CELEX: 51990PC0314(01)
Language: es
Date: 1990-09-13
Title: PROPUESTA DE DIRECTIVA DEL CONSEJO RELATIVA A LA PROTECCION DE LAS PERSONAS EN LO REFERENTE AL TRATAMIENTO DE DATOS PERSONALES

5. 11. 90                               Diario Oficial de las Comunidades Europeas                                N° C 277/3
              Propuesta de Directiva del Consejo relativa a la protección de las personas en lo referente al
                                               tratamiento de datos personales
                                               COM(90) 314 final — SYN 288
                                    (Presentada por la Comisión el 27 de julio de 1990)
                                                         (90/C 277/03)
EL CONSEJO DE LAS COMUNIDADES EUROPEAS,                           (4)  Considerando que el fortalecimiento de la coopera-
                                                                       ción científica y técnica, junto con el establecimiento
                                                                       coordinado de nuevas redes de telecomunicaciones en
Visto el Tratado constitutivo de la Comunidad Económica                la Comunidad, exigen y facilitan la circulación
Europea y, en particular, sus artículos 100 A y 113,                   transfronteriza de datos personales;
                                                                  (5)  Considerando que la diferencia entre los niveles de
Vista la propuesta de la Comisión,                                     protección de la intimidad garantizados en los Estados
                                                                       miembros en lo referente al tratamiento de datos
                                                                       personales puede impedir la transmisión de dichos
En cooperación con el Parlamento Europeo,                              datos del territorio de un Estado miembro al de otro;
                                                                       que, por lo tanto, esta diferencia puede constituir un
                                                                       obstáculo al ejercicio de una serie de actividades
Visto el dictamen del Comité Económico y Social,                       económicas a escala comunitaria, falsear la competen-
                                                                       cia y dificultar la misión de las administraciones que
                                                                       intervienen en el ámbito de aplicación del Derecho
(1)  Considerando que los objetivos de la Comunidad                    comunitario; que esta diferencia de grados de
     enunciados en el Tratado, en la versión dada al mismo             protección se debe a la disparidad existente entre las
     por el Acta Única Europea, consisten en realizar una              disposiciones legales, reglamentarias y administrati-
     unión cada vez más estrecha entre los pueblos                     vas de los Estados miembros;
     europeos, establecer relaciones más estrechas entre los
     Estados reunidos en la Comunidad, asegurar, median-
                                                                   (6) Considerando que, para eliminar los obstáculos a la
     te una acción común, el progreso económico y social
                                                                       circulación de datos personales, el nivel de protección
     eliminando las barreras que dividen Europa, fomentar
                                                                       de la intimidad debe ser, por lo que se refiere al
     la continua mejora de las condiciones de vida de estos
                                                                       tratamiento de esos datos, equivalente en todos los
     pueblos, consolidar la defensa de la paz y de la
                                                                       Estados miembros; que, para ello, es necesario
     libertad, y promover la democracia basándose en los
                                                                       aproximar las legislaciones aplicables en la materia;
     derechos fundamentales reconocidos en las constitu-
     ciones y leyes de los Estados miembros y en el
     Convenio europeo para la protección de los derechos           (7) Considerando que el objeto de las legislaciones
     humanos y de las libertades fundamentales;                        nacionales relativas al tratamiento de datos personales
                                                                       consiste en asegurar el respeto de los derechos
                                                                       fundamentales, particularmente el derecho a la
(2)  Considerando que el establecimiento y el funciona-                intimidad reconocido en el artículo 8 del Convenio
     miento del mercado interior, dentro del cual estará               para la protección de los derechos humanos y de las
     garantizada, con arreglo al artículo 8 A del Tratado, la          libertades fundamentales, así como en los principios
     libre circulación de mercancías, personas, servicios y            generales del Derecho comunitario; que, por lo tanto,
     capitales, hacen necesaria no sólo la circulación de los          la aproximación de tales legislaciones no debe
     datos personales, cualquiera que sea el Estado                    conducir a una disminución de la protección que éstas
     miembro en que se traten o soliciten, sino también la             garantizan sino que, por el contrario, debe tener por
     protección de los derechos fundamentales, habida                  objetivo asegurar un alto nivel de protección dentro de
     cuenta de que en la Comunidad se viene registrando                la Comunidad;
     un número creciente de tratamientos de datos
     personales en los diferentes sectores de las actividades
     económicas y sociales;                                        (8) Considerando que los principios de la protección de la
                                                                       intimidad en lo referente al tratamiento de datos
                                                                       personales, que constituyen el objeto de la presente
                                                                       Directiva, podrán completarse o precisarse, especial-
 (3) Considerando que el mercado interior implicará un                 mente en determinados sectores, mediante normas
     espacio sin fronteras; que, por esta razón, las                   específicas conformes a dichos principios;
     administraciones nacionales de los diferentes Estados
     miembros, en aplicación del Derecho comunitario, se
     ven en la creciente necesidad de colaborar e intercam-        (9) Considerando que los principios de la protección
     biar datos personales a fin de cumplir su misión y                deben aplicarse a todos los ficheros siempre que las
     ejecutar diferentes cometidos por cuenta de las                   actividades del responsable del fichero entren dentro
     administraciones de otros Estados miembros;                       del ámbito de aplicación del Derecho comunitario;
 ---pagebreak---  N° C 277/4                               Diario Oficial de las Comunidades Europeas                                    5. 11. 90
      que los ficheros del sector público que no entren             (16) Considerando que, para ser objeto de tratamiento, los
      dentro del ámbito de aplicación del Derecho comuni-                datos deben cumplir determinados requisitos; que el
      tario deben estar sujetos a los mismos principios de               tratamiento de datos que por su misma naturaleza
      protección recogidos en las legislaciones nacionales,              puedan atentar contra el derecho a la intimidad debe
      como lo prevé la Resolución de los representantes de               estar prohibido, salvo consentimiento explícito del
      los Gobiernos de los Estados miembros de las                       interesado; que, no obstante, por importantes razones
      Comunidades Europeas, reunidos en el seno del                      de interés público, en particular para la profesión
      Consejo, de ...; que, no obstante, deben excluirse los             médica, pueden establecerse excepciones sobre la base
      ficheros relacionados exclusivamente con el ejercicio              de una ley que fije precisa y estrictamente las
      del derecho a la intimidad de un persona física, como,             condiciones y límites del tratamiento de este tipo de
      por ejemplo, los ficheros personales de direcciones;               datos;
                                                                    (17) Considerando que, en lo referente a los datos
 (10) Considerando que es necesario que todo tratamiento                 personales, la protección de la intimidad exige la
      de datos personales efectuado en la Comunidad                      adopción de medidas de seguridad apropiadas, tanto
      respete la legislación del Estado miembro en el que esté           en la fase de concepción del tratamiento como con
      situado el fichero, a fin de que nadie quede privado de            relación a la tecnología de éste, a fin de impedir todo
      la protección que debe garantizársele en virtud de la              tratamiento no autorizado;
      presente Directiva; que, a este respecto, cada parte de
      un fichero repartido en diversos Estados miembros
      debe considerarse a todos los efectos como un fichero        (18) Considerando que, en el ámbito de los medios de
      completo y su instalación en un tercer país no debe                comunicación, los Estados miembros pueden estable-
      impedir la citada protección;                                      cer excepciones a las disposiciones de la presente
                                                                         Directiva siempre que estén encaminadas a conciliar el
                                                                         derecho a la intimidad con la libertad de información y
(11) Considerando que todo tratamiento de datos persona-                 el derecho a recibir y comunicar información,
      les debe ser legítimo; que su legitimidad debe estar               garantizado en el artículo 10 del Convenio para la
      fundada en el consentimiento del interesado, en el                 protección de los derechos humanos y de las libertades
      Derecho comunitario o en las legislaciones nacio-                  fundamentales;
      nales;
                                                                   (19) Considerando que los Estados miembros deben
                                                                         fomentar la elaboración por los medios profesionales
(12) Considerando que las legislaciones nacionales pueden                de códigos deontológicos o de buena conducta
      precisar, en las condiciones previstas en la presente              europeos, para determinados sectores específicos; que
      Directiva, las normas relativas a la legitimidad del               la Comisión apoyará estas iniciativas y las tendrá en
      tratamiento; que, no obstante, esta posibilidad no                 cuenta a la hora de examinar la conveniencia de
      puede servir de fundamento para el control por parte               adoptar nuevas medidas específicas para determina-
      de un Estado miembro que no sea aquel en el que esté               dos sectores;
      situado el fichero, habida cuenta de que la obligación
      de este último de garantizar, con arreglo a la presente
      Directiva, la protección de la intimidad en lo referente     (20) Considerando que, en caso de incumplimiento de las
      al tratamiento de datos personales es suficiente, por lo           disposiciones previstas en la presente Directiva, la
      que se refiere al Derecho comunitario, para permitir la            responsabilidad debe recaer, en caso de interponerse
      libre circulación de datos;                                        una acción por daños y perjuicios, en el responsable
                                                                         del fichero; que deben aplicarse sanciones disuasivas a
                                                                         fin de garantizar una protección efectiva;
(13) Considerando que los procedimientos de notificación,
      para los ficheros del sector público o privado, y de         (21) Considerando que es, asimismo, necesario permitir la
      información en el momento de la primera comunica-                  transferencia de datos personales a terceros países que
      ción, para los ficheros del sector privado, tienen por             tengan un nivel de protección adecuado; que, a falta
      objeto asegurar la transparencia indispensable para el             de tal protección, la presente Directiva prevé, en
      ejercicio del derecho de acceso del interesado a los               particular, procedimientos de negociación con dichos
      datos que le conciernen;                                           países;
                                                                   (22) Considerando que los principios contenidos en la
(14) Considerando que el interesado debe recibir una
                                                                         presente Directiva concretan y amplían los del
      información efectiva y completa cuando se solicite su
                                                                         Convenio, de 28 de enero de 1981, del Consejo de
      consentimiento, dependiendo de ello su validez, y
                                                                         Europa para la protección de las personas en lo
      cuando se le soliciten datos sobre su persona;
                                                                         referente al tratamiento automatizado de datos
                                                                         personales;
(15) Considerando que el interesado debe disfrutar del
      derecho de acceso a fin de comprobar la legitimidad          (23) Considerando que la existencia de una autoridad de
      del tratamiento de los datos que le conciernan, así                control independiente en cada Estado miembro es un
      como la calidad de éstos;                                          elemento esencial de la protección de las personas en
 ---pagebreak--- 5. 11. 90                                 Diario Oficial de las Comunidades Europeas                                 N° C 277/5
      lo referente al tratamiento de datos personales; que, a         diversos emplazamientos, que sean objeto de un
      nivel comunitario, debe crearse un Grupo de protec-             tratamiento automatizado o que, sin serlo, estén
      ción de datos personales, que ejerza sus funciones con          estructurados y sean accesibles dentro de una recopila-
      total independencia; que, habida cuenta de su carácter          ción organizada según criterios determinados con
      específico, debe asesorar a la Comisión y contribuir a          objeto de facilitar su utilización o interconexión;
      la aplicación homogénea de las normas nacionales
      adoptadas en aplicación de la presente Directiva;
                                                                   d) «tratamiento », las siguientes operaciones, efectuadas o
                                                                      no mediante procedimientos automatizados: registro,
(24) Considerando que la adopción de medidas comple-                  conservación, interconexión, modificación, utilización
      mentarias para la aplicación de los principios de la            y comunicación de datos, en particular, su transmisión,
      presente Directiva exige la atribución a la Comisión de         difusión y extracción, así como su bloqueo y supresión;
      facultades reglamentarias y el establecimiento de un
      Comité consultivo con arreglo a las normas estableci-
      das en la Decisión 87/373/CEE del Consejo ( ! ).             e) « responsable del fichero », la persona natural o jurídica,
                                                                      autoridad pública, servicio o cualquier otro organismo
                                                                      que, con arreglo al Derecho Comunitario o a la
                                                                      legislación de un Estado miembro, sea competente para
HA ADOPTADO LA PRESENTE DIRECTIVA:                                    decidir la finalidad del fichero, qué categorías de datos
                                                                      personales deben registrarse, qué operaciones deben
                                                                      aplicárseles a éstos y a qué terceros está permitido el
                                                                      acceso a los mismos;
                          CAPÍTULO I
                 DISPOSICIONES GENERALES
                                                                   f) «autoridad de control», aquella autoridad pública
                                                                      independiente, o cualquier otra instancia independien-
                           Artículo 1                                 te, designada por cada uno de los Estados miembros de
                    Objeto de la Directiva                            conformidad con el artículo 26 de la presente Directiva;
1. Los Estados miembros garantizarán, con arreglo a las            g) «sector público», el conjunto de las administraciones,
disposiciones de la presente Directiva, la protección de la           organismos y entidades de un Estado miembro sujetos al
intimidad de las personas en lo referente al tratamiento de           Derecho público (con excepción de aquellas que
los datos personales contenidos en ficheros.                          participen en una actividad industrial o comercial) y los
                                                                      organismos y entidades de Derecho privado que
2. Los Estados miembros no podrán restringir o prohibir               participen en el ejercicio de la autoridad pública;
la libre circulación de datos personales entre los Estados
miembros por motivos relacionados con la protección
                                                                   h) «sector privado», toda persona natural o jurídica, o
asegurada en virtud del apartado 1.
                                                                      asociación (administraciones, organizaciones y entida-
                                                                      des del sector público inclusive), en la medida en que
                                                                      ejerza una actividad industrial o comercial.
                           Artículo 2
                          Definiciones
                                                                                             Artículo 3
A efectos de la presente Directiva, se entenderá por:
                                                                                       Ámbito de aplicación
a) «datos personales», toda información sobre una
    persona natural identificada o identificable («el              1. Los Estados miembros aplicarán las disposiciones de la
    interesado »); se considerará identificable toda persona       presente Directiva a los ficheros del sector privado y del
    cuya identidad pueda determinarse mediante un                  sector público, con excepción de los ficheros del sector
    número de identificación u otra información similar;           público cuyas actividades no estén comprendidas en el
                                                                   ámbito de aplicación del Derecho comunitario.
b) «procedimiento de disociación» (anónimo), toda
    modificación de datos personales cuyo objeto sea que la
                                                                   2. Las disposiciones de la presente Directiva no se
    información contenida en éstos no pueda seguir                 aplicarán a los siguientes ficheros:
    asociándose con una persona física determinada o
    determinable, o únicamente pueda asociarse a tal
    persona a expensas de una inversión excesiva de tiempo         a) aquellos pertenecientes a una persona natural con fines
    y recursos humanos y económicos;                                  exclusivamente privados y personales, ni a
c) « fichero de datos personales » (fichero), todo conjunto        b) aquellos pertenecientes a asociaciones sin ánimo de
    de datos personales, centralizados o repartidos en                lucro, especialmente, las de carácter político, filosófico,
                                                                      religioso, cultural, sindical, deportivo o recreativo y que
                                                                      se utilicen en el marco de finalidades legítimas, a
(!) DO n° L 197 de 18. 7. 1987, p. 33.                                condición de que se refieran únicamente a los socios y
 ---pagebreak--- N° C 277/6                                 Diario Oficial de las Comunidades Europeas                                   5. 11. 90
    miembros correspondientes de la asociación que hayan                — sea necesario a fin de prevenir una amenaza
    accedido a figurar en dichos ficheros y siempre que no                  inminente al orden público o una violación grave de
    sean comunicados a terceros.                                            los derechos de terceros.
                          Artículo 4
                                                                                             Artículo 6
                      Derecho aplicable
                                                                     Tratamiento en el sector público para la comunicación
1. Los Estados miembros aplicarán las disposiciones de la                                de datos personales
presente Directiva a:
                                                                    1. Los Estados miembros preverán en su legislación que la
a) todos los ficheros existentes en su territorio;
                                                                    comunicación de datos personales contenidos en ficheros
                                                                    de una entidad del sector público únicamente sea legítima:
b) los responsables de los ficheros que residan en su
    territorio y desde éste utilicen ficheros de un tercer país
    cuya legislación no ofrezca un nivel de protección              a) cuando sea necesaria para el ejercicio de las funciones de
    adecuado, salvo que utilicen dichos ficheros de manera              la entidad del sector público que comunique o que
    esporádica.                                                         solicite la comunicación de esos datos, o
2. Los Estados miembros aplicarán las disposiciones de
los artículos 5, 6, 8, 9, 10, 17, 18 y 21 a los usuarios que        b) a petición de una persona natural o jurídica del sector
consulten un fichero situado en un país tercero por medio               privado que invoque un interés legítimo, a condición de
de un terminal sito en el territorio de un Estado miembro,              que no prevalezca el interés del interesado.
salvo que dicha utilización tenga carácter esporádico.
                                                                    2. Sin perjuicio de las disposiciones contempladas en el
3. Los Estados miembros no podrán oponerse a la                     apartado 1, los Estados miembros podrán precisar las
introducción temporal en su territorio de un fichero                condiciones que determinen la legitimidad de la comunica-
procedente de otro Estado miembro ni exigir más                     ción de datos personales.
formalidades que las aplicables en el Estado miembro en
que el fichero en cuestión tenga su ubicación permanente.
                                                                    3. En los casos contemplados en la letra b) del apartado 1
                                                                    los Estados miembros dispondrán en su legislación que el
                                                                    responsable del fichero informe a los interesados de la
                         CAPÍTULO II                                comunicación de los datos personales. No obstante, los
             LEGITIMIDAD DEL TRATAMIENTO                            Estados miembros podrán prever la sustitución de dicha
                  EN EL SECTOR PÚBLICO                              obligación de informar a los interesados por una autoriza-
                                                                    ción previa de la autoridad de control.
                          Artículo 5
                          Principios
                                                                                             Artículo 7
1. Sin perjuicio de las disposiciones del artículo 6, los
Estados miembros preverán en su legislación, respecto a los            Obligación de notificación a la autoridad de control
ficheros del sector público:
a) que se consideren legítimos el establecimiento de un             1. Los Estados miembros preverán en su legislación que el
    fichero y cualquier otro tratamiento de datos personales        establecimiento de un fichero del sector público cuyos
    cuando sean necesarios para la ejecución de los                 datos personales puedan ser comunicados sea notificado
    cometidos de la autoridad pública responsable del               previamente a efectos de su inscripción en un registro de la
    fichero;                                                        autoridad de control. Este registro podrá ser consultado
                                                                    por cualquier persona.
b) que se considere legítimo el tratamiento de datos con
    una finalidad distinta de aquélla para la que se haya
                                                                    2. Los Estados miembros determinarán qué informacio-
    establecido el fichero cuando:
                                                                    nes deban notificarse a la autoridad de control. Estas
                                                                    informaciones incluirán, al menos, el nombre y dirección
    — el interesado dé su consentimiento,                           del responsable del fichero, la finalidad del mismo, una
                                                                    descripción de los tipos de datos que contenga, los terceros
    — el tratamiento se efectúe sobre la base del Derecho
                                                                    que puedan recibir los datos y una descripción de las
        comunitario, de una ley o de un acto adoptado en
                                                                    medidas adoptadas en aplicación del artículo 18.
        aplicación de una ley de un Estado miembro
        conforme a la presente Directiva y que autorice
        dicho tratamiento y fije sus límites,                       3. Los Estados miembros podrán prever que las normas
                                                                    de los apartados 1 y 2 se apliquen a otros ficheros del sector
    — a ese cambio de finalidad no se oponga un interés             público y que pueda limitarse la consulta del registro por
        legítimo del interesado, o                                  las razones mencionadas en el apartado 1 del artículo 15.
 ---pagebreak---  5. 11. 90                               Diario Oficial de las Comunidades Europeas                                N° C 277/7
                        CAPÍTULO III                                                        Artículo 10
             LEGITIMIDAD DEL TRATAMIENTO
                  EN EL SECTOR PRIVADO                                       Excepciones especiales a la obligación
                                                                                    de informar al interesado
                          Artículo 8
                          Principios                              Si el cumplimiento de la obligación de informar al
                                                                  interesado, contemplada en el apartado 1 del artículo 9,
 1. Los Estados miembros preverán en su legislación que,          resultase imposible o exigiese esfuerzos desproporciona-
 sin el consentimiento del interesado, el registro en un          dos, o tropezase con intereses legítimos y prioritarios del
 fichero y cualquier otro tratamiento de datos personales         responsable del fichero o con un interés similar de un
 sólo sean legítimos si se ajustan a las disposiciones de la      tercero, los Estados miembros podrán disponer en su
 presente Directiva y si:                                         legislación que la autoridad de control esté facultada para
                                                                  autorizar una excepción.
 a) se efectúan con arreglo a un contrato celebrado con el
     interesado o al amparo de una relación de confianza casi
     contractual con éste y, además, son necesarios para el                                Artículo 11
     cumplimiento del contrato; o
                                                                     Obligación de notificación a la autoridad de control
 b) los datos provienen de fuentes generalmente accesibles
     para el público y su tratamiento tiene como única             1. Los Estados miembros preverán en su legislación que el
     finalidad la correspondencia; o                              responsable de un fichero de datos personales notifique la
                                                                  creación de éste cuando los datos se destinen a ser
c) el responsable del fichero defiende un interés legítimo        comunicados y no provengan de fuentes generalmente
     sobre el que no prevalezca el interés del interesado.        accesibles para el público. La notificación deberá ir dirigida
                                                                  a la autoridad de control del Estado miembro en el que esté
                                                                  situado el fichero o, cuando no esté ubicado en un Estado
2. Los Estados miembros preverán en su legislación que
                                                                  miembro, a la autoridad de control del Estado miembro en
incumba al responsable del fichero asegurarse de la
                                                                  que resida el responsable del fichero. Éste deberá notificar a
compatibilidad de las comunicaciones con la finalidad de
                                                                  las autoridades nacionales competentes todo cambio de
dicho fichero, y de que éstas no afectan al orden público. En
                                                                  finalidad del fichero o de su dirección.
caso de consulta en línea, el usuario estará sujeto a las
mismas obligaciones.
                                                                  2. Los Estados miembros determinarán qué información
3. Sin perjuicio de las disposiciones contempladas en el          debe notificarse a la autoridad de control. Esta información
apartado 1, los Estados miembros podrán precisar las              deberá incluir, al menos, el nombre y dirección del
condiciones que determinen la legitimidad del tratamiento         responsable del fichero, su finalidad, una descripción de los
de datos personales.                                              tipos de datos que contenga, los terceros que puedan recibir
                                                                  los datos y una descripción de las medidas adoptadas en
                                                                  aplicación del artículo 18.
                          Artículo 9
                                                                  3. Los Estados miembros podrán establecer que las
                                                                  disposiciones del aparatado 1 y 2 se apliquen a otros
            Obligación de informar al interesado                  ficheros del sector privado y que el público tenga acceso a la
                                                                  información contemplada en el apartado 2.
1. Por lo que se refiere al sector privado, los Estados
miembros dispondrán en su legislación que, en el momento
de la primera comunicación o cuando se plantee una
posibilidad de consulta en línea, el responsable informe de
                                                                                          CAPÍTULO IV
ello al interesado y le indique, asimismo, la finalidad del
fichero, el tipo de datos que contiene y su nombre y                             DERECHOS DEL INTERESADO
dirección.
                                                                                           Artículo 12
2. En el caso previsto en la letra b) del apartado 1 del                           Consentimiento informado
artículo 8 no será obligatoria la información prevista en el
apartado 1. Tampoco habrá obligación de informar
                                                                  El consentimiento del interesado para el tratamiento de
cuando la comunicación venga impuesta por imperativo
                                                                 datos personales que le conciernan, tal como se define en la
legal.
                                                                 presente Directiva, únicamente será válido cuando:
3. Si el interesado se opone a la comunicación o a
                                                                 a) el interesado disponga de la siguiente información:
cualquier otro tratamiento, el responsable del fichero
deberá interrumpir el tratamiento impugnado, salvo que lo
autorice una disposición legal.                                      — fines del fichero y tipos de datos registrados;
 ---pagebreak--- N° C 277/8                               Diario Oficial de las Comunidades Europeas                                   5. 11. 90
    — tipo de utilización y, en su caso, destinatarios de los      3. A conocer la existencia de un fichero y sus finalidades
        datos personales contenidos en el fichero;                    principales, así como la identidad y residencia habitual,
                                                                      domicilio social o establecimiento del responsable del
    — nombre y dirección del responsable del fichero;                 fichero.
                                                                  4. A obtener, con una frecuencia razonable y sin esperas ni
b) el consentimiento sea específico y expreso y precise qué
                                                                      gastos excesivos, la confirmación de la existencia o
    tipos de datos, formas de tratamiento y posibles
                                                                      inexistencia en un fichero de datos personales que le
    destinatarios abarca;
                                                                      conciernan, así como, en su caso, la comunicación de
                                                                      esos datos en forma inteligible.
c) pueda ser revocado por el interesado en todo momento
    sin efectos retroactivos.                                         Los Estados miembros podrán prever que el derecho de
                                                                      acceso a los datos de carácter médico únicamente pueda
                                                                      ejercerse por mediación de un médico.
                         Artículo 13
                                                                  5. A obtener, en su caso, la rectificación de los datos en
   Información en el momento de la recogida de datos                  cuestión o su supresión o bloqueo cuando su tratamien-
                                                                      to no se ajuste a lo dispuesto en la presente Directiva.
1. Los Estados miembros garantizarán a las personas de
                                                                  6. A obtener, previa petición, la supresión gratuita de los
las que se soliciten datos personales el derecho a ser
                                                                      datos que le conciernan registrados en ficheros de
informadas, al menos sobre:
                                                                      prospección comercial o publicitaria.
a) los fines del fichero al que vaya destinada la informa-        7. En caso de aplicación del apartado 5 del presente
    ción,                                                             artículo y si los datos han sido comunicados a terceros, a
                                                                      obtener la notificación a éstos de la rectificación,
b) el carácter obligatorio o facultativo de su respuesta a las        supresión o bloqueo de dichos datos.
    preguntas que les sean planteadas,
                                                                  8. A disponer de una vía de recurso judicial en caso de
c) las consecuencias que para ellas podría acarrear una               violación de los derechos garantizados en el presente
    falta de respuesta,                                               artículo.
d) los destinatarios de la información,                                                      Artículo 15
e) la existencia del derecho de acceso y de rectificación de         Excepciones al derecho de acceso del interesado a los
    los datos que les conciernan y                                                   ficheros del sector público
f) el nombre y la dirección del responsable del fichero.          1. Los Estados miembros podrán limitar por ley los
                                                                  derechos previstos en los puntos 3 y 4 del artículo 14 por
2. Las disposiciones del apartado 1 no se aplicarán a la          motivos relacionados con:
recogida de datos cuando la información al interesado
impida el cumplimiento de las funciones de control y de           a) la seguridad del Estado,
verificación de una autoridad pública o el mantenimiento
del orden público.                                                b) la defensa,
                                                                  c) actuaciones penales,
                         Artículo 14
                                                                  d) la seguridad pública,
         Derechos complementarios del interesado
                                                                  e) un interés económico y financiero imperativo, debida-
                                                                      mente justificado, de un Estado miembro o de la
Los Estados miembros reconocerán al interesado los                    Comunidad,
siguientes derechos:
                                                                  f) la necesidad de ejercer funciones de control o de
1. A oponerse, por razones legítimas, a que los datos                 inspección de la autoridad pública, o
    personales que le conciernan sean objeto de trata-
    miento.                                                       g) un derecho equivalente de otra persona y derechos y
                                                                      libertades de terceros.
2. A no tener que someterse a ninguna decisión adminis-
   trativa o privada que implique una apreciación de su           2. En los supuestos contemplados en el apartado 1, la
   comportamiento fundada únicamente en un tratamien-             autoridad de control deberá proceder, a petición del
   to automatizado de datos personales que dé una                 interesado, a las verificaciones del fichero que sean
   definición de su perfil o de su personalidad.                  necesarias.
 ---pagebreak--- 5. 11. 90                                 Diario Oficial de las Comunidades Europeas                                N° C 277/9
3. Los Estados miembros podrán limitar el derecho del                                       Artículo 18
interesado a acceder a aquellos datos que hayan sido
recopilados temporalmente a fin de obtener informaciones
                                                                                       Seguridad de los datos
estadísticas.
                                                                   1. Los Estados miembros preverán en su legislación que el
                                                                   responsable del fichero esté obligado a adoptar las medidas
                                                                   técnicas y de organización necesarias para la protección del
                         CAPÍTULO V                                fichero contra su destrucción, accidental o no autorizada,
                  CALIDAD DE LOS DATOS                             así como contra la pérdida accidental, la alteración o el
                                                                   acceso y cualquier otro tratamiento no autorizado de datos
                          Artículo 16                              personales.
                           Principios
                                                                   Estas medidas deberán asegurar para los ficheros automati-
                                                                   zados un nivel de seguridad apropiado, habida cuenta, por
1.   Los Estados miembros preverán que:                            una parte, de los progresos técnicos en la materia y del coste
                                                                   de la aplicación de éstos y, por otra parte, de la naturaleza
a) la recogida y el tratamiento de datos personales se             de los datos que deban protegerse y de la evaluación de los
    efectúen de forma lícita y leal;                               riesgos potenciales. A tal fin, el responsable del fichero
                                                                   deberá tomar en consideración las recomendaciones en
                                                                   materia de seguridad informática y de interoperabilidad de
b) los datos sean registrados con fines determinados,              las redes elaboradas por la Comisión con arreglo a las
    explícitos y legítimos y utilizados de manera compatible       normas previstas en el artículo 29.
    con dichos fines;
                                                                   2. Para la transmisión de datos personales dentro de una
c) los datos sean adecuados, pertinentes y no excesivos con        red deberán elegirse métodos que garanticen un grado
    relación a los fines para los que se registren;                adecuado de seguridad.
d) los datos sean exactos y, cuando sea necesario, se              3. Para las consultas en línea, las instalaciones técnicas y
    actualicen; los datos inexactos o incompletos deberán          los soportes lógicos deberán estar concebidos de manera
    ser suprimidos o rectificados;                                 que las consultas se realicen dentro de los límites de la
                                                                   autorización concedida por el responsable del fichero.
e) los datos no sean conservados en una forma que permita
    la identificación del interesado durante un período            4. Las obligaciones contempladas en los apartados 1 a 3
    superior al necesario para los fines para los que se hayan     incumbirán igualmente a las personas que, de hecho o por
    registrado.                                                    contrato, tengan el control de las operaciones relacionadas
                                                                   con un fichero.
2. Incumbirá a los responsables del fichero garantizar el
respeto de las disposiciones previstas en el apartado 1.           5. Las personas que, por sus actividades profesionales,
                                                                   accedan a informaciones contenidas en ficheros no podrán
                                                                   comunicarlas a terceros sin autorización del responsable
                                                                   del fichero.
                          Artículo 17
               Categorías especiales de datos
                                                                                           CAPÍTULO VI
1. Salvo acuerdo libre, expreso y escrito del interesado,                          DISPOSICIONES ESPECÍFICAS
los Estados miembros prohibirán el tratamiento automati-                       PARA DETERMINADOS SECTORES
zado de datos que revelen el origen racial y étnico, la                                     Artículo 19
opinión política, las convicciones religiosas o filosóficas,
las afiliaciones sindicales, así como las informaciones
relacionadas con la salud y la vida sexual.                        Los Estados miembros podrán establecer, para los
                                                                   organismos de prensa y del sector audiovisual, excepciones
                                                                   a las disposiciones de la presente Directiva, en la medida en
2. Por motivos importantes de interés público, los                 que sean necesarias para conciliar el derecho a la intimidad
Estados miembros podrán establecer excepciones a las               con las normas que rigen la libertad de información y la de
disposiciones del apartado 1 sobre la base de una ley en la        prensa.
que se precisen los tipos de datos que puedan ser
registrados, las personas que tengan acceso al fichero y las
garantías apropiadas contra los usos abusivos y el acceso
no autorizado.                                                                              Artículo 20
3. Los datos relativos a condenas penales únicamente               Los Estados miembros instarán a los medios profesionales
podrán conservarse en ficheros del sector público.                 a participar en la elaboración de códigos deontológicos o de
 ---pagebreak--- N ° C 277/10                             Diario Oficial de las Comunidades Europeas                                    5. 11. 90
buena conducta europeos para determinados sectores,                                       CAPÍTULO VIH
sobre la base de los principios contenidos en la presente                 TRANSFERENCIA DE DATOS PERSONALES
Directiva.                                                                             A TERCEROS PAÍSES
                                                                                            Artículo 24
                                                                                             Principios
                        CAPÍTULO VII
             RESPONSABILIDAD Y SANCIONES                          1. Los Estados miembros preverán en su legislación que la
                                                                  transferencia a un tercer país, temporal o definitiva, de
                         Artículo 21                              datos personales que sean objeto de tratamiento o hayan
                                                                  sido reunidos con objeto de someterlos a tal tratamiento
                      Responsabilidad
                                                                  únicamente pueda efectuarse cuando el tercer país
                                                                  garantice un nivel de protección adecuado.
1. Los Estados miembros preverán en su legislación que
toda persona cuyos datos personales estén registrados en
un fichero y que haya resultado perjudicada por el                2. Los Estados miembros informarán a la Comisión de
tratamiento de éstos o por una acción incompatible con las        los casos en que un tercer país receptor no garantice un
disposiciones de la presente Directiva tenga derecho a            nivel de protección adecuado.
demandar al responsable del fichero por daños y perjuicios.
                                                                  3. Cuando la Comisión compruebe, bien sobre la base de
2. Los Estados miembros podrán establecer que no se               las informaciones de los Estados miembros, bien a partir de
imputen al responsable del fichero los daños ocasionados          otras informaciones, que un tercer Estado no dispone de un
por la pérdida o destrucción de datos de éste o por un            nivel de protección adecuado y que la situación que de ello
acceso no autorizado al mismo, cuando demuestre haber             se deriva es perjudicial para los intereses de la Comunidad o
adoptado las medidas apropiadas para cumplir los                  de un Estado miembro, podrá entablar negociaciones con
requisitos mencionados en los artículos 18 y 22.                  vistas a remediar esta situación.
                                                                  4. La Comisión estará facultada para decidir, con arreglo
                         Artículo 22                              al procedimiento definido en el apartado 2 del artículo 30
                                                                  de la presente Directiva, si un tercer país garantiza un nivel
                                                                  de protección adecuado en consideración a los compromi-
   Tratamiento por cuenta del responsable del fichero             sos internacionales suscritos por éste o a su legislación
                                                                  interna.
1. Los Estados miembros dispondrán en su legislación
que el responsable del fichero garantice, en caso de              5. Las medidas adoptadas en virtud del presente artículo
tratamiento por su cuenta, el respeto de las medidas de           se ajustarán a las obligaciones que la Comunidad haya
seguridad y de organización necesarias, y elija a una             contraído en virtud de acuerdos internacionales, tanto
persona o una empresa que ofrezca garantías suficientes al        bilaterales como multilaterales, sobre la protección de las
respecto.                                                         personas en materia de tratamiento automatizado de datos
                                                                  personales.
2. Las personas que recojan o traten datos personales por
cuenta del responsable del fichero deberán cumplir las
obligaciones previstas en los artículos 16 y 18 de la presente                              Artículo 25
Directiva.
                                                                                           Excepciones
3. El contrato deberá ser escrito y deberá estipular, en
particular, que el destinatario de los datos personales o sus
empleados únicamente pueden divulgar dichos datos                 1. Previa presentación por el responsable del fichero de
previa autorización del responsable del fichero.                  una justificación suficiente para garantizar el respeto de un
                                                                  nivel de protección adecuado, un Estado miembro podrá
                                                                  establecer una excepción a las disposiciones del apartado 1
                         Artículo 23                              del artículo 24 con respecto a una exportación determina-
                                                                  da. No obstante, el Estado miembro únicamente podrá
                                                                  hacer tal excepción tras haber informado a la Comisión y a
                          Sanciones                               los Estados miembros y si ninguno de éstos ni aquélla
                                                                  manifiestan su oposición en un plazo de diez días.
Los Estados miembros preverán en su legislación la
aplicación de sanciones disuasivas a fin de garantizar el         2. En caso de manifestarse tal oposición, la Comisión
cumplimiento de las normas adoptadas en aplicación de la          adoptará las medidas apropiadas con arreglo al procedi-
presente Directiva.                                               miento definido en el apartado 2 del artículo 30.
 ---pagebreak--- 5. 11. 90                                 Diario Oficial de las Comunidades Europeas                               N ° C 277/11
                        CAPÍTULO IX                                a) contribuir a la interpretación homogénea de las normas
                                                                      nacionales adoptadas en aplicación de la presente
AUTORIDAD DE CONTROL Y GRUPO DE PROTECCIÓN
                  DE DATOS PERSONALES                                 Directiva;
                          Artículo 26                              b) emitir un dictamen sobre el nivel de protección existente
                                                                      dentro de la Comunidad y en terceros países;
                    Autoridad de control
                                                                   c) asesorar a la Comisión sobre proyectos de medidas
1. Los Estados miembros velarán por que una autoridad                 complementarias o específicas que deban adoptarse
independiente competente se encargue del control de la                para garantizar la protección de la intimidad.
protección de los datos personales. Esta autoridad
controlará la aplicación de las disposiciones nacionales
adoptadas en virtud de la presente Directiva y ejercerá            2. El Grupo de protección de datos personales informará
todas las funciones que ésta le asigna.                            a la Comisión de toda divergencia grave que compruebe
                                                                   entre la legislación y las prácticas de los Estados miembros
                                                                   en materia de protección de datos personales, y que puedan
2. Esta autoridad dispondrá de los medios de investiga-            poner en peligro la equivalencia de la protección dentro de
ción y del poder efectivo de intervenir contra la creación y       la Comunidad.
explotación de ficheros que no se ajusten a las disposiciones
de la presente Directiva. A tal fin, tendrá acceso a los
                                                                   3. El Grupo de protección de datos personales podrá
ficheros a los que se aplique la presente Directiva y podrá
                                                                   emitir recomendaciones sobre todos los asuntos relaciona-
recabar toda la información necesaria para el cumplimien-
                                                                   dos con la protección de las personas en lo referente a los
to de su misión de control.
                                                                   datos personales dentro de la Comunidad. Las recomenda-
                                                                   ciones constarán en acta y podrán transmitirse al Comité
3. Cualquier persona podrá someter a dicha autoridad               consultivo mencionado en el artículo 30. La Comisión
quejas o reclamacions relativas a la protección de las             informará al Grupo de protección de datos personales del
personas en lo referente a los datos personales.                   curso dado a sus recomendaciones.
                                                                   4. El Grupo de protección de datos personales elaborará
                          Artículo 27                              un informe anual sobre el estado de la protección de las
                                                                   personas en lo referente al tratamiento de datos personales
                                                                   dentro de la Comunidad y en los terceros países, y lo
         Grupo de protección de datos personales                   comunicará a la Comisión.
 1. Se crea un Grupo de protección de datos personales.
Este Grupo, de carácter consultivo e independiente, estará
compuesto por representantes de la autoridad de control,                                    CAPÍTULO X
prevista en el artículo 26, de todos los Estados miembros, y            POTESTAD REGLAMENTARIA DE LA COMISIÓN
estará presidido por un representante de la Comisión.
                                                                                             Artículo 29
2. Los servicios de la Comisión se harán cargo de la                          Ejercicio de la potestad reglamentaria
secretaría del Grupo de protección de datos personales.
                                                                   Con arreglo al procedimiento previsto en el apartado 2 del
3. El Grupo de protección de datos personales establecerá          artículo 30, la Comisión adoptará las normas técnicas
su propio reglamento de régimen interior.                          necesarias para aplicar la presente Directiva a las
                                                                   características específicas de determinados sectores,
                                                                   atendiendo a los progresos técnicos en la materia y a los
4. El Grupo de protección de datos personales examinará            códigos de buena conducta.
 los asuntos incluidos en el orden del día por su presidente,
 bien por iniciativa de éste, bien a petición motivada de un
representante de las autoridades de control; dichos asuntos
                                                                                             Artículo 30
se referirán a la aplicación de las disposiciones del Derecho
comunitario en materia de protección de datos personales.
                                                                                         Comité consultivo
                          Artículo 28                               1. La Comisión estará asistidda por un Comité consultivo
                                                                   compuesto por representantes de los Estados miembros y
                                                                   presidido por el representante de la Comisión.
  Funciones del Grupo de protección de datos personales
                                                                   2. El representante de la Comisión someterá al Comité un
 1. El Grupo de protección de datos personales tendrá las          proyecto de las medidas que deban adoptarse. El Comité
siguientes funciones :                                             emitirá su dictamen sobre dicho proyecto en un plazo que el
 ---pagebreak--- N ° C 277/12                                      Diario Oficial de las Comunidades Europeas                                  5. 11. 90
presidente podrá fijar en función de la urgencia del asunto,               2. Los Estados miembros comunicarán a la Comisión el
procediendo, en su caso, a una votación. El dictamen se                    texto de las disposiciones de Derecho interno que adopten
incluirá en el acta; además, cada Estado miembro tendrá                    en el ámbito regulado por la presente Directiva.
derecho a solicitar que su posición conste en acta. La
Comisión tendrá en cuenta, en la mayor medida posible, el
dictamen emitido por el Comité. Informará al Comité de la                                            Artículo 32
manera en que ha tenido en cuenta dicho dictamen.
                                                                           La Comisión presentará periódicamente al Consejo y al
                         DISPOSICIONES FINALES                             Parlamento Europeo un informe sobre la aplicación de la
                                                                           presente Directiva, acompañado, en su caso, de las
                                 Artículo 31
                                                                           oportunas propuestas de modificación.
1. Los Estados miembros adoptarán las disposiciones
legales, reglamentarias y administrativas necesarias para
cumplir la presente Directiva, a más tardar el 1 de enero de                                         Artículo 33
1993.
Las disposiciones adoptadas en virtud del párrafo primero                  Los destinatarios de la presente Directiva serán los Estados
se referirán explícitamente a la presente Directiva.                       miembros.
                  Propuesta de Directiva del Consejo relativa a la protección de los datos personales y de la intimidad
                  en relación con las redes públicas digitales de telecomunicación y, en particular, la red digital de
                                       servicios integrados (RDSI) y las redes móviles digitales públicas
                                                        COM(90) 314 final — SYN 288
                                              (Presentada por la Comisión el 27 de julio de 1990)
                                                                  (90/C 277/04)
EL CONSEJO DE LAS COMUNIDADES EUROPEAS,                                         servicios y equipos de telecomunicación de aquí a
                                                                                1992 i1), el Consejo abogó por la adopción de medidas
Visto el Tratado constitutivo de la Comunidad Económica                         para la protección de los datos personales, con objeto
Europea y, en particular, su artículo 100 A,                                    de crear un marco adecuado para el futuro desarrollo
                                                                                de las telecomunicaciones dentro de la Comunidad;
                                                                                que el Consejo ha vuelto insistir en la importancia que
Vista la propuesta de la Comisión,
                                                                                reviste la protección de los datos personales y de la
                                                                                intimidad en su Resolución, de 18 de julio de 1989,
En cooperación del Parlamento Europeo,                                          sobre una mayor coordinación en la introducción de la
                                                                                red digital de servicios integrados (RDSI) en la
Visto el dictamen del Comité Económico y Social,                                Comunidad ( 2 );
(!)  Considerando que la Directiva del Consejo ... relativa
     a la protección de las personas en lo referente al
                                                                           (5)  Considerando que el Parlamento Europeo ha subraya-
     tratamiento de datos personales preconiza que los
                                                                                do la importancia de proteger los datos pesonales y la
     Estados miembros garanticen la protección de la
                                                                                intimidad en las redes de telecomunicación, especial-
     intimidad de las personas;
                                                                                mente en relación con la introducción de la red digital
                                                                                de servicios integrados (RDSI) (3) (4) ( 5 );
(2)  Considerando que en la actualidad la aparición de
     nuevas redes telefónicas digitales públicas, de avanza-
     da tecnología, está creando necesidades específicas en
     materia de protección de datos personales y de la                     (6)  Considerando que la Recomendación 81/679/CEE de
     intimidad de los usuarios;                                                 la Comisión hace un llamamiento a los Estados
(3)  C o n s i d e r a n d o que ello es especialmente aplicable a la
     introducción de la red digital de servicios integrados
     (RDSI) y de las redes móviles digitales p ú b l i c a s ;             (!) DO  n° C 257 de 4. 10. 1988, p. 1.
                                                                           (2) DO  n° C 196 de 1. 8. 1989, p. 4.
                                                                           (3) DO  n° C 7 de 12. 1. 1987, p. 334.
(4)  C o n s i d e r a n d o que, en su Resolución de 30 de junio de       (4) DO  n° C 12 de 16. 1. 1989, p. 69.
      1988 sobre el desarrollo del m e r c a d o c o m ú n d e los         (s) DO  n° C  12 de 16. 1. 1989, p. 66.