Source: http://www.asesoriayempresas.es/legislacion/JURIDICO/33091/ley-organica-15-1999-de-13-de-diciembre-de-proteccion-de-datos-de-caracter-personal
Timestamp: 2018-07-22 06:31:41
Document Index: 407546006

Matched Legal Cases: ['artículo 79', 'Artículo 1', 'Artículo 2', 'Artículo 3', 'Artículo 4', 'Artículo 5', 'Artículo 6', 'Artículo 7', 'artículo 16', 'Artículo 8', 'artículo 11', 'Artículo 9', 'Artículo 10', 'Artículo 11', 'Artículo 12', 'Artículo 13', 'Artículo 14', 'Artículo 15', 'Artículo 16', 'Artículo 17', 'Artículo 18', 'Artículo 19', 'Artículo 20', 'Artículo 21', 'Artículo 22', 'Artículo 23', 'Artículo 24', 'artículo 5', 'Artículo 25', 'Artículo 26', 'Artículo 27', 'Artículo 28', 'artículo 3', 'Artículo 29', 'Artículo 30', 'Artículo 31', 'Artículo 32', 'Artículo 33', 'Artículo 34', 'Artículo 35', 'Artículo 36', 'Artículo 37', 'Artículo 37', 'Artículo 38', 'Artículo 39', 'Artículo 40', 'Artículo 41', 'artículo 37', 'Artículo 42', 'Artículo 43', 'Artículo 43', 'Artículo 44', 'Artículo 44', 'Artículo 45', 'Artículo 45', 'Artículo 46', 'artículo 44', 'Artículo 46', 'artículo 44', 'Artículo 47', 'Artículo 48', 'Artículo 48', 'Artículo 49', 'artículo 49', 'Artículo 49', 'artículo 112', 'artículo 112', 'artículo 111', 'artículo 21', 'artículo 24', 'artículo 24', 'artículo 36']

Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal - Portal Asesoría y Empresas Thomson Reuters
Inicio > Legislación > Resultados > Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal
LEY ORGANICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCION DE DATOS DE CARACTER PERSONAL (BOE DEL 14)
Título II. Principios de la protección de datos (Arts. 4 a 12)
Art. 4. Calidad de los datos
Art. 5. Derecho de información en la recogida de datos
Art. 6. Consentimiento del afectado
Art. 7. Datos especialmente protegidos
Art. 8. Datos relativos a la salud
Art. 9. Seguridad de los datos
Art. 10. Deber de secreto
Art. 11. Comunicación de datos
Art. 12. Acceso a los datos por cuenta de terceros
Título III. Derechos de las personas (Arts. 13 a 19)
Art. 13. Impugnación de valoraciones
Art. 14. Derecho de consulta al Registro General de Protección de Datos
Art. 15. Derecho de acceso
Art. 16. Derecho de rectificación y cancelación
Art. 17. Procedimiento de oposición, acceso, rectificación o cancelación
Art. 18. Tutela de los derechos
Art. 19. Derecho a indemnización
Título IV. Disposiciones sectoriales (Arts. 20 a 32)
Capítulo I. Ficheros de titularidad pública (Arts. 20 a 24)
Art. 20. Creación, modificación o supresión
Art. 21. Comunicación de datos entre Administraciones públicas
Art. 22. Ficheros de las Fuerzas y Cuerpos de Seguridad
Art. 23. Excepciones a los derechos de acceso, rectificación y cancelación
Art. 24. Otras excepciones a los derechos de los afectados
Capítulo II. Ficheros de titularidad privada (Arts. 25 a 32)
Art. 25. Creación
Art. 26. Notificación e inscripción registral
Art. 27. Comunicación de la cesión de datos
Art. 28. Datos incluidos en las fuentes de acceso público
Art. 29. Prestación de servicios de información sobre solvencia patrimonial y crédito
Art. 30. Tratamientos con fines de publicidad y de prospección comercial
Art. 31. Censo promocional
Art. 32. Códigos tipo
Título V. Movimiento internacional de datos (Arts. 33 y 34)
Art. 33. Norma general
Art. 34. Excepciones
Título VI. Agencia de Protección de Datos (Arts. 35 a 42)
Art. 35. Naturaleza y régimen jurídico
Art. 36. El Director
Art. 37. Funciones
Art. 38. Consejo Consultivo
Art. 39. El Registro General de Protección de Datos
Art. 40. Potestad de inspección
Art. 41. Organos correspondientes de las Comunidades Autónomas
Art. 42. Ficheros de las Comunidades Autónomas en materia de su exclusiva competencia
Título VII. Infracciones y sanciones (Arts. 43 a 49)
Art. 43. Responsables
Art. 44. Tipos de infracciones
Art. 45. Tipo de sanciones
Art. 46. Infracciones de las Administraciones públicas
Art. 47. Prescripción
Art. 48. Procedimiento sancionador
Art. 49. Potestad de inmovilización de ficheros
Segunda. Ficheros y Registro de Población de las Administraciones públicas
LEY ORGANICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCION DE DATOS DE CARACTER PERSONAL
Según establece el artículo 79 de la Ley 62/2003, de 30 de diciembre (BOE del 31), de medias fiscales, administrativas y del orden social, las referencias a la Agencia de Protección de Datos deberán entenderse realizadas a la Agencia Española de Protección de datos.
(BOE DEL 14)
Artículo 1. Objeto.—La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.
Artículo 2. Ámbito de aplicación.—1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.
Artículo 3. Definiciones.—A los efectos de la presente Ley Orgánica se entenderá por:
a) Datos de carácter personal. Cualquier información concerniente a personas físicas identificadas o identificables.
b) Fichero. Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
c) Tratamiento de datos. Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
d) Responsable del fichero o tratamiento. Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
e) Afectado o interesado. Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado c) del presente artículo.
f) Procedimiento de disociación. Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
g) Encargado del tratamiento. La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
h) Consentimiento del interesado. Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
i) Cesión o comunicación de datos. Toda revelación de datos realizada a una persona distinta del interesado.
j) Fuentes accesibles al público. Aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación.
Artículo 4. Calidad de los datos.—1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.
Artículo 5. Derecho de información en la recogida de datos.—1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
Artículo 6. Consentimiento del afectado.—1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
Artículo 7. Datos especialmente protegidos.—1. De acuerdo con lo establecido en el apartado 2 del artículo 16 de la Constitución, nadie podrá ser obligado a declarar sobre su ideología, religión o creencias.
2. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias. Se exceptúan los ficheros mantenidos por los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisara siempre el previo consentimiento del afectado.
6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto.
Artículo 8. Datos relativos a la salud.—Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.
Artículo 9. Seguridad de los datos.—1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
Artículo 10. Deber de secreto.—El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.
Artículo 11. Comunicación de datos.—1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.
Artículo 12. Acceso a los datos por cuenta de terceros.—1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
Artículo 13. Impugnación de valoraciones.—1. Los ciudadanos tienen derecho a no verse sometidos a una decisión con efectos jurídicos, sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento de datos destinados a evaluar determinados aspectos de su personalidad.
Artículo 14. Derecho de consulta al Registro General de Protección de Datos.—Cualquier persona podrá conocer, recabando a tal fin la información oportuna del Registro General de Protección de Datos, la existencia de tratamientos de datos de carácter personal, sus finalidades y la identidad del responsable del tratamiento. El Registro General será de consulta pública y gratuita.
Artículo 15. Derecho de acceso.—1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos.
Artículo 16. Derecho de rectificación y cancelación.—1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días.
Artículo 17. Procedimiento de oposición, acceso, rectificación o cancelación.—1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente.
Artículo 18. Tutela de los derechos.—1. Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los interesados ante la Agencia de Protección de Datos, en la forma que reglamentariamente se determine.
Artículo 19. Derecho a indemnización.—1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados.
Artículo 20. Creación, modificación o supresión.—1. La creación, modificación o supresión de los ficheros de las Administraciones públicas sólo podrán hacerse por medio de disposición general publicada en el «Boletín Oficial del Estado» o Diario oficial correspondiente.
Artículo 21. Comunicación de datos entre Administraciones públicas.—1. Los datos de carácter personal recogidos o elaborados por las Administraciones públicas para el desempeño de sus atribuciones no serán comunicados a otras Administraciones públicas para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas, salvo cuando la comunicación hubiere sido prevista por las disposiciones de creación del fichero o por disposición de superior rango que regule su uso, o cuando la comunicación tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
La STC de 30 de noviembre de 2000 ha declarado nulo este apartado 1 en su inciso «cuando la comunicación hubiere sido prevista por las disposiciones de creación del fichero o por disposición de superior rango que regule su uso, o».
Artículo 22. Ficheros de las Fuerzas y Cuerpos de Seguridad.—1. Los ficheros creados por las Fuerzas y Cuerpos de Seguridad que contengan datos de carácter personal que, por haberse recogido para fines administrativos, deban ser objeto de registro permanente, estarán sujetos al régimen general de la presente Ley.
Artículo 23. Excepciones a los derechos de acceso, rectificación y cancelación.—1. Los responsables de los ficheros que contengan los datos a que se refieren los apartados 2, 3 y 4 del artículo anterior podrán denegar el acceso, la rectificación o cancelación en función de los peligros que pudieran derivarse para la defensa del Estado o la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando.
Artículo 24. Otras excepciones a los derechos de los afectados.—1. Lo dispuesto en los apartados 1 y 2 del artículo 5 no será aplicable a la recogida de datos cuando la información al afectado impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de las Administraciones públicas o cuando afecte a la Defensa Nacional, a la seguridad pública o a la persecución de infracciones penales o administrativas .
La STC de 30 de noviembre de 2000 ha declarado nulo este apartado 1 en sus incisos «impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de las Administraciones públicas» y «o administrativas».
La STC de 30 de noviembre de 2000 ha declarado nulo este apartado 2.
Artículo 25. Creación.—Podrán crearse ficheros de titularidad privada que contengan datos de carácter personal cuando resulte necesario para el logro de la actividad u objeto legítimos de la persona, empresa o entidad titular y se respeten las garantías que esta Ley establece para la protección de las personas.
Artículo 26. Notificación e inscripción registral.—1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.
Artículo 27. Comunicación de la cesión de datos.—1. El responsable del fichero, en el momento en que se efectúe la primera cesión de datos, deberá informar de ello a los afectados, indicando, asimismo, la finalidad del fichero, la naturaleza de los datos que han sido cedidos y el nombre y dirección del cesionario.
Artículo 28. Datos incluidos en las fuentes de acceso público.—1. Los datos personales que figuren en el censo promocional, o las listas de personas pertenecientes a grupos de profesionales a que se refiere el artículo 3.j) de esta Ley deberán limitarse a los que sean estrictamente necesarios para cumplir la finalidad a que se destina cada listado. La inclusión de datos adicionales por las entidades responsables del mantenimiento de dichas fuentes requerirá el consentimiento del interesado, que podrá ser revocado en cualquier momento.
Artículo 29. Prestación de servicios de información sobre solvencia patrimonial y crédito.—1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento.
Artículo 30. Tratamientos con fines de publicidad y de prospección comercial.—1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.
Artículo 31. Censo promocional.—1. Quienes pretendan realizar permanente o esporádicamente la actividad de recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial u otras actividades análogas, podrán solicitar del Instituto Nacional de Estadística o de los órganos equivalentes de las Comunidades Autónomas una copia del censo promocional, formado con los datos de nombre, apellidos y domicilio que constan en el censo electoral.
Artículo 32. Códigos tipo.—1. Mediante acuerdos sectoriales, convenios administrativos o decisiones de empresa, los responsables de tratamientos de titularidad pública y privada, así como las organizaciones en que se agrupen, podrán formular códigos tipo que establezcan las condiciones de organización, régimen de funcionamiento, procedimientos aplicables, normas de seguridad del entorno, programas o equipos, obligaciones de los implicados en el tratamiento y uso de la información personal, así como las garantías, en su ámbito, para el ejercicio de los derechos de las personas con pleno respeto a los principios y disposiciones de la presente Ley y sus normas de desarrollo.
Artículo 33. Norma general.—1. No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas.
Artículo 34. Excepciones.—Lo dispuesto en el artículo anterior no será de aplicación:
c) Cuando la transferencia sea necesaria para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios.
Artículo 35. Naturaleza y régimen jurídico.—1. La Agencia de Protección de Datos es un ente de derecho público, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las Administraciones públicas en el ejercicio de sus funciones. Se regirá por lo dispuesto en la presente Ley y en un Estatuto propio, que será aprobado por el Gobierno.
Artículo 36. El Director.—1. El Director de la Agencia de Protección de Datos dirige la Agencia y ostenta su representación. Será nombrado, de entre quienes componen el Consejo Consultivo, mediante Real Decreto, por un período de cuatro años.
Artículo 37. Funciones.— 1. Son funciones de la Agencia de Protección de Datos:
Este apartado 2 ha sido añadido por la Ley 62/2003, de 30 de diciembre (BOE del 31).
VIGENTE DE 14 DE ENERO DEL 2000 A 31 DE DICIEMBRE DE 2003.
Artículo 37. Funciones.—Son funciones de la Agencia de Protección de Datos:
Artículo 38. Consejo Consultivo.—El Director de la Agencia de Protección de Datos estará asesorado por un Consejo Consultivo compuesto por los siguientes miembros:
Artículo 39. El Registro General de Protección de Datos.—1. El Registro General de Protección de Datos es un órgano integrado en la Agencia de Protección de Datos.
Artículo 40. Potestad de inspección.—1. Las autoridades de control podrán inspeccionar los ficheros a que hace referencia la presente Ley, recabando cuantas informaciones precisen para el cumplimiento de sus cometidos.
Artículo 41. Organos correspondientes de las Comunidades Autónomas.—1. Las funciones de la Agencia de Protección de Datos reguladas en el artículo 37, a excepción de las mencionadas en los apartados j), k) y l), y en los apartados f) y g) en lo que se refiere a las transferencias internacionales de datos, así como en los artículos 46 y 49, en relación con sus específicas competencias serán ejercidas, cuando afecten a ficheros de datos de carácter personal creados o gestionados por las Comunidades Autónomas y por la Administración Local de su ámbito territorial, por los órganos correspondientes de cada Comunidad, que tendrán la consideración de autoridades de control, a los que garantizarán plena independencia y objetividad en el ejercicio de su cometido.
Artículo 42. Ficheros de las Comunidades Autónomas en materia de su exclusiva competencia.—1. Cuando el Director de la Agencia de Protección de Datos constate que el mantenimiento o uso de un determinado fichero de las Comunidades Autónomas contraviene algún precepto de esta Ley en materia de su exclusiva competencia podrá requerir a la Administración correspondiente que se adopten las medidas correctoras que determine en el plazo que expresamente se fije en el requerimiento.
Artículo 43. Responsables.— 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.
Este apartado 2 ha sido redactado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
VIGENTE DE 14 DE ENERO DEL 2000 A 5 DE MARZO DE 2011.
Artículo 43. Responsables.—1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.
Artículo 44. Tipos de infracciones.— 1. Las infracciones se calificarán como leves, graves o muy graves.
Este apartado 3 ha sido redactado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Este apartado 4 ha sido redactado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Artículo 44. Tipos de infracciones.—1. Las infracciones se calificarán como leves, graves o muy graves.
Artículo 45. Tipo de sanciones.— 1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.
Este apartado 1 ha sido redactado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Este apartado 5 ha sido redactado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Este apartado 6 ha sido añadido por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Este apartado 7 era anteriormente el 6 que ha sido renumerado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Este apartado 8 era anteriormente el 7 que ha sido renumerado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Véase la Resolución de 11 de diciembre de 2001 (BOE del 19), por la que se da publicidad a la conversión a euros de los valores correspondientes a los procedimientos sancionadores establecidos en diversas normas y a los precios privados del Ministerio de Justicia.
Artículo 45. Tipo de sanciones.—1. Las infracciones leves serán sancionadas con multa de 100.000 a 10.000.000 de pesetas.
Artículo 46. Infracciones de las Administraciones públicas.— 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.
Artículo 46. Infracciones de las Administraciones públicas.—1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de los que sean responsables las Administraciones públicas, el Director de la Agencia de Protección de Datos dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción.
Artículo 47. Prescripción.—1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
Artículo 48. Procedimiento sancionador.— 1. Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título.
Este apartado 3 ha sido añadido por la Ley 62/2003, de 30 de diciembre (BOE del 31).
Artículo 48. Procedimiento sancionador.—1. Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título.
Artículo 49. Potestad de inmovilización de ficheros.— En los supuestos constitutivos de infracción grave o muy grave en que la persistencia en el tratamiento de los datos de carácter personal o su comunicación o transferencia internacional posterior pudiera suponer un grave menoscabo de los derechos fundamentales de los afectados y en particular de su derecho a la protección de datos de carácter personal, el órgano sancionador podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, el órgano sancionador podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas.
Este artículo 49 ha sido redactado por la Ley 2/2011, de 4 de marzo (BOE del 5), de Economía Sostenible.
Artículo 49. Potestad de inmovilización de ficheros.—En los supuestos, constitutivos de infracción muy grave, de utilización o cesión ilícita de los datos de carácter personal en que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de la Agencia de Protección de Datos podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, la Agencia de Protección de Datos podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas.
Disposición adicional primera. Ficheros preexistentes.—Los ficheros y tratamientos automatizados inscritos o no en el Registro General de Protección de Datos deberán adecuarse a la presente Ley Orgánica dentro del plazo de tres años, a contar desde su entrada en vigor. En dicho plazo, los ficheros de titularidad privada deberán ser comunicados a la Agencia de Protección de Datos y las Administraciones públicas, responsables de ficheros de titularidad pública, deberán aprobar la pertinente disposición de regulación del fichero o adaptar la existente.
Disposición adicional segunda. Ficheros y Registro de Población de las Administraciones públicas.—1. La Administración General del Estado y las Administraciones de las Comunidades Autónomas podrán solicitar al Instituto Nacional de Estadística, sin consentimiento del interesado, una copia actualizada del fichero formado con los datos del nombre, apellidos, domicilio, sexo y fecha de nacimiento que constan en los padrones municipales de habitantes y en el censo electoral correspondientes a los territorios donde ejerzan sus competencias, para la creación de ficheros o registros de población.
Disposición adicional tercera. Tratamiento de los expedientes de las derogadas Leyes de Vagos y Maleantes y de Peligrosidad y Rehabilitación Social.—Los expedientes específicamente instruidos al amparo de las derogadas Leyes de Vagos y Maleantes, y de Peligrosidad y Rehabilitación Social, que contengan datos de cualquier índole susceptibles de afectar a la seguridad, al honor, a la intimidad o a la imagen de las personas, no podrán ser consultados sin que medie consentimiento expreso de los afectados, o hayan transcurrido cincuenta años desde la fecha de aquéllos.
Disposición adicional cuarta. Modificación del artículo 112.4 de la Ley General Tributaria.—El apartado cuarto del artículo 112 de la Ley General Tributaria pasa a tener la siguiente redacción:
«4. La cesión de aquellos datos de carácter personal, objeto de tratamiento, que se debe efectuar a la Administración tributaria conforme a lo dispuesto en el artículo 111, en los apartados anteriores de este artículo o en otra norma de rango legal, no requerirá el consentimiento del afectado. En este ámbito tampoco será de aplicación lo que respecto a las Administraciones públicas establece el apartado 1 del artículo 21 de la Ley Orgánica de Protección de Datos de carácter personal.»
Disposición adicional quinta. Competencias del Defensor del Pueblo y órganos autonómicos semejantes.—Lo dispuesto en la presente Ley Orgánica se entiende sin perjuicio de las competencias del Defensor del Pueblo y de los órganos análogos de las Comunidades Autónomas.
Disposición adicional sexta. Modificación del artículo 24.3 de la Ley de Ordenación y Supervisión de los Seguros Privados.—Se modifica el artículo 24.3, párrafo 2.º de la Ley 30/1995, de 8 de noviembre, de Ordenación y Supervisión de los Seguros Privados, con la siguiente redacción:
«Las entidades aseguradoras podrán establecer ficheros comunes que contengan datos de carácter personal para la liquidación de siniestros y la colaboración estadístico actuarial con la finalidad de permitir la tarificación y selección de riesgos y la elaboración de estudios de técnica aseguradora. La cesión de datos a los citados ficheros no requerirá el consentimiento previo del afectado, pero sí la comunicación al mismo de la posible cesión de sus datos personales a ficheros comunes para los fines señalados con expresa indicación del responsable para que se puedan ejercitar los derechos de acceso, rectificación y cancelación previstos en la ley.
En todo caso, los datos relativos a la salud sólo podrán ser objeto de tratamiento con el consentimiento expreso del afectado.»
Disposición transitoria primera. Tratamientos creados por Convenios internacionales.—La Agencia de Protección de Datos será el organismo competente para la protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal respecto de los tratamientos establecidos en cualquier Convenio Internacional del que sea parte España que atribuya a una autoridad nacional de control esta competencia, mientras no se cree una autoridad diferente para este cometido en desarrollo del Convenio.
Disposición transitoria segunda. Utilización del censo promocional.—Reglamentariamente se desarrollarán los procedimientos de formación del censo promocional, de oposición a aparecer en el mismo, de puesta a disposición de sus solicitantes, y de control de las listas difundidas. El Reglamento establecerá los plazos para la puesta en operación del censo promocional.
Disposición transitoria tercera. Subsistencia de normas preexistentes.—Hasta tanto se lleven a efecto las previsiones de la disposición final primera de esta Ley, continuarán en vigor, con su propio rango, las normas reglamentarias existentes y, en especial, los Reales Decretos 428/1993, de 26 de marzo; 1332/1994, de 20 de junio, y 994/1999, de 11 de junio, en cuanto no se opongan a la presente Ley.
Disposición derogatoria única. Derogación normativa.—Queda derogada la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de los datos de carácter personal.
Disposición final primera. Habilitación para el desarrollo reglamentario.—El Gobierno aprobará, o modificará, las disposiciones reglamentarias necesarias para la aplicación y desarrollo de la presente Ley.
Disposición final segunda. Preceptos con carácter de Ley ordinaria.—Los Títulos IV, VI excepto el último inciso del párrafo 4 del artículo 36 y VII de la presente Ley, la disposición adicional cuarta, la disposición transitoria primera y la final primera tienen el carácter de Ley ordinaria.
Disposición final tercera. Entrada en vigor.—La presente Ley entrará en vigor en el plazo de un mes, contado desde su publicación en el «Boletín Oficial del Estado».