Source: https://grupoesoc.es/slides/slide/anteproyecto-de-ley-organica-de-proteccion-de-datos-de-caracter-personal-98
Timestamp: 2020-07-10 06:42:47
Document Index: 360603670

Matched Legal Cases: ['artículo 13', 'artículo 18', 'artículo 60', 'artículo 83', 'artículo 45', 'artículo 32', 'artículo 20', 'artículo 4', 'artículo 12', 'artículo 58', 'artículo 2', 'Artículo 64', 'Artículo 65', 'Artículo 66', 'Artículo 67', 'Artículo 68', 'Artículo 69', 'Artículo 70', 'Artículo 71', 'Artículo 72', 'Artículo 73', 'Artículo 74', 'Artículo 75', 'Artículo 76', 'Artículo 77', 'Artículo 78', 'artículo 8', 'artículo 16', 'artículo 27', 'artículo 28', 'artículo 28', 'artículo 30', 'artículo 30', 'artículo 7', 'artículo 30', 'artículo 33', 'artículo 34', 'artículo 36', 'artículo 37', 'artículo 3', 'artículo 43', 'artículo 7', 'artículo 19', 'artículo 3', 'artículo 26', 'artículo 28', 'artículo 30', 'artículo 33', 'artículo 33', 'artículo 34', 'artículo 7', 'artículo 36', 'artículo 37', 'artículo 3', 'artículo 43', 'artículo 41', 'Artículo 53', 'Artículo 54', 'Artículo 55', 'Artículo 56', 'Artículo 57', 'Artículo 58', 'Artículo 59', 'Artículo 60', 'Artículo 61', 'Artículo 62', 'Artículo 63', 'artículo 18', 'artículo 18', 'Artículo 1', 'artículo 2', 'artículo 12', 'artículo 20', 'artículo 99', 'artículo 2', 'Artículo 1', 'artículo 14', 'Artículo 2', 'Artículo 2', 'artículo 15', 'artículo 7', 'artículo 3', 'Artículo 3', 'Artículo 1', 'artículo 2', 'artículo 28', 'Artículo 3', 'artículo 37', 'artículo 1', 'artículo 58', 'Artículo 4', 'artículo 5', 'artículo 58', 'Artículo 11', 'Artículo 12', 'Artículo 13', 'Artículo 15', 'Artículo 16', 'Artículo 17', 'Artículo 18', 'Artículo 19', 'Artículo 20', 'Artículo 21', 'Artículo 22', 'Artículo 23', 'Artículo 24', 'Artículo 25', 'artículo 6', 'Artículo 3', 'Artículo 3', 'artículo 40', 'artículo 7', 'artículo 41', 'artículo 3', 'artículo 83', 'Artículo 7', 'artículo 83', 'artículo 8', 'artículo 8', 'artículo 25', 'artículo 25', 'Artículo 39', 'Artículo 40', 'Artículo 41', 'Artículo 42', 'Artículo 43', 'Artículo 44', 'Artículo 45', 'Artículo 46', 'Artículo 47', 'Artículo 48', 'Artículo 49', 'Artículo 50', 'Artículo 51', 'Artículo 52', 'artículo 26', 'Artículo 3', 'artículo 26', 'artículo 9', 'artículo 26', 'artículo 46', 'artículo 7', 'artículo 64', 'Artículo 4', 'artículo 49', 'artículo 40', 'artículo 41', 'artículo 41', 'Artículo 7', 'artículo 83', 'artículo 12', 'artículo 7', 'artículo 6', 'artículo 6', 'artículo 6', 'Artículo 10', 'artículo 9', 'artículo 9', 'Artículo 7', 'Artículo 7', 'Artículo 4', 'artículo 5', 'Artículo 30', 'artículo 77', 'artículo 30', 'Artículo 3', 'artículo 28', 'Artículo 4', 'Artículo 50', 'artículo 433', 'Artículo 5', 'artículo 62', 'Artículo 5', 'artículo 6', 'Artículo 5', 'Artículo 5', 'artículo 66', 'Artículo 70', 'Artículo 3', 'artículo 3', 'artículo 82', 'Artículo 3', 'artículo 30', 'artículo 68', 'Artículo 5', 'Artículo 5', 'Artículo 60', 'Artículo 6', 'artículo 7', 'Artículo 6', 'Artículo 1', 'Artículo 3', 'artículo 37', 'Artículo 3', 'Artículo 1', 'Artículo 19', 'artículo 6', 'artículo 11', 'Artículo 26', 'Artículo 27', 'Artículo 28', 'Artículo 29', 'Artículo 30', 'Artículo 31', 'Artículo 32', 'Artículo 33', 'Artículo 34', 'Artículo 35', 'Artículo 36', 'Artículo 37', 'Artículo 38', 'artículo 15', 'Artículo 15', 'Artículo 8', 'Artículo 9', 'artículo 6', 'Artículo 7', 'artículo 83', 'Artículo 7', 'artículo 83', 'artículo 5', 'artículo 6', 'artículo 7', 'artículo 9', 'artículo 1', 'Artículo 7', 'artículo 60', 'Artículo 7', 'artículo 83', 'artículo 83', 'artículo 83', 'artículo 41', 'artículo 63', 'artículo 40', 'artículo 64', 'artículo 63', 'Artículo 40', 'artículo 43', 'Artículo 4', 'Artículo 6', 'artículo 65', 'artículo 65', 'Artículo 6', 'artículo 45', 'Artículo 1', 'Artículo 2', 'Artículo 3', 'Artículo 4', 'Artículo 5', 'Artículo 7', 'Artículo 8', 'Artículo 9', 'Artículo 10', 'Artículo 6', 'artículo 64', 'Artículo 6', 'artículo 60', 'artículo 66', 'artículo 60', 'artículo 267', 'artículo 3', 'Artículo 2', 'artículo 13', 'Artículo 4', 'artículo 64', 'artículo 47', 'artículo 64', 'artículo 46', 'artículo 40', 'artículo 13', 'artículo 13', 'Artículo 1', 'Artículo 1', 'artículo 6', 'Artículo 1', 'artículo 5', 'artículo 14', 'artículo 12', 'Artículo 2', 'artículo 16', 'Artículo 2', 'artículo 17', 'artículo 21', 'Artículo 2', 'artículo 18', 'Artículo 1', 'artículo 18', 'Artículo 2', 'Artículo 5', 'artículo 5', 'Artículo 6', 'artículo 5', 'Artículo 7', 'Artículo 2', 'artículo 20', 'artículo 15', 'Artículo 2', 'artículo 21', 'Artículo 2', 'Artículo 6', 'Artículo 6', 'Artículo 6', 'artículo 6', 'Artículo 5', 'Artículo 5', 'artículo 32', 'artículo 3', 'artículo 1', 'Artículo 4', 'Artículo 4', 'Artículo 4', 'artículo 52', 'artículo 4', 'artículo 61', 'artículo 149']

Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal | Grupo ESOC
Anteproyecto de Ley Orgánica de Protección de Datos con el fin de mejorar la regulación de este derecho fundamental en los datos de carácter personal y adaptar la legislación española a las disposiciones contenidas en el Reglamento comunitario de 2016 en esa materia antes de su definitiva entrada en vigor, fijada para el próximo 25 de mayo de 2018.
<iframe src="https://grupoesoc.es/slides/embed/98?page=1" class="o_wslides_iframe_viewer" allowFullScreen="true" height="315" width="420" frameborder="0"></iframe>
7. 7 Disposición adicional cuarta. Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes. Disposición adicional quinta. Autorización judicial en materia de transferencias internacionales de datos. Disposición adicional sexta. Registros de apoyo a la Administración de Justicia. Disposición adicional séptima. Acceso a contenidos de personas fallecidas. Disposición adicional octava. Incorporación de deudas a sistemas de información crediticia. Disposición adicional novena. Condiciones adicionales para el tratamiento de categorías Disposición adicional décima. Especialidades del régimen jurídico de la Agencia Española de Protección de Datos. Disposición adici onal undécima. Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos . Disposición adicional duodécima. Potestad de verificación de las Administraciones Públicas. Disposición adicional de cimotercera. No incremento de gasto . Disposición transitoria primera. Estatuto de la Agencia Española de Protección de Datos. Disposición transitoria segunda. Códigos tipo inscritos en las autoridades de protección de datos conforme a la Ley Orgánica 15/19 99, de 13 de diciembre. Disposición transitoria tercera. Régimen transitorio de los procedimientos. Disposición transitoria cuarta. Normas dictadas en desarrollo del artículo 13 de la Directiva 95/46/CE. Disposición transitoria quinta. Tratamientos sometidos a la Directiva (UE) 2016/680. Disposición derogatoria única. Derogación normativa.
12. 12 en que sea necesario por razones de coherencia y para que las disposiciones na cionales sean comprensibles para sus destinatarios. En concreto, los Estados miembros deben estar facultados para mantener o adoptar disposiciones nacionales a fin de especificar en mayor grado la aplicación de las normas del r eglamento europeo . En defin itiva, éste es el marco al que los Estados miembros han de adaptar su normativa interna, partiendo de la existencia de un régimen uniforme que deberá también ser aplicado de forma uniforme en toda la Unión, aunque preservando, en lo que no contradiga ese r égimen, sus principios y su tradición jurídica. Por este motivo el Reglamento g eneral de p rotección de d atos contiene un buen número de habilitaciones, cuando no imposiciones, a los Estados m iembros, a fin de regular determinadas materias, permitiendo incl uso en su considerando octavo, y a diferencia de lo que constituye principio general del Derecho de la Unión Europea que, cuando sus normas deban ser especificadas, interpretadas o, excepcionalmente, restringidas por el Derecho de los Estados m iembros, és tos tengan la posibilidad de incorporar al derecho nacional previsiones contenidas específicamente en el r eglamento, en la medida en que sea necesario por razo nes de coherencia y comprensión. Sobre estas bases se adopta la presente ley orgánica, que no pretende reiterar el texto del Reglamento g eneral de p rotección de d atos para que sea asumido como integrante del D erecho interno, sino que trata de clarificar sus disposiciones, dentro de los má rgenes que el mismo establece, teniendo en cuenta asimismo la propia tradición jurídica derivada de una regulación de más de veinticinco años de vigencia y de una abundante doctrina judicial generada a lo largo de ese período, tanto en el ámbito interno co mo en el de la Unión Europea. En este punto hay que subrayar que no se excluye toda intervención del Derecho interno en los ámbitos concernidos por los reglamentos europeos. Al contrario, tal intervención puede ser procedente, incluso necesaria, tanto para la depuración del ordenamiento nacional como para el desarrollo o complemento del reglamento de que se trate. Así, e l principio de seguridad jurídica, en su vertiente positi va, obliga a los Estados miembros a integrar el ordenamiento europeo en el interno de una manera lo suficientemente clara y pública como para permitir su
14. 14 el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica. Destaca la novedosa regulación de los d atos referidos a las personas fallecidas, pues , tras excluir del ámbito de aplicación de la l ey su tratamiento, se permite que los herederos puedan solicitar el acceso a los mismos, así como su rectificación o supresión, en su caso con sujeción a las instr ucciones del fallecido, que por lo demás se podrán incorporar a un registro . También excluye del ámbito de aplicación los tratamientos que se rijan por disposiciones específicas, en referencia , entre otras, a la normativa que transponga la citada D irectiva (UE) 2016 /680 , previé ndo se en la disposición transitoria quinta la vigencia de estos tratamientos con arreglo a la Ley Orgánica 15/1999 hasta que se apruebe la citada normativa. En el Título II , “Principios de protección de datos”, se presumen exactos y actualizados los datos obtenidos directamente del propio afectado y se recoge expresamente el deber de confidencialidad, se regulan garantías específicas y se aplica el principio de minimización de datos para entender desproporcionado el tratamiento de lo s datos por quien carezca de competencia. Dentro de lo que se viene denominando la “legitimación para el tratamiento”, se alude específicamente al consentimiento, que ha de proceder de una declaración o de una clara acción afirmativa del afectado, excluyen do lo que se conocía como “consentimiento tácito”, se permite la casilla no premarcada en el ámbito de la negociación o formalización de un contrato, y se fija la edad a partir de la cual el menor puede prestar su consentimiento en trece años para asimilar el sistema español al de otros Estados de nuestro entorno. Se regulan asimismo las posibles habilitaciones legales para el tratamiento que se derive del ejercicio de potestades públicas o del cumplimiento de una obligación legal y se prevé que el interé s legítimo de un determinado responsable o de un determinado tercero pueda prevalecer sobre el derecho a la protección de datos del afectado. Y se mantiene la prohibición de llevar a cabo tratamientos con la única finalidad de almacenar información referid a a las categorías de datos especialmente protegidos. En el Capítulo II del Título I se recogen “Disposiciones aplicables a tratamientos co ncretos”, que son los supuestos antes sometidos a regímenes especiales, en los que se considera de aplicación la reg la del equilibrio de intereses o ponderación del interés legítimo
15. 15 como ba se jurídica para el tratamiento . En segundo lugar , figuran las categorías que ya eran objeto de una regulación específica, legal o reglamentaria, como los sistemas de información cred iticia, complementado por una disposición adicional, los tratamientos realizados con fines de videovigilancia y los sistemas de exclusión publicitaria comúnmente denominados “listas Robinson”, los tratamientos llevados a cabo en el ámbito de la función es tadística pública o , como novedad, los sistemas de información de denuncias internas en el sector privado. El Título III, dedicado a los derechos de las personas, adapta al D erecho español el principio de transparencia en el tratamiento del r eglamento eu ropeo , que regula el derecho de los afectados a ser informados acerca del tratamiento, se recoge la denominada “información por capas” ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masi vo de datos (tales como las “cookies”). Se hace uso en este título de la habilitación permitida por el considerando 8 del Reglamento (UE) 2016/679 para complementar su régimen, garantizando la adecuada estructura sistemática del texto. A continuación, la ley orgánica contempla los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. La obligación de bloqueo garantiza la adecuada aplicación y supervisión del cumplimiento de las normas de protección de datos. El Título IV se refiere al responsable y al encargado del tratamiento. Es preciso tener en cuenta que la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter personal para, a partir de dicha valoración, adoptar las medidas que procedan. Con el fin de aclarar estas novedades , la ley orgánica mantiene la misma denominación del Capítulo IV del Reglamento, dividiendo el articulado en cuatro capítulos dedicados, respectivamente, a las medidas genera les de responsabilidad activa, a l régimen del encargado del tratamiento, a la figura del delegado de protección de datos y a los mecanismos de autorregulación y certificación. La figura del delegado de protección de datos adquiere una d estacada importancia en el Reglamento (UE) 2016/679 y así lo recoge la ley orgánica, que parte del principio de que puede
8. 8 Disposición final primera. Naturaleza de la presente ley. Disposición final segunda. Título competencial. Disposición final tercera . Modificación de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. Disposición final cuarta . Entrada en vigor.
16. 16 tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una person a física como una persona jurídica. La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente. La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delega dos de protección de datos, accesible por cualquier persona. Los conocimientos en la materia se podrán acreditar mediante esquemas de certificación. El responsable o el encargado deberán dotar al delegado de medios materiales y personales suficientes y no podrán removerle, salvo en los supuestos de dolo o negligencia grave. Es de destacar que el delegado de protección de datos permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento. El Título V , relativo a las transferencias internacionales de datos, procede a la adaptación de lo previsto en el Reglamento (UE) 2016/679 y se refiere a las especialidades relacionadas con los procedimientos a través de los cuales las autoridades de protección de dat os pueden aprobar modelos contractuales o normas corporativas vinculantes, supuestos de autorización de una determinada transferencia, o información previa. El Título VI se dedica a las autoridades de protección de datos, que siguiendo el mandato del Regl amento (UE) 2016/679 se ha de establecer por ley nacional. Manteniendo el esquema que se venía recogiendo en sus antecedentes normativos, la ley orgánica regula el régimen de la Agencia Española de Protección de Datos y refleja la existencia de las autorid ades autonómicas de protección de datos y la necesaria cooperación entre las autoridades de control. La Agencia Española de Protección de Datos se configura como una autoridad administrativa independiente con arreglo a la Ley 40/2015, de 1 de octubre, de R égimen Jurídico del Sector Público , que se relaciona con el Gobierno a través del Ministerio de Justicia. El Título VII regula el “Procedimiento en caso de reclamaciones tramitadas por la Agencia Española de Protección de Datos”. El Reglamento (UE) 2016/ 679 establece un sistema novedoso y complejo, evolucionando hacia un modelo de “ventanilla única” en el que existe una autoridad de control principal y otras autoridades interesadas. También se establece un procedimiento de cooperación entre autoridades de los Estados miembros y, en caso de discrepancia, se prevé la decisión vinculante del Comité Europeo de Protección de Datos. En consecuencia, con carácter
17. 17 previo a la tramitación de cualquier procedimiento , será preciso determinar si el tratamiento tiene o no carácter transfronterizo y, en caso de tenerlo, qué autoridad de protección de datos ha de considerarse principal. La regulación se limita a delimitar el régimen jurídico; la iniciación de los procedimientos, siendo posible que la Agencia Española de Protección de Datos remita la reclamación al delegado de protección de datos o a los órganos o entidades que tengan a su cargo la resolución extrajudicial de conflictos conforme a lo establecido en un código de conducta; la inadmisión de las reclamaciones; el plazo de tramitación de los procedimientos y, en su caso, su suspensión; las actuaciones previas de investigación; y las medidas provisionales, entre l as que destaca el bloqueo de los datos. Las especialidades del procedimiento se remiten a desarrollo reglamentario. El Título VIII, que contempla el régimen sancionador , parte de que el Reglamento (UE) 2016/679 establece un sistema de sanciones o actua ciones correctivas sumamente genérico, en el que no se tipifican las conductas ni se establecen las reacciones concretas ante su comisión. En este marco, la ley orgánica procede a describir las conductas típicas, manteniendo la distinción entre infraccione s muy graves, graves y leves, a la vista de la diferenciación que el Reglamento general de protección de datos establece al fijar la cuantía de las sanciones. La categorización de las infracciones afecta también a sus plazos de prescripción. La ley orgánic a regula los supuestos de interrupción de la prescripción partiendo de la exigencia constitucional del conocimiento de los hechos que se imputan a la persona, pero teniendo en cuenta la problemática derivada de los procedimientos establecidos en el r eglame nto europeo , en función de si el procedimiento se tramita exclusivamente por la Agencia Española de Protección de D atos o si se acude al procedimiento coordinado del artículo 60 del Reglamento general de protección de datos . El Reglamento (UE) 2016/679 es tablece amplios márgenes para la determinación de la cuantía de las sanciones. La ley orgánica aprovecha la cláusula residual del artículo 83.2 de l a norma europea , referida a los factores agravantes o atenuantes, para aclarar que entre los elementos a ten er en cuenta podrán incluirse los que ya aparecían en el artículo 45.4 y 5 de la Ley Orgánica 15/1999, y que son conocidos por los operados jurídicos.
41. 41 h) Las empresas de servicios de inversión, reguladas por el Título V del t exto refundido de la Ley del Mercado de Valores, aprobado por Real Decreto Legislativo 4/2015, de 23 de octubre. i) Los distribuidores y comercializadores de energía eléctrica, conforme a lo dispuesto en la Ley 24/2013, de 2 6 de diciembre, del s ector e léctrico, y los distribuidores y comercializadores de gas natural, conforme a la Ley 34/1998, de 7 de octubre, del s ector de hidrocarburos. j) Las entidades responsables de ficheros comunes para la evaluación de la solvencia pat rimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por el artículo 32 de la Ley 10/2010, de 28 de abril, de p revención del blanqueo de capitales y de la financiación del terrorismo. k) Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen activida des que impliquen la elaboración de perfiles de los mismos. l) Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes con arreglo a lo dispuesto en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. m) Las entidades que tengan como uno de sus objetos la emisión de informes comerciales acerca de personas y empresas. n) Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a lo dispuesto en la Ley 3/2011, de 27 de mayo, de regulación del juego. ñ) Quienes desempeñen las actividades reguladas por el Título II de la Ley 5/2014, de 4 de abril, de Seguridad Privada. 2. Los responsables o encargados del tratamiento no incluidos en el párrafo anterior podrán designar un delegado de protección de datos voluntario, que quedará sometido al régimen establecido en est e capítulo .
64. 64 f ) El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad fuera de los supuestos permitidos por el a rtículo 10 del Reglamento (UE) 2016/679 y en el artículo 20 de esta l ey. g ) El tratamiento de datos de carácter personal relacionados con infracciones y sanciones administrativas fuera de los supuestos permitidos por el artículo 4. h ) La omisión del deber de informar al afectado acerca del tratamiento de sus datos de carácter personal conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 21 de esta l ey o rgánica. i ) La vulneración del deber de confidencialidad establecido en el artí culo 6. j ) La exigencia del pago de un canon para facilitar al afectado la información a la que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679 o por atender las solicitudes de ejercicio de derechos de los afectados previstos en los artículo s 15 a 22 del Reglamento (UE) 2016/679, fuera de los supuestos establecidos en su artículo 12.5. k ) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. l ) La transferencia internacional de datos de carácter personal a un destinatario que se encuentre en un tercer país o a una organización internacional, cuando no concurran las garantías, requisitos o excepciones establecidos en los artículos 44 a 49 del Reglamento (UE) 2016/679. m ) El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679. n ) El incumplimiento de la o bligación de bloqueo de los datos establecida en el artículo 2 9 cuando la misma sea exigible. ñ ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratam iento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.
6. 6 Artículo 64. Régimen jurídico. Artículo 65. Iniciación de los procedimientos. Artículo 66. Inadmisión de las reclamaciones. Artículo 67. Plazo de tramitación de los procedi mientos. Artículo 68. Actuaciones previas de investigación. Artículo 69. Medidas provisionales. TÍTULO VIII. Régimen sancionador Artículo 70. Sujetos responsables . Artículo 71. Infracciones. Artículo 72. Infracciones consideradas muy graves. Artículo 73. Infracciones consideradas graves. Artículo 74. Infracciones consideradas leves. Artículo 75. Interrupción de la prescripción. Artículo 76. Sanciones y medidas correctivas. Artículo 77. Régimen aplicable a determinadas categorías de responsables o encargado s del tratamiento. Artículo 78. Prescripción de las sanciones. Disposición adicional primera. Medidas de seguridad en el ámbito del sector público. Disposición adicional segunda. Protección de datos y transparencia y acceso a la información pública. Dispos ición adicional tercera. Cómputo de plazos.
10. 10 carácter personal, a fin de trasponer a nuestro derecho a la Directiva 95/46/CE del Parlamento Europeo y del Consejo , de 24 de octubre de 1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos . Esta ley orgánica supuso un segundo hito en la evolución de la regulación del derecho fundamental a la protección de datos en España y se complementó con una cada vez más abundante jurisprudencia procedente de los órganos de la jurisdicción contencioso - administrativa. En segundo lugar, también se recoge en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea; y en el artículo 16.1 del Tratado de Funcionamiento de la Unión Europea. Anteriormente, a nivel europeo, se había adoptado la Directiva 95/4 6/CE citada, cuyo objeto era procurar que la garantía del derecho a la protección de datos de carácter personal no supusiese un obstáculo a la libre circulación de los datos en el seno de la Unión, estableciendo así un espacio común de garantía del derecho que, al propio tiempo, asegurase que en caso de transferencia internacional de los datos, su tratamiento en el país de destino estuviese protegido por salvaguardas adecuadas a la s previstas en la propia d irectiva. II En los últimos años de la pasada década se intensificaron los impulsos tendentes a lograr una regulación más uniforme del derecho fundamental a la protección de datos en el marco de una soc iedad cada vez más globalizada . Así , se fueron adoptando en distint as instancias internacionales propuestas para la reforma del marco vigente. Y en este marco la Comisión lanzó el 4 de noviembre de 2010 su Comunicación titulada «Un enfoque global de la protección de los datos personales en la Unión Europea», que constituy e el germen de la posterior reform a del marco de la Unión Europea. A l propio tiempo , el Tribunal de Justicia de la Unión ha venido adoptando a lo largo de los últimos años una jurisp rudencia que resulta fundamental en su interpretación. El último hito e n esta evolución tuvo lugar con la adopción del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre c irculación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento g eneral de p rotección
66. 66 f ) El incumplimiento de la obligación de designar un representante del responsable o encargado del trata miento no establecido en el territorio de la Unión Europea, conforme a lo previsto en el artículo 27 del Reglamento (UE) 2016/679. g ) La falta de atención por el representante en la Unión del responsable o del encargado del tratamiento de las solicitudes e fectuadas por la autoridad de protección de datos o por los afectados. h ) La contratación por el responsable del tratamiento de un encargado de tratamiento que no ofrezca las garantías suficientes para aplicar las medidas técnicas y organizativas apropiada s conforme a lo establecido en el Capítulo IV del Reglamento (UE) 2016/679. i ) Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglament o (UE) 2016/679. j ) La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles. k ) La infracción por un encargado del tratamiento de lo dispuesto en el Reglamento (UE) 2016/679 y la presente l ey o rgánica, al determinar los fines y los medios del tratamiento, conforme a lo dispuesto en el artículo 28.10 del citado r eglamento. l ) No disp oner del registro de actividades de tratamiento establecido en el artículo 30 del Reglamento (UE) 2016/679. m ) No poner a disposición de la autoridad de protección de datos que lo haya solicitado, el registro de actividades de tratamiento, conforme al apar tado 4 del artículo 30 del Reglamento (UE) 2016/679. n ) No cooperar con las autoridades de control en el desempeño de sus funciones en los supuestos no previstos en el artículo 7 2 de esta l ey o rgánica. ñ ) El tratamiento de datos de carácter personal sin llevar a cabo una previa valoración de los riesgos que el mismo pudiera generar en los derechos de los afectados, y en particular en su derecho a la protección de datos de carácter personal, conforme a lo dispuesto en el artículo 30 .
67. 67 o ) El incumplimiento del deber del encargado del tratamiento de notificar al responsable del tratamiento las violaciones de seguridad de las que tuviera conocimiento. p ) El incumplimiento del deber de notificación a la autorida d de protección de datos de una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE) 2016/679. q ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos de conformidad con lo previsto en el artículo 34 del Reglamento (UE) 2016/679 si el responsable del tratamiento hubiera sido requerido por la autoridad de protección de datos para llevar a cabo dicha notificación. r ) El tratamiento de datos de carác ter personal sin haber llevado a cabo la evaluación del impacto de las operaciones de tratamiento en la protección de datos personales en los supuestos en que la misma sea exigible. s ) El tratamiento de datos de carácter personal sin haber consultado previ amente a la autoridad de protección de datos en los casos en que dicha consulta resulta preceptiva conforme al artículo 36 del Reglamento (UE) 2016/679 o cuando la l ey establezca la obligación de llevar a cabo esa consulta. t ) El incumplimiento de la obli gación de designar un delegado de protección de datos cuando sea exigible su nombramiento de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 3 3 de esta l ey o rgánica. u ) No posibilitar la efectiva participación del delegado de protecci ón de datos en todas las cuestiones relativas a la protección de datos personales, no respaldarlo o interferir en el desempeño de sus funciones. v ) La utilización de un sello o certificación en materia de protección de datos que no haya sido otorgado por u na entidad de certificación debidamente acreditada o en caso de que la vigencia del mismo hubiera expirado. w ) Obtener la acreditación como organismo de certificación presentando información inexacta sobre el cumplimiento de los requisitos exigidos por el artículo 43 del Reglamento (UE) 2016/679.
69. 69 d ) No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando éste, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el artículo 7 3 . c). e ) El incumplimiento de la obligación de notificación relativa a la rectificación o sup resión de datos personales o la limitación del tratamiento exigida por el artículo 19 del Reglamento (UE) 2016/679. f ) El incumplimiento de la obligación de informar al afectado, cuando así lo haya solicitado, de los destinatarios a los que se hayan comuni cado los datos personales rectificados, suprimidos o respecto de los que se ha limitado el tratamiento. g ) El incumplimiento de la obligación de suprimir los datos referidos a una persona fallecida cuando ello fuera exigible conforme al artículo 3. h ) La f alta de formalización por los corresponsables del tratamiento del acuerdo que determine las obligaciones, funciones y responsabilidades respectivas con respecto al tratamiento de datos personales y sus relaciones con los afectados al que se refiere el artí culo 26 del Reglamento (UE) 2016/679 o la inexactitud en la determinación de las mismas. i ) No poner a disposición de los afectados los aspectos esenciales del acuerdo formalizado entre los corresponsables del tratamiento, conforme exige el artículo 26.2 d el Reglamento (UE) 2016/679. j ) La falta del cumplimiento de la obligación del encargado del tratamiento de informar al responsable del tratamiento acerca de la posible infracción por una instrucción recibida de éste de las disposiciones del Reglamento (UE ) 2016/679 o de esta l ey o rgánica, conforme a lo exigido por el artículo 28.3 del citado r eglamento. k ) El incumplimiento por encargado o subencargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instruccio nes del responsable del tratamiento, salvo que esté legalmente obligado a ello conforme al Reglamento (UE) 2016/679 y la presente l ey o rgánica o en los supuestos en que fuese necesario para evitar la infracción de la
70. 70 legislación en materia de protección de datos y se hubiese advertido de ello al responsable o al encargado del tratamiento. l ) Disponer de un Registro de actividades de tratamiento que no incorpore toda la información exigida por el artículo 30 del Reglamento (UE) 2016/679. m ) La notificación i ncompleta o defectuosa a la autoridad de protección de datos de la información relacionada con una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE) 2016/679. n ) El incumplimiento de la obli gación de documentación de cualquier violación de seguridad, exigida por el artículo 33.5 del Reglamento (UE) 2016/679. ñ ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo para los derechos y libertades de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE) 2016/679, salvo que resulte de aplicación lo pr evisto en el artículo 7 3 .q ) de esta l ey o rgánica. o ) Facilitar información inexacta a la Autoridad de p rotección de datos, en los supuestos en los que el responsable del tratamiento deba elevarla una consulta previa, conforme al artículo 36 del Reglamento (UE) 2016/679. p ) No publicar los datos de contacto del delegado de protección de datos, o no comunicar los a la autoridad de protección de datos, cuando su nombramiento sea exigible de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 3 5 .3 de esta l ey o rgánica. q ) El incumplimiento por los organismos de certificación de la obligación de informar a la autoridad de protección de datos de la expedición, renovación o retirada de una certificación, conforme a lo exigido por los apartados 1 y 5 del artículo 43 del Reglamento (UE) 2016/679. r ) El incumplimiento por parte de los organismos acredi tados de supervisión de un código de conducta de la obligación de informar a las autoridades de protección de datos acerca de las medidas que resulten oportunas en caso de infracción del código, conforme exige el artículo 41.4 del Reglamento (UE) 2016/679.
53. 53 responsables de las conductas que pudieran ser constitutivas de infracción del Reglamento (UE) 2016/679 y de la presente ley orgánica . 3. Cuando no haya podido realizar la identificación por otros medios, la Agencia Española de Protección de Datos podrá recabar de los operado res que presten servicios de comunicaciones electrónicas disponibles al público y de los prestadores de servicios de la sociedad de la información los datos que obren en su poder y que resulten imprescindibles para la identificación del presunto responsabl e de la conducta contraria al Reglamento (UE) 2016/679 y la presente ley orgánica cuando se hubiere llevado a cabo mediante la utilización de un servicio de la sociedad de la información o la realización de una comunicación electrónica. A tales efectos, lo s datos que la Agencia podrá recabar al amparo de este apartado son los siguientes: a) C uando la conducta se hubiera realizado mediante la utilización de un servicio de telefonía fija o móvil: 1º. El n úmero de teléfono de origen de la llamada en caso de que el mismo se hubiese ocultado . 2º. El n ombre , número de documento identificativo y dirección del abonado o usuario registrado al que corresponda ese número de teléfono . 3º. La mera confirmación de que se ha realizado una llamada específica entre dos núm eros en una determinada fecha y hora. b) Cuando la conducta se hubiera realizado mediante la utilización de un servicio de la sociedad de la información : 1º. La identificación de la dirección de protocolo de Internet desde la que se hubiera llevado a cabo la conducta y la fecha y hora de su realización. 2º. Si la conducta se hubiese llevado a cabo mediante correo electrónico, la identificación de la dirección de protocolo de Internet desde la que se creó la cuenta de correo y la fecha y hora en que la misma fue creada. 3º. El nombre , número de documento identificativo y dirección del abonado o del usuario registrado al que se le h ubiera asignado la dirección de Protocolo de Internet a la que se refieren los dos párrafos anteriores.
5. 5 Artículo 53. Deber de colaboración. Artículo 54. Alcance de la actividad de investigación. Artículo 55. Planes de auditoría preventiva. SECCIÓN 3.ª OTRAS POTESTADES DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Artículo 56. Potestades de regulación. Circulares de la Agencia Española de Protección de Datos. Artículo 57. Acción exterior. CAPÍTULO II. Autoridades autonómicas de protección de datos SECCIÓN 1.ª DISPOSICIONES GENERALES Artículo 58. Autoridades autonómicas de protección de datos. Artículo 59. Cooperación ins titucional. Artículo 60. Tratamientos contrarios al Reglamento (UE) 2016/679 y la presente ley orgánica. SECCIÓN 2.ª COORDINACIÓN EN EL MARCO DE LOS PROCEDIMIENTOS ESTABLECIDOS EN EL REGLAMENTO (UE) 2016/679 Artículo 61. Coordinación en caso de emisión de dictamen por el Comité Europeo de Protección de Datos. Artículo 62. Intervención en caso de tratamientos transfronterizos. Artículo 63. Coordinación en caso de resolución de conflictos por el Comité Europeo de Protección de Datos. TÍTULO VII. Procedimiento en caso de reclamaciones tramitadas por la Agencia Española de Protección de Datos
9. 9 EXPOSICIÓN DE MOTIVOS I La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental protegido por el artículo 18.4 de la Constitución española. De esta manera , nuestra Constitución fue pionera en el reconocimiento del derecho fundamental a la protección de datos de carácter personal cuando en su artículo 18.4 dispuso que “ la ley limitará el uso de la informática p ara garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos” . Se hacía así eco de los trabajos desarrollados desde finales de la década de 1960 en el Consejo de Europa y de las pocas disposiciones legal es adoptadas en países de nuestro entorno. El Tribunal Constitucional señaló en su S entencia 94/19 9 8 , de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquél que justificó su obtención. Por su parte, en la Sen tencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. A nivel legislativo, la concreción y desarrollo del derech o fundamental de protección de las personas físicas en relación con el tratamiento de datos personales tuvo lugar en sus orígenes mediante la aprobación de la Ley Orgánica 5/1992, de 29 de octubre, reguladora del t ratamiento automatizado de datos de caráct er personal, conocida como LORTAD. La Ley Orgánica 5/1992 fue reemplazada por la Ley Orgánica 15/1999, de 5 de diciembre, de p rotección de d atos de
27. 27 y obtenid as de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia. Artículo 1 5 . Tratamientos con fines de videovigilancia. 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Sólo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalacione s estratégicos o de infraestructuras vinculadas al transporte. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservadas para acreditar la comisión de actos que atenten contra la integridad de p ersonas, bienes o instalaciones. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 2 9 . 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679 . En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado r eglamento. 5. Los empleadores podrán tratar los datos obtenidos a través de sistemas de cámaras o videocámaras para e l ejercicio de las funciones de control de los trabajadores previstas en el artículo 20.3 del Estatuto de los Trabajadores siempre que les hubieran informado acerca de esta medida.
13. 13 pleno conocimiento tanto por los operadores jurídicos como por los propios ciudadanos, en tanto que, e n su vertiente negativa, implica la obligación para tales Estados de eliminar situaciones de incertidumbre derivadas de la existencia de normas en el Derecho nacional incompatibles con el europeo. De esta segunda vertiente se colige la consiguiente obligac ión de depurar el ordenamiento jurídico. En definitiva, el principio de seguridad jurídica obliga a que la normativa interna que resulte incompatible con el Derecho de la Unión Europea quede definitivamente eliminada "mediante disposiciones internas de car ácter obligatorio que tengan el mismo valor jurídico que las disposiciones internas que deban modificarse" (Sentencias del Tribunal de Justicia de 23 de febrero de 2006, asunto Comisión vs. España; de 13 de julio de 2000, asunto Comisión vs. Francia; y de 15 de octubre de 1986, asunto Comisión vs. Italia). Por último, l os reglamentos, pese a su característica de aplicabilidad directa, en la práctica pueden exigir otras normas internas complementarias para hacer plenamente efectiva su aplicación. En este se ntido, más que de incorporación cabría hablar de "desarrollo" o complemento del Derecho de la Unión Europea . La adaptación al Reglamento general de protección de datos , que será aplicable a partir del 25 de mayo de 2018, según establece su artículo 99 , r equiere, en sum a, la elaboración de una nueva ley o rgánica que sustituya a la actual. IV Esta ley orgánica consta de setenta y ocho artículos estructurados en ocho títulos, trece disposiciones adicionales, cinco disposiciones transitorias, una disposición derogatoria única y cuatro disposiciones finales. El Título I, relativo a las disposiciones generales, comi enza regulando el objeto de la ley o rgánica , que no es otro que la adaptación del ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, Reglamento g eneral de p rotección de d atos, y completar sus disposiciones. A su vez, establece que el derecho fundamental d e las personas físicas a la protección de datos de carácter personal, amparado por
28. 28 En el supuesto en que las imágenes hayan captado la comisión flagrante de un acto ilícito por los trabajadores bastará haber facilitado la información a la que se refiere el apartado anterior. 6. Al amparo d el artículo 2.2.c) del Reglamento (UE) 2016/679 , se co nsidera exclui do de su ámbito de aplicación el tratamiento de imágene s llevado a cabo por una persona física en su propio domicilio. 7. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenid o s mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley o r gánica. 8. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada. Artículo 1 6 . Sistemas de exclusión publicitaria. 1. Será lícito el tratamiento de datos de carácter personal que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas. A tal efecto, podrán crearse sistemas de información, generales o sectoriales, en los que sólo se incluirán los datos impre scindibles para identificar a los afectados. 2. Cuando un afectado manifieste a un responsable su deseo de que sus datos no sean tratados con fines de publicidad o prospección comercial, éste deberá informarle de los sistemas de exclusión publicitaria ex istentes, identificando a su responsable. 3. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuació n, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo.
32. 32 apartado siguiente e indicándole una dire cción electrónica para acceder fácilmente a la restante información. 3. La información básica a la que se refiere el apartado anterior deberá contener al menos: a) La identidad del responsable del tratamiento o de su representante, en su caso. b) La finali dad del tratamiento. c) El modo en que el afectado podrá ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información bá sica comprenderá asimismo esta circunstancia. En este caso el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que pudieran producir efectos jurídicos sobre él o afectarle significativamente. 4. Cuando los datos de carácter personal no hubieran sido obtenidos del afectado el responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquél la información básica señalada en el apartado anterior, indicándole una dirección electrónica para acceder fácilmente a la restante información. En estos supuestos, la información básica incluirá también: a) Las categorías de datos objeto de tratamiento. b) Las fuentes de la que procedieran los datos. CAPÍTULO II Ejercicio de los derechos Artículo 2 2 . Disposiciones generales sobre ejercicio de los derechos. 1. Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de represe ntante legal o voluntario.
33. 33 2. La identidad del afectado y, en su caso, la de su representante deberá acreditarse mediante documento válido, incluido aquel que permita su identificación electrónica. 3. El responsable del tratamiento estará obligado a inform ar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro m edio. 4. El encargado podrá atender, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule. 5. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable. 6. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en e l Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquéllas. Artículo 2 3 . Derecho de acceso. 1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el r esponsable trate una gran cantidad de información relativa al afectado y éste ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afecta do especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos perso nales que garantice, de modo permanente, el acceso a su totalidad. La comunicación del sistema al afectado permitirá denegar su solicitud de acceso.
51. 51 d) Un representante de cada Comunidad Autónoma que haya creado una Autoridad de protecc ión de datos en su ámbito territorial, propuesto de acuerdo con lo que establezca la respectiva Comunidad Autónoma. e) Un representante de la Administración Local, propuesto por la Federación Española de Municipios y Provincias. f) Un representante de los usuarios y consumidores, propuesto por el Consejo de Consumidores y Usuarios. g) Un representante de las entidades responsables y encargadas de los tratamientos, propuesto por las Organizaciones Empresariales. h) Un representante de los profesionales de la protección de datos designado por el Ministro de Justicia. i) Un representante designado por el Consejo General del Poder Judicial . 2. Los miembros del Consejo Consultivo serán nombrados por o rden del Ministro de Justicia. 3. El Consejo Consultivo se reunirá cuando así lo disponga el Presidente de la Agencia y, en todo caso, una vez al año. 4. El régimen, competencias y funcionamiento del Consejo Consultivo serán los establecidos en el Estatuto Orgánico de la Agencia Española de Protección de Datos. A rtículo 5 1 . Publicidad. La Agencia Española de Protección de Datos publicará en la forma que mediante real decreto se determine las resoluciones de su Presidente que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 7 7 .1 de esta l ey, las que impongan medidas cautelares y las demás que disponga su Estatuto.
11. 11 de d atos ), así como de la Directiva (UE) 2016 /680 del Parlamento Europeo y del Consejo , de 27 de abril de 2016 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de s anciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. III El Reglamento general de protección de datos pretende con su eficacia directa superar los obstáculos que impidieron la fina lidad armonizadora de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos. La tr ansposición de la d irectiva por los Estados miembros se ha plasmado en un mosaico normativo con perfiles irregulares en el conjunto de la Unión Europea lo que, en último extremo, ha conducido a que existan diferencias apreciables en la protección de los de rechos de los ciudadanos. Asimismo, se atiende a nuevas circunstancias, principalmente el aumento de los flujos transfronterizos de datos personales como consecuencia del funcionamiento del mercado interior, los retos planteados por la rápida evolución te cnológica y la globalización, que ha hecho que los datos personales sean el recurso fundamental de la sociedad de la información. El carácter central de la información personal tiene aspectos positivos, porque permite nuevos y mejores servicios, productos o hallazgos científicos. Pero tiene también riesgos, pues las informaciones sobre los individuos se multiplican exponencialmente, son más accesibles, por más actores, y cada vez son más fáciles de procesar mientras que es más difícil el control de su desti no y uso. El Reglamento general de protección de datos supone la revisión de las bases legales del modelo europeo de protección de datos más allá de una mera actualización de la vigente normativa. P rocede a reforzar la seguridad jurídica y transparencia a la vez que permite que sus normas sean especificadas o restringidas por el Derecho de los Estados miembros en la medida
19. 19 a) A los tratamientos efectuados por una persona física en el ejercicio de actividades exclusivamente personales o doméstica s b) A los tratamientos llevados a cabo por los órganos de la Administración General del Estado en el marco de las actividades comprendidas en el ámbito de aplicación del Capítulo II del Título V del Tratado de la Unión Europea. c) A los tratamientos efectuados por parte de las autoridades competentes y sus agentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pú blica y su prevención, en los términos previstos por la Directiva (UE) 2016/680, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y por la legislación que la transponga. d) A los tratamientos de datos de personas fallecidas, sin perjuicio de l o establecido en el artículo 3. e) A los tratamientos sometidos a la normativa sobre protección de materias clasificadas. 3 . Los tratamientos incluidos en el ámbito de aplicación de esta ley orgánica a los que no sea directamente aplicable el Reglamento ( UE) 2016/679, se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado r eglamento y en la presente ley orgánica . En particular, e l tratamiento de datos llevado a cabo con ocasión de la tramita ción por los órganos judiciales de los proces os de los que sean competentes , así como el realizado dentro de la gestión de la Oficina Judicial , se regirán por lo dispuesto en el Reg lamento (UE) 2016/679 y la presente ley orgánica, sin perjuicio de las disposiciones de la Ley Orgánica 6/1985, de 1 julio, del Poder Judicial , que le sean aplicables . Artículo 3. Datos de las personas fallecidas. 1. Los herederos de una persona fallecida que acrediten debidamente tal condición podrán dirigirse al respo nsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella, y, en su caso, su rectificación o supresión.
29. 29 4. Las entidades responsables de los sistemas de exclusión publicitaria comunicarán su creación, su carácter general o sectorial y el modo e n que los afectados pueden incorporarse a los mismos a la Agencia Española de Protección de Datos, que hará pública la citada información. Artículo 1 7 . Sistemas de información de denuncias internas en el sector privado. 1. Será lícita la creación y manten imiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad privada, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudier an resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de información. 2. El acceso a los datos contenidos en estos sistemas quedará limita do exclusivamente al personal que lleve a cabo las funciones de control interno y de cumplimiento de la entidad y, sólo cuando procediera la adopción de medidas disciplinarias contra un trabajador, al personal con funciones de gestión y control de recurso s humanos. 3. Deberán adoptarse las medidas necesarias para preservar la identidad y garantizar la confidencialidad de los datos correspondientes a la persona que hubiera puesto los hechos en conocimiento de la entidad si se hubiera identificado. 4. Los datos de quien formule la comunicación y de los empleados y terceros deberán conservarse en el sistema únicamente durante el tiempo imprescindible para la averiguación de los hechos denunciados. En todo caso, transcurridos tres meses desde la introducción de los datos deberá procederse a su supresión del sistema. Si fuera necesaria su conservación para continuar la investigación podrán seguir siendo tratados en un entorno distinto. No será de aplicación a estos sistemas la obligación de bloqueo prevista en el artículo 2 9 .
40. 40 Administración de las c omunidades autónomas , las Entidades que integran la Admini stración Local o a los Organismos vinculados o dependientes de las mismas mediante la adopción de una norma reguladora de dichas competencias, que deberá incorporar el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679. CAPÍTULO III Delegado de protección de datos Artículo 3 5 . Designación de un delegado de protección de datos. 1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamen to (UE) 2016/679. A tal efecto , se consideran incluidas en dichos supuestos, en todo caso, las siguientes entidades: a) Los colegios profesionales y sus consejos generales, regulados por la Ley 2/1974, de 13 febrero, sobre c olegios profesionales. b) Los ce ntros docentes que ofrezcan enseñanzas reguladas por la Ley Orgánica 2/2006, de 3 de mayo, de Educación, y las Universidades públicas y privadas. c) Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en la Ley 9/2014, de 9 de mayo, General de telecomunicaciones. d) Los prestadores de servicios de la sociedad de la información que recaben información de los usuarios de sus servicios, sea o no exigible el registro previo para la obtención de los mismos. e) Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito. f) Los establecimientos financieros de crédito regulados por Título II de la Ley 5/2015, de 27 de abril, de fome nto de la financiación empresarial. g) Las entidades aseguradoras y reaseguradoras sometidas a la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras.
49. 49 1. La Agencia Española de Protección de Datos elaborará y aproba rá su presupuesto y lo remitirá al Gobierno para que sea integrado, con independencia, en los Presupuestos Generales del Estado. 2. El régimen de modificaciones y de vinculación de los créditos de su presupuesto será el establecido en el Estatuto de la Ag encia. 3. La Agencia contará para el cumplimiento de sus fines con las asignaciones que se establezcan con cargo a los Presupuestos Generales del Estado, los bienes y valores que constituyan su patrimonio y los ingresos, ordinarios y extraordinarios deriva dos del ejercicio de sus actividades, incluidos los derivados del ejercicio de las potestades establecidos en el artículo 58 del Reglamento (UE) 2016/679. 4. El resultado positivo de sus ingresos se destinará por la Agencia a la dotación de sus reservas. 5. El personal al servicio de la Agencia será funcionario o laboral y se regirá por lo previsto en el t exto r efundido de la Ley del Estatuto Básico del Empleado Público, aprobado por Real Decreto Legislativo 5/2015, de 30 de octubre, y demás normativa regu ladora de los funcionarios públicos y, en su caso, por la normativa laboral. 6. La Agencia Española de Protección Datos contará con una relación de puestos de trabajo que deberá ser aprobada por el Ministerio de Hacienda y Función Pública en la que constarán, en todo caso, aquellos puestos que deban ser desempeñados en exclusiva por funcionarios públicos, por consistir en el ejercicio de las funciones que impliquen la participación directa o indirecta en el ejercicio de potestades públicas y la salva guarda de los intereses generales del Estado y de las Administraciones Públicas. Artículo 4 8 . Funciones y potestades de la Agencia Española de Protección de Datos. Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta l ey o rgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 5 7 y las potestades previstas en el artículo 58 del mismo r eglamento, en la presente l ey o rgánica, en otras leyes, en sus disposiciones de desarrollo y en las demás normas de D erecho europeo.
2. 2 CAPÍTUL O II. Disposiciones aplicables a tratamientos concretos Artículo 11. Licitud de tratamientos. Artículo 12. Tratamiento de datos de contacto y de empresarios individuales. Artículo 13. Tratamiento de datos hechos manifiestamente públicos por el afectado. Ar tículo 14. Sistemas de información crediticia. Artículo 15. Tratamientos con fines de videovigilancia. Artículo 16. Sistemas de exclusión publicitaria. Artículo 17. Sistemas de información de denuncias internas en el sector privado. Artículo 18. Tratamientos relacionados con la realización de determinadas operaciones mercantiles. Artículo 19. Tratamiento de datos en el ámbito de la función estadística pública. Artículo 20. Tratamiento de datos de naturaleza penal. TÍTULO III. Derechos de las perso nas CAPÍTULO I. Transparencia e información Artículo 21. Transparencia e información al afectado. CAPÍTULO II. Ejercicio de los derechos Artículo 22. Disposiciones generales sobre ejercicio de los derechos. Artículo 23. Derecho de acceso. Artículo 24. Der echo de rectificación. Artículo 25. Derecho de supresión.
43. 43 4. En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso a los datos personales y procesos de tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto, incluyendo el previsto en el artículo 6 de esta ley o rgánica. 5. Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento, proponiéndoles las medidas necesarias para evitar la persistencia en esa conducta. Artículo 3 8 . Intervención del delegado de protección d e datos en caso de reclamación ante las autoridades de protección de datos. 1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos será posible, con carácter previo a la presentación de reclamaciones c ontra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, que el afectado se dirija al delegado de protección de datos de la entidad contra la que se reclame. En este caso, el del egado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación. 2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, sin haber hecho uso de la posibilidad a la que se refiere el apartado anterior, aquéllas podrán remitir la reclamación al delegado de protección de datos a fin de que por el mism o se dé respuesta a la misma en el plazo de un mes. Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el pro cedimiento con arreglo a lo establecido en el Título VII de esta l ey o rgánica y en sus normas de desarrollo.
44. 44 CAPÍTULO IV Códigos de conducta y certificación Artículo 3 9 . Códigos de conducta. 1. Los códigos de conducta regulados por la Sección 5ª del Capít ulo IV del Reglamento (UE) 2016/679 serán vinculantes para quienes se adhieran a los mismos. 2. Dichos códigos podrán promoverse, además de por las asociaciones y organismos a los que se refiere el artículo 40.2 del Reglamento (UE) 2016/679, por empresas o grupos de empresas así como por los responsables o encargados a los que se refiere el artículo 7 7 .1 de esta l ey o rgánica. 3. Asimismo, podrán ser promovidos por los organismos o entidades que asuman las funciones de supervisión y resolución extrajudicial de conflictos a los que se refiere el artículo 41 del Reglamento (UE) 2016/679. En este supuesto, los responsables o encargados del tratamiento que se adhieran al código de conducta se obligan a someter al organismo o entidad de supervisión las reclamacion es que les fueran formuladas por los afectados en relación con los tratamientos de datos incluidos en su ámbito de aplicación en caso de considerar que no procede atender a lo solicitado en la reclamación, sin perjuicio de lo dispuesto en el artículo 3 8 d e esta l ey o rgánica. En caso de que el organismo o entidad de supervisión rechace o desestime la reclamación, o si el responsable o encargado del tratamiento no somete la reclamación a su decisión, el afectado podrá formularla ante la Agencia Española de Protección de Datos o, en su caso, las autoridades autonómicas de protección de datos. 4. Los códigos de conducta serán aprobados por la Agencia Española de Protección de Datos o, en su caso, por la autoridad autonómica de protección de datos competente.
65. 65 o ) La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente. 2. Tendrán la mi sma consideración y también prescribirán a los tres años las infracciones a las que se refiere el artículo 83.6 del Reglamento (UE) 2016/679. Artículo 7 3 . Infracciones consideradas graves. En función de lo que establece el artículo 83.4 del Reglamento (UE ) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél, y en particular las siguientes: a) El tratamiento de datos de carácter personal de un menor de tre ce años sin recabar su consentimiento, cuando tenga capacidad para ello, o el del titular de su patria potestad o tutela, conforme al artículo 8 del Reglamento (UE) 2016/679. b) No acreditar la realización de esfuerzos razonables para verificar la validez del consentimiento prestado por un menor de trece años o por el titular de su patria potestad o tutela sobre el mismo, conforme a lo requerido por el artículo 8.2 del Reglamento (UE) 2016/679. c) El impedimento o la obstaculización o la no atención reitera da de los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando éste, para el ejercicio de esos derechos, haya facilitado i nformación adicional que permita su identificación. d ) La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño y por defecto e integrar las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25.1 del Reglamento (UE) 2016/679. e ) La falta de adopción de las medidas técnicas y organizativas apropiadas para garantizar que, por defecto, sólo se tratarán los datos personales necesarios para cada uno de los fines específicos del tratamiento, conforme a lo exigido por el artículo 25.2 del Reglamento (UE) 2016/679.
4. 4 Artículo 39. Códigos de conducta. Artículo 40. Esquemas de certificación. TÍTULO V. Transf erencias internacionales de datos Artículo 41. Régimen de las transferencias internacionales de datos. Artículo 42. Supuestos de aprobación por la Agencia Española de Protección de Datos. Artículo 43. Supuestos sometidos a autorización previa de la Agencia Española de Protección de Datos. Artículo 44. Supuestos sometidos a información previa a la autoridad de protección de datos competente. TÍTULO VI. Autoridades de protección de datos CAPÍTULO I. La Agencia Española de Protección de Datos SECCIÓN 1.ª DISPOSICIONES GENERALES Artículo 45. Disposiciones generales. Artículo 46. Régimen jurídico. Artículo 47 . Régimen económico presupuestario y de personal. Artículo 48. Funciones y potestades de la Agencia Española de Protección de Datos. Artículo 49. El Pre sidente de la Agencia Española de Protección de Datos. Artículo 50. Consejo C onsultivo de la Agencia. Artículo 51. Publicidad. SECCIÓN 2.ª POTESTADES DE INVESTIGACIÓN Y PLANES DE AUDITORÍA PREVENTIVA Artículo 52. Ámbito y personal competente.
26. 26 Cuando se trate de datos relativos al incumplimiento de dichas obligaciones, los datos sólo permanecerán en el fichero sin consentimiento del interesado en tanto persista el incumplimiento. La extinción de la deuda y , en particular , su pago o cumplimiento implicarán la supresión inmediata de los datos de los sistemas en que se traten los datos referidos a los incumplimientos de obligaciones dinerarias, sin perjuicio de la obligación de bloque o prevista en esta ley orgánica. No obstante, los datos relativos al pago podrán ser incorporados a los sistemas referidos al cumplimiento de dichas obligaciones si el interesado hubiera prestado su consentimiento para ello durante el período que restase h asta el transcurso de los cinco años al que se refiere el párrafo primero; en este caso, deberá ser excluida del tratamiento cualquier información referida al pago tardío de la obligación. b) Los datos referidos a un deudor determinado podrán ser consultad os en los supuestos previstos en la Ley 16/2011, de 24 de junio, de contratos de crédito al consumo, así como cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o éste le hub iera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica. En todo caso, será preciso informar al afectado acerca de la posible consulta del sistema. Si quien consultase el sistema denegase la solicitud d e celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, deberá informar al afectado de su resultado, señalándole el sistema de información consultado. c) Las entidades que mantengan el sistema y las acreedor as, respecto del tratamiento de los datos referidos a sus de udores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. En todo caso, el acreedor deberá asegurarse de que concurren los requisitos exigidos para la inclusión en el sistema y será responsable de su inexistencia o inexactitud. En todo caso, el acreedor deberá asegurarse de que concurren los requisitos exigidos para la inclusión en el sistema y será responsable de su inexistencia o inexactitud. 4. El presente artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales relacionadas con el deudor
37. 37 b) Cuando el tratamiento pudiese privar a los afectados de sus derechos y libertades o pudiera impedirles el ejercicio del control sobre sus datos personales. c) Cuando se produjese el tratamiento no meramente incidental o accesorio de las categorías especiales de datos a las que se refieren los artículos 9 y 10 del Reglamento (UE) 2016/679 y 10 y 11 de esta l ey o rgánica o de los datos relacionados con la comisión de infracciones administrativas. d) C uando el tratamiento implicase una evaluación de aspectos personales de los afectados con el fin de crear o utilizar perfiles personales de los mismos, en particular mediante el análisis o la predicción de aspectos referidos a su rendimiento en el trabajo, su situación económica, su salud, sus preferencias o intereses personales, su fiabilidad o comportamiento, su solvencia financiera, su localización o sus movimientos. e) Cuando se lleve a cabo el tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad y, en particular, de menores de edad y personas con discapacidad para las que se hubiesen establecido medidas de apoyo . f) Cuando se produzca un tratamiento masivo que afecte a un gran número de afectados o implique la recogida de una gran cantidad de datos personales. Artículo 3 1 . Supuestos de corresponsabilidad en el tratamiento. 1. La determinación de las responsabilidades a las que se refiere el artículo 26.1 del Reglamento (UE) 2016/679 se realizará atendiendo a las actividad es que efectivamente desarrolle cada uno de los corresponsables del tratamiento. 2. Cuando una norma con rango de l ey establezca una habilitación legal para el tratamiento de datos de carácter personal conforme a lo dispuesto en el artículo 9 .3 de esta l ey o rgánica, previendo que varias entidades sean corresponsables del tratamiento, podrá fijar las funciones y relaciones respectivas de los corresponsables en relación con los afectados a los efectos previstos en el artículo 26.2 del Reglamento (UE) 2016/6 79.
47. 47 Datos o, en su caso, autoridades autonómicas de protección de datos, en los siguientes supuestos: a) cuando la transferencia pretenda fundamentarse en la aportación de cláusulas contractuales que no correspondan a las cláusulas tipo previstas en el artículo 46.2, letras c) y d), del Reglamento (UE) 2016 /679. b) Cuando la transferencia se lleve a cabo por alguno de los responsables o encargados a los que se refiere el artículo 7 7 .1 de esta l ey o rgánica y se funde en disposiciones incorporadas a acuerdos internacionales no normativos con otras autoridades u organismos públicos de terceros Estados, en particular a m emorandos de e ntendimiento, siempre que los mismos incluyan derechos efectivos y exigibles para los afectados. 2. La autorización quedará sometida a la emisión por el Comité Europeo de Protección de Datos del dictamen al que se refiere el artículo 64 del Reglamento (UE) 2016/679. La remisión del expediente al citado c omité implicará la suspensión del procedimiento hasta que el dictamen sea notificado a la Agencia española de Protección de Datos o, por conducto de la misma, a la Autoridad de control competente, en su caso. Artículo 4 4 . Supuestos sometidos a información previa a la a utoridad de protección de datos competente . Los responsables del tratamiento deberán informar a la Agencia Española de P rotección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, de cualquier transferencia internacional de datos que pretendan llevar a cabo sobre la base de su necesidad para fines relacionados con intereses legítimos imperiosos p erseguidos por aquéllos y la concurrencia del resto de los requisitos previstos en el último párrafo del artículo 49.1 del Reglamento (UE) 2016/679. Asimismo , informarán a los afectados de la transferencia y de los intereses legítimos imperiosos perseguido s. Esta información deberá facilitarse con carácter previo a la realización de la transferencia. TÍTULO VI
68. 68 x ) El desempeño de funciones que el Reglamento (UE) 2016/679 reserva a los organismos de certificación, sin haber sido debidamente acreditado conforme a lo establecido en el artículo 40 de esta l ey o rgánica. y ) El incumplimiento por parte de un organismo de certificación de los principios y deberes a los que está sometido según lo previsto en los artículos 42 y 43 de Reglamento (UE) 2016/679. z ) El desempeño de funciones que el artículo 41 del Reglamento (UE) 2016/ 679 reserva a los organismos de supervisión de códigos de conducta sin haber sido previamente acreditado por la autoridad de protección de datos competente. aa ) La falta de adopción por parte de los organismos acreditados de supervisión de un código de con ducta de las medidas que resulten oportunas en caso que se hubiera producido una infracción del código, conforme exige el artículo 41.4 del Reglamento (UE) 2016/679. Artículo 7 4 . Infracciones consideradas leves. Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: a) El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. b) La exigencia del pago de un canon para facilitar al afectado la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679 o por atender las solicitudes de ejercicio de derechos de los afectados previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679, cuando así lo permita su artículo 12.5, si su cuantía excediese el importe de los costes afrontados para facilitar la información o realizar la actuación solicitada. c) No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 7 2 .1. k ) de esta l ey o rgánica.
23. 23 2. El tratamiento de datos de carácter personal sólo podrá considerarse fundado en el cumplimiento de una misión real izada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por la ley. 3. La l ey podrá considerar fundad o un determinado tratamiento en la concurrencia de un interés legítimo del responsable del tratamiento o de un tercero que prevalece sobre los derechos del afectado, en los términos previstos en el artículo 6.1 f) del Reglamento (UE) 2016/679. En estos sup uestos, la l ey podrá exigir al responsable la adopción garantías adicionales. Lo dispuesto en el párrafo anterior no impide que el tratamiento de datos personales pueda considerarse lícito al amparo del artículo 6.1 f) del Reglamento (UE) 2016/679, aun cua ndo no exista una previsión legal específica. Artículo 10. Categorías especiales de datos. 1. A los efectos del artículo 9.2 a) del Reglamento (UE) 2016/679, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de d atos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. 2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2. del Reglamento (UE) 201 6/679 fundados en el Derecho español deberán estar amparados en una l ey, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. En particular, la l ey podrá amparar el tratamiento de datos en el ámbito de la salud cuando as í lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, y de los seguros de asistencia sanitaria. CAPÍTULO II Disposiciones aplicables a tratamientos concretos
72. 72 4. Será objeto de publicación en el Boletín Oficial del Estado la inf ormación que identifique al infractor, la infracción cometida y el importe de la sanción impuesta cuando la autoridad competente sea la Agencia Española de Protección de Datos, la sanción fuese superior a un millón de euros y el infractor sea una persona j urídica. Artículo 7 7 . Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento. 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: a) Los ó rganos c ons titucionales o con relevancia constitucional y las instituciones de las c omunidades autónomas análogas a los mismos. b) Los órganos jurisdiccionales. c) La Administración General del Estado, las Administraciones de las c omunidades autónomas y las entidades que integran la Administración Local. d) Los o rga nismos públicos y entidades de D erecho público vinculadas o dependientes de las Administraciones Públicas. e) Las autoridades administrativas i ndependientes. f) El Banco de España. g) Las c orporaciones de Derecho p úblico cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público. h) Las fundaciones del sector público . i) Las Universidades Públicas. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 7 2 a 7 4 , la autoridad de protección de datos
73. 73 que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimis mo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos podrá proponer también la iniciación de actuaciones disciplinarias. En este caso, el proc edimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con la s medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las c omunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, ésta publicará en su página web con la debida separación las resoluciones en que se imponga una sanción a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Artículo 7 8 . Prescripción de las sanciones. 1. Las sanciones impuestas en aplicación del Reglamento (UE) 2016/679 y de esta l ey prescriben en los s iguientes plazos: a) Las sanciones por importe inferior a 40.000 euros, prescriben en el plazo de un año. b) Las sanciones por importe comprendido entre 40.001 y 300.000 euros prescriben a los dos años.
20. 20 Como excepción, l os herederos no podrán acceder a los datos del causante, ni solicitar su rectificación o su presión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una l ey. 2. El albacea testamentario así como aquella persona o institución a la que el fallecido hubiese conferido un mandato expreso para ello también podrá solici tar, con arreglo a las instrucciones recibidas, el acceso a los datos personales de éste y, en su caso su rectificación o supresión. Mediante real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos. 3. En caso de fallecimiento de menores o personas con discapacidad para las que se hubiesen establecido medidas de apoyo, estas facultades podrán ejercerse, en el marco de sus competencias , por el Mi nisterio Fiscal . TÍTULO II Principios de protección de datos CAPÍTULO I Principios generales de protección de datos Artículo 4. Datos relativos a infracciones y sanciones administrativas. 1. A los efectos del artículo 5.1 c) del Reglamento (UE) 2016/679, el tratamiento de datos relativos a infracciones y sanciones administrativas, incluido el mantenimiento de registros relacionados con las mismas, exigirá: a) Que dichos tratamientos sean realizados por los órganos competentes para la declaración de las infracciones o la imposición de las sanciones. b) Que el tratamiento se limite a los datos estrictamente necesarios para la finalidad perseguida por aquél.
36. 36 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior. 4. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo. TÍTULO IV Responsable y encargado del tratamiento CAPÍTULO I Disposiciones generales. Medidas de responsabilidad activa Artículo 30 . Obligaciones generales del responsable y encargado del tratamiento. 1. Los responsables y encargados, tras ponderar los riesgos que el tratamiento pueda generar en los derechos de los afectados y en particula r en su derecho a la protección de datos, determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el Reglamento (UE) 2016/679, con la presente l ey o rgánica, la legisl ación sectorial y sus normas de desarrollo. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3ª del Capítulo IV del citado r eglamento. 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos: a) Cuando el tratamiento pudiera generar s ituaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio eco nómico, moral o social significativo para los afectados.
39. 39 2. Los sujetos enumerados en el artículo 77.1 harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la inform ación establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal. CAPÍTULO II Encargado del tratamiento Artículo 3 4 . Encargado del tratamiento. 1. El acceso por parte de un encargado de tratamiento a los datos personales que resulten neces arios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente l ey o rgánica y en sus normas de desarrollo. 2. Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679. Tendrá asimismo la co nsideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades. 3. El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos de carácte r personal deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado. No procederá la destrucción de los datos cuando exista una previsión legal que obligue a su conservación, en cuyo caso deberán ser devueltos al respon sable, que garantizará su conservación mientras tal obligación persista. 4. El encargado del tratamiento podrá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. 5. En el ámbito del sector público podrán atribuirse las competencias propias de un encargado del tratamiento a un determinado órgano de la Administración General del Estado, la
50. 50 Artículo 4 9 . El Presidente de la Agencia Española de Protección de Datos. 1. El Presidente de la Agencia Española de Protección de Datos la dirige, osten ta su representación y dicta sus resoluciones, circulares e directrices. Ejercerá sus funciones con plena independencia y objetividad y no estará sujeto a instrucción alguna en su desempeño. 2. El Presidente de la Agencia será nombrado por el Gobierno, a p ropuesta del Ministro de Justicia, mediante r eal d ecreto entre profesionales de reconocida competencia con conocimientos y experiencia acreditados para el desempeño de sus funciones. Con carácter previo a su nombramiento, el Gobierno podrá en conocimiento del Congreso de los Diputados el nombre del candidato a fin de que se emita el dictamen acerca de su idoneidad. 3. El mandato del Presidente de la Agencia tiene una duración de cinco años y puede ser renovado para otro período de igual duración. El Preside nte sólo cesará, antes de la expiración de su mandato, a petición propia o por separación acordada por el Gobierno, previa instrucción de expediente, por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, in compatibilidad o condena por delito doloso. Artículo 50 . Consejo C onsultivo de la Agencia. 1. El Presidente de la Agencia Española de Protección de Datos estará asesorado por un Consejo Consultivo compuesto por los siguientes miembros: a) Un Diputado, pro puesto por el Congreso de los Diputados. b) Un Senador, propuesto por el Senado. c) Un representante de la Administración General del Estado, designado por el Gobierno.
82. 82 observaciones previstas en el número anterior diez día s antes de la celebración del acto del juicio a que se refiere el artículo 433 o dentro del plazo de oposición o impugnación del recurso interpuesto. 3. Lo dispuesto en los anteriores apartados en materia de procedimiento será asimismo de aplicación cuando la Comisión Europea, la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, en el ámbito de sus competencias, consideren precisa su intervención en un proceso que afecte a cuestiones relativas a la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. » Disposición final cuarta . Entrada en vigor. La presente ley o rgánica entrará en vigor el 25 de mayo de 2018 .
52. 52 SECCIÓN 2.ª POTESTADES DE INVESTIGACIÓN Y PLANES DE AUDITORÍA PREVENTIVA Artículo 5 2 . Ámbito y personal competente. 1. La Agencia Española de Protección de Datos desarrollará su actividad de investigación a través de las actuaciones previstas en el T ítulo VII y de los planes de auditoría preventivas. 2. La actividad de investigación s e llevará a cabo por los funcionario s de la Agencia o por funcionarios ajenos a ella habilitados expresamente por su Presidente. 3. En los casos de actuaciones conjuntas de investigación conforme a lo dispuesto en el artículo 62 del Reglamento (UE ) 2016/679, el personal de las a utoridades de control de otros Estados Miembros de Unión Europea que colabore con la Agencia ejercerá sus facultades con arreglo a lo previsto en la presente l ey o rgánica y bajo la orientación y en presencia del personal de ésta. 4. El personal que desarrolle actividad es de investigación tendrá la consideración de autoridad pública en el ejercicio de sus funciones. Artículo 5 3 . Deber de colaboración. 1. Las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y los particulares estarán obligadas a proporcionar a la Agencia Española de Protección de Datos los datos, informes, antecedentes y justificantes necesarios para llevar a cabo su actividad de investigación. Cuando la información contenga datos de carácter personal la comunicación d e dichos datos estará amparada por lo dispuesto en el artículo 6.1.c) del Reglamento (UE) 2016/679. 2. En el marco de las actuaciones previas de investigación, cuando no haya podido realizar la identificación por otros medios, la Agencia Española de Protección de Datos podrá recabar de las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social las informaciones y datos que resulten imprescindibles con la exclusiva finalidad de lograr la identificación de los
55. 55 2. A resultas de los planes de auditoría, el Presidente de la Agencia podrá dictar las directrices generales o específicas para un concreto responsable o encargado de los tratamientos p recisas para asegurar la plena adaptación del sector o responsable al Reglamento (UE) 2016/679 y a la presente l ey o rgánica. 3. Las directrices serán de obligado cumplimiento para el sector o responsable al que se refiera el plan de auditoría. SECCIÓN 3.ª OTRAS POTESTADES DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Artículo 5 6 . Potestades de regulación. Circulares de la Agencia Española de Protección de Datos. 1. El Presidente de la Agencia Española de Protección de Datos podrá dictar las disposiciones d e desarrollo y ejecución necesarias para la interpretación y cumplimiento de lo dispuesto en el Reglamento (UE) 2016/679 y la presente l ey o rgánica, que se denominarán “Circulares de la Agencia Española de Protección de Datos”. 2. Su elaboración se sujetar á al procedimiento establecido para los reglamentos, con las especialidades previstas en el Estatuto de la Agencia. 3. Las circulares serán obligatorias una vez publicadas en el «Boletín Oficial del Estado». Artículo 5 7 . Acción exterior. 1. Corresponde a la Agencia Española de Protección de Datos la titularidad y el ejercicio de las funciones relacionadas con la acción exterior del Estado en materia de protección de datos. 2. La Agencia es el organismo competente para la protección de las personas físicas en lo relativo al tratamiento de datos de carácter personal derivado de la aplicación de cualquier Convenio Internacional en el que sea parte el Reino de España que atribuya a una autoridad nacional de control esa competencia y la representante común de la s a utoridades de Protección
62. 62 1. Incoadas unas actuaciones previas de investigación o iniciado un procedimiento, la Agencia Española de Protección de Datos podrá acordar motivadamente las medidas provisionales necesa rias y proporcionadas para salvaguardar el derecho fundamental a la protección de datos y, en especial, las previstas en el artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicit ado. 2. En los casos en que la Agencia Española de Protección de Datos considere que la continuación del tratamiento de los datos de carácter personal, su comunicación o transferencia internacional comportara un menoscabo grave del derecho a la protección de datos de carácter personal, podrá ordenar a los responsables o encargados de los tratamientos el bloqueo de los datos y la cesación de su tratamiento y, caso de incumplirse por éstos dichos mandatos, proceder a su inmovilización. 3. La imposición de la obligación anticipada de atender el derecho solicitado por el afectado en su reclamación requerirá la previa audiencia del responsable del tratamiento. TÍTULO VIII Régimen sancionador Artículo 70 . Sujetos responsables . 1. Están sujetos al régimen sanciona dor establecido en el Reglamento (UE) 2016/679 y la presente l ey o rgánica: a) Los responsables de los tratamientos. b) Los encargados de los tratamientos. c) Los representantes de los responsables o encargados de los tratamientos no establecidos en el terr itorio de la Unión Europea. c) Las entidades de certificación. d) Las entidades acreditadas de supervisión de los códigos de conducta.
38. 38 Artículo 3 2 . Representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea. 1. En los supuestos en que el Reglamento (UE) 2016/679 sea aplicable a un responsable o encargado del tratamiento no establecido en la Un ión Europea en virtud de lo dispuesto en su artículo 3.2 y el tratamiento se refiera a afectados que se hallen en España, la Agencia Española de Protección de Datos o , en su caso , las autoridades autonómicas de protección de datos podrán imponer al represe ntante, solidariamente con el responsable o encargado del tratamiento, las medidas establecidas en el Reglamento (UE) 2016/679. Dicha exigencia se entenderá sin perjuicio de la responsabilidad que pudiera en su caso corresponder al responsable o al encarga do del tratamiento y del ejercicio por el representante de la acción de repetición frente a quien proceda. 2. Asimismo, en caso de exigencia de responsabilidad en los términos previstos en el artículo 82 del Reglamento (UE) 2016/679, los responsables, enca rgados y representantes responderán solidariamente de los daños y perjuicios causados. Artículo 3 3 . Registro de las actividades de tratamiento. 1. Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el r egistro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5. El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especif icar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado r eglamento. Cuando el responsable o el encargado del tratamiento hubieran designado un d elegado de p rotección de d atos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del r egistro.
56. 56 de Datos en el Comité Europeo de Protección de Datos, conforme a lo dispuesto en el artículo 68.4 del Reglamento (UE) 2016/679 y en los demás Grupos en materia de protección de datos constituidos al amparo del Derecho de la Unió n Europea. 3. Corresponde además a la Agencia: a) Participar en reuniones y foros internacionales de ámbito distinto al de la Unión Europea establecidos de común acuerdo por las autoridades de control independientes en materia de protección de datos. b) Pa rticipar, como autoridad española, en las o rganizaciones i nternacionales competentes en materia de protección de datos, en los c omités o g rupos de t rabajo, de estudio y de colaboración de o rganizaciones i nternacionales que traten materias que afecten al derecho fundamental a la protección de datos personales y en otros foros o grupos de trabajo internacionales, en el marco de la acción exterior del Estado. c) Colaborar con autoridades, instituciones, organismos y Administraciones de otros Estados a fin de impulsar, promover y desarrollar el derecho fundamental a la protección de datos, en particular en el ámbito iberoamericano, pudiendo suscribir acuerdos internacionales administrativos y no normativos en la materia. CAPÍTULO II Autoridades autonómicas de protección de datos SECCIÓN 1.ª DISPOSICIONES GENERALES Artículo 5 8 . Autoridades autonómicas de protección de datos. Las a utoridades autonómicas de protección de datos de carácter personal podrán ejercer las funciones establecidas en los artículo s 57 y 58 del Reglamento (UE) 2016/679 , cuando se refieran a :
57. 57 a) Tratamientos de los que sean responsables las entidades integrantes del sector público de la correspondiente Comunidad Autónoma o de las Entidades Locales incluidas en su ámbito territorial o quiene s presten servicios a través de cualquier forma de gestión directa o indirecta. b) Tratamientos llevados a cabo por personas físicas o jurídicas para el ejercicio de las funciones públicas en materias que sean competencia de la correspondiente Administración Autonómica o Local. c) Tratamientos que se encuentren expresamente previstos, en su caso, en los respectivos Estatutos de Autonomía. Artículo 5 9 . Cooperación institucional. El Presidente de la Agencia Española de Protección de Dato s convocará regularmente a las a utoridades autonómicas de protección de datos para contribuir a la aplicación coherente del Reglamento (UE) 2016/679 y la presente l ey o rgánica . El Presidente de la Agencia y las a utoridades autonómicas de protección de datos podrán solicitar y deberán intercambiarse mutuamente la información necesaria para el cumplimiento de sus funciones y, en particular, la relativa a la actividad del Comité Europeo de Protección de Datos. Artículo 60 . Tratamientos contrarios al Reglamento (UE) 2016/679 y la presente l ey o rgánica. 1. Cuando el Presidente de la Agencia Española de Protección de Datos compruebe que un tratamiento llevado a cabo por las c omunidades autónomas en materias que fueran compete ncia de las a utoridades autonómicas de protección de datos vulnera el Reglamento (UE) 2016/679 podrá instarlas a que adopten las medidas necesarias para su cesación. En caso de que la Autoridad autonómica de protección de datos no adopte las medidas en el plazo de un mes, el Presidente de la Ag encia podrá requerir a la Administración correspondiente para que adopte las medidas correctoras en el plazo que se señale.
60. 60 Artículo 6 5 . Iniciación de los procedimientos. 1. Los procedimientos se inician por reclamación o por acuerdo de la Agencia Española de Protección de Datos. 2. Con carácter prev io a su iniciación, la Agencia E spañola de Protección de Datos exam inará su competencia y determinará el carácter nacional o transfronterizo, en cualquiera de sus modalidades, del procedimiento a seguir o remitirá la reclamación formulada a la Autoridad de control principal que considere competente. 3. No procederá la ini ciación del procedimiento, aun cuando se hubiere formulado reclamación, en los casos en que el encargado o responsable del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, haya adoptado las medidas correctivas encam inadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias: a) Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 7 4 . b) Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Cuando las reclamaciones no se hayan formulado previamente ante el delegado de protección de datos designado por el encargado o responsable del tratamiento o ante e l organismo de supervisión establecido para la aplicación de los códigos de conducta, la Agencia podrá remitírselas a los efectos previstos en los artículos 3 8 y 3 9 .3. Artículo 6 6 . Inadmisión de las reclamaciones. La Agencia Española de Protección de Dato s inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos de carácter personal, carezcan
25. 25 Artículo 1 4 . Sistemas de información crediticia. 1. Será lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas co munes de información crediticia cuando se cumplan los siguientes requisitos: a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés. b) Que los datos se refieran a deudas ciertas, vencidas y exigibles y cuya exis tencia o cuantía no hubiesen sido objeto de reclamación judicial, extrajudicial o administrativa por el deudor. c) Que el acreedor, en el momento de celebrar el contrato, haya informado al afectado acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. d) Que el acreedor haya requerido previamente de pago al deudor, advirtiéndole de su posible inclusión en el sistema. La entidad que mantenga el sistema de información crediticia con datos relativos al incum plimiento de obligaciones dinerarias deberá notificar al afectado la inclusión de sus datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguient es a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo. 2. Será igualmente lícito el tratamiento de datos referidos al cumplimiento por los afectados de sus obligaciones dinerarias, financieras y de crédito por lo s sistemas de información crediticia siempre y cuando el afectado hubiere dado su consentimiento al tratamiento de dichos datos. Si en el sistema se incluyesen datos relativos tanto a cumplimientos como a incumplimientos sólo será necesario el consentimien to respecto de los primeros. 3. Serán de aplicación a los sistemas de información crediticia regulados por los apartados anteriores las siguientes normas: a) Los datos sólo podrán mantenerse en el sistema durante un período de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
42. 42 3 . Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos y, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria. 4. La Agencia Española de Protección de Datos mantendrá una relación actualizada de delegados de protección de datos que s erá accesible por medios electrónicos. Artículo 3 6 . Cualificación del delegado de protección de datos. El delegado de protección de datos, sea una persona física o jurídica, deberá reunir los requisitos establecidos en el artículo 37.5 del Reglamento (UE) 2016/679 y demostrar reconocida competencia en la materia. Los requisitos podrán acreditarse por los medios correspondientes, incluidos los mecanismos de certificación. Artículo 3 7 . Posición del delegado de protección de datos. 1. El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. 2. Cuando se trate de una persona física integrada en la organiz ación del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio. 3. El responsable y el encargado del tratamiento pondrán a disposición del delegado de protección de datos los medios materiales y personales que resulten precisos para el adecuado desempeño de sus funciones, asignándole cuando proceda personal subordinado así como locales, instalaciones y equipos.
30. 30 Artículo 1 8 . Tratamientos relacionados con la realización de determinadas operaciones mercantiles. Serán lícitos los tratamientos de datos, incluida su comunicación con carácter previo, que pudieran derivarse del desarrollo de cualquier o peración de modificación estructural de sociedades o la aportación o transmisión de negocio o de rama de actividad empresarial, siempre que los tratamientos fueran necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad en la prestación de los servicios. Artículo 19 . Tratamiento de datos en el ámbito de la función estadística pública. 1. El tratamiento de datos de carácter personal llevado a cabo por los organismos que tengan atribuidas las competencias relacionadas con el ejercicio de la función estadística pública se someterá a lo dispuesto en la Ley 12/1989, de 9 de mayo, reguladora de la Función estadística pública y la normativa autonómica que resulte en su caso de aplicación y a lo dispuesto en el Reglamento (UE) 2016/679 y en la presente l ey o rgánica. 2. La comunicación de los datos a los órganos competentes en materia estadística s ólo se entenderá amparada en el artículo 6.1 e) del Reglamento (UE) 2016/679 en los casos en que la estadística para la que se requiera la información venga exigida por una norma de Derecho de la Unión Europea o se encuentre incluida en los instrumentos de programación estadística legalmente previstos. De conformidad con lo dispuesto en el artículo 11.2 de la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública, serán de aportación estrictamente voluntaria y, en consecuencia, sólo podrán recogerse p revio consentimiento expreso de los afectados los datos a los que se refieren los artículos 9 y 10 del Reglamento (UE) 2016/679. 3. Los organismos competentes para el ejercicio de la función estadística pública podrán denegar las solicitudes de ejercicio p or los afectados de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 exclusivamente cuando los datos se encuentren amparados por las garantías del secreto estadístico previstas en la legislación estatal o autonómica.
3. 3 Artículo 26. Derecho a la limitación del tratamiento. Artículo 27. Derecho a la portabilidad. Artículo 28. Derecho de oposición. CAPÍTULO III. Obligación de bloqueo Artículo 29. Bloqueo de los datos . TÍTULO IV. Responsable y encargado del tratamiento CAPÍTULO I. Disposiciones generales. Medidas de responsabilidad activa Artículo 30. Obligaciones generales del responsable y encargado del tratamiento. Artículo 31. Supuestos de corresponsabilidad en el tratamiento. Artículo 32. Representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea. Artículo 33. Registro de las actividades de tratamiento. CAPÍTULO II. Encargado del tratamiento Artículo 34. Encargado del tratam iento. CAPÍTULO III. Delegado de protección de datos Artículo 35. Designación de un delegado de protección de datos. Artículo 36. Cualificación del delegado de protección de datos. Artículo 37. Posición del delegado de protección de datos. Artículo 38. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos. CAPÍTULO IV. Códigos de conducta y certificación
81. 81 igualdad de todos los españoles en el ejercicio de los derechos y en el cumplimie nto d e los deberes constitucionales. 2. El Título VII, la disposición adicional cuarta y la disposición transitoria tercera sólo serán de aplicación a la Administración General del Esta do y a sus organismos públicos. 3. La modificaci ó n de l texto legal co ntenido en la disposición final tercera se ampara en l os títulos competenciales de la s norma s objeto de modificación. Disposición final tercera . Modificación de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. Se modifica el artículo 15 bis de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, que queda redactado como sigue : «Artículo 15 bis. Intervención en procesos de defensa de la competencia y de protección de datos. 1. La Comisión Europea, la Comisión Nacional de los Mercados y la Competen cia y los órganos competentes de las c omunidades autónomas en el ámbito de sus competencias podrán intervenir, sin tener la condición de parte, por propia iniciativa o a instancia del órgano judicial, mediante la aportación de información o presentación de observaciones escritas sobre cuestiones relativas a la aplicación de los artículos 101 y 102 del Tratado de Funcionamiento de la Unión Europea o los artículos 1 y 2 de la Ley 5/2007, de 3 de julio, de Defensa de la Competencia. Con la venia del correspond iente órgano judicial, podrán presentar también observaciones verbales. A estos efectos, podrán solicitar al órgano jurisdiccional competente que les remita o haga remitir todos los documentos necesarios para realizar una valoración del asunto de que se tr ate. La aportación de información no alcanzará a los datos o documentos obtenidos en el ámbito de las circunstancias de aplicación de la exención o reducción del importe de las multas previstas en los artículos 65 y 66 de la Ley 5/2007, de 3 de julio, de D efensa de la Competencia. 2. La Comisión Europea, la Comisión Nacional de los Mercados y la Competencia y los órganos competentes de las c omunidades autónomas aportarán la información o presentarán las
22. 22 3. Cuando en el marco de un proceso de negociación o formalización de un contrato se solicite el consentimiento del afectado para llevar a cabo un tratamiento cuya finalidad no guarde relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá garantizarse que el afectado pueda manifestar específicamente su voluntad en relación con este tratamiento poniendo a su disposición un procedimiento sencillo, claro y comprensible. Este procedimien to podrá consistir, en particular, en la inclusión de una casilla específica en el contrato, siempre y cuando la misma no se encuentre previamente marcada. Artículo 8. Consentimiento de los menores de edad. 1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de trece años. Se exceptúan los supuestos en que la l ey exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cu yo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de trece años sólo será lícito si consta el consentimiento del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela. Artículo 9. Tratamiento de datos amparado por la l ey. 1. El tratamiento de datos de carácter personal sólo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1 c) del Reglamento (UE) 2016/679, cuando así lo prevea una l ey, que deberá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. La l ey podrá igualmente imponer condiciones especiales al tr atamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el Capítulo IV del Reglamento (UE) 2016/679.
63. 63 2. No será de aplicación al delegado de protección de datos el régimen sancionador establecido en este título . Artículo 7 1 . Infracciones. Constituyen infracciones los actos y conductas que supongan una vulneración del contenido de los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 y de la presente l ey o rgánica. Artículo 7 2 . Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél, y en particular las siguientes: a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamie nto establecidas en el artículo 6 del Reglamento (UE) 2016/679. c) El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento. d ) La utilización de los datos para una finalidad que no sea compatible con la finalidad para la cual fueron recogidos, sin contar con el consentimiento del afectado o con una base legal para ello. e ) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679 , sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 1 0 de esta l ey.
71. 71 Artículo 7 5 . Interrupción de la prescripción. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reiniciándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de un año por causas no imputables al presunto infractor. Cuando la Agencia Española de Protección de Datos ostente la condición de autoridad de control principal y deba seguirse el procedimiento previsto en el artículo 60 del Reglamento (UE) 2016/679 interrumpirá la prescripción el conocimiento formal por el interesado del proyecto de acuerdo de inicio que sea sometido a las autoridades de control interesadas. Artículo 7 6 . Sanciones y medidas correctivas. 1. Las sanciones previstas en los apartados 4 , 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: a) El carácter continuado de la infracción. b) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. c) Los beneficios obtenidos como consecuencia de la comisión de la infra cción. d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.
45. 45 E n el supuesto al que se refiere el apartado 3 de este artículo la autoridad de protección de datos competente verificará previamente que los organismos o entidades que lo promuevan reúnen los requisitos establecidos en el artículo 41.2 del Reglamento (UE) 2016/679. 5. La Agencia Española de Protección de Datos someterá los proyectos de código al procedimiento previsto en el artículo 63 de Reglamento (UE) 2016/679 en los supuestos que procedan según su artículo 40.7. El procedimiento quedará suspendido en ta nto el Comité Europeo de Protección de Datos no emita el dictamen al que se refiere el artículo 64.1.b) del citado r eglamento. 6. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán un registro de los códigos de conducta aprobados por las mismas y los aprobados conforme al artículo 63 del Reglamento (UE) 2016/679. El registro será accesible a través de medios electrónicos. 7. Mediante real decreto se establecerán el contenido del registro y las especialidades del procedimiento de aprobación de los códigos de conducta. Artículo 40 . Esquemas de certificación. La acreditación de las instituciones de certificación a las que se refiere el artículo 43.1 del Reglamento (UE) 2016/679 será llevada a cabo por la Entidad Nacional de Acreditación (ENAC), que comunicará a la Agencia Española de Protección de Datos y a las autoridades de protección de datos de las c omunidades autónomas las concesiones, denegaciones o revocaciones de las acreditaciones. TÍTULO V Transferencias internacionales de datos Artículo 4 1 . Régimen de las transferencias internacionales de datos.
59. 59 Artículo 6 3 . Coordinación en caso de resolución de conflictos por el Comité Europeo de Protección de Datos. 1. Se practicarán por conducto de la Agencia Española todas las comunicaciones entre el Comité Europeo de Protección de Datos y las a utoridades auto nómicas de protección de datos cuando éstas, como autoridades principales, deban solicitar del citado Comité la emisión de una decisión vinculante según lo previsto en el artículo 65 del Reglamento (UE) 2016/679. 2. Las a utoridades autonómicas de protección de datos que tengan la condición de autoridad interesada no principal en un procedimiento de los previstos en el artículo 65 del Reglamento (UE) 2016/679 informarán a la Agencia Española cuando el asunto sea remitido al Comité Europeo de Protecc ión de Datos , facilitándole la documentación e información necesarias para su tramitación. La Agencia Española será asistida por un representante de la a utoridad autonómica interesada en su intervención ante el mencionado c omité. TÍTULO VII Procedimiento en caso de reclamaciones tramitadas por la Agencia Española de Protección de Datos Artículo 6 4 . Régimen jurídico. 1. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, e n la presente l ey o rgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos. 2. El Gobierno regulará los procedimien tos aplicables a las reclamaciones formuladas por las personas físicas y las demás actuaciones cuya tramitación corresponda a la Agencia Española de Protección de Datos por Real Decreto, asegurando en todo caso los derechos de defensa y audiencia de los in teresados.
75. 75 a) Cuando los plazos se señalen por días, se entiende que éstos son hábiles, excluyéndose del cómputo los sábados, los domingos y los declarados festivos. b) Si el plazo se fi ja en semanas, concluirá el mismo día de la semana en que se produjo el hecho que determina su iniciación en la semana de vencimiento. c) Si el plazo se fija en meses o años, concluirá el mismo día en que se produjo el hecho que determina su iniciación en el mes o el año de vencimiento. Si en el mes de vencimiento no hubiera día equivalente a aquel en que comienza el cómputo, se entenderá que el plazo expira el último día del mes. d) Cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer dí a hábil siguiente. Disposición adicional cuarta. Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes. Lo dispuesto en el Título VII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras l eyes. Disposición adicional quinta. Autorización judicial en materia de transferencias internacionales de datos. Cuando un afectado cuyos datos personales hayan sido o pudieran ser transferidos a un tercer país beneficiario de una decisión de la Comisión de adecuación, en virtud del artículo 45 del Reglamento (UE) 2016/679, pr esente ante la Agencia Española de Protección de Datos una reclamación por considerar que el tratamiento de datos personales infringe dicha norma, aduciendo la incompatibilidad de la referida decisión con la protección del derecho fundamental a la protecci ón de datos, esta solicitud deberá ser examinada, previa audiencia del responsable del tratamiento habilitado para la transferencia internacional. En el caso de que la Agencia Española de Protección de Datos considere fundada la reclamación, deberá solicit ar de la Sala de lo contencioso - administrativo de la Audiencia Nacional
1. MINISTERIO DE JUSTICIA ANTEPROYECTO DE LEY ORGÁNICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL . TÍTULO I. Disposiciones generales Artículo 1. Objeto de la ley. Artículo 2. Ámbito de aplicación. Artículo 3. Datos de las personas fallecidas. TÍTULO II. Principios de protección de datos CAPÍTULO I. Principios generales de protección de datos Artículo 4. Datos relativos a infracciones y sanciones administrativas. Artículo 5. Presunción de exactitud. Artícu lo 6. Deber de confidencialidad. Artículo 7. Tratamiento basado en el consentimiento del afectado. Artículo 8. Consentimiento de los menores de edad. Artículo 9. Tratamiento de datos amparado por la ley. Artículo 10. Categorías especiales de datos.
58. 58 2. Si la Administración pública no atendiere el requerimiento, la Agencia podrá ejercer las acciones que procedan ante la jurisdic ción contencioso - administrativa . SECCIÓN 2.ª COORDINACIÓN EN EL MARCO DE LOS PROCEDIMIENTOS ESTABLECIDOS EN EL REGLAMENTO (UE) 2016/679 Artículo 6 1 . Coordinación en caso de emisión de dictamen por el Comité Europeo de Protección de Datos. Se practicarán p or conducto de la Agencia Española todas las comunicaciones entre el Comité Europe o de Protección de Datos y las a utoridades autonómicas de protección de datos cuando éstas, como autoridades competentes, deban someter su proyecto de decisión al citado c omi té o le soliciten el examen de un asunto en virtud de lo establecido en los apartados 1 y 2 del artículo 64 del Reglamento (UE) 2016/679. En estos casos, la Agencia Española de Protección de Datos será asistida por un representante de la Autoridad autonómi ca en su intervención ante el Comité. Artículo 6 2 . Intervención en caso de tratamientos transfronterizos. 1. Las a utoridades autonómicas de protección de datos ostentarán la condición de autoridad de control principal o interesada en el procedimiento esta blecido por el artículo 60 del Reglamento (UE) 2016/679 cuando el tratamiento se llevara a cabo por un responsable o encargado del tratamiento de los previstos en el artículo 66 de aquél que no desarrollase significativamente tratamientos de la misma natur aleza en el resto del territorio español. 2. Corr esponderá en estos casos a las a utoridades autonómicas intervenir en los procedimientos establecidos en el artículo 60 del Reglamento (UE) 2016/679, informando a la Agencia Española sobre su desarrollo.
76. 76 autorización para declarar contraria a Derecho la transferencia internacional de datos sobre la que versa dicha reclamación. Esta autorización solamente podrá ser concedida si, previo planteamiento de cuestión prejudicial de validez en los términos del artículo 267 del Tratado de Funcionamiento de la Unión Europea, la decisión de la Comisión Europea fuera declarada inválida por el Tribunal de Justicia de la Unión Europea. Disposición a dicional sexta. Registros de apoyo a la Administración de Justicia. Los datos referidos a condenas e infracciones penales o medidas de seguridad conexas podrán tratarse conforme con lo establecido en el Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia. Disposición adicional séptima. Acceso a contenidos de personas fallecidas. El acceso a contenidos gestionados por prestadores de servicios de la sociedad de la inform ación a favor de personas fallecidas se regirá por las reglas previstas en el artículo 3, a saber: a) Los herederos de la persona fallecida podrán dirigirse a los prestadores de servicios de la sociedad de la infor mación al objeto de acceder a dicho s contenid os e impartirles las instrucciones que estimen oportunas sobre su utilización, destino o supresión. Como excepción, l os herederos no podrán acceder a los contenidos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hu biese prohibido expresamente o así lo establezca una ley. b) El albacea testamentario así como aquella persona o institución a la que el fallecido hubiese conferido un mandato expreso para ello también podrá solicitar, con arreglo a las instrucciones recibid as, el acceso a los contenidos con vistas a dar cumplimiento a tales instrucciones .
31. 31 Artícul o 20 . Tratamiento de datos de naturaleza penal. 1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas , para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales , sólo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta l ey orgánica o e n otras normas de rango legal. 2. Co rresponde al Ministerio de Justicia la gestión de los sistemas de información en que se recoja la totalidad de los datos relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas . TÍTULO III Derechos de las personas CAPÍTULO I Transparencia e información Artículo 2 1 . Transparencia e información al afectado. 1. La información al afectado a la que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679 deberá ser clara y concisa, así como fácilmente accesible y comprensible por el destinatario de la misma. Cuando la información vaya dirigida a menores de edad deberá además estar adaptada a esta circunstancia. 2. Cuando los datos de carácter personal sean obtenidos del afectado a través de redes de comunicaciones electrónicas o en el marco de la prestación de un servicio de la sociedad de la información, así como en aquellos otros supuestos ex presamente establecidos por la l ey o cuando así lo autorice la Agencia Española de Protección de Datos, el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el
46. 46 Las transferencias internacionales de datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente l ey o rgánica y sus normas de desarrollo aprobadas por el Gobierno, y en las circulares de la Agencia Española de Protección de Datos. En todo caso se aplicarán a los tratamientos que deriven de la propia transferencia las restantes disposiciones contenidas en dichas normas, en par ticular las que regulan los principios de protección de datos. Artículo 4 2 . Supuestos de aprobación por la Agencia Española de Protección de Datos . 1. La Agencia Española de Protección de Datos podrá aprobar cláusulas contractuales tipo para la realización de transferencias internacionales de datos, que se someterán previamente al dictamen del Comité Europeo de Protección de Datos previsto en el artículo 64 del Reglamento (UE) 2016/679. 2. La Agencia Española de Protección de Datos podrá aprobar normas corporativas vinculantes de acuerdo a lo previsto en el artículo 47 del Reglamento (UE) 2016/679. El procedimiento se iniciará a instancia de una entidad situada en España y tendrá una duración máxima de un año. Quedará suspendido como consecuencia de la remisión del expediente al Comité Europeo de Protección de Datos para que emita el dictamen al que se refiere el artículo 64.1.f) del Reglamento (UE) 2016/679, y se reiniciará tras su notificación a la Agencia Española de Protección de Datos. Artíc ulo 4 3 . Supuestos sometidos a autorización previa de la Agencia Española de Protección de Datos . 1. Las transferencias internacionales de datos a países u organizaciones internacionales que no cuenten con decisión de adecuación aprobada por la Comisión o q ue no se amparen en alguna de las garantías previstas en el artículo anterior y en el artículo 46.2 del Reglamento (UE) 2016/679 habrán de ser previamente autorizadas por la Agencia Española de Protección de
79. 79 Los promotores de los códigos tipo inscritos en el registro de la Agencia Española de Protección de Datos o en las autoridades autonómicas de protección de datos deb erán adaptar su contenido a lo dispuesto en el artículo 40 del Reglamento (UE) 2016/679 en el plazo de un año a contar desde la entrada en vigor de esta l ey o rgánica. Si, transcurrido dicho plazo, no se hubiera solicitado la autorización prevista en el art ículo 3 9 .4, se cancelará la inscripción y se comunicará a sus promotores. Disposición transitoria tercera. Régimen transitorio de los procedimientos. 1. Los procedimientos ya iniciados a la entrada en vigor de esta l ey o rgánica se regirán por la normativa anterior. 2. Lo dispuesto en el apartado anterior será asimismo de aplicación a los procedimientos respecto de los cuales ya se hubieren iniciado las actuaciones previas a las que se refiere la Sección 2ª del Capítulo III del Título IX del Reglamento de d esarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de p rotección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre. Disposición transitoria cuarta. Normas dictadas en desarrollo del artículo 13 de la Directiva 9 5/46/CE. Las normas dictadas en aplicación del artículo 13 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo , de 24 de octubre de 1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a l a libre circulación de estos datos , que hubiesen entrado en vigor con anterioridad a 25 de mayo de 2018, y en particular los artículos 23 y 24 de la Ley Orgánica 15/1999, de 13 de diciembre, de p rotección de d atos de carácter personal, seguirán vigentes en tanto no sean expresamente modificadas, sustituidas o derogadas.
24. 24 Artículo 1 1 . Licitud de tratamientos. Los tratamientos de datos previstos en el presente Capítulo se entenderán lícitos de acuerdo a lo establecido en el Reglamento (UE) 2016/679. Deberán respetar lo regulado en esta l ey o rgánica y en sus disposiciones de desarrollo. Artículo 1 2 . Tratamiento de datos de contacto y de empresarios individuales. 1. Se entenderá amparado en lo dispuesto en el artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto de las personas físicas que presten servicios en una persona jurídica si empre que se cumplan los siguientes requisitos: a) Que el tratamiento se refiera únicamente a los mínimos datos imprescindibles para su localización profesional. b) Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios. 2. El mismo amparo legal tendrá el tratamiento de los datos relativos a los empresarios individuales cuando se refieran a ellos en dicha condición y no se traten para entablar una relación co n los mismos como personas físicas. Artículo 1 3 . Tratamiento de datos hechos manifiestamente públicos por el afectado. Será lícito el tratamiento de los datos que el propio afectado hubiese hecho manifiestamente públicos siempre y cuando respete los principios establecidos en el artículo 5 del Reglamento (UE) 2016/679, se haya informado al afectado en los términos previsto s en el artículo 14 del citado r eglamento y se le garantice el ejercicio de sus derechos, en particular los previstos en sus artículos 17 y 19. Lo dispuesto en el párrafo anterior no será de aplicación a los datos de menores de edad o personas con discapac idad para las que se hubiesen establecido medidas de apoyo .
34. 34 3. Cuando el afectado elija un medio distinto al que se le ofrece asumirá los riesgos y los costes despropo rcionados que su elección comporte. 4. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista ca usa legítima para ello. Artículo 2 4 . Derecho de rectificación. Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento. Artículo 2 5 . Derecho de supresión. 1. El derecho de supresión se ejercerá de acuerdo con lo establ ecido en el artículo 17 del Reglamento (UE) 2016/679. 2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado nece sarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa. Artículo 2 6 . Derecho a la limitación del tratamiento. 1. El derecho a la limitación del tratamiento se ejercerá de acuerdo con lo establecido en el artículo 18 del Reglamento (UE) 2016/679. 2. El hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en el sistema.
18. 18 Las disposiciones adicionales se refieren a cuestiones como las medidas de seguridad en el ámbito del s ector público, protección de datos y transparencia y acceso a la información pública, cómputo de plazos o autorización judicial en materia de transferencias internacionales de datos, entre otros. Las disposiciones transitorias están dedicadas a l estatuto d e la Agencia Española de Protección de Datos, el régimen transitorio de los procedimientos o los tratamientos so metidos a la Directiva (UE) 2016 /68 0 . Se recoge únicamente una disposición derogatoria y, a continuación, figuran las disposiciones finales sobre los preceptos con carácter de ley ordinaria , el título competencial, la modificación necesar ia s de la Ley Enjuiciamiento Civil y la entrada en vigor. TÍTULO I Disposiciones generales Artículo 1. Objeto de la l ey. 1. La presente l ey o rgánica tiene por objeto adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos pers onales y a la libre circulación de estos datos , y completar sus disposiciones. 2. El derecho fundamental de las personas físicas a la protección de datos de carácter personal , amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica. Artículo 2. Ámbito de aplicación. 1. La presente ley orgánica se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. 2. Esta ley orgánica no será de aplicación :
21. 21 2. Fuera de los supuestos señalados en el apartado anterior, los tratamientos de datos refer idos a infracciones y sanciones administrativas habrán de estar autorizados por una l ey, en la que se regularán, en su caso, garantías adicionales para los derechos y libertades de los afectados. Artículo 5. Presunción de exactitud. A los efectos previsto s en el artículo 5.1 d) del Reglamento (UE) 2016/679 , se presumirán exactos y actualizados los datos obtenidos directamente del afectado. Artículo 6. Deber de confidencialidad. 1. Los responsables y encargados del tratamiento de datos así como todas las p ersonas que intervengan en cualquier fase de éste estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1 f) del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes d e secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán con carácter indefinido, aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del t ratamiento. Artículo 7. Tratamiento basado en el consentimiento del afectado. 1. Se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informa da e inequívoca por la que é ste acepta , ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste claramente dicho conse ntimiento para cada una de ellas.
35. 35 Artículo 2 7 . Derecho a la portabilidad. 1. El derecho a la portabilidad regulado en el artículo 20 del Reglamento (UE) 2016/679 podrá ejercerse por el afectado respecto de los datos que hubiera facilitado al responsable del tratamiento y de los que se deriven directamente del uso por aquél de los servicios prestados por el responsable. 2. El derecho a la portabilidad no se extenderá a los datos que el responsable hubiere inferido a partir de aquellos a los que se refiere el apartado anterior. En todo caso, el afectado podrá ejercer respecto de estos datos los restantes derechos enumerados en este capítulo, particularmente el derecho de acceso contemplado en el artículo 15 del Reglamento (UE) 2016/679. Artículo 2 8 . Derecho de oposición. El derecho de oposición se ejercerá de acuerdo con lo establecido en el artículo 21 del Reglamento (UE) 2016/679. CAPÍTULO III Obligación de bloqueo Artículo 2 9 . Bloqueo de los datos. 1. El responsable del tratamiento estará obligado a bloquear los datos en los casos previstos en los artículos 16 y 17.1 a), d) y e) del Reglamento (UE) 2016/679, así como cuando deba proceder de oficio a su r ectificación o supresión. 2. Los datos bloqueados quedarán a disposición excl usiva del tribunal , el Ministerio Fiscal u otras Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles resp onsabilidades derivadas del tratamiento y por el plazo de prescripción de las mismas.
61. 61 m anifiestamente de fundamento, sean abusivas o no se aporten elementos que permitan investigar la existencia de una vulneraci ón de los derechos reconocidos. Artículo 6 7 . Plazo de tramitación de los procedimientos. 1. Los plazos máximos de tramitación de los procedimientos y notificación de las resoluciones que los terminen se establecerán mediante real decreto, que no podrá fijar un plazo superior a 18 meses. 2. Dichos plazos quedarán automáticamente suspendidos cuando deba recabarse información, consulta o pronunciamiento preceptivo de un órgano de la Unión Europea o de una Autoridad de control conforme con lo establecido en el Reglamento (UE) 2016/679, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos. Artículo 6 8 . Actuaciones previas de investigación. 1. Antes de la iniciación del procedimiento la Agencia Española de Protección de Datos podrá incoar actuaciones previas de investigación a fin de determinar si concurren circunstancias que lo justifiquen. 2. El plazo máximo de tramitación de las actuaciones previas de investigación será de un año. Será de aplicación lo dispuesto en el apartado 2 del artículo anterior. 3. No procederá la apertura de las actuaciones previas de investigación cuando la reclamación verse únicamente sobre la falta de atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Artículo 6 9 . Medidas provisionales.
54. 54 Quedan excluidos de lo pre visto en este apartado los datos de tráfico que los operadores estuviesen tratando con la exclusiva finalidad de dar cumplimiento a las obligaciones previstas en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones elec trónicas y a las redes públicas de comunicaciones, cuya cesión solamente podrá tener lugar de acuerdo con lo dispuesto en ella , previa autorización judicial solicitada por alguno de los agentes facultados a los que se refiere el artículo 6 de dicha ley . Artículo 5 4 . Alcance de la actividad de investigación. Los inspectores de la Agencia Española de Protección de Datos podrán recabar las informaciones precisas para el cumplimiento de sus funciones, realizar inspecciones, requerir la exhibición o el envío d e los documentos y datos necesarios, examinarlos en el lugar en que se encuentren depositados o en donde se lleven a cabo los tratamientos, obtener copia de ellos, inspeccionar los equipos físicos y lógicos y requerir la ejecución de tratamientos y program as o procedimientos de gestión y soporte del tratamiento sujetos a investigación. Los poderes de inves tigación en lo que se refiere a entrada a domicilios y restantes lugares cuyo acceso requiera el consentimiento de su titular deben ejercerse de conformi dad de acuerdo con las normas procesales, en particular, en los casos en los que sea precisa la autorización judicial previa. Cuando se trate de órganos judiciales u Oficinas Judiciales el ejercicio de las facultades de inspección se efectuará a través y p or mediación del Consejo General del Poder Judicial. Artículo 5 5 . Planes de auditoría preventiva. 1. El Presidente de la Agencia Española de Protección de Datos podrá acordar la realización de planes de auditoría preventiva, referidos a los tratamientos d e un sector concreto de actividad. Tendrán por objeto el análisis del cumplimiento de las disposiciones del Reglamento (UE) 2016/679 y de la presente l ey o rgánica, a partir de la realización de actividades de investigación sobre entidades pertenecientes al sector inspeccionado o sobre los responsables objeto de la auditoría.
74. 74 c) Las sanciones por un importe superior a 300.000 eu ros prescriben a los tres años. 2. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción. 3. La prescripción se interrumpirá por la iniciación, co n conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor. Disposición adicional primera. Medidas de seguridad en el ámbito del sector público. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos de carácter personal, para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesg o en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679. Disposición adicional segunda. Protección de datos y transparencia y acceso a la información pública. La publicidad activa y el acceso a la información públi ca regulados por el Título II de la Ley 19/2013, de 9 de diciembre, de t ransparencia, acceso a la información y buen gobierno se someterán, cuando la información contenga datos de carácter personal, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/201 3, en el Reglamento (UE) 2016/679 y en la presente l ey o rgánica. Disposición adicional tercera. Cómputo de plazos. L os plazos establecidos en el Reglamento (UE) 2016/ 6 79 o en esta l ey orgánica , con independencia de que se refieran a relaciones entre particulares o con entidades del sector público, se regirán por las siguientes reglas:
77. 77 c) En caso de fallecimiento de menores o personas con discapacidad para las que se hubiesen establecido medidas de apoyo, estas facultades podrán ejercerse, en todo momento, por el Ministerio Fiscal. Mediante real decreto se establecerán los requisitos y condiciones para acreditar la v alidez y vigencia de los citados mandatos e instrucciones y, en su caso, el registro de los mismos, que podrá coincidir con el previsto en el artículo 3. Disposición adicional octava. Incorporación de deudas a sistemas de información crediticia. No se inc orporarán a los sistemas de información crediticia a los que se refiere el artículo 1 4 .1 deudas en que la cuantía del principal sea inferior a cincuenta euros. El Gobierno, mediante r eal d ecreto, podrá modificar esta cuantía. Disposición adicional novena. Condiciones adicionales para el tratamiento de categorías especiales de datos. El Gobierno en el plazo de dos años desde la entrada en vigor de esta l ey o rgánica remitirá a las Cortes un p royecto de l ey en el que establecerá condiciones adicionales y, en su caso, limitaciones al tratamiento de datos genéticos, biométricos o relativos a la salud. Disposición adicional décima. Contratación centralizada de la Agencia Española de Protección de Datos . La Agencia Española de Protección de Datos podrá adherirse a los sistemas de contratación centralizada establecidos por las Administraciones Públicas y participar en la gestión compartida de servicios comunes.
48. 48 Autoridades de protección de datos CAPÍTULO I La Agencia Española de Protección de Datos SECCIÓN 1.ª DISPOSICIONES GENERALES Artículo 4 5 . Disposiciones generales. 1. La Agencia Española de Pr otección de Datos es una autoridad administrativa i ndependiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos en el ejercicio de sus funciones. Se relaciona con el Gobierno a través del Ministerio de Justicia. 2. La Agencia Española de Protección de Datos tendrá la condición de representante común de las a utoridades de p rotección de d atos en el Comité Europeo de Protección de Datos. 3. La Agencia Española de Protección de Datos y el Consejo General del Poder Judicial colaborarán en aras del adecuado ejercicio de las respectivas competencias que la Ley Orgánica 6/1985, de 1 julio, del Poder Judicial, les atribuye e n materia de protección de datos de carácter personal en el ámbito de la Administración de Justicia . Artículo 4 6 . Régimen jurídico. 1. La Agencia Española de Protección de Datos se rige por lo dispuesto en el Reglamento (UE) 2016/679, la presente l ey o rgánica y sus disposiciones de desarrollo. 2. El Gobierno, a propuesta de la Agencia, aprobará su Estatuto mediante r eal d ecreto. Artículo 4 7 . Régimen económico presupuestario y de personal.
78. 78 Disposición adicional un décima. Identificación de los interesados en las notificaciones por medio de anu ncios y publicaciones de actos administrativos. Cuando la notificación por medio de anuncios o la publicación de un acto administrativo contuviese datos de carácter personal del destinatario, se identificará al mismo mediante las iniciales de su nombre y de sus dos apellidos y su número de documento nacional de identidad. Disposición adicional duodécima . Potestad de verificación de las Administraciones Públicas. Cuando se formulen solicitudes por medios electrónicos en las que el interesado declare datos personales que obren en poder de las Administraciones Públicas, el órgano destinatario de la solicitud podrá efectuar en el ejercicio de sus competencias las verificaciones necesarias para comprobar la exactitud de los datos. Disposición adicional decimote rcera . No incremento de gasto. La designación por los órganos y entidades que conforman el sector público estatal de un delegado de protección de datos, así como la habilitación a la que se refiere el artículo 52.2 no podrán suponer incremento de dotacione s, ni de retribuciones, ni de otros gastos de personal. Disposición transitoria primera. Estatuto de la Agencia Española de Protección de Datos. 1. El Estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 428/1993, de 26 de marzo, continuará vigente en lo que no se oponga a lo establecido en el Título VI . 2. La previsión contenida en el párrafo primero del artículo 4 9 .3 se aplicará una vez expire el mandato de quien ostente la condición de Director o Presidente de la Agencia Española de Protección de Datos a la entrada en vigor de esta l ey o rgánica. Disposición transitoria segunda. Códigos tipo inscritos en las autoridades de protección de datos conforme a la Ley Orgánica 15/1999, de 13 de diciembre.
80. 80 Disposición transitoria quinta. Tratamientos so metidos a la Directiva (UE) 2016 /680 . Los tratamie ntos sometidos a la Directiva (UE) 2016 /680 del Parlamento Europeo y del Consejo , de 27 de abril de 2016 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones pen ales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y sus disposiciones de desarrollo en tanto no entre en v igor la norma que trasponga al D erecho esp añol lo dispuesto en la citada d irectiva. Disposición derogatoria única. Derogación normativa. Sin perjuicio de lo previsto en las disposiciones transitorias cuarta y quinta, q uedan derogadas la Ley Orgánica 15/1999, de 13 de diciembre, de p rotección de d atos de carácter personal y cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE) 2016/679 y la presente l ey o rgánica. Disposición final primera. Naturaleza de la presente l ey. La presente l ey tiene el carácter de ley orgánica, a excepción del Capítulo II del Título II, el Título VI, salvo el artículo 61 , el Título VII, el T ítulo VIII, las disposiciones adicionales, salvo la disposición adicional segunda, las disposiciones transitorias y l as disposiciones finales, salvo esta disposición final primera. Disposición final segunda . Título competencial . 1. Esta ley orgánica se dicta al amparo del artículo 149.1.1.ª de la Constitución, que atribuye al Estado la competencia exclusiva para la regulación de las condiciones básicas que garanticen la
980 Vistas del sitio web
235 Embedded Views