tratarse de una decisión a la que pueda oponerse,
     que comporte consecuencias a su respecto. Por ejemplo, el simple hecho
     de remitir prospectos comerciales a una relación de personas por
     ordenador no constituye una decisión perjudicial.
     Debe tratarse de una decisión basada exclusivamente en un tratamiento
     automatizado: sólo se prohibe la aplicación por parte del usuario de
     los resultados producidos por el sistema. La informática puede servir
     de ayuda a la decisión, pero no constituir en ningún caso su única
     base, debiendo dejarse a la apreciación humana el lugar que le
     corresponde.
     Por ejemplo, sería contrario a este principio el hecho de que un
     empresario rechazara la candidatura de un aspirante basándose
     exclusivamente en los resultados que hubiera obtenido en un
                                        (
                                          \
 ---pagebreak---                                   - 28 -
     test psicotécnico evaluado por ordenador, o el hecho de que dichos
     programas de evaluación elaboraran relaciones con atribución de notas
     y clasificación de los candidatos al empleo por orden de prelación,
     basándose únicamente en su test de personalidad.
-    El tratamiento debe atribuir a los datos relativos al interesado
     variables que permitan determinar un perfil de personalidad tipo
     (considerado bueno o malo), lo que excluye todos los casos en que el
     sistema no define el perfil de personalidad: por ejemplo, el hecho de
     que una persona no pueda obtener el importe solicitado en una cajero
     automático, porque ya haya superado su crédito, no se incluye en esta
     definición.
En la propuesta modificada se añade un apartado 2, en virtud del principio
según el cual la importancia de la apreciación humana debe ser proporcional
a los riesgos que supone para el individuo una decisión que lo compare con
un perfil de personalidad elaborado únicamente por un ordenador.
Una enmienda parlamentaria (ns46) proponía que se autorizara este tipo de
decisiones cuando así lo consintiera el interesado o en un contrato o una
relación de confianza quasi contractual.
La propuesta modificada no contiene este tipo de circunstancias, ya que, en
caso de que la relación de fuerzas fuera desfavorable para el interesado
(caso de la persona que busca empleo, por ejemplo), ni su consentimiento ni
la perspectiva de un contrato constituirían una garantía suficiente.
Con arreglo al apartado 2, la persona puede verse sometida a una decisión
similar a las contempladas en el apartado 1 cuando ésta se haya tomado a
raíz de un contrato concluido entre ella y el responsable del tratamiento,
siempre que la persona obtenga satisfacción o que unas medidas apropiadas
(que los Estados miembros podrán determinar) garanticen la salvaguarda de
sus intereses legítimos. Esta garantía puede emanar de la ley, de los
procedimientos de notificación o incluso de medidas de tipo interno que
hubiera adoptado la empresa.
Por ejemplo, el recurso a la técnica de la puntuación para atribuir un
crédito a un particular está autorizada si las decisiones positivas de
atribución de dicho crédito se basan únicamente en una apreciación
automática de los riesgos; en caso de que la puntuación fuera negativa, la
salvaguarda de los intereses legítimos de la persona concernida deberá
quedar garantizada (por ejemplo, si la decisión final se aplaza hasta que
los servicios hayan podido llevar a cabo un "estudio humano" del
expediente).
 ---pagebreak---                                    - 29 -
SECCIÓN VII
SEGURIDAD DEL TRATAMIENTO
Articulo 17
Este articulo corresponde al artículo 18 del texto inicial.
Los peligros que amenazan al derecho a la intimidad del interesado no
provienen tan sólo del responsable del tratamiento de datos que los recoge,
almacena, trata y comunica en su propio interés.
El derecho a la intimidad del interesado está también amenazado si los
datos los utiliza con fines diferentes un tercero que no esté autorizado a
acceder a ellos ni a utilizarlos.
El artículo 17 obliga en particular a los Estados miembros a prever que el
responsable del tratamiento deba tomar las medidas técnicas y organizativas
apropiadas y necesarias para la protección contra la destrucción,
accidental o ilícita, contra la pérdida accidental, así como contra la
alteración, la comunicación y cualquier otro tratamiento no autorizado de
datos personales.
La enmienda ns 67 se ha recogido en parte. La expresión "tratamiento
automatizado de datos" se ha utilizado con preferencia a la de "ficheros
automatizados". La referencia al "coste de (la) aplicación (de las
medidas)" se ha suprimido. El texto modificado utiliza la expresión de
"responsable del tratamiento".
La redacción se ha modificado ligeramente por motivos de claridad. En el
apartado 1, "destrucción no autorizada" se ha sustituido por "destrucción
ilícita" y "el estado de evolución" se ha reemplazado por "la evolución del
progreso tecnológico". En el apartado 2, "grado adecuado de seguridad" se
convierte en "grado conveniente de seguridad". En el apartado 3, "consulta
en línea" se ha sustituido por "acceso a distancia". El apartado 4 precisa
que las obligaciones en materia de seguridad incumben también a las
personas responsables de la realización del tratamiento y, en particular,
el agente tratante.
Hay además dos modificaciones de cierta importancia. En el apartado 3, se
señala que, en caso de acceso a distancia, las instalaciones técnicas y los
programas informáticos se deberán utilizar de suerte que el acceso se lleve
a cabo dentro de los límites de licitud del tratamiento (y no dentro de los
límites de la autorización concedida por el responsable del tratamiento.
Teniendo en cuenta que esta autorización no podría sin duda superar los
límites del tratamiento lícito, no tendría ningún interés para la
protección de los datos personales.).
El apartado 5 prevé una excepción a la obligación de no comunicar los datos
a terceros sin previa autorización del responsable del tratamiento: cuando
la comunicación esté prevista por una ley nacional o comunitaria (por
ejemplo, cuando se trata de entablar un proceso penal).
 ---pagebreak---                                   - 30 -
SECCIÓN VIII
NOTIFICACIÓN
Articulo 18
Obligación de notificación a la autoridad de control
El artículo 18 recoge los artículos 7 y 11 de la propuesta inicial,
relativos a la notificación a la autoridad de control de los ficheros
creados en el sector público y en el sector privado. Estas disposiciones
están fusionadas, como solicitó el Parlamento en su dictamen. Esta
presentación tiene la ventaja de que pone de relieve que el criterio en
materia de notificación debe ser el mismo, independientemente del sector en
que se efectúen los tratamientos de datos.
El objeto, alcance y contenido de las disposiciones iniciales quedan sin
embargo modificados, para recoger el dictamen del Parlamento y para
preservar la coherencia de la propuesta modificada. En efecto, las
enmiendas del Parlamento (39, 40, 41, 118 y 119) han obligado a elaborar
las disposiciones relativas a la notificación en varios artículos. La
notificación debe permitir, además de la transparencia de los tratamientos
(como se decía en la propuesta inicial), que la autoridad de control
realice un control selectivo de la licitud de los tratamientos. En función
del grado de riesgo que presenten, el control deberá realizarse a
posteriori, por regla general, o a priori, en un número reducido de casos.
1.   El apartado 1 del artículo 18 modifica la obligación de notificación
     prevista en la propuesta inicial de la siguiente manera:
     a) Para velar por la coherencia del criterio recogido en la propuesta
        modificada, se propone que la notificación se refiera al
        tratamiento de datos personales y no al fichero. Esta modificación
        hace que el control recaiga más sobre los usos y operaciones que se
        realizan sobre los datos para alcanzar objetivos determinados
        (naturaleza de las operaciones, de los cotejos y de las
        comunicaciones a terceros, naturaleza de los datos recogidos y
        registrados, etc.) y menos sobre la organización técnica particular
        de los datos en ficheros cuyo interés para la protección de las
        personas puede carecer de significación particular cuando los datos
        están automatizados.
     b) El criterio de la comunicación de los datos a terceros recogido en
        la propuesta inicial como requisito de la obligación se suprime,
        con objeto de tener presentes las críticas formuladas sobre su
        inadecuación, puesto que algunas comunicaciones a terceros no
        atentan contra los derechos de las personas, así como para tener en
        cuenta los riesgos que, por el contrario, pueden suponer los
        tratamientos internos, especialmente cuando su objetivo es
        seleccionar poblaciones. En este contexto, se consideró oportuno
        hacer extensiva la obligación de notificación a cualquier
        tratamiento de datos personales antes de que se lleve a cabo. Este
        punto de vista debería incitar a los responsables del tratamiento a
        prever las medidas necesarias con respecto a las obligaciones que
        les incumben antes de proceder a la realización de sus tratamiento.
 ---pagebreak---    Sin   embargo,   para   apreciar     el   alcance     práctico    de  esta
   modificación, es conveniente tener en cuenta las disposiciones
   contenidas en el articulo 19 sobre la simplificación y la exención
   de la obligación de notificación.
c) Para garantizar que en el control se tiene en cuenta la realidad
   global y, en ocasiones, múltiple, de los tratamientos efectuados
   por un responsable de tratamiento, y para evitar una multiplicación
   excesiva   de  las    notificaciones,     se    propone    que   una  sola
   notificación pueda referirse al conjunto de los tratamientos,
   repetitivos o no, destinados a la consecución de uno o varios
   objetivos relacionados desde el punto de vista del responsable del
   tratamiento y de los interesados. A título de ejemplo, cabe decir
   que sólo debería exigirse una notificación para el conjunto de los
   tratamientos relativos a la gestión de los préstamos efectuados por
   un organismo de crédito y destinados a recoger las solicitudes de
   préstamo, a instruirlas, conceder los préstamos, recaudar las
   cuotas devengadas y estudiar los expedientes conflictivos.
d) Para evitar que las gestiones administrativas sean excesivas, se
   propone añadir que la obligación de notificación sólo se refiera a
   los tratamientos automatizados en su totalidad -o en parte, dejando
   a los Estados miembros la facultad de hacer extensiva dicha
   obligación a los ficheros manuales, en virtud del artículo 21.
El apartado 2 del articulo 18       aporta   varias    precisiones sobre el
contenido de la notificación:
a) Se añade la precisión relativa a la o las categorías de interesados
   (v.gr.,   clientes    o   personal     de    la    empresa,    prospectos,
   beneficiarios de determinado subsidio social, etc.).
b) Asimismo, se añade que la información relativa a terceros a quienes
   se comunican datos puede precisarse por referencia a categorías de
   terceros (enmienda 39).
c) A la descripción de los datos objeto de tratamiento se añade la
   facultad de no precisar más que las categorías de datos, lo que
   resulta suficiente cuando unos detalles técnicos excesivos no
   aportarían elementos significativos para la comprensión de los
   tratamientos.
d) Se añade la mención de las transferencias de datos a terceros
   países   para  facilitar    la    aplicación     de    las   disposiciones
   particulares que les conciernan y garantizar que se tiene en cuenta
   su contexto específico.
e) Se conserva la descripción de las medidas de seguridad previstas en
   la propuesta inicial, por tenerse presente la importancia de su
   control, sobre todo en el contexto del desarrollo de los
   tratamientos   efectuados      a    distancia      mediante     redes   de
   telecomunicaciones.
 ---pagebreak---                                 - 32 -
3. El apartado 3 del articulo 18 se refiere a la notificación de las
   modificaciones introducidas en los tratamientos. La obligación de la
   notificación de las modificaciones introducidas en los tratamientos
   que afecten al contenido de la notificación efectuada con
   anterioridad, que se establecía en la propuesta inicial, se mantiene
   para garantizar la actualización de la relación de tratamientos de
   libre acceso por parte del público, así como el seguimiento del
   control, particularmente importante cuando se modifican los objetivos
   del tratamiento o cuando puede comunicarse a nuevas categorías de
   terceros los datos a los que se refiere.
4. Los apartados 4 y 5 recogen el dictamen del Parlamento (enmiendas 40,
   41, 118 y 119), según el cual ciertos tratamientos que pueden
   comportar riesgos particulares para los derechos y libertades de los
   interesados deben ser objeto de un dictamen o de una autorización de
   la autoridad de control, antes de llevarse a cabo.
   Al tiempo que se tenían en cuenta los diferentes enfoques que pueden
   predominar en cada Estado miembro, se consideró preferible prever en
   el apartado 4 del artículo 18 la obligación de los Estados miembros de
   soneter esos tratamientos a un examen previo a su realización por
   parte de la autoridad de control. Los Estados miembros pueden
   reemplazar dicho examen facultati··^ por una autorización que emane de
   la legislación o de la autoridad de control.
   Estos riesgos particulares pueden deberse por ejemplo a la naturaleza
   de los datos tratados, y en particular a los contemplados por el
   artículo 8, al alcance del tratamiento, cuando afecta a toda la
   población de una nación, o a los objetivos, como puede ser el excluir
   a los interesados de los beneficios de un derecho, de una prestación o
   de un contrato (listas negras, tratamientos cuyo objetivo es informar
   a un tercero de la solvencia de las personas físicas).
   El apartado 4 del artículo 18 añade una precisión encaminada a
   limitar, en interés del responsable del tratamiento, el plazo de
   examen previo de su expediente por parte de la autoridad de control.
   Tal y como se propone en el mismo artículo, este enfoque no debería
   impedir que los Estados miembros tomaran, basándose en la experiencia
   adquirida y para determinadas categorías de tratamientos, medidas de
   simplificación o de exención de la obligación de notificación, como
   las previstas en el artículo 19.
5. Por último y para no olvidar nada en la presentación de estas
   disposiciones, conviene reseñar que los tratamientos automatizados en
   su totalidad o en parte, que no pueden acogerse ni a los
   procedimientos de simplificación o de exención de la obligación de
   notificación previstos en el artículo 19, ni a los procedimientos de
   examen previo, pero que se notifican a las autoridades de control en
   aplicación de las disposiciones del artículo 18, no están por lo
   general sometidos, al igual que los tratamientos contemplados en el
   artículo 19, más que al control a posteriori de las autoridades
   competentes. Como es natural, la autoridad de control vela por la
   conformidad del procedimiento de notificación adoptado en función de
   la naturaleza del tratamiento.
 ---pagebreak---                                        - 33 -
                            TOC nrocødimientos comunitarios previstos en los
6·                                   Xitlr. d. .-«ao con .1 »»Irlt. d.1
       artículos JO y                                   rme se realizaran las
                                                          ~ —rr s
                                           Φ
       Hΐ rtamen del Parlamento (enmienda 39), q
       artículos 18 y 19.
Artículo 19
simplificación γ exención de la obligación de notificación
      T-t-ículo 19 recoge y desarrolla la enmienda 39 del Parlamento encaminada
fia simplificación de los procedimientos para determinadas categorías de
tratamientos.
       1       «- Hr. i del artículo 19 se establece que la adopción de dicha
 Ü                                lo. Estados miembros, que tendrán además la
 facultad de conceder exenciones a la obligación de notificación.
 psra elaborar una política común coherente en materia de protección de las
 Para elabor            ρ             ., ·     σ„„ sirva para determinar en que
 tratamientos       que  no perjudican   a   los  derechos y libertades  de los
 interesados.
 La experiencia demuestra que muchos de los tratamientos de datos personales
       llevan a cabo los organismos públicos o privados, grandes o pequeno ,
 Ton di esïe tipo y no requieren por ello de una publicidad general o caso
 por caso Puede tratarse de tratamientos de contenido y alcance jurídicos
 muv definidos o de tratamientos sencillos, de los cuales los interesados
  pueden comprobar regularmente la licitud, o de tratamientos que por su
  Tropia naturaleza no pueden perjudicar a los interesado. ,° ™ ¿e
  tratamientos que, aunque de por sí más delicados, ofrecen las garantías
  necesarias gracias a sus condiciones de aplicación.
  En el apartado 1 del artículo 19 se establece, por referencia a la enmienda
  23 del Parlamento, que los tratamientos cuya finalidad sea la Produ^ '
  mediante tratamientos de textos, de cartas o de documentos profesiona         ,
  el cumplimiento de obligaciones jurídicas, contables, fiscales o sociale ,
  o la consulta de servicios documentales de acceso público puedan acogerse
  la simplificación o exención de la obligación de notificación.
  Los Estados miembros, en función de su experiencia y de las'
   nacionales de los tratamientos efectuados o en curso deberán autorizar
   progresivamente estas simplificaciones o, incluso, estas exenciones. A mo
   de ejemplo, se puede considerar que podrían beneficiarse de estas cedidas
   los tratamientos encaminados a determinar el salario del Pe«onal de ^
   administración o de una empresa, ciertos tratamientosrealizadosdecara
   la investigación científica o los relativos a la gestion de los expedientes
   médicos de los pacientes de un profesional sanitario.
 ---pagebreak---                                   - 34 -
El apartado 2 del artículo 19 recoge la enmienda 39 del Parlamento, según
la cual la simplificación de la obligación de notificación de los Estados
miembros debe ser objeto de un acto jurídico. Respetando el espíritu de
dicha enmienda, se ha considerado conveniente que el procedimiento de
elaboración de la medida de simplificación o de exención pase por la
autoridad de control independiente. Además, para que los responsables del
tratamiento puedan evaluar, con total seguridad, la conformidad de los
tratamientos que tienen la intención de realizar con la medida de
simplificación, se ha considerado conveniente que en dicha medida se
describan todos los tratamientos previstos y, en particular, sus objetivos,
los datos o categorías de datos tratados, las categorías de interesados,
los terceros o las categorías de terceros a quienes se pueden comunicar los
datos, la duración de la conservación de los datos y, en su caso, las
condiciones en que se realiza el tratamiento.
El apartado 3 del artículo 19 recoge la misma enmienda 39 del Parlamento,
con arreglo a la cual conviene recordar, en aras de la claridad, que el
beneficio de la simplificación o de la exención de la obligación de
notificación no eximirá al responsable del tratamiento de ninguna de las
demás obligaciones que emanan de la Directiva.
Artículo 20
Tratamientos no automatizados
Se delega en los Estados miembros la facultad de aplicar a los ficheros
manuales las disposiciones de la sección VIII, adaptándolas siempre que sea
necesario.
Artículo 21
Registro de los tratamientos notificados
El artículo 21 recoge el apartado 1 del artículo 7 de la propuesta inicial
sobre la teneduría por parte de la autoridad de control del registro de los
ficheros del sector público notificados y la posibilidad de que lo consulte
cualquier persona. Con todo, el artículo 21 amplía esta disposición,
respetando el espíritu del dictamen del Parlamento (enmiendas 37 y 39), a
todos los tratamientos notificados, independientemente del sector al que
pertenezca el responsable del tratamiento.
La consulta del registro puede verse sin embargo sometida, tal y come lo ha
solicitado el Parlamento, a las limitaciones fijadas por el artículo 14 en
materia de derecho de acceso de las personas a los datos que les
conciernen.
Por otra parte, y de acuerdo con el espíritu del dictamen del Parlamento
(enmienda 39), el artículo 21 precisa el contenido mínimo del registro
donde deben figurar los datos establecidos en el apartado 2 del artículo
18, salvo aquellos relativos a las medidas adoptadas para garantizar la
seguridad de los tratamientos sin por ello reducir su eficacia.
 ---pagebreak---                                    - 35 -
CAPÍTULO III
RECURSO JURISDICCIONAL, RESPONSABILIDAD Y SANCIONES
Articulo 22
Recurso jurisdiccional
El articulo 22 recoge el apartado 8 del articulo 14 de la propuesta
inicial, ampliando su alcance, al proponerse que las legislaciones
nacionales otorguen la facultad de recurso jurisdiccional a los interesados
para permitirles, en su caso, que defiendan no sólo sus derechos
complementarios, enumerados en el articulo 14 de la propuesta inicial, sino
también, de una manera más general, todos los derechos que les reconoce la
Directiva.
Articulo 23
Responsabilidad
El apartado 1 de este articulo, al igual que el apartado 1 del artículo 21
de la propuesta inicial, hace recaer en el responsable del tratamiento la
obligación de reparar el daño causado a cualquier persona por un
tratamiento o una actividad incompatib-... η con la presente Directiva. Tal y
como lo ha solicitado el Parlamento en su dictamen (enmienda n® 73), se
introduce el    concepto   de    tratamiento     "ilícito",   causa   de   la
responsabilidad. Además, el concepto de "tratamiento" sustituye al de
"fichero". Esta nueva redacción permite recoger el contenido del apartado 2
de este artículo, como sugirió el Parlamento. En efecto, al utilizar el
concepto de tratamiento, la propuesta modificada cubre, como solicitó el
Parlamento, el registro propiamente dicho de los datos personales como
posible causa de responsabilidad.
En cambio, la Comisión preserva la facultad de los Estados miembros de
prever una exención de responsabilidad en caso de que se hubieran adoptado
las medidas de seguridad apropiadas. No obstante, se ha clarificado la
redacción del texto. Además, el dictamen del Parlamento ha llevado a la
Comisión a precisar que la exención de responsabilidad puede ser total o
sólo parcia].
Artículo 24
Tratamiento efectuado por el agente tratante
Este artículo recoge el artículo 22 de la propuesta inicial. Su objetivo es
evitar que el hecho de que un tercero efectúe un tratamiento por cuenta del
responsable redunde en una menor protección del interesado.
El concepto de "agente tratante", incorporado a raíz del dictamen del
Parlamento en la relación de definiciones, se utiliza en el texto del
artículo. El apartado 2 destaca, tal y como lo solicita el Parlamento, que
dicho agente sólo pueda actuar dentro de los límites del contrato concluido
con el responsable. Se mantiene una referencia expresa a las obligaciones
derivadas de las medidas nacionales adoptadas en aplicación de la
Directiva, y que recaen asimismo sobre el agente tratante.
 ---pagebreak---                                    - 36 -
Articulo 25
Sanciones
La finalidad de las modificaciones introducidas en la propuesta es tener
presente el dictamen del Parlamento (enmienda ns 77). Hacen hincapié en las
personas que pueden ser sancionadas. A grandes rasgos, se trata de
cualquier persona que no respete las medidas nacionales adoptadas en
aplicación de la Directiva y, en particular, como destaca el Parlamento en
su dictamen, de las autoridades y organismos sujetos al Derecho público.
CAPÍTULO IV
TRANSFERENCIA DE DATOS PERSONALES A TERCEROS PAÍSES
Articulo 26
Principios
Este artículo, que recoge el artículo 25 de la propuesta inicial, afirma el
principio según el cual la transferencia de datos personales de un Estado
miembro a un tercer país sólo puede realizarse si dicho país garantiza un
grado de protección adecuado. En caso contrario, resulta evidente que los
esfuerzos llevados a cabo en la Comunidad para garantizar un elevado grado
de protección podrían verse anulados por transferencias a terceros países
que no garatizaran la suficiente protección. Además, la libre circulación
de datos entre los Estados miembros, que quiere instaurar la presente
propuesta de directiva, exige la adopción de normas comunes en materia de
transferencias a terceros países.
Las consultas con los sectores implicados han demostrado la necesidad de
establecer excepciones, en determinados casos, a los principios antes
mencionados. Por ello y a la vista del dictamen del Parlamento, la Comisión
se ha visto obligada a reconsiderar la propuesta inicial. Propone que la
prohibición de las transferencias a terceros países que no garanticen un
grado adecuado de protección venga acompañada por excepciones compatibles
con la protección de las personas. De acuerdo con la propuesta modificada,
 la transferencia a un tercer país que no garantice un grado adecuado de
 protección puede efectuarse si el interesado ha dado su consentimiento a la
 transferencia prevista en virtud de relaciones precontractuales -> si la
transferencia es necesaria para la ejecución de un contrato eni.re el
 interesado y el responsable del tratamiento. En tales casos, el interesado
debe estar informado de la realización de la transferencia o de la
posibilidad de que se haga a uno o varios terceros países que no garantizan
un grado adecuado de protección, de modo que pueda decidir si quiere
arriesgarse o no a que se lleve a cabo la transferencia en cuestión. Estas
excepciones parecen ser de particular utilidad cuando las transferencias de
datos están vinculadas a operaciones bancarias o de otras entidades de
crédito. Además, puede estar justificada una transferencia a un tercer país
que no garantice un grado adecuado de protección cuando resulte necesaria
 para la salvaguarda de un interés público importante o del interés vital
 del interesado. El objetivo de estas excepciones es facilitar la
 cooperación internacional (por ejemplo, en la lucha contra el blanqueo de
 ---pagebreak---                                    - 37 -
capitales o para el control de las entidades financieras) o posibilitar la
transferencia de datos médicos en circunstancias en que el interesado no
pueda expresar su voluntad.
El apartado 2 precisa los elementos que deben tenerse en cuenta para
evaluar la idoneidad de la protección. Se trata de todas las circunstancias
que rodean a una transferencia o a una categoría de transferencias, como la
naturaleza de los datos, el objetivo de los tratamientos o la normativa
vigente en el país en cuestión. A este respecto, resultará oportuno
examinar la normativa general o sectorial, su aplicación real, así como las
normas profesionales en vigor, recogidas en los códigos de conducta. Como
lo solicitó el Parlamento en su dictamen (enmienda ns 79, en particular),
el nuevo apartado 2 subraya que la idoneidad de la protección debe
evaluarse en relación con una transferencia de datos o con una categoría de
transferencias de datos.
El apartado 3, que recoge el apartado 2 del artículo 24 de la propuesta
inicial, se ha modificado de acuerdo con el dictamen del Parlamento
(enmienda n? 79), que hace hincapié en que los Estados miembros evalúen la
idoneidad   de  la  protección   y  decidan,  en   su  caso,   prohibir  la
transferencia. Deberán notificar a la amisión estas prohibiciones.
Tal y como lo solicita el Parlamento en su dictamen (enmienda ne 80), la
propuesta modificada prevé, en el apartado 4 de este artículo, que
corresponde al antiguo apartado 3, que el Grupo de Protección previsto en
el artículo 32 deberá ser consultado por la Comisión para que éste emita su
dictamen, antes de que la Comisión pueda entablar negociaciones con un
tercer país.
Artículo 27
Medidas especiales
El artículo 27 recoge la idea del artículo 25 de la propuesta inicial,
añadiendo algunas modificaciones. Según el nuevo texto, el Estado miembro
puede autorizar una transferencia o una categoría de transferencias de
datos personales a un tercer país que no garantice un grado de protección
adecuado cuando el responsable de la transferencia presente las suficientes
garantías de respeto del ejercicio efectivo de los derechos del interesado
y cuando los demás Estados miembros o la Comisión no se opongan a la medida
prevista de acuerdo con un procedimiento establecido en este artículo. En
caso de que notificaran su oposición, la Comisión podría tomar las medidas
oportunas, en particular prohibir la transferencia, supeditarla a una
condiciones complementarias o entablar negociaciones con el responsable del
tratamiento para el que se efectúan las transferencias, con vistas a
encontrar soluciones para el conjunto de la Comunidad.
CAPÍTULO V
CÓDIGOS DE CONDUCTA
Los códigos de conducta, para los que se ha conservado en la propuesta
modificada la denominación más común en otras esferas, constituían el
 ---pagebreak---                                    - 38 -
objeto del articulo 20 de la propuesta inicial, cuya finalidad era tan sólo
fomentar la elaboración de códigos comunitarios. La propuesta modificada
contiene dos artículos, uno de ellos consagrado a los códigos nacionales y,
el otro, a los comunitarios.
Artículo 28
Códigos nacionales
Las experiencias de algunos Estados miembros al respecto llevó a la
Comisión a incluir en su propuesta modificada una disposición encaminada a
fomentar la elaboración de códigos de conducta a escala nacional. Los
códigos pueden constituir un elemento positivo de cara a una buena
aceptación de la normativa aplicable, dado que los sectores profesionales
se ven obligados a participar de manera directa en su aplicación. Al propio
tiempo, en la medida en que las soluciones que contienen resulten
satisfactorias, pueden contribuir a que las disposiciones legislativas no
sean excesivamente detalladas.
Los códigos son de muy diversa Indole, en función de su contenido, el
sector profesional que los elabora, "te. Sin embargo, responden a las
siguientes características:
     la iniciativa de su elaboración y su redacción, como ya hemos
     indicado, son responsabilidad exclusiva de los sectores profesionales,
     independientemente de los estímulos que puedan recibir de las
     autoridades públicas;
     su alcance se limita a aplicar o desarrollar la normativa aplicable,
     pero no a establecer excepciones;
     su efecto no es vinculante para los terceros ni para los organismos
     jurisdiccionales, que siempre pueden hacer prevalecer la normativa que
     están encargados de aplicar.
Como es natural y revela la legislación de varios Estados miembros, puede
ocurrir  que   la   autoridad  pública y, en     particular,   los  órganos
legislativos, recojan por cuenta propia los códigos elaborados por los
sectores profesionales para darles un carácter vinculante desde el punto de
vista legislativo.
Para dotar a los códigos de cierta autoridad sin modificar por ello su
carácter, la Comisión propone, inspirándose en el dictamen emitido por el
Parlamento sobre los códigos comunitarios (enmienda ns 72), que la
elaboración de los códigos esté sometida al dictamen de la autoridad
nacional competente.
En este sentido, se encarga a la autoridad de control que compruebe la
procedencia de los códigos, la representatividad de las organizaciones
profesionales que los han elaborado, que los difunda y recoja las
observaciones de los interesados o de sus representantes y que emita un
dictamen publicado de forma oficial y conjuntamente con el código.
 ---pagebreak---                                    - 39 -
Articulo 29
Códigos comunitarios
La propuesta modificada se inspira del dictamen del Parlamento (enmienda ns
72) y de lo dispuesto por el artículo 29, precisando que la competencia
otorgada a la autoridad de control para los códigos nacionales se
transfiere al Grupo de Protección comunitario. Para informar al público en
general, la Comisión podrá publicar en el DOCE los códigos, conjuntamente
con el dictamen del Grupo.
CAPÍTULO VI
AUTORIDAD DE CONTROL Y GRUPO DE PROTECCIÓN      DE LAS  PERSONAS FRENTE  AL
TRATAMIENTO DE DATOS PERSONALES
Artículo30
Autoridad de control
Este artículo, que recoge el ari.:ulo 26 de la propuesta inicial, prevé la
creación de una autoridad de control cuya característica esencial es su
independencia.
La Comisión se hace eco en su propuesta modificada del dictamen del
Parlamento (enmiendas 84, 85, 86 y 87).
a)   Nombramiento de la autoridad de control: en el apartado 1 se indica
     que los Estados miembros podrán nombrar a varias autoridades de
     control independientes, precisión indispensable para los Estados
     miembros con estructura federal, como Alemania.
b)   Poder de la autoridad de control: además de las competencias otorgadas
     a las autoridades de control por lo dispuesto en artículos anteriores,
     y en especial sobre el procedimiento de notificación, se dota a estas
     autoridades de medios de investigación y de intervención con respecto
     a los responsables de los tratamientos y bajo el control de las
     autoridades judiciales.
La facultad de intervención tiene por objeto permitir a la autoridad de
control que recabe de los responsables del tratamiento los datos necesarios
para el cumplimiento de su cometido. Esta competencia se manifiesta en
particular en el acceso a los datos que son objeto de tratamiento. Resulta
evidente que, para respetar los derechos de las personas sometidas al
control de la autoridad, estas prerrogativas deben utilizarse respetando
estrictamente la confidencialidad que les conceda a los datos en cuestión
el Derecho nacional. A este respecto se añade una disposición en el
apartado 6.
Para que la autoridad de control pueda cumplir su cometido, resulta
esencial que disponga de un poder efectivo de intervención, tal y como
afirma el Parlamento en su dictamen y como recoge la propuesta modificada:
poder de ordenar el bloqueo o la supresión de datos, de prohibir un
tratamiento, etc. En cambio, no parece necesario pronunciarse en el texto
de la Directiva sobre la naturaleza jurídica de estas medidas, que el
Parlamento, en su dictamen, califica de sanciones.
 ---pagebreak---                                    - 40 -
Por último, se dota a la autoridad de control del poder de recurrir a la
autoridad judicial cuando constate la existencia de infracciones a las
disposiciones nacionales de aplicación de la Directiva, poder que reconocen
la mayoría de las actuales legislaciones nacionales. Esto se desprende
lógicamente de la facultad de investigación, pues resultaría extraño que
una autoridad encargada de proteger a las personas no pudiera recurrir a la
autoridad judicial en caso de que constatara una infracción a la protección
de las personas y, por otra parte, del derecho de cualquier persona a
presentar una denuncia ante la autoridad de control, de modo que dicha
denuncia pueda llegar ante la autoridad judicial.
c)   Presentación de informes anuales: es de extrema importancia que la
     autoridad de control pueda presentar de manera periódica un informe
     sobre sus actividades, donde se haga hincapié en los problemas
     planteados por la aplicación de las disposiciones legislativas y se
     indiquen los nuevos derroteros que deberán seguirse.
Artículo 31
Grupo de Protección    de  las  Personas  frente  al Tratamiento  de  Datos
Personales
Este artículo, que recoge el artículo 27 de la propuesta inicial, crea un
Comité de tipo consultivo.
a)   Denominación del Grupo
Se quiere armonizar la denominación del Grupo de Protección con el que
figura en el apartado 1 del artículo 1.
b)   Composición y presidencia del Grupo
Las modificaciones solicitadas por el Parlamento (enmiendas 88 y 128) se
refieren básicamente a la composición y la presidencia del Grupo. Para
garantizar su independencia, cuya importancia se destacó en la exposición
de motivos de la propuesta inicial, la Comisión acepta las soluciones
contenidas en el dictamen del Parlamento acerca de la presidencia del
Grupo, pero no las relativas a su composición:
     presidencia del Grupo: la Comisión propone que el Grupo elija un
     presidente por un mandato prorrogable de dos años de duración. Este
     periodo parece bastante largo como para dar suficiente estabilidad al
     Grupo;
     composición del Grupo: la Comisión mantiene su propuesta inicial, que
     consistía en limitar la composición del Grupo a los representantes de
     las autoridades de control nacionales previstas en las disposiciones
     anteriores. En caso de que algunos Estados miembros hicieran uso de la
     facultad de que disponen de nombrar a varias autoridades de control,
     se propone, con ánimo de velar por la equidad, que la representación
 ---pagebreak---                                    - 41 -
     de las autoridades de los Estados miembros en cuestión del Grupo
     comunitario sea común. En caso de que no fuera asi, el ejercicio de la
     facultad prevista por los artículos anteriores podría generar
     desequilibrios dentro del Grupo.
La Comisión solicita estar representada en el Grupo y desea que sus
servicios se encarguen de la secretaría.
Articulo 32
Funciones del Grupo de Protección
Este artículo establece las funciones del Grupo. Como preveía la propuesta
inicial, conserva su carácter consultivo. El Grupo debe asesorar a la
Comisión, en particular con motivo del ejercicio del poder reglamentario o
de la presentación de nuevas propuestas. Deberá contribuir a la
interpretación homogénea de las normas nacionales adoptadas en aplicación
de la Directiva, así como a la elaboración de una política común en materia
de flujos transfronterizos con terceros países. La Comisión deberá oír al
Grupo en cuanto concierna a cualquier medida que prevea adoptar en este
ámbito.
El Grupo ejercerá sus funciones mediante dictámenes y recomendaciones que
someterá a la Comisión y, en su caso, al comité reglamentario. El Grupo
elaborará un informe anual sobre el estado en que se encuentre la
protección en la Comunidad y en los terceros países. Este informe, que se
enviará a la Comisión y al Parlamento, será publicado.
La Comisión comparte el deseo del Parlamento (expresado en la enmienda 89)
de dar a la secretaría del Grupo los medios necesarios para que pueda lleva
a cabo las tareas que le encomiende la Directiva. La Comisión velará,
especialmente en lo que al procedimiento presupuestario se refiere, por que
el Grupo disponga de dichos medios. No obstante, no parece conveniente
añadir una disposición al respecto en la propuesta modificada.
CAPÍTULO VII
POTESTAD REGLAMENTARIA DE LA COMISIÓN
Artículos 33 y 34
Ejercicio de la potestad reglamentaria y Comité consultivo
La Comisión mantiene su propuesta inicial. Deberán tomarse medidas técnicas
de aplicación de la Directiva, debido a la amplitud y al tecnicismo del
ámbito del tratamiento de los datos personales.
 ---pagebreak---                                   - 42 -
DISPOSICIONES FINALES
Artículos 35, 36 y 37
La propuesta modificada prevé, en el apartado 2 de su artículo 35, una
medida transitoria encaminada a permitir que, tal y como lo expresó el
Parlamento en su dictamen acerca de la notificación (enmienda ns 37), las
medidas adoptadas en aplicación de la Directiva y relativas a los
tratamientos efectuados antes de la entrada en vigor de estas normas se
declaren vigentes de manera progresiva. Parece conveniente fijar un plazo
de tres años para que así sea.
Tal y como desea el Parlamento (enmienda 95), el artículo 36 establece que
el informe periódico sobre la aplicación de la Directiva, que se someterá a
la Comisión, al Parlamento y al Consejo, se publique.
 ---pagebreak---                                      - 43 -
PROPUESTA DE DIRECTIVA DEL CONSEJO          PROPUESTA MODIFICADA DE DIRECTIVA
RELATIVA A LA PROTECCIÓN DE LAS             DEL    CONSEJO    RELATIVA     A   LA
PERSONAS    EN    LO   REFERENTE    AL      PROTECCIÓN     DE    LAS     PERSONAS
TRATAMIENTO DE DATOS PERSONALES             FÍSICAS   EN  LO  QUE   RESPECTA   AL
                                            TRATAMIENTO DE DATOS PERSONALES Y
                                            A LA LIBRE CIRCULACIÓN DE ESTOS
                                            DATOS
EL   CONSEJO   DE    LAS   COMUNIDADES      EL   CONSEJO  DE   LAS   COMUNIDADES
EUROPEAS,                                   EUROPEAS,
Visto el Tratado constitutivo de la         Visto el Tratado constitutivo de
Comunidad Económica Europea y, en           la Comunidad Económica Europea y,
particular,   sus  artículos   100A  y      en particular, sus artículos 100A
113,                                        y 113,
Vista la propuesta de la Comisión,          Vista la propuesta de la Comisión
                                            (1)/
En  cooperación   con   el  Parlamento      En cooperación con el Parlamento
Europeo,                                    Europeo (2),
Visto   el   dictamen     del   Comité      Visto   el   dictamen    del   Comité
Económico y Social,                         Económico y Social(3),
                                            (1)   Do no C 277 de 5.11.1990,
                                                  pág. 3 y DO no C...
                                            (2)   DO no C ... y DO no C...
                                            (3)   DO no C 159     de 17.6.1991,
                                                  pág. 38.
 ---pagebreak---                                       - 44 -
(1) Considerando que los objetivos           (1)    Considerando       que     los
de la Comunidad enunciados en el             objetivos     de    la     Comunidad
Tratado,   en  la   versión    dada  al      definidos en el Tratado, tal y
mismo por el Acta Única Europea,             como quedó modificado por el Acta
consisten   en  realizar    una   unión      Única   Europea,     consisten     en
cada vez más estrecha entre         los      lograr  una unión cada      vez más
pueblos      europeos,      establecer       estrecha    entre     los     pueblos
relaciones más estrechas entre los           europeos,   establecer    relaciones
Estados reunidos en la Comunidad,            más estrechas entre los Estados
asegurar,    mediante     una    acción      reunidos     en    la     Comunidad;
común,   el   progreso   económico    y      asegurar,   mediante    una    acción
social eliminando las barreras que           común, el progreso económico y
dividen     Europa,     fomentar     la      social, eliminando las barreras
continua mejora de las condiciones           que dividen Europa, fomentar la
de    vida    de     estos     pueblos,      continua      mejora      de      las
consolidar la defensa de la paz y            condiciones    de  vida    de   estos
de  la   libertad,    y   promover   la      pueblos, consolidar la defensa de
democracia     basándose      en    los      la paz y la libertad y promover
derechos fundamentales reconocidos           la democracia, basándose en los
en las constituciones y leyes de             derechos              fundamentales
los  Estados    miembros    y    en  el      reconocidos en las constituciones
Convenio europeo para la protección          y leyes de los Estados miembros y
de los derechos humanos y de las             en el Convenio Europeo para la
libertades fundamentales;                    Protección     de    los    Derechos
                                             Humanos   y   de   las    Libertades
                                             Fundamentales;
 ---pagebreak---                                      - 45 -
                                            (2) Considerando que los sistemas
                                            de tratamiento de datos están al
                                            servicio del    hombre; que deben
                                            respetar     las     libertades     y
                                            derechos   fundamentales     de   las
                                            personas      físicas       y,     en
                                            particular,     la    intimidad,    y
                                            contribuir al progreso económico
                                            y social, al desarrollo de los
                                            intercambios,      así     como    al
                                            bienestar de los individuos;
(2)      Considerando      que      el      (3)     Considerando       que     el
establecimiento y el funcionamiento         establecimiento y funcionamiento
del mercado interior, dentro del            del mercado interior, dentro del
cual    estará    garantizada,     con      cual    está     garantizada,     con
arreglo    al   artículo   8   A   del      arreglo   al    artículo     8A   del
Tratado, la libre circulación de            Tratado, la libre circulación de
mercancías, personas, servicios y           mercancías, personas, servicios y
capitales, hacen necesaria no sólo          capitales,    hacen    necesaria   no
la   circulación     de   los    datos      sólo  la   circulación     de   datos
personales, cualquiera que sea el           personales de un Estado miembro a
Estado miembro en que se traten o           otro, sino también la protección
soliciten,     sino     también     la      de los derechos fundamentales de
protección     de     los    derechos       las personas;
fundamentales, habida cuenta de que
en    la     Comunidad    se     viene
registrando un número creciente de
tratamientos de datos personales en
los  diferentes    sectores   de   las
actividades económicas y sociales;
 ---pagebreak---                                    - 46 -
                                          (4)   Considerando   que,    en  los
                                          diferentes sectores de actividad
                                          económica y social, se recurre
                                          cada vez más en la Comunidad al
                                          tratamiento de datos personales;
                                          que el avance de las tecnologías
                                          de    la    información    facilita
                                          considerablemente el tratamiento
                                          y el intercambio de dichos datos;
(3)  Considerando   que  el  mercado      (5)     Considerando      que     la
interior implicará un espacio sin         integración   económica   y   social
fronteras; que, por esta razón, las       resultante del establecimiento y
administraciones nacionales de los        funcionamiento      del      mercado
diferentes   Estados   miembros,  en      interior, definido en el artículo
aplicación del Derecho comunitario,       8A   del Tradado, va a      implicar
se ven en la creciente necesidad de       necesariamente un aumento notable
colaborar   e   intercambiar   datos      de los flujos transíronterizos de
personales  a   fin  de  cumplir  su      datos personales entre todos los
misión    y   ejecutar    diferentes      agentes de la vida económica y
cometidos   por    cuenta   de   las      social de los Estados miembros,
administraciones de otros Estados         ya se trate de agentes públicos o
miembros;                                 privados; que el intercambio de
                                          datos personales entre empresas
                                          establecidas   en  los   diferentes
                                          Estados miembros experimentará un
                                          desarrollo;          que         las
                                          administraciones    nacionales    de
                                          los diferentes Estados miembros,
                                          en     aplicación    del     Derecho
                                          comunitario, están destinadas a
                                          colaborar y a intercambiar datos
                                           personales a fin de cumplir su
 ---pagebreak---                                   - 47 -
                                         cometido o ejercer funciones en
                                         nombre de las administraciones de
                                         otros   Estados  miembros,  en  el
                                         contexto     del    espacio    sin
                                         fronteras que supone el mercado
                                         interior;
(4)     Considerando     que     el      (6) Considerando, por lo demás,
fortalecimiento de la cooperación        que   el  fortalecimiento   de  la
científica y técnica, junto con el       cooperación científica y técnica,
establecimiento    coordinado    de      así    como   el   establecimiento
nuevas redes de telecomunicaciones       coordinado   de  nuevas  redes  de
en la Comunidad, exigen y facilitan      telecomunicaciones      en      la
la circulación transfronteriza de        Comunidad exigen y facilitan la
datos personales;                        circulación   transfronteriza   de
                                         datos personales;
 ---pagebreak---                                          - 48 -
(5) Considerando que la diferencia              (7)      Considerando        que       la
entre los niveles de protección de              diferencia entre los niveles de
la  intimidad   garantizados en        los      protección     de    los   derechos     y
Estados miembros en lo referente al             libertades de las personas y, en
tratamiento    de    datos    personales        particular,       de   la   intimidad,
puede  impedir     la   transmisión     de      garantizados       en    los    Estados
dichos datos del territorio de un               miembros por lo que respecta al
Estado miembro al de otro; que, por             tratamiento de datos personales,
lo  tanto,   esta     diferencia     puede      puede impedir la transmisión de
constituir      un      obstáculo       al      dichos datos del territorio de un
ejercicio     de      una     serie     de      Estado miembro al de otro; que,
actividades    económicas      a    escala      por   lo   tanto,    esta   diferencia
comunitaria, falsear la competencia             puede    constituir      un   obstáculo
y  dificultar     la    misión    de   las      para el ejercicio de una serie de
administraciones que intervienen en             actividades económicas a escala
el ámbito de aplicación del Derecho             comunitaria,           falsear         la
comunitario; que esta      d;ferencia   de      competencia       y    dificultar      la
grados de protección se debe a la               misión    de   las    administraciones
disparidad    existente      entre     las      que intervienen en el ámbito de
disposiciones                    legales,       aplicación           del        Derecho
reglamentarias y administrativas de             comunitario; que esta diferencia
los Estados miembros;                           en los niveles de protección se
                                                debe a     la disparidad      existente
                                                entre las disposiciones legales,
                                                reglamentarias y administrativas
                                                de los Estado miembros;
(6) Considerando que, para eliminar             (8)    Considerando        que,      para
los obstáculos a la circulación de              eliminar     los    obstáculos     a   la
datos   personales,       el   nivel    de      circulación de datos personales,
protección   de    la    intimidad    debe      el  nivel    de    protección    de   los
ser,  por   lo   que    se   refiere    al      derechos     y    libertades    de    las
tratamiento      de       esos      datos,      personas, por lo que se refiere
equivalente en     todos los      Estados       al tratamiento de dichos datos,
miembros,    que,      para    ello,    es      debe ser equivalente en todos los
necesario          aproximar           las      Estado     miembros;     que    de    ese
legislaciones     aplicables       en   la      objetivo,       esencial     para      el
materia;                                        mercado      interior,      no     puede
                                                lograrse       mediante      la      mera
                                                actuación        de     los      Estados
                                                miembros,     teniendo en cuenta       en
 ---pagebreak---                                          - 49 -
                                                 particular          las         grandes
                                                 diferencias     existentes       en   la
                                                 actualidad           entre           las
                                                 legislaciones               nacionales
                                                 aplicables en     la materia y        la
                                                 necesidad     de     coordinar       las
                                                 legislaciones     de     los    Estados
                                                miembros     para     que     el    flujo
                                                transfronterizo           de        datos
                                                personales sea regulado de forma
                                                coherente y de conformidad con el
                                                objetivo    del    mercado      interior
                                                definido en el artículo 8A del
                                                Tratado;     que,    por    tanto,     es
                                                necesario      que     la      Comunidad
                                                intervenga     para    aproximar      las
                                                legislaciones;
(7) Considerando que el objeto de               (9)     Considerando         que      las
las      legislaciones        nacionales        legislaciones                nacionales
relativas al tratamiento de datos               relativas al tratamiento de datos
personales consiste en asegurar el              personales     tienen      por     objeto
respeto       de       los      derechos        asegurar     el    respeto      de    los
fundamentales,     particularmente     el       derechos          y          libertades
derecho a la intimidad reconocido               fundamentales,        particularmente
en el artículo 8 del Convenio para              del   derecho      a    la     intimidad
la   protección     de    los   derechos        reconocido en el artículo 8 del
humanos    y    de    las     libertades        Convenio      Europeo        para      la
fundamentales,     así    como   en   los       Protección      de     los      Derechos
principios    generales    del   Derecho        Humanos    y    de    las    Libertades
comunitario; que, por lo tanto, la              Fundamentales, así como en            los
aproximación de tales legislaciones             principios generales del Derecho
no debe conducir a una disminución              comunitario; que, por lo tanto,
de    la    protección      que     éstas       la    aproximación         de     dichas
garantizan     sino     que,    por    el       legislaciones no debe conducir a
contrario, debe tener por objetivo              una disminución de la protección
asegurar     un     alto     nivel     de       que garantizan sino que, por el
protección dentro de la Comunidad;              contrario, debe tener por objeto
                                                asegurar     un    alto      nivel     de
                                                protección       dentro        de      la
                                                Comunidad;
 ---pagebreak---                                     - 50 -
(22)     Considerando      que    los      (10)     Considerando    que    los
principios     contenidos     en   la      principios de    la  protección de
presente   Directiva    concretan   y      los derechos y libertades de las
amplían los del Convenio, de 28 de         personas y, en     particular, del
enero  de   1981,   del   Consejo  de      respeto     de    la     intimidad,
Europa para la protección de las           contenidos     en    la    presente
personas    en   lo   referente    al      Directiva,   concretan   y  amplían
tratamiento automatizado de datos          los del Convenio de 28 de enero
personales;                                de  1981 del Consejo de      Europa
                                           para    la   protección    de   las
                                           personas en lo que respecta al
                                           tratamiento automatizado de los
                                           datos personales;
 ---pagebreak---                                     - 51 -
(9) Considerando que los principios        (11)    Considerando      que     los
de la protección deben aplicarse a         principios de la protección deben
todos los ficheros siempre que las         aplicarse      a      todos       los
actividades   del   responsable  del       tratamientos de datos personales,
fichero entren dentro del ámbito de        siempre que las actividades del
aplicación del Derecho comunitario;        responsable     del     tratamiento
que los ficheros del sector público        entren en el ámbito de aplicación
que no entren dentro del ámbito de         del Derecho comunitario; que los
aplicación del Derecho comunitario         tratamientos efectuados por las
deben estas sujetos a los mismos           administraciones,     organismos    y
principios de protección recogidos         entidades de un Estado miembro
en  las  legislaciones   nacionales,       para la ejecución de actividades
como lo prevé la Resolución de los         que no entren en el ámbito de
representantes de los Gobiernos de         aplicación        del        Derecho
los   Estados    miembros   de   las       comunitario      deberían       estar
Comunidades Europeas, reunidos en          sujetos a los mismos principios
el seno del Consejo, de ...; que,          de  protección   recogidos en     las
no obstante, deben excluirse     los       legislaciones nacionales, tal y
ficheros                relacionados       como    se    establece      en    la
exclusivamente con el ejercicio del        Resolución de los representantes
derecho  a   la   intimidad   de  un       de los Gobiernos de los Estados
persona física, como, por ejemplo,         miembros   de     las   Comunidades
los    ficheros     personales    de       Europeas, reunidos en el seno del
direcciones;                               Consejo,   de    ...;   que     deben
                                           excluirse      los     tratamientos
                                           efectuados por qna persona física
                                           con      fines       exclusivamente
                                           privados,  como    pueden   ser   los
                                           relativos a la correspondencia o
                                           a la confección de un repertorio
                                           de direcciones;
 ---pagebreak---                                       - 52 -
(10) Considerando que es necesario           (12)    Considerando      que,    para
que   todo  tratamiento     de    datos      evitar    que    una    persona    sea
personales     efectuado      en     la      excluida      de     la    protección
Comunidad  respete    la  legislación        garantizada      por    la   presente
del Estado miembro en el que esté            Directiva, es necesario que todo
situado el fichero, a fin de que             tratamiento de datos personales
nadie    quede     privado     de    la      efectuado en la Comunidad respete
protección que debe garantizársele           la  legislación     de   uno  de   sus
en virtud de la presente Directiva;          Estados    miembros;    que,  a   este
que, a este respecto, cada parte de          respecto,     resulta     conveniente
un  fichero repartido en diversos            someter        los       tratamientos
Estados miembros debe considerarse           efectuados por cualquier persona
a todos los efectos como un fichero          establecida en un Estado miembro
completo y   su   instalación en     un      a la aplicación de la legislación
tercer  país   no   debe   impedir   la      de     tal     Estado;      que     el
citada protección;                           establecimiento     del   responsable
                                             de los tratamientos en un tercer
                                             país    no    debe    constituir    un
                                             obstáculo para la protección de
                                             las personas contemplada en         la
                                             presente Directiva; que, en tal
                                             caso, resulta conveniente someter
                                             los tratamientos efectuados a la
                                             ley del Estado miembro en el que
                                             se     encuentren       los     medios
                                             utilizados para el tratamiento de
                                             que se trate y exigir garantías
                                             para   que    los   derechos   y   las
                                             obligaciones      previstas    en   la
                                             presente         Directiva        sean
                                             efectivamente respetados;
 ---pagebreak---                                       - 53 -
(12)     Considerando       que     las      (13) Considerando que los Estados
legislaciones     nacionales     pueden      miembros pueden precisar en su
precisar,     en    las    condiciones       legislación o en la aplicación de
previstas en la presente Directiva,          las  disposiciones   adoptadas  en
las    normas     relativas     a    la      virtud de la presente Directiva
legitimidad del tratamiento; que,            las   condiciones   generales   de
no obstante, esta posibilidad        no      licitud de los tratamientos; que,
puede servir de fundamento para el           sin embargo, estas precisiones no
control   por   parte   de   un  Estado      pueden servir   de  base  para  el
miembro que no sea aquel en el que           control de un Estado miembro que
esté  situado    el  fichero,    habida      no sea aquel en el que reside el
cuenta de que la obligación de este          responsable del tratamiento, ya
último de garantizar, con arreglo a          que la obligación de este último
la    presente       Directiva,      la      Estado miembro de garantizar, con
protección de la intimidad en lo             arreglo a la presente Directiva,
referente al tratamiento de datos            la protección de los derechos y
personales es suficiente, por        lo      libertades en lo que respecta a
que    se    refiere      al    Derecho      los    tratamientos    de    datos
comunitario, para permitir la libre          personales es suficiente, a la
circulación de datos;                        luz del Derecho comunitario, para
                                             permitir la libre circulación de
                                             los datos;
 ---pagebreak--- - 54 -
       (14)    Considerando        que    los
       principios     de     la   protección
       tienen   su    expresión,     por  una
       parte,      en      las      distintas
       obligaciones que incumben a las
       personas,    autoridades     públicas,
       empresas       u      organismos   que
       efectúen                 tratamientos
       -obligaciones        relativas,     en
       particular, a la calidad de los
       datos, la seguridad técnica, la
       notificación a las autoridades de
       control, los fundamentos de los
       tratamientos, entre los que puede
       figurar   el     consentimiento    del
       interesado- y, por otra parte, en
       los  derechos      otorgados    a  las
       personas cuyos datos sean objeto
       de tratamiento de ser informadas
       acerca de tales datos, de poder
       acceder a ellos, de solicitar su
       rectificación       o    incluso    de
       oponerse a su tratamiento;
       (15)    Considerando       que    todo
       tratamiento de datos personales
       debe efectuarse de forma leal y
       lícita      con       respecto      al
       interesado; que debe referirse en
       particular a datos pertinentes y
       no excesivos en relación con los
       objetivos perseguidos; que estos
       objetivos han de ser explícitos y
       legítimos;
 ---pagebreak---                                    - 55 -
(11)    Considerando    que     todo      (16) Considerando que, para ser
tratamiento  de   datos   personales      lícito, el tratamiento de datos
debe    ser   legítimo;    que    su      personales   debe    basarse    en    el
legitimidad debe estar fundada en         consentimiento del interesado, en
el consentimiento del interesado,         la celebración o ejecución de un
en el Derecho comunitario o en las        contrato      que      vincule        al
legislaciones nacionales;                 interesado,      en     el     Derecho
                                          comunitario      o    aun      en     la
                                          legislación nacional, el interés
                                          general o un interés particular,
                                          siempre y cuando el interesado no
                                          tenga   razones     legítimas       para
                                          oponerse    a     ello;     que,      en
                                          particular,     para    asegurar      el
                                          equilibrio     de    los    distintos
                                          intereses,    al    tiempo    que     se
                                          garantiza       una       competencia
                                          efectiva,   los    Estados    miembros
                                          pueden precisar las condiciones
                                          en  que   pueden     efectuarse      las
                                          comunicaciones         de         datos
                                          personales a terceros con fines
                                          de  prospección     comercial     o   de
                                          prospección    realizada     por     una
                                          asociación     benéfica     u     otras
                                          asociaciones    o   fundaciones,      en
                                          particular de carácter político,
                                          dentro   del     respeto     de      las
                                          disposiciones que permiten a los
                                          interesados oponerse, sin alegar
                                          los motivos y sin gastos, a la
                                          comunicación de los datos que les
                                          conciernan;
 ---pagebreak---                                     - 56 -
(16)  Considerando  que,   para   ser      (17) Considerando, por lo demás,
objeto  de tratamiento, los datos          que    los   datos    que   por   su
deben     cumplir       determinados       naturaleza puedan atentar contra
requisitos; que el tratamiento de          las libertades fundamentales o la
datos que por su misma naturaleza          intimidad no deben ser objeto de
puedan atentar contra el derecho a         tratamiento alguno, salvo en caso
la intimidad debe estar prohibido,         de que el interesado haya dado su
salvo consentimiento explícito del         consentimiento por escrito; que,
interesado; que, no obstante, por          sin embargo, el tratamiento de
importantes   razones   de   interés       estos datos debe ser autorizado
público,  en   particular   para   la      cuando   sea   efectuado    por  una
profesión       médica,       pueden       asociación que tenga por objeto
establecerse excepciones sobre la          favorecer el ejercicio de tales
base de una ley que fije precisa y         libertades;     que,    además   por
estrictamente   las  condiciones    y      motivos     de    interés    público
límites  del  tratamiento   de   este      importante, en particular, en el
tipo de datos;                             caso de las profesiones médicas,
                                           pueden   establecerse    excepciones
                                           fundadas en una disposición legal
                                           o   en  una   autorización   de  las
                                           autoridades de control que fije
                                           los límites y garantías adecuados
                                           para el tratamiento de este tipo
                                           de datos;
 ---pagebreak---                                      - 57 -
(18) Considerando que, en el ámbito         (18)   Considerando     que   para   el
de los medios de comunicación, los          tratamiento de datos personales
Estados miembros pueden establecer          con   fines    periodísticos      deben
excepciones a las disposiciones de          preverse      excepciones      a    las
la presente Directiva siempre que           disposiciones      de    la   presente
estén encaminadas a conciliar el            Directiva,        excepciones       que
derecho   a   la   intimidad   con  la      resultan         necesarias        para
libertad    de    información    y  el      conciliar          los        derechos
derecho   a    recibir   y   comunicar      fundamentales de la persona cón
información,     garantizado    en  el      la libertad de expresión y, en
artículo 10 del Convenio para la            particular,       la    libertad      de
protección de los derechos humanos          recibir o comunicar información,
y de las libertades fundamentales;          tal y como se garantiza en el
                                            artículo 10 del Convenio Europeo
                                            para     la    Protección     de    los
                                            Derechos      Humanos     y   de    las
                                            Libertades Fundamentales;
(14) Considerando que el interesado         (19)      Considerando       que      el
 debe   recibir     una    información      tratamiento leal de datos supone
 efectiva   y   completa   cuando   se       que    los     interesados      puedan
 solicite      su      consentimiento,       conocer    la   existencia    de    los
 dependiendo de ello su validez, y           tratamientos          y        recibir
 cuando se le soliciten datos sobre          información efectiva y completa
 su persona;                                 cuando los datos se obtengan de
                                             ellos y, a más tardar, cuando los
                                             datos    sobre     su    persona     se
                                             comuniquen     por   primera    vez   a
                                             terceros si la información no se
                                             facilitó durante la recogida de
                                             dichos datos;
 ---pagebreak---                                   - 58 -
(15) Considerando que el interesado      (20) Considerando que cualquier
debe   disfrutar  del   derecho  de      persona    debe     disfrutar      del
acceso   a  fin  de   comprobar  la      derecho de acceso a los datos que
legitimidad del tratamiento de los       le conciernan y sean objeto de
datos que le conciernan, así como        tratamiento, para cerciorarse de
la calidad de éstos;                     su exactitud y de la licitud de
                                         su    tratamiento;       que,      por
                                         consiguiente,    cualquier     persona
                                         debe  disfrutar    del   derecho    de
                                         oponerse, por razones legítimas,
                                         al tratamiento de datos;
(17)   Considerando   que,   en  lo      (21)     Considerando       que     la
referente a los datos personales,        protección    de   los   derechos    y
la protección de la intimidad exige      libertades de los interesados en
la adopción de medidas de seguridad      lo    que      respecta      a     los
apropiadas, tanto   en  la  fase de      tratamientos de datos personales
concepción del tratamiento como con      exige   la   adopción    de    medidas
relación a la tecnología de éste, a      técnicas apropiadas tanto en el
fin de impedir todo tratamiento no       momento de la concepción de las
autorizado;                              tecnologías    como   en  el    de  la
                                         aplicación de los tratamientos,
                                         sobre    todo     con    objeto     de
                                         garantizar      la    seguridad      e
                                         impedir,     por      tanto,      todo
                                         tratamiento no autorizado;
 ---pagebreak---                                     - 59 -
(13)     Considerando     que     los      (22)     Considerando     que     los
procedimientos    de   notificación,       procedimientos    de   notificación
para    los  ficheros   del    sector      tienen   por   objeto  asegurar    la
público o privado, y de información        publicidad de los fines de los
en   el   momento   de  la    primera      tratamientos y de sus principales
comunicación, para los ficheros del        características      a     fin     de
sector privado, tienen por objeto          controlarlos    a  la  luz   de   las
asegurar       la      transparencia       disposiciones             nacionales
indispensable para el ejercicio del        adoptadas    en  aplicación    de  la
derecho de acceso del interesado a         presente    Directiva;    que    para
los datos que le conciernen;               evitar   trámites   administrativos
                                           improcedentes,       los     Estados
                                           miembros       deben      establecer
                                           exenciones o simplificaciones de
                                           la     notificación      para     los
                                           tratamientos     que   no     atenten
                                           contra    los    derechos    y    las
                                           libertades    de  los  interesados,
                                           siempre y cuando sean conformes a
                                           un acto adoptado por el Estado
                                           miembro en el que se precisen los
                                           límites;
 ---pagebreak--- - 60 -
       (23) Considerando que el control
       a posteriori por        parte de    las
       autoridades       competentes      debe
       considerarse,      en    general,   una
       medida     suficiente;       que,    no
       obstante,    los    Estados    miembros
       deben prever      un examen     por  la
       autoridad de control previo a la
       aplicación    de    los   tratamientos
       que         presenten           riesgos
       particulares desde el punto de
       vista    de   los    derechos    y  las
        libertades de los interesados, ya
       sea por su naturaleza, su alcance
       o   su   finalidad     como    los  que
        tienen por objeto excluir a los
        interesados del beneficio de un
        derecho, de una prestación o de
        un  contrato;      que   los   Estados
        miembros tienen      la facultad    de
        sustituir este examen previo por
        una   medida    legislativa     o  una
        decisión de las autoridades de
        control por la que se autorice el
        tratamiento    y     se   especifiquen
        las       garantías         adecuadas;
 ---pagebreak---                                   - 61 -
(20) Considerando que, en caso de        (24)    Considerando     que    las
incumplimiento de las disposiciones      legislaciones   nacionales    deben
previstas en la presente Directiva,      prever un recurso judicial para
la responsabilidad debe recaer, en       los casos en que el responsable
caso de interponerse una acción por      del tratamiento no respete los
daños   y    perjuicios,    en   el      derechos de los interesados; que
responsable del fichero; que deben       los daños que pueden sufrir las
aplicarse  sanciones  disuasivas  a      personas a raíz de un tratamiento
fin de garantizar una protección         ilícito han de ser reparados por
efectiva;                                el responsable del tratamiento,
                                         el cual sólo podrá ser eximido de
                                         responsabilidad si demuestra que
                                         ha   adoptado    las   medidas   de
                                         seguridad   adecuadas;   que  deben
                                         imponerse sanciones disuasorias a
                                         cualquier   persona,   ya   sea  de
                                         Derecho   privado   o   de  Derecho
                                         público,   que   no   respete   las
                                         disposicines nacionales adoptadas
                                         en   aplicación   de  la   presente
                                         Directiva;
 ---pagebreak---                                     - 62 -
(21) Considerando que es, asimismo,        (25) Considerando que los flujos
necesario permitir la transferencia        transfronterizos          de        datos
de  datos   personales    a  terceros      personales son necesarios para el
países  que   tengan   un   nivel  de      desarollo    de    los    intercambios
protección adecuado; que, a falta          internacionales;           que          la
de  tal   protección,   la   presente      protección      de     las      personas
Directiva   prevé,   en   particular,      garantizada en la Comunidad por
procedimientos de negociación con          la presente Directiva no se opone
dichos países;                             a    la   transferencia       de    datos
                                            personales a terceros países que
                                           garanticen un nivel de protección
                                            adecuado;     que      el      carácter
                                            adecuado del nivel de protección
                                            ofrecido por un tercer país debe
                                            apreciarse    teniendo      en   cuenta
                                            todas       las        circunstancias
                                            relacionadas con la transferencia
                                            o la categoría de transferencias;
                                            (26)     Considerando,         por     el
                                            contrario, que cuando un tercer
                                            país   no   ofrece     un     nivel    de
                                            protección        adecuado           debe
                                            prohibirse    la   transferencia       al
                                            mismo de datos personales; que
                                            han de establecerse excepciones a
                                            esta prohibición en determinadas
                                            circunstancias,         cuando          el
                                             interesado      haya       dado        su
                                             consentimiento      o    haya       sido
                                             informado o cuando lo exija la
                                             salvaguardia del interés público;
                                             que   pueden    adoptarse       medidas
                                             particulares     para     paliar       la
                                             insuficiencia      del      nivel      de
                                              λ
                                              i
 ---pagebreak---                                     - 63 -
                                           protección en un tercer país, en
                                           caso de que el responsable del
                                           tratamiento    ofrezca       garantías
                                           adecuadas;   que,    por   lo    demás,
                                           deben preverse procedimientos de
                                           negociación entre la Comunidad y
                                           los terceros    países de que se
                                           trate;
                                           (27) Considerando que los Estados
                                           miembros pueden prever, asimismo,
                                           el  recurso   a   unos    códigos     de
                                           conducta   nacionales      elaborados
                                           por los sectores profesionales, y
                                           presentados   a   la   autoridad      de
                                           control    para    que     emita      su
                                           dictamen, con objeto de adaptar
                                           las    disposiciones        nacionales
                                           adoptadas   en   aplicación      de   la
                                           presente     Directiva        a      las
                                           particularidades          de         los
                                           tratamientos       efectuados         en
                                           determinados sectores;
(19) Considerando que los Estados          (28) Considerando que los Estados
miembros     deben    fomentar     la      miembros   deben    alentar      a   los
elaboración     por     los    medios      sectores profesionales para que
profesionales        de       códigos      elaboren unos códigos de conducta
deontológicos o de buena conducta          comunitarios a fin de facilitar
europeos,      para      determinados      la   aplicación    de    la   presente
sectores    específicos;     que   la      Directiva;     que     la     Comisión
Comisión apoyará estas iniciativas         apoyará tales iniciativas y las
y las tendrá en cuenta a la hora de        tendrá en cuenta cuando examine
examinar la conveniencia de adoptar        la  oportunidad     de   las    medidas
adicionales       nuevas      medidas      adicionales     específicas         para
específicas     para     determinados      determinados sectores;
sectores;
 ---pagebreak---                                      - 64 -
(23) Considerando que la existencia         (29) Considerando que la creación
de   una    autoridad    de    control      de   una    autoridad     de    control
independiente     en    cada    Estado      independiente en cada uno de los
miembro es un elemento esencial de          Estados miembros es un elemento
la protección de las personas en lo         esencial de la protección de las
referente al tratamiento de datos           personas en lo que respecta al
personales;      que,      a     nivel      tratamiento de datos personales;
comunitario, debe crearse un Grupo          que   dicha    autoridad     debe    ser
de protección de datos personales,          dotada de los medios necesarios
que ejerza sus funciones con total          para cumplir su función, ya se
independencia; que, habida cuenta           trate de poderes de investigación
de  su   carácter   específico,   debe      o de intervención o de poderes
asesorar a la Comisión y contribuir         otorgados    en   el    marco   de   los
a la aplicación homogénea de las            procedimientos      de   notificación;
normas    nacionales    adoptadas   en      que     tal     autoridad      ha     de
aplicación      de     la     presente      contribuir a la transparencia de
Directiva;                                  los tratamientos efectuados en el
                                            Estado miembro del que depende;
                                            que    las    autoridades      de    los
                                            distintos Estados miembros habrán
                                            de prestarse ayuda mutua en el
                                            ejercicio de sus funciones;
                                            (30)   Considerando      que   se   debe
                                            crear, en el ámbito comunitario,
                                            un Grupo de       protección de      las
                                             personas en lo que respecta al
                                            tratamiento de datos personales,
                                             el  cual   habrá     de  ejerce.·   sus
                                             funciones            con          plana
                                             independencia; que, teniendo en
                                             cuenta este carácter específico,
                                             el Grupo deberá       asesorar    a  la
                                             Comisión     y      contribuir,      en
                                             particular,     a     la    aplicación
                                             uniforme de las normas nacionales
                                             adoptadas   en    aplicación     de  la
                                             presente Directiva;
 ---pagebreak---                                      - 65 -
(24) Considerando que la adopción           (31) Considerando que la adopción
de medidas complementarias para la          de medidas complementarias para
aplicación de los principios de la          la aplicación de los principios
presente    Directiva      exige    la      de la presente Directiva requiere
atribución    a   la    Comisión    de      que se atribuya a la Comisión un
facultades   reglamentarias     y   el      poder reglamentario y que se cree
establecimiento     de    un    Comité      un comité consultivo con arreglo
consultivo con arreglo a las normas         al procedimiento establecido en
establecidas     en    la     Decisión      la   Decisión    87/373/CEE   del
87/373/CEE del  Consejo*1).                 Consejo(1);
(1) DO   ns  C   197   de   18.7.1987,      (1)  DO ns L 197 de 18.7.1987,
     pág. 33.                                    pág. 33.
 ---pagebreak---                                    - 66 -
(8) Considerando que los principios       (32)     Considerando       que     los
de la protección de la intimidad en       principios de la protección de
lo  referente   al  tratamiento   de      los derechos y libertades de las
datos personales, que constituyen         personas    y,   en   particular,    el
el objeto de la presente Directiva,       respeto de la intimidad en lo que
podrán  completarse  o   precisarse,      se refiere al tratamiento de los
especialmente    en     determinados      datos   personales     objeto    de  la
sectores,      mediante       normas      presente        Directiva        podrán
específicas   conformes   a   dichos      completarse o precisarse, sobre
principios;                               todo  en    determinados     sectores,
                                          mediante      normas       específicas
                                          conformes a estos principios;
                                          (33)   Considerando      que   resulta
                                          oportuno conceder a los Estados
                                          miembros un plazo que no podrá
                                          ser superior a tres años a partir
                                          de la entrada en vigor de las
                                          medidas          nacionales          de
                                          transposición      de    la   presente
                                          Directiva, a fin de que puedan
                                          aplicar de manera progresiva las
                                          nuevas    disposiciones     nacionales
                                          mencionadas       a      todos      los
                                          tratamientos        ya     existentes;
                                          (34) Considerando que la presente
                                          Directiva no se opone a que un
                                          Estado      miembro      regula     las
                                          actividades        de      prospección
                                          comercial      destinadas      a    los
                                          consumidores que residan en          su
                                          territorio, en la medida en que
                                          dicha regulación no afecte a la
                                          protección de las personas en lo
                                          que respecta a los tratamientos
                                          de datos personales,
HA ADOPTADO LA PRESENTE DIRECTIVA:        HA     ADOPTADO        LA     PRESENTE
                                          DIRECTIVA:
 ---pagebreak---                                         - 67 -
            CAPÍTULO I                                       CAPÍTULO I
    DISPOSICIONES GENERALES                           DISPOSICIONES GENERALES
           Articulo 1                                        Artículo 1
     Objeto de la Directiva                            Objeto de la Directiva
Los Estados miembros garantizarán,             1. Los Estados miembros garantizarán,
con arreglo a las disposiciones de                con arreglo a las disposiciones de
la    presente       Directiva,      la           la    presente      Directiva,     la
protección de la intimidad de las                 protección    de   los   derechos   y
personas    en    lo   referente     al           libertades     de    las     personas
tratamiento       de     los      datos           físicas, y    en  particular   de  su
personales contenidos en ficheros.                derecho a la intimidad, en lo que
                                                  respecta  al   tratamiento    de  los
                                                  datos personales.
Los  Estados    miembros   no   podrán         2. Los Estados    miembros   no   podrán
restringir   o   prohibir    la   libre           restringir   o   prohibir  la   libre
circulación    de  datos   personales             circulación   de   datos  personales
entre  los   Estados    miembros    por           entre  los   Estados   miembros   por
motivos    relacionados       con    la           motivos    relacionados     con    la
protección asegurada en virtud del                protección garantizada en virtud
apartado 1.                                       del apartado 1.
 ---pagebreak---                                         - 68 -
              Articulo 2                                     Artículo 2
             Definiciones                                   Definiciones
A efectos de la presente Directiva,            A efectos de la presente Directiva,
se entenderá por:                              se entenderá por:
(a)  "datos      personales",      toda        (a)  "datos      personales",       toda
     información   sobre  una   persona             información   sobre   una   persona
     natural       identificada       o             física        identificada        o
     identificable ("el interesado");               identificable ("el interesado");
     se   considerará    identificable              se   considerará     identificable
     toda   persona   cuya    identidad             toda   persona    cuya   identidad
     pueda determinarse mediante un                 pueda  determinarse,    directa   o
     número de identificación u otra                indirectamente,     mediante     un
     información similar;                           número de identificación o uno o
                                                    varios   elementos    específicos,
                                                    característicos de su identidad
                                                    física,   fisiológica,    psíquica,
                                                    económica, cultural o social;
                                                    No se considerarán de carácter
                                                    personal los datos reunidos en
                                                    estadísticas de tal modo que los
                                                    interesados     dejan     de    ser
                                                    razonablemente identificables;
 ---pagebreak---                                         - 69 -
(b) "procedimiento    de   disociación"
    (anónimo), toda modificación de
    datos personales cuyo objeto sea
    que la información contenida en
    éstos     no      pueda      seguir
    asociándose    con    una   persona
    física        determinada         o
    determinable, o únicamente pueda
    asociarse   a    tal    persona   a
    expensas    de     una    inversión
    excesiva de tiempo y recursos
    humanos y económicos;
(d) "tratamiento",    las    siguientes       (b) "tratamiento         de       datos
    operaciones,   efectuadas     o  no           personales"         (tratamiento),
    mediante            procedimientos            cualquier operación o conjunto
    automatizados:            registro,           de operaciones, efectuadas o no
    conservación,       interconexión,            mediante            procedimientos
    modificación,     utilización     y           automatizados,   y    aplicadas   a
    comunicación    de     datos,    en           datos    personales,     como    la
    particular     su     transmisión,            recogida,                 registro,
    difusión y extracción, así como               organización,        conservación,
    su bloqueo y supresión;                       elaboración    o     modificación,
                                                  extracción,               consulta,
                                                  utilización,   comunicación     por
                                                  transmisión,       difusión       o
                                                  cualquier    otra      forma    que
                                                  facilite el acceso a los mismos,
                                                  cotejo o interconexión, así como
                                                  su bloqueo o supresión;
 ---pagebreak---                                            - 70 -
(c) "fichero   de    datos    personales"         (c)   "fichero   de   datos    personales"
    (fichero),     todo    conjunto     de              (fichero),       todo        conjunto
    datos personales, centralizados                     estructurado          de        datos
    o    repartidos       en     diversos               personales,      centralizados      o
    emplazamientos, que sean objeto                     repartidos         en        diversos
    de un tratamiento automatizado o                    emplazamientos y accesibles con
    que,      sin      serlo,        estén              arreglo          a         criterios
    estructurados y sean accesibles                     determinados,     que    tengan   por
    dentro    de     una     recopilación               objeto   o  efecto     facilitar   la
    organizada       según      criterios               utilización o el cotejo de datos
    determinados      con     objeto    de              relativos a los interesados;
    facilitar     su    utilización      o
    interconexión;
(e) "responsable     del   fichero",    la        (d) "responsable      del    tratamiento",
    persona    natural      o   jurídica,               la persona física o jurídica,
    autoridad    pública,     servicio   o              autoridad    pública,    servicio   o
    cualquier    otro   organismo     que,              cualquier    otro    organismo    que
    con     arreglo        al     Derecho               trate   u   ordene     tratar   datos
    Comunitario o a la legislación                      personales y decida acerca de la
    de   un    Estado     miembro,     sea              finalidad y    los objetivos del
    competente      para     decidir    la              tratamiento,          los       datos
    finalidad     del    fichero,      qué              personales que deben tratarse,
    categorías de datos personales                      las    operaciones       que    deben
    deben        registrarse,          qué              aplicárseles y los terceros que
    operaciones deben aplicárseles a                    pueden   tener    acceso   a   dichos
    éstos   y   a  qué   terceros     está              datos;
    permitido     el    acceso     a   los
    mismos;
                                                  e) "encargado    del    tratamiento",    la
                                                      persona   física     o   jurídica   que
                                                     trate datos personales por cuenta
                                                      del responsable del tratamiento;
 ---pagebreak---                                        - 71 -
                                             (f) "terceros", las personas físicas
                                                 o jurídicas, con excepción del
                                                 interesado, del responsable del
                                                 tratamiento y    de las    personas
                                                 autorizadas    para    tratar    los
                                                 datos bajo su autoridad directa
                                                 o por su cuenta;
                                             (g) "consentimiento del interesado",
              Artículo 12                        toda manifestación explícita de
       Consentimiento informado                  voluntad   mediante    la   que   el
                                                 interesado       consiente        el
El consentimiento del interesado para            tratamiento de datos personales
el  tratamiento de datos    personales           que  le   conciernen,    siempre   y
que le conciernan, tal como se define            cuando disponga de información
en la presente Directiva, únicamente             acerca   de   los   objetivos   del
será válido cuando:                              tratamiento,      los    datos     o
                                                 categorías de datos que vayan a
a) el   interesado   disponga   de  la           tratarse, los destinatarios de
   siguiente información:                        los datos personales, así como
                                                 el   nombre    y   dirección    del
     - fines del fichero y tipos de              responsable del tratamiento o,
       datos registrados;                        en    su     defecto,      de     su
                                                 representante;
     - tipo de utilización y, en su
       caso,   destinatarios   de  los           El consentimiento será libre y
       datos personales contenidos en            específico y el interesado podrá
       el fichero;                               retirarlo en cualquier momento,
                                                 sin efectos retroactivos.
     - nombre    y    dirección    del
       responsable del fichero;
 ---pagebreak---                                         - 72 -
(b) el consentimiento sea especifico
    y expreso y precise qué tipos de
    datos, formas de tratamiento y
    posibles destinatarios abarca;
(c) pueda    ser   revocado    por   el
    interesado en todo momento sin
    efectos retroactivos.
(f) "autoridad de control", aquella
    autoridad pública independiente,
    o    cualquier    otra    instancia
    independiente,     designada    por
    cada uno de los Estados miembros
    de conformidad con el artículo
    26 de la presente Directiva;
(g) "sector público", el conjunto de
    las administraciones, organismos
    y entidades de un Estado miembro
    sujetos al Derecho público (con
    excepión     de     aquellas    que
    participen    en   una    actividad
    industrial o comercial) y       los
    organismos     y    entidades    de
    Derecho privado que participen
    en el ejercicio de la autoridad
     pública;
 ---pagebreak---                                           - 73 -
(h)  "sector privado", toda persona
     natural o jurídica, o asociación
     (administraciones,
     organizaciones y entidades del
     sector público inclusive) en la
     medida    en    que   ejerza     una
     actividad        industrial        o
     comercial.
              Artículo 3                                       Artículo 3
         Ámbito de aplicación                             Ámbito de aplicación
1. Los Estados miembros aplicarán las            1. Las disposiciones de la presente
   disposiciones    de    la    presente            Directiva   se  aplicarán   a   los
   Directiva   a   los   ficheros     del           tratamientos de datos personales,
   sector   privado    y   del    sector            automatizados completamente o en
   público,   con   excepción    de   los           parte, así como a los tratamientos
   ficheros del sector público cuyas                no    automatizados    de     datos
   actividades no estén comprendidas                personales contenidos o destinados
   en el ámbito de aplicación del                   a ser incluidos en los ficheros.
   Derecho comunitario.
2. Las disposiciones de la presente              2. Las disposiciones de la presente
   Directiva no se aplicarán a los                  Directiva no se aplicarán:
   siguientes ficheros:
(a)  aquellos   pertenecientes    a   una           a los tratamientos efectuados en
     persona    natural     con     fines           el ejercicio de actividades que no
     exclusivamente      privados       y           entren en el ámbito de aplicación
     personales, ni a                               del Derecho comunitario;
 ---pagebreak---                                         - 74 -
(b)   aquellos     pertenecientes     a        -  a   los   tratamientos    de   datos
      asociaciones sin ánimo de lucro,            personales   efectuados    por   una
      especialmente, las de carácter              persona física en el ejercicio de
      político, filosófico, religioso,            actividades          exclusivamente
      cultural, sindical, deportivo o             privadas y personales.
      recreativo y que se utilicen en
      el    marco     de    finalidades
      legítimas, a condición de que se
      refieran únicamente a los socios
      y miembros correspondientes de
      la asociación que hayan accedido
      a figurar en dichos ficheros y
      siempre que no sean comunicados
      a terceros.
               Artículo 4                                    Artículo 4
           Derecho aplicable                         Derecho nacional aplicable
1. Los   Estados   miembros   aplicarán        1. Los Estados miembros aplicarán las
    las disposiciones de la presente              disposiciones nacionales adoptadas
   Directiva a:                                   en   aplicación   de   la   presente
                                                  Directiva a todos los tratamientos
                                                  de datos personales:
a) todos los ficheros existentes en
    su territorio;
 ---pagebreak---                                        - 75 -
(b)   los responsables de los ficheros        (a)  cuyo        responsable          esté
     que residan en su territorio y                establecido en su territorio o
     desde éste utilicen ficheros de               esté sometido a su jurisdicción;
     un tercer país cuya legislación
     no    ofrezca    un   nivel    de
     protección adecuado, salvo que
     utilicen   dichos   ficheros   de
     manera esporádica.
                                             (b)   cuyo     responsable      no     esté
                                                   establecido en el territorio de
                                                   la    Comunidad,     cuando    dicho
                                                   responsable      utilice     medios,
                                                   automatizados o no, localizados
                                                   en el territorio de dicho Estado
                                                   miembro para el tratamiento de
                                                   datos personales.
2. Los Estados miembros aplicarán las        2. En    el   caso   mencionado     en   la
   disposiciones de los artículos 5,             letra b)    del    apartado    1,    el
   6, 8, 9, 10, 17, 18 y 21 a los                responsable del tratamiento deberá
   usuarios que consulten un fichero             designar       un       representante
   situado en un    país tercero   por           establecido en el territorio de
   medio de un terminal sito en el               dicho   Estado    miembro,    que    se
   territorio de un Estado miembro,              subrogará    en    los   derechos     y
   salvo que dicha utilización tenga            obligaciones del responsable.
   carácter esporádico.
 ---pagebreak---                                         - 76 -
3. Los  Estados   miembros   no  podrán
   oponerse    a    la     introducción
   temporal en su territorio de un
   fichero procedente de otro Estado
   miembro ni exigir más formalidades
   que las aplicables en el Estado
   miembro  en   que   el   fichero  en
   cuestión    tenga    su    ubicación
   permanente.
                                                             CAPÍTULO II
                                                   CONDICIONES GENERALES PARA LA
                                                      LICITUD DEL TRATAMIENTO
                                                        DE DATOS PERSONALES
                                                              Artículo 5
                                               Los Estados miembros preverán que los
                                               tratamientos de datos personales sólo
                                               sean lícitos cuando se efectúen de
                                               conformidad con lo dispuesto en el
                                               presente Capítulo.
                                               Sin perjuicio de lo dispuesto en el
                                               presente    Capítulo,     los    Estados
                                               miembros     podrán     precisar     las
                                               condiciones     en    las     que    los
                                               tratamientos    de   datos    personales
                                               serán lícitos.
 ---pagebreak---                                         - 77 -
               CAPÍTULO V                                     SECCIÓN I
         CALIDAD DE LOS DATOS                        PRINCIPIOS RELATIVOS A LA
                                                        CALIDAD DE LOS DATOS
              Articulo 16                                    Artículo 6
              Principios
1. Los Estados miembros preverán que:          1. Los   Estados   miembros    preverán
                                                  que :
(a)  la recogida y el tratamiento de          (a)   el    tratamiento      de    datos
     datos personales se efectúen de                personales se efectúe de manera
     forma lícita y leal;                           leal y lícita;
(b)  los datos sean registrados con           (b)   los  datos   sean  recogidos   con
     fines determinados, explícitos y               fines determinados, explícitos y
     legítimos y utilizados de manera               legítimos y utilizados de manera
     compatible con dichos fines;                   compatible con dichos fines;
(c)  los   datos     sean    adecuados,       (c)   los    datos    sean    adecuados,
     pertinentes y no excesivos con                 pertinentes y no excesivos con
     relación a los fines para los                  relación a los fines para los
     que se registren;                              que se traten;
(d)  los datos sean exactos y, cuando         (d)   los datos sean exactos y, cuando
     sea  necesario,    se  actualicen;             sea  necesario,   se  actualicen;
     los     datos      inexactos     o             deberán    tomarse    todas    las
     incompletos       deberán      ser             medidas necesarias para que los
     suprimidos o rectificados;                     datos inexactos o incompletos,
                                                    con respecto a los fines para
                                                    los que fueron recogidos, sean
                                                    suprimidos o rectificados;
 ---pagebreak---                                           - 78 -
(e)   los datos no sean conservados en           (e)   los datos no sean conservados en
      una   forma    que    permita    la              una   forma   que     permita    la
      identificación    del   interesado               identificación   del    interesado
      durante un período superior al                   durante un período superior al
      necesario para los fines para                    necesario    para     los     fines
      los que se hayan registrado.                     perseguidos.      Los      Estados
                                                       miembros podrán prever garantías
                                                       apropiadas    para     los    datos
                                                       personales     archivados       por
                                                       motivos históricos, estadísticos
                                                       o científicos.
2. Incumbirá a los responsables del              2. Corresponderá a los responsables
    fichero garantizar el respeto de                 del   tratamiento    garantizar    el
    las disposiciones previstas en el                respeto   de   las     disposiciones
    apartado 1.                                      establecidas en el apartado 1.
              CAPÍTULO II                                       SECCIÓN II
      LEGITIMIDAD DEL TRATAMIENTO                       PRINCIPIOS RELATIVOS A LOS
          EN EL SECTOR PÚBLICO                         MOTIVOS PARA EL TRATAMIENTO
                                                                 DE DATOS
               Artículo 5                                       Artículo 7
               Principios
 1. Sin perjuicio de las disposiciones            Los Estados miembros preverán que el
    del   artículo    6,    los   Estados         tratamiento de datos personales sólo
    miembros      preverán      en     su         pueda efectuarse si:
    legislación,     respecto    a    los
    ficheros del sector público:
 ---pagebreak---                                           - 79 -
(a) que se consideren legítimos el               (a) el   interesado    ha    dado   su
    establecimiento de un fichero y                  consentimiento, o
    cualquier    otro  tratamiento     de
    datos   personales     cuando    sean        (b) es necesario para la ejecución
    necesarios para la ejecución de                  de un contrato celebrado con el
    los cometidos de la autoridad                    interesado o para la aplicación
    pública responsable del fichero;                 de   medidas     previas    a   la
                                                     celebración      del      contrato
                                                     adoptadas  en   respuesta   a  una
                                                     solicitud del interesado, o
(b) que  se   considere    legítimo    el        (c) es necesario para respetar una
    tratamiento    de  datos     con  una            obligación    prevista     en   el
    finalidad    distinta    de   aquélla            Derecho   nacional    o    en   la
    para la que se haya establecido                  normativa comunitaria, o
    el fichero cuando:
                                                 (d) es necesario para proteger      el
    - el      interesado        dé     su            interés vital del interesado, o
      consentimiento,
                                                 (e) es     necesario      para      el
    - el   tratamiento      se    efectúe            cumplimiento de una misión de
      sobre    la   base   del    Derecho            interés público o inherente al
      comunitario, de una ley o de                   ejercicio   de     la    autoridad
      un acto adoptado en aplicación                 pública conferida al responsable
      de   una    ley   de    un   Estado            del tratamiento o a un tercero a
      mie.ubro conforme a la presente                quien se comunican los datos, o
      Directiva y que autorice dicho
      tratamiento      y     fije     sus
      límites,
 ---pagebreak---                                        - 80 -
   a ese cambio de finalidad no se            f) es necesario para satisfacer el
   oponga  un   interés  legítimo  del           interés   general,    el   interés
   interesado, o                                 legítimo   del   responsable   del
                                                 tratamiento o de los terceros a
   sea necesario a fin de prevenir               quienes se comunican los datos,
   una  amenaza   imminente  al  orden           siempre  que   no   prevalezca  el
   público o una violación grave de              interés del interesado.
   os derechos de terceros.
              Artículo 6
  Tratamiento en el sector público
       para la comunicación de
           datos personales
1. Los Estados miembros preverán en
   su legislación que la comunicación
   de datos personales contenidos en
   ficheros de una entidad del sector
   público únicamente sea legítima:
a) cuando   sea   necesaria   para  el
   ejercicio de las funciones de la
   entidad   del  sector  público  que
   comunique    o   que  solicite   la
   comunicación de esos datos, o
 ---pagebreak---                 .s'
) a petición de una persona natural
   o jurídica del sector privado que
   invoque  un   interés   legítimo,   a
   condición de que no prevalezca el
   interés del interesado.
. Sin perjuicio de las disposiciones
   contempladas en el apartado 1, los
   Estados miembros podrán precisar
   las condiciones que determinen la
   legitimidad de la comunicación de
  datos personales.
. En los casos contemplados en la
  letra   b)   del   apartado   1   los
  Estados miembros dispondrán en su
  legislación que el responsable del
  fichero informe a los interesados
  de la comunicación de los datos
  personales.     No   obstante,   los
  Estados miembros podrán prever la
  sustitución de dicha obligación de
  informar a los interesados por una
  autorización      previa    de     la
  autoridad c'e control.
 ---pagebreak---                                            - 82 -
             CAPÍTULO III
     LEGITIMIDAD DEL TRATAMIENTO
         EN EL SECTOR PRIVADO
              Articulo 8
              Principios
1. Los Estados miembros preverán en
   su    legislación     que,    sin    el
   consentimiento del interesado, el
   registro en un fichero y cualquier
   otro     tratamiento      de     datos
   personales sólo sean legítimos si
   se ajustan a las disposiciones de
   la presente Directiva y si:
a) se   efectúan   con    arreglo   a   un
   contrato     celebrado       con     el
   interesado   o   al   amparo   de   una
   relación     de     confianza      casi
   contractual con éste y, admás, son
   necesarios   para    el  cumplimiento
   del contrato; o
 ---pagebreak---                                           - 83 -
b) los   datos   provienen    de  fuentes
   generalmente    accesibles    para  el
    público  y   su   tratamiento   tiene
   como      única       finalidad     la
   corresondencia; o
c) el     responsable      del    fichero
   defiende un interés legítimo sobre
   el que no prevalezca el interés
   del interesado.
2. Los Estados miembros preverán en
   su   legislación    que   incumba   al
   responsable del fichero aseguarse
   de   la    compatibilidad     de   las
   comunicaciones con la finalidad de
   dicho fichero, y de que éstas no
   afectan al orden público. En caso
   de consulta en línea, el usuario
   estará    sujeto     a   las    mismas
   obligaciones.
3. Sin perjuicio de las disposiciones
   contempladas en el apartado 1, los
   Estados miembros podrán precisar
   las condiciones que determinen la
   legitimidad    del   tratamiento    de
   datos personales.
 ---pagebreak---                                         - 84 -
              CAPÍTULO V                                     SECCION III
         CALIDAD DE LOS DATOS                         CATEGORÍAS ESPECIALES DE
                                                        TRATAMIENTOS DE DATOS
              Articulo 17                                     Artículo 8
    Categorías especiales de datos                   Tratamientos de categorías
                                                         especiales de datos
1. Salvo   acuerdo  libre,  expreso   y        1. Los Estados miembros prohibirán el
   escrito del interesado, los Estdos             tratamiento de datos que revelen
   miembros prohibirán el tratamiento             el   origen   racial y  étnico, la
   automatizado de datos que revelen              opinión política, las convicciones
   el  origen   racial  y  étnico,   la           religiosas, filosóficas o morales,
   opinión política, las convicciones             la afiliación sindical, así como
   religiosas    o  filosóficas,    las           las informaciones relacionadas con
   afiliaciones sindicales, así como              la salud y la vida sexual.
   las informaciones relacioadas con
   la salud y la vida sexual.
                                               2. Los Estados miembros preverán que
                                                  pueda efectuarse el tratamiento de
                                                  datos contemplado en el apartado 1
                                                  cuando :
 ---pagebreak--- - 85 -
       (a)   el    interesado      haya   dado   su
             consentimiento       por   escrito   a
             dicho tratamiento, salvo en los
             casos en que la legislación del
             Estado     miembro    prevea  que   la
             prohibición      establecida   en   el
             apartado 1 no pueda levantarse
             con     el     consentimiento      del
             interesado,
      (b)    el tratamiento       lo efectúe una
             fundación o asociación sin ánimo
             de    lucro,    de   tipo   politico,
             religioso o sindical, para sus
             fines legítimos, siempre que se
             refiera     exclusivamente     a   los
             miembros de la fundación o de la
             asociación           y       personas
             relacionadas con ellas y con tal
             de     que    los    datos    no    se
             comuniquen     a   terceros   sin   el
             consentimiento           de        los
             interesados,
      (c)   el    tratamiento     se   efectúe   en
            circunstancias tales que resulte
             manifiesto que no atenta contra
             la intimidad ni las libertades.
      Los tratamientos contemplados en la
       letra    b)   quedarán     exentos   de   la
      obligación de notificación prevista
      en   la    Sección     VIII   del   presente
      Capitulo.
 ---pagebreak---                                        - 86 -
Por motivos importantes de interés            3. Por   motivos    de    interés   público
público,    los    Estados   miembros            importantes, los Estados miembros
podrán   establecer    excepciones   a           podrán   establecer      excepciones     a
las disposiciones del apartado 1                 las disposiciones del apartado 1,
sobre la base de una ley en la que               mediante    una     disposición     legal
se precisen los tipos de datos que               nacional    o  una     decisión   de    la
puedan    ser     registrados,     las           autoridad de control, en las que
personas   que    tengan   acceso   al           se precisen los tipos de datos que
fichero y las garantías apropiadas                pueden ser tratados, las personas
contra   los   usos   abusivos  y   el           destinatarias      de   los   datos,    la
acceso no autorizado.                             cualificación del responsable del
                                                  tratamiento      y     las    garantías
                                                  apropiadas.
Los   datos   relativos   a  condenas         4. Los datos relativos a las condenas
penales        únicamente      podrán             penales    únicamente      podrán     ser
conservarse en ficheros del sector                conservados    por    las   autoridades
 público.                                         judiciales      y      las     personas
                                                  afectadas    directamente      por    las
                                                  decisiones de que se trate o sus
                                                  representantes; no obstante, los
                                                  Estados miembros podrán establecer
                                                  excepciones mediante disposiciones
                                                  legales nacionales en las que se
                                                  especifiquen         las      garantías
                                                  apropiadas.
                                               5. Los Estados miembros determinarán
                                                   las condiciones en las que podrá
                                                  utilizarse un número nacional de
                                                   identificación     o   cualquier    otro
                                                   medio    de      identificación       de
                                                   carácter general.
 ---pagebreak---                                        - 87 -
              CAPITULO VI
       DISPOSICIONES ESPECÍFICAS
     PARA DETERMINADOS   SECTORES
              Artículo 19                                   Artículo 9
                                                      Tratamientos de datos
                                                      personales y libertad
                                                           de expresión
Los     Estados     miembros    podrán        Con objeto de conciliar el derecho a
establecer, para    los organismos de         la intimidad con las normas que rigen
prensa   y  del   sector  audiovisual,        la libertad de expresión, los Estados
excepciones a las disposiciones de la         miembros establecerán excepciones a
presente Directiva, en la medida en           las  disposiciones   de   la  presente
que sean necesarias para conciliar el         Directiva  en   lo  que   respecta  al
derecho a la intimidad con las normas         tratamiento de datos personales para
que rigen la libertad de información          fines periodísticos efectuado por los
y de la prensa.                               organismos de prensa    y  del  sector
                                              audiovisual, así como por los propios
                                              periodistas.
 ---pagebreak---                                        - 88 -
             CAPÍTULO IV                                     SECCÍON IV
       DESECHOS DEL INTERESADO                      INFORMACIÓN AL INTERESADO
             Artículo 14                                    Artículo 10
       Derechos complementarlos                        Información sobre la
            del interesado                         existencia de un tratamiento
Los Estados miembros reconocerán al           1. Los Estados miembros garantizarán
interesado los siguientes derechos:              a   toda   persona   el   derecho    a
                                                 conocer,    previa    solicitud,    la
3) A  conocer  la  existencia   de  un           existencia de un tratamiento, sus
   fichero    y    sus     finalidades           fines,   las   categorías   de   datos
   principales, así como la identidad            objeto del mismo, así como         los
   y residencia habitual, domicilio              terceros o categorías de terceros
   social   o   establecimiento    del           a   quienes   se   comunican   dichos
   responsable del fichero.                      datos, el nombre y la dirección
                                                 del responsable del tratamiento y,
                                                 en su caso, de su representante.
                                              2. Los Estados miembros podrán prever
                                                 excepciones al apartado 1 en las
                                                 condiciones     previstas     en    el
                                                 apartado 1 del artículo 14.
 ---pagebreak---                                           - 89 -
              Articulo 13                                      Artículo 11
     Información en el momento de                   Información en caso de obtención
         la recogida de datos                            de datos del interesado
1. Los Estados miembros garantizarán             1. Los Estados miembros preverán que
   a  las   personas   de   las  gue   se           el   responsable    del   tratamiento
   soliciten    datos    personales    el           deba velar por que la persona de
   derecho a ser informadas, al menos               la   que  se   obtengan    datos  sea
   sobre:                                           informada al menos sobre :
(a)  los fines del     fichero al     que        (a)  los fines del tratamiento de que
     vaya destinada la información,                   van a ser objeto los datos, y
(b)  el    carácter     obligatorio     o        (b)  el carácter obligatorio o no de
     facultativo de su respuesta a                    la   respuesta  a   las   preguntas
     las   preguntas    que   les    sean             formuladas para recabar datos y
     planteadas,
(c)  las consecuencias que para ellas           (c)   las consecuencias que para ellos
     podría   acarrear    una  falta   de             supondría     una     negativa    a
     respuesta,                                       responder, y
(d)  los     destinatarios      de     la       (d)   los destinatarios o categorías
     información,                                     de destinatarios de los datos, y
 ---pagebreak---                                        - 90 -
(e)  la  existencia   del  derecho  de        e) la    existencia    del     derecho   de
     acceso y de rectificación de los            acceso     a   los     datos    que   le
     datos que les conciernan y                  conciernen     y    del     derecho   de
                                                 rectificación de dichos datos, y
(f)  el  nombre y   la dirección del          (f)   el  nombre y     la dirección del
     responsable del fichero.                      responsable del tratamiento y,
                                                   en su caso, de su representante
2. Las disposiciones del apartado 1           2. Las disposiciones del apartado 1
   no se aplicarán a la recogida de              no se aplicarán a la recogida de
   datos  cuando  la   información  al           datos    cuando   la    información   al
   interesado impida el cumplimiento             interesado          impidiere         el
   de las funciones de control y de              cumplimiento     de    la    función  de
   verificación   de   una   autoridad           control o de inspección inherente
   pública  o  el   mantenimiento  del           al    ejercicio    de     la   autoridad
   orden público.                                pública,     o  de    colaboración    en
                                                 dicha     función    o    impidiere   el
                                                 mantenimiento del orden público.
 ---pagebreak---                                          - 91 -
              CAPÍTULO III
     LEGITIMIDAD DEL TRATAMIENTO
         EN EL SECTOR PRIVADO
               Artículo 9                                      Artículo 12
        Obligación de informar                           Información en caso de
             al interesado                             comunicación a un tercero
1. Por lo que se refiere al sector              1. Los Estados miembros preverán que,
   privado,    los   Estados    miembros           en   los   casos  previstos   en  las
   dispondrán en su legislación que,               letras    b),   c),   e)  y  f)   del
   en  el   momento     de   la  primera           artículo 7, en el momento oportuno
   comunicación o cuando se plantee                y, a más tardar, en el momento de
   una  posibilidad    de   consulta  en           la    primera   comunicación    a  un
   línea, el responsable informe de                tercero,     el    responsable    del
   ello al interesado y le indique,                tratamiento     vele   por   que   se
   asimismo,     la     finalidad    del           informe al interesado acerca de
   fichero,   el   tipo   de  datos  que           dicha comunicación y, al menos,
   contiene y su nombre y dirección.               sobre:
                                               (a)    el  nombre y    la dirección   del
                                                      responsable del tratamiento y,
                                                      en su caso, de su representante,
                                                      y
                                               (b)    los fines del tratamiento, y
                                                (c)   las categorías de datos objeto
                                                      del tratamiento, y
                                               (d)    el destinatario o las categorías
                                                      de destinatarios, y
                                                (e)   la   existencia   del derecho   de
                                                      acceso, de rectificación y de
                                                      oposición.
 ---pagebreak---                                            - 92 -
2. En el caso previsto en la letra b)             2. Las disposiciones del apartado 1
   del apartado 1 del articulo 8 no                  no se aplicarán cuando:
   será   obligatoria     la  información
   prevista en el apartado 1. Tampoco                ya se haya informado al interesado
   habrá    obligación      de    informar           acerca de   la comunicación a       un
   cuando    la    comunicación      venga           tercero o la posibilidad de dicha
   impuesta por imperativo legal.                    comunicación; o
3) Si el interesado se opone a la                    la comunicación a un tercero sea
   comunicación o a cualquier otro                   exigida por una ley que prevea una
   tratamiento,    el    reponsable    del           excepción   a   la   obligación     de
   fichero    deberá     interrumpir    el           información al interesado; o
   tratamiento impugnado, salvo que
   lo autorice una disposición legal.             -  la comunicación a un tercero se
                                                     base   en   uno   de   los    motivos
                                                     enumerados en el apartado 1 del
                                                     articulo 14.
                                                  3. Si la información al       interesado
               Articulo 10                           resultare   imposible    o   exigiere
       Excepciones especiales a                      esfuerzos desproporcionados, o se
       la obligación de informar                     opusiere a los intereses legítimos
             al interesado                           y primordiales del responsable del
                                                     tratamiento o un interés similar
Si el cumplimiento de la obligación                  de   un   tercero,     los    Estados
de      informar      al       interesado,           miembros   podrán   prever    que   la
contemplada   en   el    apartado   1  del           autoridad     de     control      esté
artículo   9,   resultase    imposible   o           facultada    para    autorizar     una
exigiese esfuerzos desproporcionados,                excepción,   estableciendo    en   tal
o tropezase con intereses legítimos y                caso las garantías apropiadas.
prioritarios     del    responsable    del
fichero o con un interés similar de
un   tercero,    los   Estados    miembros
podrán disponer en su legislación que
la    autoridad     de     control    esté
facultada      para      autorizar     una
excepción.
 ---pagebreak---                                         - 93 -
              CAPÍTULO IV                                    SECCIÓN V
       DERECHOS DEL INTERESADO                         DERECHO DE ACCESO DEL
                                                      INTERESADO A LOS DATOS
              Artículo 14                                   Artículo 13
       Derechos complementarios                          Derecho de acceso
            del interesado
Los Estados miembros reconocerán al            os Estados miembros reconocerán     al
interesado los siguientes derechos:            interesado los derechos siguientes:
4. A  obtener,   con   una   frecuencia        1. derecho    a     obtener,    previa
   razonable y sin esperas ni gastos              solicitud,   con   una   frecuencia
   excesivos, la confirmación de la               razonable y sin retrasos ni gastos
   existencia o inexistencia en un                excesivos, la confirmación de la
   fichero de datos personales que le             existencia o inexistencia de datos
   conciernan, así como, en su caso,              personales que le conciernen, la
   la comunicación de esos datos en               comunicación de dichos datos en
   forma inteligible.                             forma   inteligible,     así   como
                                                  información acerca de su origen y,
                                                  en general, su utilización.
   Los Estados miembros podrán prever             Los Estados miembros podrán prever
   que el derecho de acceso a los                 que el derecho de acceso a los
   datos     de     carácter     médico           datos    de     carácter     médico
   únicamente   pueda   ejercerse   por           únicamente   pueda   ejercerse  por
   mediación de un médico.                        medio de un médico;
 ---pagebreak---                                        - 94 -
                                              2. derecho a no verse obligado por un
                                                 tercero, salvo cuando la solicitud
                                                 de éste se base en la legislación
                                                 nacional o comunitaria, a ejercer
                                                 su    derecho      de    acceso      para
                                                 comunicarle los datos de que se
                                                 trate    o   comunicarlos       a    otra
                                                 persona;
A   obtener,    en    su    caso,   la        3. derecho a obtener, según el caso,
rectificación    de   los    datos  en           la   rectificación      de   los   datos
cuestión o su supresión o bloqueo                incorrectos     o    incompletos,      su
cuando su tratamiento no se ajuste               supresión   o   bloqueo,     cuando    su
a  lo   dispuesto   en   la   presente           tratamiento    no    se  ajuste    a   lo
Directiva.                                       dispuesto      en       la      presente
                                                 Directiva;
En    caso    de     aplicación    del        4. en caso de aplicación del punto 3
apartado 5 del presente artículo y               y   si   los    datos     se    hubieran
si los datos han sido comunicados                comunicado a terceros, derecho a
a    terceros,     a    obtener     la           que   se   notifique     a    éstos    la
notificación    a    éstos     de   la           rectificación, supresión o bloqueo
rectificación, supresión o bloqueo               de dichos datos;
de dichos datos.
                                             5. derecho      a      conocer,       previa
                                                 solicitud,        el       razonamiento
                                                 utilizado    en     los    tratamientos
                                                 automatizados cuyos resultados se
                                                 le oponen.
 ---pagebreak---                                            - 95 -
               Articulo 15                                      Artículo 14
   Excepciones al derecho de acceso                       Excepciones al derecho
     del interesado a los ficheros                               de acceso
           del sector público
1. Los     Estados     miembros     podrán        1. A menos que una disposición de
    limitar   por    ley   los   derechos            Derecho comunitario les obligue a
    previstos en los puntos 3 y 4 del                ello, los Estados miembros podrán
    artículo      14      por      motivos           restringir    el   ejercicio    de   los
   relacionados con:                                 derechos previstos en el punto 1
                                                     del artículo 13 y en el apartado 1
                                                     del   artículo     10,   cuando     ello
                                                     suponga una medida necesaria para
                                                     la salvaguardia de :
(a)   la seguridad del Estado,                   (a)   la seguridad del Estado;
(b)   la defensa,                                (b)   la defensa;
(c)   actuaciones penales                        (c)   actuaciones penales;
(d)   la seguridad pública                       (d)   la seguridad pública;
(e) un       interés      económico      y       (e)   un     interés       económico       y
      financiero              imperativo,              financiero                imperativo
      debidamente justificado, de un                   debidamente     justificado    de   un
      Estado    miembro     o     de    la             Estado     miembro      o    de     la
      Comunidad,                                       Comunidad;
(f)   la    necesidad      de     ejercer        (f)   una  función     de  control    o   de
      funciones    de    control    o   de             inspección        inherente         al
      inspección    de    la    autoridad              ejercicio      de    la    autoridad
      pública, o                                       pública   o   la   colaboración     en
                                                       dicha función;
 ---pagebreak---                                          - 96 -
(g)   un derecho equivalente de otra            (g)   un derecho equivalente de otra
      persona y derechos y libertades                 persona    y   los    derechos    y
      de terceros.                                    libertades de terceros;
2. En los supuestos contemplados en             2. En los supuestos contemplados en
    el  apartado 1, la    autoridad   de            el apartado 1,     la autoridad    de
    control    deberá    proceder,     a            control     deberá     proceder,    a
    petición  del   interesado,   a  las            petición   del  interesado,    a  las
    verificaciones   del   fichero   que            comprobaciones      necesarias    con
    sean necesarias.                                objeto de verificar la licitud de
                                                    los tratamientos con arreglo a la
                                                    presente   Directiva,    dentro   del
                                                    respeto de los intereses que deben
                                                    salvaguardarse de conformidad con
                                                    el apartado 1.
 3. Los    Estados    miembros    podrán         3. Los    Estados     miembros    podrán
    limitar el derecho del interesado               limitar el derecho de acceso del
    a  acceder   a  quellos   datos  que            interesado a aquellos datos que se
    hayan        sido        recopilados            conserven temporalmente con forma
    temporalmente   a  fin   de  obtener            personal y se vayan a tratar con
    informaciones estadísticas.                     fines estadísticos, de manera que
                                                     los  interesados     dejen  de   ser
                                                     fácilmente identificables.
 ---pagebreak---                                       97 -
                                                          SECCIÓN VI
                                                    DERECHO DE OPOSICION
                                                       DEL INTERESADO
              Articulo 14                                Artículo 15
       Derechos complementarios                    Oposición por motivos
            del interesado                                legítimos
Los Estados miembros reconcoerán al       1. Los Estados miembros reconocerán
interesado los siguientes derechos:          al    interesado    el   derecho   a
                                             oponerse, en cualquier momento y
1. A oponerse, por razones legítimas,        por razones legítimas, a que los
   a que los datos personales que le         datos    que   le  conciernan   sean
   conciernan     sean    objeto   de        objeto de tratamiento.
   tratamiento.
6. A  obtener,  previa  petición,  la    2. En caso de oposición justificada,
   supresión gratuita de los datos           el  responsable    del  tratamiento
   que le conciernan registrados en          deberá suspender dicha actividad.
   ficheros de prospección comercial
   o publicitaria.
 ---pagebreak---                                      - 98 -
                                            3. Antes    de   comunicar      los    datos
                                               personales     a    terceros       o    de
                                               usarlos, por cuenta de terceros,
                                               para la prospección por correo, el
                                               responsable del tratamiento deberá
                                               comprobar que se ha ofrecido de
                                               manera explicita a los interesados
                                               la     posibilidad       de     suprimir
                                                gratuitamente          los          datos
                                                personales.
                                                           Artículo 16
                                                    Decisiones individuales
                                                          automatizadas
2. A no tener que someterse a ninguna       1. Los Estados miembros reconocerán a
   decisión administrativa o privada            las personas el derecho a no verse
   que implique una apreciación de su           sometidas      a      una      decisión
   comportamiento fundada únicamente            administrativa o privada que les
   en un tratamiento automatizado de            resulte perjudicial y que se base
   datos   personales   que  dé   una           únicamente     en   un      tratamiento
   definición de su perfil o de su              automatizado    que   proporcione       un
   personalidad.                                perfil de   su personalidad.
                                             2. Los Estados miembros preverán sin
                                                perjuicio de lo dispuestu en los
                                                demás   artículos    de    la   presente
                                                Directiva,    que una persona pueda
                                                verse    sometida   a    una     de   las
                                                decisiones     contempladas       en    el
                                                apartado 1 cuando dicha decisión:
 ---pagebreak---                                        - 99 -
                                              (a) se haya adoptado en el marco de
                                                    la celebración o ejecución de un
                                                    contrato, siempre que se haya
                                                    satisfecho     la    petición    del
                                                    interesado o que existan medidas
                                                    apropiadas, entre las que figure
                                                    la posibilidad de defender su
                                                    punto de vista, que garanticen
                                                    la   salvaguarda    de   su  interés
                                                    legítimo;
                                              (b)   esté autorizada por una ley que
                                                    contenga     medidas      para    la
                                                    salvaguardia        del      interés
                                                    legítimo del interesado.
               CAPÍTULO V                                    SECCION VII
         CALIDAD DE LOS DATOS                        SEGURIDAD DEL TRATAMIENTO
              Artículo 18                                    Artículo 17
        Seguridad de los datos
1. Los Estados miembros preverán en           1. Los Estados miembros preverán que
   su legislación que el responsable             el    responsable    del    tratamiento
   del    fichero   esté   obligado  a           deba adoptar las medidas técnicas
   adoptar las medidas técnicas y de             y de organización necesarias para
   organización   necesarias   para la           la       protección       contra     la
   protección del fichero contra su              destrucción, accidental o ilícita,
   destrucción,      accidental,    la           la      pérdida     accidental,      la
   alteración o el acceso y cualquier            alteración,     la   comunicacción    y
   otro tratamiento no autorizado de             cualquier     otro    tratamiento    de
   datos personales.                             datos personales no autorizado.
 ---pagebreak---                                          - 100 -
Estas   medidas     deberán     asegurar            Dichas medidas deberán garantizar
para los ficheros automatizados un                  un  nivel    de   seguridad    adecuado
nivel   de    seguridad       apropiado,            para el tratamiento automatizado,
habida cuenta, por una parte, de                    habida cuenta, por una parte, de
los   progresos     técnicos      en   la           la evolución tecnológica y, por
materia    y    del     coste     de   la           otra,   de   la   naturaleza     de  los
aplicación de éstos, y por otra                     datos que deban protegerse y de la
parte, de la naturaleza de los                      evaluación      de       los     riesgos
datos que deban protegerse y de la                  potenciales.     Con    este   fin,   el
evaluación      de       los      riesgos           responsable del tratamiento deberá
potenciales. ft         tal    fin,    el           tomar     en     consideración       las
resonsable     del     fichero     deberá           recomendaciones       en   materia    de
tomar     en     consideración        las           seguridad      informática       y    de
recomendaciones       en    materia    de           interoperabilidad       de   las   redes
seguridad      informática        y    de           elaboradas    por    la   Comisión   con
interoperabilidad       de    las   redes           arreglo al procedimiento previsto
elaboradas    por    la   Comisión    con           en el artículo 33.
arreglo a las normas previstas en
el artículo 29.
Para   la    transmisión       de   datos        2. Para    la   transmisión      de   datos
personales     dentro     de    una   red           personales     dentro     de   una   red
deberán    elegirse       métodos     que           deberán    elegirse       métodos    que
garanticen    un grado adecuado de                  garanticen un grado conveniente de
seguridad.                                          seguridad.
Para las consultas en línea, las                 3. Cuando exista      la posibilidad     de
instalaciones      técnicas       y   los           acceso a distancia, el responsable
soportes    lógicos      deberán    estar           del   tratamiento     deberá   utilizar
concebidos     de    manera     que   las           las instalaciones técnicas y los
consultas se realicen dentro de                     programas informáticos de manera
los   límites    de   la    autorización            que el acceso se efectúe en las
concedida por el responsable del                    condiciones       de     licitud     del
fichero.                                            tratamiento.
 ---pagebreak---                                     - 101 -
Las obligaciones contempladas en           4. Las obligaciones contempladas en
los apartados 1, 2 y 3 incumbirán             los apartados 1 a 3       incumbirán
igualmente a las personas que, de             también   a    las   personas    que
hecho o por contrato, tengan el               intervengan en el tratamiento y,
control    de    las    operaciones           en  particular, al encargado del
relacionadas con un fichero.                  tratamiento.
Las    personas   que,    por   sus       5. Las personas que, en el marco de
actividades profesionales, accedan            sus   actividades    profesionales,
a   informaciones   contenidas   en           accedan  a   datos   personales   no
ficheros no podrán comunicarlas a             podrán comunicarlos a terceros sin
terceros   sin   autorización   del           autorización del responsable del
responsable del fichero.                      tratamiento, salvo en virtud      de
                                              obligaciones    previstas    en   la
                                              legislación        nacional        o
                                              comunitaria.
 ---pagebreak---                                        - 102 -
              CAPÍTULO II                                  SECCIÓN VIII
     LEGITIMIDAD DEL TRATAMIENTO                           NOTIFICACIÓN
         EN EL SECTOR PÚBLICO
               Articulo 7                                   Articulo 18
      Obligación de notificación                    Obligación de notificación
       a la autoridad de control                     a la autoridad de control
1. Los Estados miembros preverán en           1. Los Estados miembros preverán que
   su      legislación       que     el          el responsable del tratamiento o,
   establecimiento de un fichero del             en su caso, su representante, deba
   sector     público    cuyos    datos          efectuar   una   notificación   a  la
   personales puedan ser comunicados             autoridad de control contemplada
   sea    notificado    previamente   a          en     el    artículo     30,     con
   efectos de su inscripción en un               anterioridad a la realización de
   registro    de   la   autoridad   de          un tratamiento automatizado, en su
   control. Este registro podrá ser              totalidad o en      parte, o   de  un
   consultado por cualquier persona.             conjunto    de     tratamientos    de
                                                 idéntica naturaleza, destinados a
                                                 la   consecución   de  un  fin  o de
                                                 varios fines conexos.
 ---pagebreak---                                         - 103
2. Los Estados miembros determinarán          2. Los Estados miembros especificarán
   qué       informaciones        deban           la información que debe contener
   notificarse   a   la  autoridad   de          dicha        notificación.         Esta
   control.    Estas      informaciones           información incluirá, al menos:
   incluirán, al menos, el nombre y
   dirección   del    responsable   del       (a)   el   nombre    y    dirección    del
   fichero, la finalidad del mismo,                 responsable del tratamiento y,
   una descripción de los tipos de                  en su caso, de su representante;
   datos que contenga, los terceros           (b)   el   fin    o    los    fines    del
   que puedan recibir los datos y una               tratamiento;
   descripción     de    las    medidas       (c)   la  categoría    o   categorías   de
   adoptadas    en    aplicación    del             interesados;
   articulo 18.                               (d)   una descripción de los tipos de
                                                    datos objeto de tratamiento;
3) Los Estados miembros podrán prever         (e)   los terceros o las categorías de
   que las normas de los apartados 1                terceros    a     quienes    pueden
   y 2 se apliquen a otros ficheros                 comunicarse los datos;
   del sector   público y    que  pueda       (f)   las   transferencias     de   datos
   limitarse la consulta del registro               previstas con terceros países;
   por las razones mencionadas en el          (g)   una descripción de las medidas
   apartado 1 del artículo 15.                      adoptadas    en    aplicación    del
                                                    artículo 17 para garantizar la
                                                    seguridad del tratamiento.
                                              3. Cualquier    modificación     de    las
                                                 informaciones contempladas en el
                                                 apartado 2 deberá notificarse a la
                                                 autoridad de control.
 ---pagebreak--- - 104 -
       4. La autoridad de control examinará
          los   tratamientos   que   impliquen
          riesgos    especiales     para    los
          derechos   y   libertades     de  las
          personas, antes de que se lleven a
          cabo y en un plazo de 15 días a
          partir     de     su     fecha     de
          notificación, tras cuya expiración
          la    autoridad    presentará     sus
          conclusiones.
       5. Los Estados miembros podrán prever
          que    determinados    tratamientos
          contemplados   en   el   apartado   4
          estén     supeditados       a     una
          autorización     previa      de    la
          autoridad de control. Los Estados
          miembros podrán prever que dichas
          autorizaciones se concedan por vía
          legal.
 ---pagebreak---                                            - 105 -
               CAPÍTULO III
     LEGITIMIDAD DEL TRATAMIENTO
          EN EL SECTOR PRIVADO
               Articulo 11
      Obligación de notificación
       a la autoridad de control
1. Los Estados miembros preverán en
   su legislación el reponsable de un
   fichero      de    datos    personales
   notifique     la   creación   de   éste
   cuando los datos se destinen a ser
   comunicados     y   no   provengan   de
   fuentes    generalmente     accesibles
   para el público. La notificación
   deberá ir dirigida a la autoridad
   de control del Estado miembro en
   el que esté situado el fichero o,
   cuando    no   esté   ubicado   en   un
   Estado miembro, a la autoridad de
   control del Estado miembro en que
   resida el responsable del fichero.
   Este    deberá     notificar   a    las
   autoridf.des nacionales comptentes
   todo    cambio    de   finalidad    del
   fichero o de su dirección.
 ---pagebreak---                                        - 106 -
2. Los Estados miembros deterinarãn
   qué información debe notificarse a
   la  autoridad   de   control.   Esta
   información   deberá   incluir,   al
   menos, el nombre y dirección del
   responsable    del    fichero,    su
   finalidad, una descripción de los
   tipos de datos que contenga, los
   terceros que puedan recibir      los
   datos y   una descripción de     las
   medidas  adoptadas   en  aplicación
   del artículo 18.
3. Sin perjuicio de las disposiciones
   contempladas en el apartado 1, los
   Estados miembros podrán precisar
   las condiciones que determinen la
   legitimidad   del  tratamiento    de
   datos personales.
 ---pagebreak--- - 107 -
                    Articulo 19
             Simplificación y exención
                de la obligación de
                    notificación
       1. Los Estados miembros preverán la
          simplificación o la exención de la
          obligación   de  notificación     para
          determinadas      categorías        de
          tratamientos que no atenten contra
          los derechos y libertades de los
          interesados. Dichas categorías de
          tratamientos     comprenderán,      en
          particular, la redacción de cartas
          o de documentos, el cumplimiento
          de      obligaciones          legales,
          contables, fiscales o sociales, o
          la    consulta       de     servicios
          documentales       accesibles       al
          público.
      2. Las medidas de simplificación o
          exención serán adoptadas por la
          autoridad   de   control    o   previa
          consulta   a   ésta.    Las    medidas
          mencionadas    especificarán,     para
          cada categoría de tratamiento, en
          particular:
 ---pagebreak--- - 108 -
           - los fines del tratamiento,
           - una descripción de los datos o
             categorías de datos objeto de
             tratamiento,
           - la   categoría   o   categorías  de
             interesados,
           - los   terceros   o   categorías  de
             terceros   a   quienes    se  deben
             comunicar los datos,
           - el período de la conservación de
             los datos,
           - en su caso, las condiciones de
             realización del tratamiento.
        3. El beneficio de la simplificación
           o de la exención de la obligación
           de   notificación    no   eximirá  al
           responsable    del   tratamiento   de
           ninguna de las demás obligaciones
           que    resultan    de   la   presente
           Directiva.
                      Artículo 20
                 Tratamientos manuales
        Los Estados miembros podrán prever
        las condiciones de aplicación de las
        disposiciones     previstas     en   los
        artículos   18  y   19   a  determinadas
        categorías     de     tratamientos    no
        automatizados    de   datos   personales
        contenidos en ficheros.
 ---pagebreak---                                - 109 -
                                                    Artículo 21
                                           Registro de los tratamientos
                                                    notificados
                                      Los Estados miembros preverán que la
                                      autoridad   de    control     lleve   el
                                      registro    de      los     tratamientos
                                      notificados.     En     los    supuestos
                                      previstos en los artículos 18 y 19,
                                      el  registro   deberá    contener,  como
                                      mínimo, los datos enumerados en las
                                      letras a) a f) del apartado 2 del
                                      artículo 18. El registro podrá ser
                                      consultado   por   cualquier    persona,
                                      dentro   de   las   restricciones    que
                                      puedan imponer los Estados miembros,
                                      en las condiciones establecidas en el
                                      apartado 1 del artículo 14.
          CAPÍTULO VI
DISPOSICIONES ESPECÍFICAS PARA
    DETEP'.iINADOS SECTORES
          Artículo 20
 ---pagebreak---                                      -110-
Los Estados miembros instarán a los
medios profesionales a participar en
la     elaboración     de     códigos
deontológicos  o  de  buena  conducta
europeos para determinados sectores,
sobre  la  base   de  los  principios
contenidos en la presente Directiva.
             CAPÍTULO IV                               CAPÍTULO III
       DERECHOS DEL INTERESADO                     RECURSOS JUDICIALES,
                                               RESPONSABILIDAD Y SANCIONES
             Articulo 14                               Artículo 22
      Derechos complementarios                     Recursos judiciales
           del interesado
Los Estados miembros reconocerán al       Los  Estados  miembros  preverán  que
interesado los siguientes derechos:       toda persona disponga de un recurso
                                          judicial en caso de violación de los
8. A disponer de una vía de recurso       derechos garantizados por la presente
   judicial en caso de violación de       Directiva.
   los derechos garantizados en el
   presente artículo.
 ---pagebreak---                                        - Ill -
           CAPÍTULO VII
   RESPONSABILIDAD Y SANCIONES
            Artículo 21                                     Artículo 23
         Responsabilidad                                 Responsabilidad
Los Estados miembros preverán en              1. Los Estados miembros preverán que
sur legislación que toda persona                 toda    persona       cuyos      datos
cuyos    datos    personales     estén           personales      sean     objeto     de
registrados en un fichero y que                  tratamiento    y    que    sufra    un
haya resultado perjudicada por el                perjuicio como consecuencia de un
tratamiento de éstos o por         una           tratamiento    ilícito    o   de   una
acción    incompatible      con    las           acción    incompatible      con    las
disposiciones     de    la    presente           disposiciones              nacionales
Directiva tenga derecho demandar                 adoptadas   en   aplicación     de  la
al   responsable   del   fichero   por           presente Directiva, tenga derecho
daños   y perjuicios.                            a  obtener    del   responsable    del
                                                 tratamiento    la    reparación    del
                                                 perjuicio causado.
Los    Estados     miembros     podrán        2. Los Estados miembros podrán prever
establecer que no se imputen al                  que se exima, completamente o en
responsable del fichero los daños                parte,     al     responsable      del
ocasionados    por   la    pérdida   o           tratamiento de la responsabilidad
destrucción de datos de éste o por               por los daños que resulten de la
un acceso no autorizado al mismo,                pérdida o destrucción de datos o
cuando   demuestre   haber   adoptado            de un acceso no autorizado, cuando
las    medidas     apropiadas     para           demuestre    haber     adoptado    las
cumplir los requisitos mencionados               medidas apropiadas para ajustarse
en los artículos 18 y 22.                        a   las    disposiciones     de    los
                                                 artículos 17 y 24.
 ---pagebreak---                                      - 112 -
          Artículo 22                                      Artículo 24
  Tratamiento por cuenta del                       Tratamiento por cuenta del
    responsable del fichero                       responsable del tratamiento
Los Estados miembros dispondrán en          1. Los Estados miembros preverán que
su legislación que el responsable               el   responsable     del   tratamiento
del fichero garantice, en caso de               vele,    para     los     tratamientos
tratamiento   por   su   cuenta,   el           efectuados por su cuenta, por el
respeto    de    las    medidas    de           respeto    de     las    medidas    de
seguridad    y    de    organización            seguridad        y        organización
necersarias, y elija a una persona              necesarias, y elija a un encargado
o   una    empresa     que    ofrezca           del    tratamiento      que    ofrezca
garantías suficientes al respecto.              garantías suficientes al respecto.
Las personas que recojan o traten            2. El    encargado     del    tratamiento
datos  personales por cuenta del                efectuará         únicamente        el
responsable   del   fichero   deberán           tratamiento      de      los     datos
cumplir las obligaciones previstas              personales previsto en el contrato
en los artículos 16 y 18 de la                  celebrado con el responsable del
presente Directiva.                             tratamiento          y        recibirá
                                                instrucciones únicamente de éste.
                                                Deberá respetar las disposiciones
                                                nacionales adoptadas en aplicación
                                                de la presente Directiva.
El contrato deberá ser escrito y             3. El   contrato   deberá    revestir  la
deberá estipular, en particular,                forma      escrita        y     deberá
que el   destinatario délos datos               especificar, en particular, que el
personales     o    sus     empleados           encargado del     tratamiento o sus
únicamente pueden divulgar dichos               empleados sólo podrán comunicar a
datos   previa    autorización    del           terceros    los    datos    personales
responsable del fichero.                        tratados en aplicación de dicho
                                                contrato    con    el    acuerdo   del
                                                responsable del tratamiento.
 ---pagebreak---                                          - 113 -
              Articulo 23                                     Artículo 25
               Sanciones                                       Sanciones
Los Estados miembros preverán en su             Cada   Estado    miembro   preverá   la
legislación     la     aplicación     de        aplicación de sanciones disuasorias a
sanciones    disuasivas    a   fin    de       cualquier persona que no respete las
garantizar   el  cumplimiento    de  las       disposiciones nacionales adoptadas en
normas adoptadas en aplicación de la            aplicación de la presente Directiva.
presente Directiva.
             CAPÍTULO VIII                                    CAPÍTULO IV
  TRANSFERENCIA DE DATOS PERSONALES               TRANSFERENCIA DE DATOS PERSONALES
          A TERCEROS PAÍSES                               A TERCEROS PAÍSES
              Articulo 24                                     Artículo 26
              Principios                                      Principios
1. Los Estados miembros preverán en            1. Los Estados miembros preverán que
   su      legislación       que      la           la   transferencia,     temporal   o
   transferencia a un tercer       país,           definitiva, a un tercer país de
   temporal o definitiva, de datos                 datos personales que sean objeto
   personales   que   sean   objeto   de           de  tratamiento   o   que  se  hayan
   tratmiento o hayan sido reunidos                reunido con objeto de someterlos a
   con objeto de someterlos a        tal           tal tratamiento únicamente pueda
   tratamiento      únicamente      ueda           efectuarse cuando el tercer país
   efectuarse cuando el tercer país                de que se trate garantice un nivel
   garantice un nivel de protección                de protección adecuado.
   adecuado.
 ---pagebreak--- -114-
      No obstante     lo dispuesto      en  el
      párrafo    primero,      los    Estados
      miembros     preverán      que     pueda
      efectuarse una transferencia a un
      tercer pais que no garantice un
      nivel    de    protección      adecuado
      siempre y cuando:
      - el   interesado      haya   dado    su
        consentimiento            a         la
        transferencia     prevista     en   el
        marco          de         relaciones
        precontractuales, sin perjuicio,
        en su caso, de lo dispuesto por
        la letra a) del apartado 2 del
        artículo 8, o
      - la transferencia sea necesaria
        para la ejecución de un contrato
        entre    el     interesado     y    el
        responsable      del    tratamiento,
        siempre que se haya informado al
        interesado de      que se    prevé   o
        podría preverse la transferencia
        a   un    tercer     país    que    no
        garantiza un nivel de protección
        adecuado, o
      - la transferencia sea necesaria
        para    la   salvaguardia      de   un
        interés público importante, o
      - la transferencia sea necesaria
        para la salvaguardia del interés
        vital del interesado.
 ---pagebreak---                                    - 115 -
                                         2. El carácter adecuado del nivel de
                                            protección que ofrece un tercer
                                            pais se evaluará     en  función  de
                                            todas   las    circunstancias    que
                                            concurran en una transferencia o
                                            en una categoria de transferencias
                                            de datos; en concreto, se tendrá
                                            en  cuenta  la   naturaleza  de  los
                                            datos,  el  fin   o  los  fines  del
                                            tratamiento o de los tratamientos
                                            previstos,     las     disposiciones
                                            legales, generales o sectoriales,
                                            vigentes en el tercer pais de que
                                            se  trate,  así    como  las  normas
                                            profesionales en vigor.
Los Estados miembros informarán a        3. Los Estados miembros informarán a
la comisión de los casos en que un          la Comisión de los casos en que
tercer país receptor no garantice           consideren que un tercer país no
un nivel de protección adecuado.            garantiza un nivel de protección
                                            adecuado.
Cuando la Comisión compruebe, bien       4. Cuando   la   Comisión    compruebe,
sobre la base de las informaciones          basándose en las informaciones de
de los Estados miembros, bien a             los Estados miembros o en otros
partir de otras informaciones, que          datos,  que   un   tercer   país  no
un tercer Estado no dispone de un           garantiza un nivel de protección
nivel de protección adecuado y que          adecuado y que la situación que de
la situación que de ello se deriva          ello se deriva es perjudicial para
es perjudicial para los intereses           los intereses de la Comunidad o de
de la Comunidad o de un Estado              un Estado miembro, podrá entablar
miembro,       podrá      entablar          negociaciones     con    vistas    a
negoiaciones con vistas a remediar          corregir esta situación.
esta situación.
 ---pagebreak---                                        - 116 -
4. La Comisión estará facultada para          5. La  Comisión  podrá  decidir,  con
   decidir,      con     arreglo     al          arreglo      al      procedimiento
   procedimiento     definido   en   el          establecido en el apartado 2 del
   apartado 2 del artículo 30 de la              artículo 34, que un tercer país
   presente Directiva, si un tercer              garantiza un nivel de protección
   país    garantiza    un   nivel   de          adecuado debido a los compromisos
   protección         adecuado       en          internacionales suscritos o a su
   consideración    a  los  compromisos          legislación interna.
   internacionales suscritos por éste
   o a su legislación interna.
5. Las  medidas adoptadas en virtud           6. Las medidas adoptadas con arreglo
   del presente artículo se ajustarán            al presente artículo se ajustarán
   a    las    obligaciones    que   la          a las obligaciones que incumben a
   Comunidad haya contraído en virtud            la Comunidad en virtud de acuerdos
   de acuerdos internacionales, tanto            internacionales, tanto bilaterales
   bilaterales   como   multilaterales,          como   multilaterales,   sobre  la
   sobre    la    protección   de   las          protección   de  la   personas  en
   personas en materia de tratamiento            materia       de       tratamiento
   automatizado de datos personales.             automatizado de datos personales.
 ---pagebreak---                                       - 117 -
          Artículo 25                                      Artículo 27
          Excepciones                                  Medidas especiales
Previa    presentación      por     el       1. Sin perjuicio de lo dispuesto en
responsable   del   fichero   de   una          el párrafo segundo del apartado 1
justificación     suficiente      para          del   artículo    26,    los  Estados
garantizar el respeto de un nivel               miembros    podrán    autorizar   una
de protección adecuado, un Estado               transferencia o una categoría de
miembro   podrá     establecer     una          transferencias de datos personales
excepción a las disposiciones del               a un tercer país que no garantice
apartado 1 del     artículo 24 con              un  nivel de protección      adecuado
respecto    a     una    exportación            cuando     el     responsable     del
determinada.    No    obstante,     el          tratamiento       aduzca      motivos
Estado miembro únicamente podr'a                suficientes    que     resulten,   en
hacer  tal  excepción    tras    haber          particular,      de     disposiciones
informado a la Comisión y a los                 contractuales      apropiadas     que
Estados miembros y si ninguno de                garanticen,     en     especial,   el
éstos ni aquélla manifiestan su                 ejercicio efectivo de los derechos
oposición  en   un   plazo   de   diez          de los interesados.
días.
En   caso   de    manifestarse     tal       2. Los Estados miembros informarán, a
oposición,   la  Comisión    adoptará           su debido tiempo, a la Comisión y
las medidas apropiadas con arreglo              a   los   demás    Estados   miembros
al  procedimiento definido en el                acerca      del       proyecto     de
apartado 2 del artículo 30.                     autorización.
 ---pagebreak--- - 118 -
       3. En el supuesto de que un Estado
           miembro o la Comisión notificaren
           su oposición antes de que surtiere
           efecto    la     autorización,      la
           Comisión    adoptará   las    medidas
           apropiadas     con     arreglo      al
           procedimiento   establecido     en  el
           apartado 2 del artículo 34.
                       CAPÍTULO V
                 CÓDIGOS DE CONDUCTA
                      Artículo 28
                  Códigos nacionales
        1. Los Estados miembros podrán prever
           que,    sin    perjuicio     de    las
           disposiciones nacionales adoptadas
           en   aplicación    de   la   presente
           Directiva, los códigos de conducta
           que    elaboren      los     sectores
           profesionales    puedan    establecer
           medidas complementarias para tener
           en cuenta    las peculiaridades de
           determinados sectores.
 ---pagebreak--- - 119 -
       2. Los   proyectos   de   código    serán
          examinados    por     la    autoridad
          nacional     de      control,      que
          comprobará   su   procedencia,     así
          como la representatividad de las
          organizaciones   profesionales     que
          los    hayan    elaborado.       Dicha
          autoridad        recogerá          las
          observaciones de los interesados o
          de sus representantes.
       3. Los Estados miembros publicarán de
          forma   oficial   los    códigos   que
          hayan sido objeto de un dictamen
          favorable de parte de la autoridad
          de control.
       4. Cualquier prórroga o modificación
          de dichos códigos será objeto de
          idénticos procedimientos.
                     Artículo 29
                Códigos comunitarios
       1. Los Estados miembros y la Comisión
          fomentarán la participación de los
          sectores    profesionales     en    la
          elaboración de códigos de conducta
          comunitarios,      encaminados       a
          facilitar la correcta aplicación
          de la presente Directiva teniendo
          en cuenta   las peculiaridades de
          cada sector.
 ---pagebreak--- La   Comisión   podrá  publicar   a
titulo informativo en el Diario
Oficial de la Comunidades Europeas
un código de conducta, junto con
el dictamen emitido por el Grupo
establecido   en   el artículo   31
sobre el contenido de dicho código
y  la representatividad a escala
comunitaria de las organizaciones
que lo hayan elaborado. El Grupo
recogerá las observaciones de los
interesados       o     de      sus
representantes.
 ---pagebreak---                                        - 121 -
              CAPÍTULO IX                                   CAPÍTULO VI
     AUTORIDAD DE CONTROL Y GRUPO                AUTORIDAD DE CONTROL Y GRUPO DE
  DE PROTECCIÓN DE DATOS PERSONALES               PROTECCIÓN DE LAS PERSONAS EN
                                                  LO QUE RESPECTA AL TRATAMIENTO
                                                       DE DATOS PERSONALES
              Artículo 26
         Autoridad de control                               Artículo 30
                                                       Autoridad de control
1. Los Estados miembros velarán que           1. Los  Estados    miembros   designarán
   una     autoridad     independiente           una        autoridad           pública
   competente se encargue del control            independiente,      facultada      para
   de  la  protección   de  los  datos           ejercer    el     control     de     la
   personales.      Esta     autoridad           protección       de     los      datos
   controlará la aplicación de las               personales. Dicha autoridad estará
   disposiciones nacionales adoptadas            encargada de vigilar la aplicación
   en virtud de la presente Directiva            de  las  disposiciones     nacionales
   y ejercerá toda las funciones que             adoptadas    en   aplicación    de   la
   ésta le asigna.                               presente    Directiva    y   ejercerá
                                                 todas las funciones que ésta le
                                                 asigna. Cada Estado miembro podrá
                                                 designar   varias    autoridades     de
                                                 control.
 ---pagebreak---                                    - 122
Esta autoridad dispondrá de los          2. La autoridad de control dispondrá
medios  de   investigación   y  del         de:
poder   efectivo    de   intervenir         - medios de investigación, como el
contra la creación y explotación               derecho de acceder a los datos
de ficheros que no se ajusten a                que    sean      objeto      de    los
las disposiciones de la presente              tratamientos      previstos      en  la
Directiva.   A  tal    fin,  tendrá            presente    Directiva      y   el   de
acceso a los ficheros a los que se             recabar    toda     la    información
aplique la   presente Directiva y              necesaria para el cumplimiento
podrá recabar toda la información              de su misión de control;
necesaria para el cumplimiento de           - poderes           efectivos          de
su misión de control.                          intervención, como el poder de
                                               ordenar     el     bloqueo      o   la
                                               supresión      de       datos,      la
                                               prohibición        provisional       o
                                               definitiva de un tratamiento, la
                                               destrucción del soporte de los
                                               datos o el poder de dirigir un
                                               apercibimiento      al    responsable
                                               del tratamiento;
                                            - el    poder    de    recurrir     a  la
                                               autoridad    judicial cuando haya
                                               comprobado     la    existencia     de
                                               infracciones a las disposiciones
                                               nacionales         adoptadas        en
                                               aplicación      de     la     presente
                                               Directiva.
Cualquier persona podrá someter a        3. Cualquier persona de control podrá
dicha     autoridad     quejas     o        presentar      a     dicha      autoridad
reclamacions    relativas    a    la        denuncias         o        reclamaciones
protección de las personas en lo            relativas a la protección de las
referente a los datos personales.            personas    en    lo     referente    al
                                            tratamiento de datos personales.
                                            Se informará a dicha persona del
                                            curso    que     se    haya     dado   al
                                            respecto.
 ---pagebreak--- - 123 -
      4. Cada      autoridad      de    control
          presentará un informe anual sobre
          sus   actividades.    Dicho    informe
          será publicado.
       5. Las autoridades     de   los   Estados
          miembros cooperarán entre sí en la
          medida     necesaria       para     el
          cumplimiento    de   su    misión   de
          control, especialmente mediante el
          intercambio de información útil o
          el   recurso   a    los    medios   de
          investigación o el ejercicio de
          los poderes de intervención.
      6. Los Estados miembros preverán que
          cada   autoridad   de   control,   sus
          miembros y agentes estén obligados
          a respetar el secreto profesional.
 ---pagebreak---                                       - 124 -
           Articulo 27                                      Artículo 31
    Grupo de protección de                         Grupo de protección de las
       datos personales                            personas en lo que respecta
                                               al tratamiento de datos personales
Se crea un Grupo de protección de            1. Se crea un Grupo de protección de
datos personales. Este Grupo, de                 las personas en lo que respecta al
carácter         consultivo          e           tratamiento de datos personales,
independiente,    estará   compuesto             en lo sucesivo denominado "Grupo".
por representantes de la autoridad               Dicho     Grupo,      de      carácter
de   control,     prevista    en    el           consultivo e independiente, estará
artículo 26, de todos los Estados                compuesto   por  representantes     de
miembros, y estará presidido por                 las    autoridades      de     control
un representante de la Comisión.                 previstas en el artículo 30 y por
                                                 un representante de la Comisión.
                                                 Cuando   un   Estado   miembro    haya
                                                 designado   varias   autoridades    de
                                                 control,    éstas    procederán     al
                                                 nombramiento de los representantes
                                                 comunes, que tendrán en el seno
                                                 del Grupo los mismos derechos y
                                                 obligaciones     que     los     demás
                                                 representantes     de     las    otras
                                                 autoridades.
                                              2. El Grupo elegirá a su presidente.
                                                 El mandato del presidente tendrá
                                                 una   duración   de   dos   años.   El
                                                 mandato será renovable.
Los servicios de la Comisión se               3. La Comisión se hará cargo de la
harán cargo de la secretarla del                 secretaría del Grupo.
Grupo   de   protección    de    datos
personales.
 ---pagebreak---                                         - 125 -
3. El Grupo de protección de datos             4. El Grupo establecerá su reglamento
   personales establecerá su propio               interno.
   reglamento de régimen interior.
4. El Grupo de protección de datos             5. El  Grupo   examinará     los  asuntos
   personales examinará los asuntos               incluidos en el orden del día por
   incluidos en el orden del día por              su presidente, bien por iniciativa
   su presidente, bien por iniciativa             de  éste,   bien   previa    solicitud
   de éste, bien a petición motivada              motivada de un representante de
   de    un   representante    de   las           las autoridades de control, bien
   autoridades   de   control;   dichos           previa solicitud de la Comisión.
   asuntos    se    referirán    a   la
   aplicación   de  las   disposiciones
   del Derecho comunitario en materia
   de protección de datos personales.
             Artículo 28                                     Artículo 32
        Funciones del Grupo de                            Misión del Grupo
    protección de datos personales
1. El Grupo de protección de datos             1. El   Grupo   tendrá      por   misión:
   personales   tendrá   la  siguientes
   funciones:
(a)  contribuir a la interpretación           (a)   contribuir    a     la    aplicación
     homogénea     de     las    normas             homogénea de las disposiciones
     nacionales       adoptadas      en             nacionales        adoptadas       en
     aplicación    de     la   presente             aplicación     de     la    presente
     Directiva;                                     Directiva;
 ---pagebreak---                                         - 126 -
(b)  emitir    un  dictamen    sobre  el      (b)   emitir   un   dictamen    sobre   el
      nivel   de  prtección    existente            nivel  de   protección    existente
     dentro    de la   Comunidad   y  en            dentro de la Comunidad y en los
     terceros países;                               terceros países;
c) asesorar     a  la   Comisión   sobre      (c)   asesorar   a   la   Comisión   sobre
   proyectos          de         medidas            cualquier         proyecto        de
   complementarias o específicas que                modificación     de   la    presente
   deban adoptarse para garantizar la               Directiva, cualquier proyecto de
   protección de la intimidad.                      medidas         adicionales        o
                                                    específicas que deban adoptarse
                                                    para salvaguardar los derechos y
                                                    libertades    de     las    personas
                                                    físicas,     así      como     sobre
                                                    cualquier    otro     proyecto    de
                                                    medidas   que    afecte   a   dichos
                                                    derechos y libertades;
                                              (d)   emitir  un   dictamen    sobre   los
                                                    códigos de conducta elaborados a
                                                    escala comunitaria.
2. El Grupo de protección de datos             2. Si   el    Grupo     comprobare     la
   personales informará a la Comisión             existencia de divergencias graves
   de   toda   divergencia   grave   que          entre la legislación o la práctica
   compruebe entre la legislación y               de los Estados miembros en materia
   las    prácticas   de   los   Estados          de protección de datos personales,
   miembros en materia de protección              divergencias que pudieren afectar
   de datos personales, y que peudan              a la equivalencia de la protección
   poner en peligro la equivalencia               en la Comunidad, informará de ello
   de   la  protección   dentro   de  la          a la Comisión.
   Comunidad.
 ---pagebreak---                                     - 127 -
El Grupo de protección de datos            3. El  Grupo   podrá,   por  iniciativa
personales       podrá       emitir           propia,  formular    recomendaciones
recomendaciones   sobre  todos  los           sobre cualquier asunto relacionado
asuntos    relacionados    con   la           con la protección de las personas
protección de las personas en lo              en lo que respecta a los datos
referente a los datos personales              personales en la Comunidad.
dentro   de   la   Comunidad.   Las
recomendaciones constarán   en acta
y podrán transmitirse al Comité
consultivo    mencionado    en   el
articulo 30. La Comisión informará
al Grupo de protección de datos
personales del curso dado a sus
recomendaciones.
El Grupo de protección de datos           4. Los dictámenes y recomendaciones
personales  elaborará   un  informe           del Grupo se incluirán en el acta
anual   sobre  el   estado   de  la           y se transmitirán a la Comisión;
protección de las personas en lo              también podrán enviarse al Comité
referente al tratamiento de datos             consultivo     establecido   en    el
personales dentro de la Comunidad             artículo 34.
y en los terceros países, y lo
comunicará a la Comisión.
                                          5. La Comisión informará al Grupo del
                                              curso   que     haya  dado   a    los
                                              dictámenes   y   recomendaciones.   Ά
                                              tal efecto, elaborará un informe,
                                              que será transmitido asimismo al
                                              Parlamento Europeo y al Consejo.
                                              Dicho informe se publicará.
 ---pagebreak---                                       - 128 -
                                             6. El   Grupo    elaborará    un   informe
                                                anual sobre la       situación de la
                                                protección de las personas físicas
                                                en lo que respecta al tratamiento
                                                de    datos     personales      en   la
                                                Comunidad     y    en   los    terceros
                                                países,   y    lo   comunicará    a  la
                                                Comisión, al Parlamento Europeo y
                                                al   Consejo.     Dicho    informe   se
                                                publicará.
               CAPÍTULO X                                  CAPÍTULO VII
        POTESTAD REGLAMENTARIA                       POTESTAD REGLAMENTARIA
            DE LA COMISIÓN                               DE LA COMISIÓN
              Artículo 29                                   Artículo 33
       Ejercicio de la potestad                     Ejercicio de la potestad
             reglamentaria                                reglamentaria
Con arreglo al procedimiento previsto        Con    arreglo       al     procedimiento
en el apartado 2 del artículo 30, la         establecido   en    el   apartado   2  del
Comisíon adoptará las normas técnicas        artículo 34, la Comisión adoptará las
necesarias para aplicar la presente          normas técnicas necesarias para         la
Directiva   a    las   caracterísitcas       aplicación de la presente Directiva
específicas de determinados sectores,        teniendo en cuenta las peculiaridades
atendiendo a los progresos técnicos          de   determinados      sectores     o   de
en la materia y a los códigos de             determinadas          categorías        de
buena conducta.                              tratamientos, así como las medidas
                                             necesarias      para     garantizar     la
                                             aplicación       homogénea      de     las
                                             disposiciones       de     la    presente
                                             Directiva.
 ---pagebreak---                                      - 129 -
           Articulo 30                                    Articulo 34
        Comité consultivo                             Comité consultivo
La Comisión estará asistida por un          1. La Comisión estará asistida por un
Comité   consultivo   compuesto   por          Comité  consultivo    compuesto  por
representantes    de   los    Estados          representantes    de   los   Estados
miembros    y   presidio     por   el          miembros    y   presidido   por   el
representante de la Comisión.                  representante de la Comisión.
El representante de la Comisión al          2. El representante de la Comisión
Comité un proyecto de las medidas              someterá al Comité un proyecto de
que  deban   adoptarse.   El   Comité          las medidas que deban adoptarse.
emitirá su dictamen sobre dicho                El  Comité    emitirá   su  dictamen
proyecto   en   un   plazo   que   el          sobre dicho proyecto en un plazo
presidente podrá fijar en función              que el presidente podrá fijar en
de   la    urgencia    del    asunto,          función de la urgencia del asunto,
procediendo, en su     caso, a una             procediendo, en    su caso, a una
votación. El dictamen se incluiré              votación.
en el acta; además, cada Estado
miembro tendrá derecho a solicitar             El dictamen se incluirá en acta;
que su posición conse en acta. La              además, cada Estado miembro tendrá
emisión tendrá en cuenta, en la                detrecho    a   solicitar   que   su
mayor medida posible, el dictamen              posición conste en acta.
emitido por el Comité. Informará
al Comité de la manera en que ha               La Comisíon tendrá en cuenta, en
tenido en cuenta dicho dictamen.               la   mayor    medida   posible,   el
                                               dictamen emitido por el Comité.
                                               Informará al Comité de la manera
                                               en que ha tenido en cuenta dicho
                                               dictamen.
 ---pagebreak---                                        - 130 -
        DISPOSICIONES FINALES
             Artículo 31                               DISPOSICIONES FINALES
1. Los Estados miembros adoptarán las                        Artículo 35
   disposiciones               legales,
   reglamentarias  y  administrativas         1. Los Estados miembros adoptarán las
   necesarias    para     cumplir    la           disposiciones                 legales,
   presente Directiva, a más tardar               reglamentarias     y  administrativas
   el 1 de enero de 1993.                         necesarias      para     cumplir    la
                                                  presente Directiva, a más tardar,
                                                  el 1 de enero de 1994.
   Las  disposiciones    adoptadas   en           Cuando    los     Estados     miembros
   virtud  del   párrafo    primero  se           adopten     dichas     disposiciones,
   referirán   explícitamente     a  la           éstas   harán     referencia    a   la
   presente Directiva.                            presente     Directiva       o    irán
                                                  acompañadas de dicha referencia en
                                                  su    publicación      oficial.    Los
                                                  Estados miembros establecerán las
                                                  modalidades     de    la    mencionada
                                                  referencia.
                                               2. Los Estados miembros fijarán        la
                                                  fecha, que no podrá ser posterior
                                                  al 30 de junio de 1997, i. ras la
                                                  cual    los      tratamientos     cuya
                                                  aplicación     fuere     anterior   al
                                                  1 de julio      de    1994     deberán
                                                  ajustarse    a    las    disposiciones
                                                  nacionales adoptadas en aplicación
                                                  de la presente Directiva.
 ---pagebreak---                                         - 131 -
 2. Los Estados miembros comunicarán a
    la   Comisión   el   texto  de  las        3. Los Estados miembros comunicarán a
    disposiciones de Derecho interno               la   Comisión    el   texto  de  las
    que adopten en el âmbito regulado              disposiciones de Derecho interno
    por la presente Directiva.                     que adopten en el ámbito regulado
                                                   por la presente Directiva.
               Artículo 32                                    Artículo 36
 La Comisión presentará periódicamente         La Comisión presentará periódicamente
 al Consejo y al Parlamento Europeo un         al Consejo y al Parlamento Europeo un
 informe sobre la aplicación de la             informe    sobre  la   aplicación de  la
 presente Directia, acompañado, en su          presente Directiva, acompañado, en su
caso, de las oportunas propuestas de           oso, de las oportunas propuestas de
 modificación.                                 modificación.      Dicho    informe   se
                                               publicará.
              Artículo 33                                     Artículo 37
Los   destinatarios    de  la  presente        Los    destinatarios    de  la  presente
Directiva serán los Estados miembros.         Directiva serán los Estados miembros.
Hecho en Bruselas, el                         Hecho en Bruselas, el
Por el Consejo,                               Por el Consejo,
 ---pagebreak---                                   - 132 -
                           FICHA DE FINANCIACIÓN
Apartado 1 i Implicaciones financieras
1. Denominación :   Propuesta modificada de directiva del Consejo relativa
                    a la protección de las personas físicas con respecto al
                    tratamiento de datos personales y a la libre
                    circulación de dichos datos.
2. Lineas presupuestarias :
     A 2510: Gastos de reunión de un comité cuya consulta constituye un
     paso obligatorio en el proceso de elaboración de actos comunitarios.
     A 2511: Gastos de reunión de un comité cuya consulta no constituye un
     paso obligatorio en el proceso de elaboración de actos comunitarios.
     Capítulos Al y A2: Gastos de personal y de funcionamiento.
3. Fundamento jurídico :
     Artículo 100A del Tratado CEE.
4. Descripción :
     Objetivos : -  permitir el buen funcionamiento del mercado interior
                    garantizando la circulación transfronteriza de datos
                    personales en la Comunidad;
                  - garantizar la protección de las personas físicas con
                    respecto a los datos personales.
     Creación de 2 comités competentes en materia de protección de las
     personas con respecto a los datos personales (artículos 31 y 34).
     Interesados :  1. Para el Grupo de Protección de las Personas frente
                       al Tratamiento de Datos Personales (artículo 31):
                       representantes de la autoridad de control de todos
                       los Estados miembros (grupo 4).
                    2. Para   el    Comité   consultivo   (artículo    34):
                       representantes de los Estados miembros (grupo 3).
 ---pagebreak---                                   - 133 -
Un representante de la Comisión preside el Comité consultivo. El presidente
del Grupo de Protección es uno de sus miembros, elegido por dos años. La
secretaria del Comité consultivo y del Grupo de Protección de las Personas
frente al Tratamiento de Datos Personales corre a cargo de los servicios de
la Comisión.
5. Clasificación del gasto :
     5.1. : GNO
     5.2. : CND
6. Naturaleza del gasto s
-    gastos de participación de los miembros en las reuniones del Grupo y
     del Comité;
     gastos de personal.
7. Repercusión financiera sobre los créditos de intervención :
     Ninguna.
8. ¿Qué disposiciones contra el fraude prevé la propuesta?
     Ninguna.
Apartado 2 i Gastos administrativos (parte A del presupuesto)
1.   ¿Implica la acción propuesta un incremento de los efectivos de la
     Comisión? Si : 2 funcionarios de categoría C.
     Estos puestos se obtendrán bien a partir de la asignación de recursos
     decididos por la Comisión en los futuros presupuestos, bien por
     reafectación interna.
2.   Importe de los gastos generados :
     Secretaria :   +/- 120.000 ECU anuales con cargo a las diferentes
                    lineas presupuestarias de los capítulos Al y A2 (2
                    funcionarios C).
     Reuniones de los grupos :
        *  Grupo de Protección de las Personas          Físicas   frente al
           Tratamiento de Datos Personales s
           24 miembros (no gubernamentales) X 4 reuniones de 2 días :
           -Gastos de viaje s 526,61 ECU Χ 24 Χ 4     =   50.555 ECU
           -Dietas          : 105,40 ECU Χ 24 Χ 4     =   10.118 ECU
           -Gastos secret. : 105,40 ECU X 24 X 4 X 2 =    20.236 ECU
                                                           80.909 ECU
                                          (
 ---pagebreak---                                   - 134 -
        *  Comité consultivo
           24 miembros (no gubernamentales) Χ 2 reuniones de 2 dias
           - Gastos de viaje : 526,61 ECU Χ 24 Χ 2 = 25.277 ECU
           Importe total, redondeado, de un año entero
              Secretarla                              120.000 ECU
              Grupo                                    81.000 ECU
              Comité                                   25.000 ECU
           TOTAL                                      226.000 ECU
Apartado 3 : Elementos de análisis coste/eficacia
1.   Objetivo y coherencia con la programación financiera
     Se trata de crear 2 grupos que estarán autorizados a reunirse a partir
     de 1994. Se incluirán en la relación de comités en la programación
     financiera de 1994.
     El calendario de los créditos de compromiso (CC) y de los créditos de
     pago (CP) (GNO, CND) es el siguiente:
           CC     CP
     1994     226.000 ECU
     1995     226.000 ECU
     1996     226.000 ECU
     1997     226.000 ECU
     1998     226.000 ECU
     Los créditos deben obtenerse, en el marco general de cada
     procedimiento presupuestario, dentro de las diferentes partidas de la
     Parte A.
2.   Justificación :
     a) El Grupo de Protección de las Personas frente al Tratamiento de los
        Datos Personales (articulo 31).
        Se crea dicho Grupo, con carácter consultivo e independiente. Está
        compuesto por representantes de la autoridad de control de todos
        los Estados miembros.
        El Grupo elabora su reglamento de régimen interno. La secretaría
        del Grupo corre a cargo de los servicios de la Comisión.
        Funciones del Grupo: véase el artículo 32. Deberá asesorar a la
        Comisión sobre los proyectos de medidas complementarias, emitiendo
        un dictamen con total independencia, lo que resulta capital en la
        esfera de la protección de la intimidad.
 ---pagebreak---                                 - 135 -
3. Seguimiento y evaluación :
   3.1.  Indicadores s análisis del informe anual presentado por el Grupo
         en aplicación del apartado 6 del articulo 32.
   3.2.  Modalidades y periodicidad : anual, partiendo del citado informe
         que deberá presentar el Grupo.
   3.3.  Los principales factores de incertidumbre se deberán a las
         dificultades de armonizar puntos de vista y experiencias muy
         diversas en cada uno de los Estados miembros, diferencias
         debidas a varios factores, pero sobre todo de índole técnica y
         cultural.
 ---pagebreak---                                   - 136 -
                 FICHA DE EVALUACIÓN DE LAS REPERCUSIONES
                REPERCUSIÓN DE LA PROPUESTA EN LAS EMPRESAS
             Y OTROS ORGANISMOS AFECTADOS Y, EN PARTICULAR, EN
                  LAS PEQUEÑAS Y MEDIANAS EMPRESAS (ΡΥΜΕ)
Denominación de la propuesta :    Propuesta modificada de directiva del
                                  Consejo relativa a la protección de las
                                  personas        físicas   con   respecto    al
                                  tratamiento de datos personales y a la
                                  libre circulación de dichos datos.
Número de referencia del documento :
LA PROPUESTA
1.   Teniendo en cuenta el principio de subsidiariedad, ¿por qué es
     necesaria una legislación comunitaria en este âmbito y cuáles son sus
     principales objetivos?
     Los flujos de datos personales que circulan entre los diferentes
     agentes económicos y sociales radicados en Estados miembros diferentes
     y el tratamiento de dichos datos por parte de esos mismos agentes
     están creciendo de manera notable, debido a la propia realización del
     mercado interior:
        flujos entre empresas privadas o públicas;
        flujos entre   unidades  que      dependen  jurídicamente de  la   misma
        empresa;
        flujos entre administraciones nacionales que deben             cooperar
        mutuamente con arreglo a diferentes normas comunitarias;
        flujos hacia centros de investigación, en el ámbito sanitario, por
        ejemplo, etc.
     Las importantes divergencias entre las legislaciones nacionales
     -conviene reseñar, por otra parte, que 4 Estados miembros todavía no
     poseen una normativa específica en materia de protección de datos,
     como son Bélgica, Grecia, Italia y España- hacen surgir:
     -  obstáculos a la libre circulación de los datos personales,
        especialmente a la de los dirigidos a un Estado miembro que no
        posee normativa al respecto, ya que éstas están encaminadas a
        proteger los derechos y libertades fundamentales de las personas
        físicas, y en particular su intimidad;
        falseamientos de la competencia entre los agentes económicos de la
        Comunidad, ya que unos tienen que soportar el peso de las
        legislaciones protectoras, y otros no, en función del Estado
        miembro en que estén radicados.
                                        )
                                        i
                                      i
                                      i
                                     I
 ---pagebreak---                                   - 137 -
     Por otra parte, la aplicación de normas en materia de protección de
     datos tiende a fomentar el desarrollo del mercado de la información,
     por la seguridad jurídica que dichas normas dan a los organismos
     interesados.
     La intervención de la Comunidad resulta, pues, fundamental. Debe
     consistir en un acercamiento entre las diferentes normativas
     nacionales. El Convenio del Consejo de Europa de 28 de enero de 1981
     para la protección de las personas con respecto al tratamiento
     automatizado de datos personales, único instrumento de Derecho
     internacional en este ámbito, deja un gran margen de maniobra para la
     aplicación de los principios que sienta y no permite por ello una
     armonización suficiente de cara al mercado interior.
REPERCÜSIÓN SOBRE LAS EMPRESAS, LAS ADMINISTRACIONES PÚBLICAS Y LOS DEMÁS
ORGANISMOS, EN PARTICULAR LAS FUNDACIONES Y ASOCIACIONES
2. ¿Quién se verá afectado por la propuesta?
     La propuesta se refiere, al margen de su dimensión o su sector de
     actividad, a todas las empresas públicas y privadas, a las
     administraciones públicas cuyas actividades están reguladas por el
     Derecho comunitario, así como a las fundaciones y asociaciones sin
     ánimo de lucro, en la medida en que efectúen tratamientos de datos
     personales (gestión de proveedores y clientes, gestión del personal,
     de los miembros o corresponsales de las asociaciones y fundaciones,
     tratamiento de datos relativos a los administrados, oferta de
     servicios de información sobre personas físicas).
     Sin embargo, tal y como demostraron las consultas previstas en el
     punto 6, los sectores industriales más directamente interesados por la
     aplicación de esta Directiva son las empresas y organismos del sector
     terciario cuyas actividades se dirigen a personas físicas y cuyo
     crecimiento depende del tratamiento de la información: empresas de
     marketing directo, entidades financieras, compañías de seguros y
     agencias de clasificación de créditos.
3.   ¿Qué medidas   deberán  adoptar  las  empresas  para  ajustarse  a  la
     propuesta?
     Deberán crear procedimientos de decisión y organización en los que
     participen, en función de la estructura y las dimensiones del
     organismo, el responsable de informática y de organización, el
     servicio usuario de estas técnicas, el servicio jurídico y el
     responsable del organismo. En la fase de concepción de los nuevos
     tratamientos de datos personales, antes de las inversiones, el
     organismo deberá:
                                        /
 ---pagebreak---                                   - 138 -
     -  comprobar la licitud de los tratamientos previstos;
        prever la información que deberá darse a los interesados (lo que
        podrá hacerse aprovechando los contactos habituales entre el
        responsable del tratamiento y los interesados);
     -  prever las medidas técnicas y de organización necesarias para
        garantizar la seguridad de los tratamientos y de los datos;
        estudiar qué procedimiento de notificación debe utilizarse. Tras
        reunir los elementos de información necesarios, el responsable
        constatará que no es necesario proceder a la notificación,
        recurrirá a un procedimiento simplificado o creará un expediente.
     El responsable del tratamiento debe además velar por la aplicación de
     un procedimiento para responder a las posibles demandas de acceso de
     los interesados a los datos que les conciernen, a las eventuales
     denuncias y a organizarse para controlar la correcta aplicación de las
     medidas de seguridad.
     Estas actividades deberán realizarse paralelamente a la aplicación de
     los nuevos tratamientos, de modo que podrán planificarse en función de
     la elaboración técnica de los tratamientos.
     Para los tratamientos realizados antes de la entrada en vigor de las
     disposiciones nacionales adoptadas en aplicación de la Directiva,
     estas actividades podrán escalonarse en un periodo de tres años, tal y
     como lo prevé la Directiva.
     En el caso de los organismos radicados en Estados miembros que ya
     dispongan de legislación en este ámbito, las medidas que exige la
     Directiva no difieren de las que ya habrán aplicado.
     En el caso de los organismos radicados en Estados miembros que no
     dispongan de dicha legislación, resulta necesario dotarse de
     instrumentos a tal fin. Las autoridades de control competentes pueden
     constituir una ayuda inestimable para facilitar esta aplicación en la
     fase inicial (asesoría, procedimiento de simplificación de la
     notificación de determinados tratamientos, etc.).
4. ¿Qué consecuencias económicas podría tener la propuesta?
     La protección de la intimidad de las personas, tal y como la estipula
     la Directiva, incrementará la aceptación social de la utilización de
     los diferentes tratamientos de datos personales y, por ende, la
     aceptación de su expansión, lo que constituye un factor positivo de
     cara al crecimiento y a la creación de puestos de trabajo en los
     sectores público y privado.
     Por otra parte, estas normas de protección tienden a eliminar los
     falseamientos de la competencia producidos por la disparidad actual
     entre las normativas nacionales. En lo que respecta a su
     competitividad internacional, la Directiva prevé negociaciones con los
     terceros países que todavía no garantizan un grado de protección
     adecuado.
 ---pagebreak---                                   - 139 -
5.   ¿Contiene la propuesta medidas que tengan      presente  la  situación
     especial de las pequeñas y medianas empresas?
     No. Sin embargo, es de esperar que la mayoría de los tratamientos
     efectuados por las PYME correspondan a categorías que, de acuerdo con
     el sistema propuesto, podrían acogerse a la exención de la obligación
     de notificación o beneficiarse de una simplificación (el cumplimiento
     de estas formalidades no debería suponer más que unas pocas horas de
     trabajo). Por otra parte, la Directiva no prevé ninguna tasa por el
     cumplimiento de las formalidades de notificación.
CONSULTA
6.   Relación de los organismos consultados sobre la propuesta y exposición
     de los principales elementos de su postura
     a) La consulta de los sectores afectados se realizó, en primer lugar,
        por mediación del Comité Económico y Social, que emitió un dictamen
        favorable sobre la propuesta (DO na C 159 de 17/06/1991, pág. 38),
        así como del Comité de Comercio y de la Distribución (CCD) y del
        Consejo Consultivo de los Consumidores.
     b) Los contactos directos, por iniciativa de los servicios o de los
        sectores profesionales, se centraron, en el caso de la propuesta
        modificada, en las asociaciones profesionales con vocación europea,
        bien por el carácter horizontal de la propuesta, caso de la UNICE,
        bien por tratarse de los sectores más afectados, especialmente la
        Federación Bancaria, el CELD, la FEWITA, el GEDIS, la Federación
        Europea de Marketing Directo, EAT, CHANGE (asociaciones sin ánimo
        de lucro), la Asociación Europea sobre Encuestas de Opinión y de
        Marketing, ACT/EBU, EPC, ENPA, CAEJ, UER, FAEP (para los aspectos
        relacionados con la prensa y el sector audiovisual).
     Los elementos esenciales de estas posturas se refieren, en el caso de
     la propuesta inicial, a:
        el carácter demasiado detallado de la propuesta;
        la excesiva importancia concedida al consentimiento del interesado,
        como condición para el tratamiento de datos personales;
        la prohibición de cualquier      decisión  automatizada  y   de  la
        elaboración de perfiles;
        la lentitud y la inadecuación de las obligaciones en materia de
        información del interesado y la notificación a las autoridades de
        control;
     -  la imposibilidad de seguir comerciando con un tercer país que no
        garantice un grado de protección adecuado;
 ---pagebreak---                              - 140 -
   el peligro de atentar contra la libertad de expresión, si ciertos
   Estados miembros no conceden las exenciones necesarias para
   conciliar las normas relativas al ejercicio de esta libertad con
   las de la protección de la intimidad.
La propuesta modificada ha procurado aportar las aclaraciones o
cambios necesarios, respetando el objetivo de mantener un alto grado
de protección, sin el que no podría garantizarse la libre circulación.
 ---pagebreak---                                             - 141 -
                                                                      ISSN 0257-9545
                                                               COM(92) 422 final
                                                    DOCUMENTOS
 ES                                                                             06
                                      N° de catálogo : CB-CO-92-437-ES-C
                                                             ISBN 92-77-47938-8
Oficina de Publicaciones Oficiales de Ias Comunidades Europeas
L-2985 Luxemburgo