Principis de la protecció de dades
Dret d'informació en la recollida de dades
Accés a les dades per compte de tercers
Dret de consulta al Registre general de protecció de dades
Dret de rectificació i cancel·lació
Procediment d'oposició, accés, rectificació o cancel·lació
Creació, modificació o supressió
Comunicació de dades entre administracions públiques
Fitxers de les Forces i els Cossos de Seguretat
Excepcions als drets d'accés, rectificació i cancel·lació
Altres excepcions als drets dels afectats
Notificació i inscripció registral
Comunicació de la cessió de dades
Dades incloses en les fonts d'accés públic
Prestació de serveis d'informació sobre solvència patrimonial i crèdit
Tractaments amb finalitats de publicitat i de prospecció comercial
El Registre General de Protecció de Dades
Òrgans corresponents de les comunitats autònomes
Fitxers de les comunitats autònomes en matèria de la seva competència exclusiva
Infraccions de les administracions públiques
Potestat d'immobilització de fitxers
Fitxers i Registre de població de les administracions públiques
Tractament dels expedients de les derogades lleis de vagabunds i malfactors i de perillositat i rehabilitació social
Modificació de l'article 112.4 de la Llei general tributària
Competències del defensor del Poble i òrgans autonòmics semblants
Modificació de l'article 24.3 de la Llei d'ordenació i supervisió de les assegurances privades
Tractaments creats per convenis internacionals
Utilització del cens promocional
Subsistència de normes preexistents
Habilitació per al desplegament reglamentari
Preceptes amb caràcter de llei ordinària
Aquesta Llei orgànica té com a objecte garantir i protegir, pel que fa al tractament de les dades personals, les llibertats públiques i els drets fonamentals de les persones físiques, i especialment del seu honor i la seva intimitat personal i familiar.
Aquesta Llei orgànica és aplicable a les dades de caràcter personal registrades en suport físic, que les faci susceptibles de tractament, i a qualsevol modalitat d'ús posterior d'aquestes dades pels sectors públic i privat.
Es regeix per aquesta Llei orgànica qualsevol tractament de dades de caràcter personal:
a ) Quan el tractament s'efectuï en territori espanyol, en el marc de les activitats d'un establiment del responsable del tractament.
b ) Quan al responsable del tractament no establert en territori espanyol li sigui aplicable la legislació espanyola en aplicació de les normes de dret internacional públic.
c ) Quan el responsable del tractament no estigui establert en el territori de la Unió Europea i utilitzi en el tractament de dades mitjans situats en territori espanyol, llevat que aquests mitjans s'utilitzin únicament amb finalitats de trànsit.
El règim de protecció de les dades de caràcter personal que estableix aquesta Llei orgànica no és aplicable:
a ) Als fitxers mantinguts per persones físiques en l'exercici d'activitats exclusivament personals o domèstiques.
b ) Als fitxers sotmesos a la normativa sobre protecció de matèries classificades.
c ) Als fitxers establerts per a la investigació del terrorisme i de formes greus de delinqüència organitzada.
No obstant això, en aquests supòsits el responsable del fitxer ha de comunicar-ne prèviament l'existència, les característiques generals i la finalitat a l'Agència de Protecció de Dades.
Es regeixen per les seves disposicions específiques, i pel que preveu especialment, si s'escau, aquesta Llei orgànica els tractaments de dades personals següents:
a ) Els fitxers regulats per la legislació de règim electoral.
b ) Els que serveixin a finalitats exclusivament estadístiques, i estiguin emparats per la legislació estatal o autonòmica sobre la funció estadística pública.
c ) Els que tinguin com a objecte l'emmagatzematge de les dades contingudes en els informes personals de qualificació a què es refereix la legislació del règim del personal de les Forces Armades.
d ) Els derivats del Registre Civil i del Registre central de penats i rebels.
e ) Els procedents d'imatges i sons obtinguts mitjançant la utilització de videocàmeres per les Forces i els Cossos de Seguretat, d'acord amb la legislació sobre la matèria.
Als efectes d'aquesta Llei orgànica, s'entén per:
a ) Dades de caràcter personal: qualsevol informació referent a persones físiques identificades o identificables.
b ) Fitxer: qualsevol conjunt organitzat de dades de caràcter personal, sigui quina sigui la forma o la modalitat de creació, emmagatzematge, organització i accés.
c ) Tractament de dades: les operacions i els procediments tècnics de caràcter automatitzat o no, que permetin recollir, gravar, conservar, elaborar, modificar, bloquejar i cancel·lar, així com les cessions de dades que derivin de comunicacions, consultes, interconnexions i transferències.
d ) Responsable del fitxer o el tractament: persona física o jurídica, de naturalesa pública o privada, o òrgan administratiu, que decideixi sobre la finalitat, el contingut i l'ús del tractament.
e ) Afectat o interessat: persona física titular de les dades que siguin objecte del tractament a què es refereix l'apartat c d'aquest article.
f ) Procediment de dissociació: qualsevol tractament de dades personals de manera que la informació que s'obtingui no es pugui associar a una persona identificada o identificable.
g ) Encarregat del tractament: la persona física o jurídica, l'autoritat pública, el servei o qualsevol altre organisme que, sol o conjuntament amb altres, tracti dades personals per compte del responsable del tractament.
h ) Consentiment de l'interessat: qualsevol manifestació de la voluntat, lliure, inequívoca, específica i informada, mitjançant la qual l'interessat consenti el tractament de dades personals que el concerneixen.
i ) Cessió o comunicació de dades: qualsevol revelació de dades efectuada a una persona diferent de l'interessat.
j ) Fonts accessibles al públic: els fitxers que poden ser consultats per qualsevol persona, sense que ho impedeixi una norma limitativa o sense altra exigència que, si s'escau, l'abonament d'una contraprestació.
Només es consideren fonts d'accés públic el cens promocional, els repertoris telefònics en els termes que preveu la normativa específica i les llistes de persones que pertanyen a grups de professionals que continguin únicament les dades de nom, títol, professió, activitat, grau acadèmic, direcció i indicació de la seva pertinença al grup.
Així mateix, tenen el caràcter de fonts d'accés públic els diaris i els butlletins oficials i els mitjans de comunicació.
Les dades de caràcter personal només es poden recollir per ser tractades, així com sotmetre-les a aquest tractament, quan siguin adequades, pertinents i no excessives en relació amb l'àmbit i les finalitats determinades, explícites i legítimes per a les quals s'han obtingut.
Les dades de caràcter personal objecte de tractament no es poden utilitzar per a finalitats incompatibles amb aquelles per a les quals les dades hagin estat recollides.
No es considera incompatible el tractament posterior d'aquestes dades amb finalitats històriques, estadístiques o científiques.
Les dades de caràcter personal han de ser exactes i posades al dia de manera que responguin amb veracitat a la situació actual de l'afectat.
Si les dades de caràcter personal registrades són inexactes, en tot o en part, o incompletes, han de ser cancel·lades i substituïdes d'ofici per les dades corresponents rectificades o completades, sens perjudici de les facultats que l'article 16 reconeix als afectats.
Les dades de caràcter personal han de ser cancel·lades quan hagin deixat de ser necessàries o pertinents per a la finalitat per a la qual han estat recollides o registrades.
No han de ser conservades de manera que permetin identificar l'interessat durant un període superior al necessari per a les finalitats d'acord amb les quals hagin estat recollides o registrades.
S'ha de determinar per reglament el procediment pel qual, com a excepció, atesos els valors històrics, estadístics o científics d'acord amb la legislació específica, es decideixi el manteniment íntegre de determinades dades.
Les dades de caràcter personal han de ser emmagatzemades de manera que permetin l'exercici del dret d'accés, llevat que siguin legalment cancel·lades.
Es prohibeix la recollida de dades per mitjans fraudulents, deslleials o il·lícits.
Els interessats als quals se sol·licitin dades personals han de ser prèviament informats de manera expressa, precisa i inequívoca:
a ) De l'existència d'un fitxer o un tractament de dades de caràcter personal, de la finalitat de la recollida de les dades i dels destinataris de la informació.
b ) Del caràcter obligatori o facultatiu de la resposta a les preguntes que els siguin plantejades.
c ) De les conseqüències de l'obtenció de les dades o de la negativa a subministrar-les.
d ) De la possibilitat d'exercir els drets d'accés, rectificació, cancel·lació i oposició.
e ) De la identitat i la direcció del responsable del tractament o, si s'escau, del seu representant.
Quan el responsable del tractament no estigui establert en el territori de la Unió Europea i utilitzi en el tractament de dades mitjans situats en territori espanyol, ha de designar, llevat que aquests mitjans s'utilitzin amb finalitats de tràmit, un representant a Espanya, sens perjudici de les accions que es puguin emprendre contra el mateix responsable del tractament.
Quan s'utilitzin qüestionaris o altres impresos per a la recollida, han de figurar-hi, de manera clarament llegible, les advertències a què es refereix l'apartat anterior.
No és necessària la informació a què es refereixen les lletres b, c i d de l'apartat 1 si el contingut de la informació es dedueix clarament de la naturalesa de les dades personals que se sol·liciten o de les circumstàncies en què es recullen.
Quan les dades de caràcter personal no hagin estat recollides de l'interessat, aquest ha de ser informat de manera expressa, precisa i inequívoca, pel responsable del fitxer o pel seu representant, dins dels tres mesos següents al moment de registrar les dades, del contingut del tractament, de la procedència de les dades i del que preveuen les lletres a, d i e de l'apartat 1 d'aquest article, llevat que ja n'hagi estat informat anteriorment.
No és aplicable el que disposa l'apartat anterior quan, de manera expressa, una llei ho prevegi, quan el tractament tingui finalitats històriques, estadístiques o científiques, o quan sigui impossible informar-ne l'interessat o exigeixi esforços desproporcionats, a criteri de l'Agència de Protecció de Dades o de l'organisme autonòmic equivalent, en consideració al nombre d'interessats, a l'antiguitat de les dades i a les possibles mesures compensatòries.
Així mateix, tampoc no regeix el que disposa l'apartat anterior quan les dades procedeixin de fonts accessibles al públic i es destinin a l'activitat de publicitat o prospecció comercial; en aquest cas, en cada comunicació que s'adreci a l'interessat se l'ha d'informar de l'origen de les dades i de la identitat del responsable del tractament, així com dels drets que l'assisteixen.
El tractament de les dades de caràcter personal requereix el consentiment inequívoc de l'afectat, llevat que la llei disposi una altra cosa.
No cal el consentiment quan les dades de caràcter personal es recullin per a l'exercici de les funcions pròpies de les administracions públiques en l'àmbit de les seves competències; quan es refereixin a les parts d'un contracte o un precontracte d'una relació de negoci, laboral o administrativa i siguin necessàries per al seu manteniment o compliment; quan el tractament de les dades tingui com a finalitat protegir un interès vital de l'interessat en els termes de l'article 7, apartat 6, d'aquest Llei, o quan les dades figurin en fonts accessibles al públic i el seu tractament sigui necessari per a la satisfacció de l'interès legítim perseguit pel responsable del fitxer o pel del tercer a qui es comuniquin les dades, sempre que no es vulnerin els drets i les llibertats fonamentals de l'interessat.
El consentiment a què es refereix aquest article pot ser revocat quan hi hagi una causa justificada per fer-ho i no se li atribueixin efectes retroactius.
En els casos en què no sigui necessari el consentiment de l'afectat per al tractament de les dades de caràcter personal, i sempre que una llei no disposi el contrari, aquest pot oposar-se al seu tractament quan hi hagi motius fonamentats i legítims relatius a una situació personal concreta.
En aquest supòsit, el responsable del fitxer ha d'excloure del tractament les dades relatives a l'afectat.
D'acord amb el que estableix l'apartat 2 de l'article 16 de la Constitució, ningú no pot ser obligat a declarar sobre la seva ideologia, religió o creences.
Quan en relació amb aquestes dades es procedeixi a recollir el consentiment a què es refereix l'apartat següent, s'ha d'advertir l'interessat respecte al seu dret a no donar-lo.
Només amb el consentiment exprés i per escrit de l'afectat poden ser objecte de tractament les dades de caràcter personal que revelin la ideologia, l'afiliació sindical, la religió i les creences.
S'exceptuen els fitxers mantinguts pels partits polítics, els sindicats, les esglésies, les confessions o les comunitats religioses i associacions, les fundacions i altres entitats sense ànim de lucre, amb finalitat política, filosòfica, religiosa o sindical, quant a les dades relatives als seus associats o els seus membres, sens perjudici que la cessió d'aquestes dades requereix sempre el consentiment previ de l'afectat.
Les dades de caràcter personal que facin referència a l'origen racial, a la salut i a la vida sexual només poden ser recollides, tractades i cedides quan, per raons d'interès general, així ho disposi una llei o l'afectat hi consenti expressament.
Queden prohibits els fitxers creats amb la finalitat exclusiva d'emmagatzemar dades de caràcter personal que revelin la ideologia, l'afiliació sindical, la religió, les creences, l'origen racial o ètnic, o la vida sexual.
Les dades de caràcter personal relatives a la comissió d'infraccions penals o administratives només poden ser incloses en fitxers de les administracions públiques competents en els casos que preveuen les normes reguladores respectives.
No obstant el que disposen els apartats anteriors, poden ser objecte de tractament les dades de caràcter personal a què es refereixen els apartats 2 i 3 d'aquest article quan aquest tractament sigui necessari per a la prevenció o per al diagnòstic mèdics, la prestació d'assistència sanitària o de tractaments mèdics o la gestió de serveis sanitaris, sempre que el tractament de dades, l'efectuï un professional sanitari subjecte al secret professional o una altra persona subjecta a una obligació equivalent de secret.
També poden ser objecte de tractament les dades a què es refereix el paràgraf anterior quan el tractament sigui necessari per salvaguardar l'interès vital de l'afectat o d'una altra persona, en cas que l'afectat estigui físicament o jurídicament incapacitat per donar-ne el consentiment.
Sens perjudici del que disposa l'article 11 pel que fa a la cessió, les institucions i els centres sanitaris públics i privats i els professionals corresponents poden procedir al tractament de les dades de caràcter personal relatives a la salut de les persones que hi acudeixin o hi hagin de ser tractades, d'acord amb el que disposa la legislació estatal o autonòmica sobre sanitat.
El responsable del fitxer i, si s'escau, l'encarregat del tractament han d'adoptar les mesures de caràcter tècnic i organitzatiu necessàries que garanteixin la seguretat de les dades de caràcter personal i n'evitin l'alteració, la pèrdua, el tractament o l'accés no autoritzat, tenint en compte l'estat de la tecnologia, la naturalesa de les dades emmagatzemades i els riscos a què estan exposats, tant si provenen de l'acció humana o del medi físic o natural.
No s'han de registrar dades de caràcter personal en fitxers que no compleixin les condicions que es determinin per via reglamentària en relació amb la seva integritat i seguretat i a les dels centres de tractament, locals, equips, sistemes i programes.
S'han d'establir per reglament els requisits i les condicions que han de complir els fitxers i les persones que intervinguin en el tractament de les dades a què es refereix l'article 7 d'aquesta Llei.
El responsable del fitxer i els qui intervinguin en qualsevol fase del tractament de les dades de caràcter personal estan obligats al secret professional pel que fa a les dades i al deure de guardar-les, obligacions que subsisteixen fins i tot després de finalitzar les seves relacions amb el titular del fitxer o, si s'escau, amb el seu responsable.
Les dades de caràcter personal objecte del tractament només poden ser comunicades a un tercer per al compliment de finalitats directament relacionades amb les funcions legítimes del cedent i del cessionari amb el consentiment previ de l'interessat.
El consentiment que exigeix l'apartat anterior no és necessari:
a ) Quan la cessió està autoritzada en una llei.
b ) Quan es tracti de dades recollides de fonts accessibles al públic.
c ) Quan el tractament respongui a la lliure i legítima acceptació d'una relació jurídica el desenvolupament, el compliment i el control de la qual impliqui necessàriament la connexió del tractament esmentat amb fitxers de tercers.
En aquest cas, la comunicació només és legítima quan es limiti a la finalitat que la justifiqui.
d ) Quan la comunicació que s'hagi d'efectuar tingui com a destinatari el defensor del Poble, el ministeri fiscal o els jutges o tribunals o el Tribunal de Comptes, en l'exercici de les funcions que té atribuïdes.
Tampoc no cal el consentiment quan la comunicació tingui com a destinatari institucions autonòmiques amb funcions anàlogues al defensor del Poble o al Tribunal de Comptes.
e ) Quan la cessió es produeixi entre administracions públiques i tingui com a objecte el tractament posterior de les dades amb finalitats històriques, estadístiques o científiques.
f ) Quan la cessió de dades de caràcter personal relatives a la salut sigui necessària per solucionar una urgència que requereixi accedir a un fitxer o per fer els estudis epidemiològics en els termes que estableix la legislació sobre sanitat estatal o autonòmica.
És nul el consentiment per a la comunicació de les dades de caràcter personal a un tercer quan la informació que es proporcioni a l'interessat no li permeti conèixer la finalitat a què destinen les dades la comunicació de les quals s'autoritza o el tipus d'activitat del receptor de la comunicació.
El consentiment per a la comunicació de les dades de caràcter personal també té caràcter revocable.
El receptor de la comunicació de les dades de caràcter personal s'obliga, pel sol fet de la comunicació, a l'observança de les disposicions d'aquesta Llei.
Si la comunicació s'efectua amb el procediment previ de dissociació, no és aplicable el que estableixen els apartats anteriors.
No es considera comunicació de dades l'accés d'un tercer a les dades quan l'accés sigui necessari per a la prestació d'un servei al responsable del tractament.
La realització de tractaments per compte de tercers ha d'estar regulada en un contracte que ha de constar per escrit o en alguna altra forma que permeti acreditar-ne la concertació i el contingut, i s'hi ha d'establir de manera expressa que l'encarregat del tractament només ha de tractar les dades d'acord amb les instruccions del responsable del tractament, que no les pot aplicar ni utilitzar amb una finalitat diferent de la que figuri en el contracte esmentat, ni comunicar-les a altres persones, ni tan sols per conservar-les.
El contracte també ha d'estipular les mesures de seguretat a què es refereix l'article 9 d'aquesta Llei que l'encarregat del tractament està obligat a implementar.
Una vegada complerta la prestació contractual, les dades de caràcter personal han de ser destruïdes o tornades al responsable del tractament, i també qualsevol suport o document en què consti alguna dada de caràcter personal objecte del tractament.
En cas que l'encarregat del tractament destini les dades a una altra finalitat, les comuniqui o les utilitzi incomplint les estipulacions del contracte, també ha de ser considerat responsable del tractament, i ha de respondre de les infraccions en què hagi incorregut personalment.
Els ciutadans tenen dret a no estar sotmesos a una decisió amb efectes jurídics, sobre ells o que els afecti de manera significativa, que es basi únicament en un tractament de dades destinades a avaluar determinats aspectes de la seva personalitat.
L'afectat pot impugnar els actes administratius o les decisions privades que impliquin una valoració del seu comportament, que tinguin com a únic fonament un tractament de dades de caràcter personal que ofereixi una definició de les seves característiques o de la seva personalitat.
En aquest cas, l'afectat té dret a obtenir informació del responsable del fitxer sobre els criteris de valoració i el programa utilitzats en el tractament que va servir per adoptar la decisió en què va consistir l'acte.
La valoració sobre el comportament dels ciutadans, basada en un tractament de dades, únicament pot tenir valor probatori a petició de l'afectat.
Qualsevol persona pot conèixer, recollint amb aquesta finalitat la informació oportuna al Registre general de protecció de dades, l'existència de tractaments de dades de caràcter personal, les seves finalitats i la identitat del responsable del tractament.
El Registre general és de consulta pública i gratuïta.
L'interessat té dret a sol·licitar i obtenir gratuïtament informació de les seves dades de caràcter personal sotmeses a tractament, l'origen de les dades i les comunicacions efectuades o que es prevegin fer.
La informació es pot obtenir mitjançant la mera consulta de les dades per mitjà de la visualització, o la indicació de les dades que són objecte de tractament mitjançant escrit, còpia, telecòpia o fotocòpia, certificada o no, en forma llegible i intel·ligible, sense utilitzar claus o codis que requereixin l'ús de dispositius mecànics específics.
El dret d'accés a què es refereix aquest article només pot ser exercit a intervals no inferiors a dotze mesos, llevat que l'interessat acrediti un interès legítim a aquest efecte, cas en què el poden exercir abans.
El responsable del tractament té l'obligació de fer efectiu el dret de rectificació o cancel·lació de l'interessat en el termini de deu dies.
Han de ser rectificades o cancel·lades, si s'escau, les dades de caràcter personal el tractament de les quals no s'ajusti al que disposa aquesta Llei i, en particular, quan aquestes dades siguin inexactes o incompletes.
La cancel·lació dóna lloc al bloqueig de les dades, i només s'han de conservar a disposició de les administracions públiques, els jutges i els tribunals, per a l'atenció de les possibles responsabilitats nascudes del tractament, durant el termini de prescripció d'aquestes responsabilitats.
Complert aquest termini, s'ha de procedir a la supressió.
Si les dades rectificades o cancel·lades han estat comunicades prèviament, el responsable del tractament ha de notificar la rectificació o la cancel·lació efectuada a qui s'hagin comunicat, en cas que aquest últim mantingui el tractament, que també ha de procedir a la cancel·lació.
Les dades de caràcter personal han de ser conservades durant els terminis que preveuen les disposicions aplicables o, si s'escau, les relacions contractuals entre la persona o l'entitat responsable del tractament i l'interessat.
Els procediments per exercir el dret d'oposició, accés, així com els de rectificació i cancel·lació han d'ésser establerts per reglament.
No s'ha d'exigir cap contraprestació per l'exercici dels drets d'oposició, accés, rectificació o cancel·lació.
Les actuacions contràries al que disposa aquesta Llei poden ser objecte de reclamació pels interessats davant l'Agència de Protecció de Dades, en la forma que es determini per reglament.
L'interessat al qual es denegui, totalment o parcialment, l'exercici dels drets d'oposició, accés, rectificació o cancel·lació, ho pot posar en coneixement de l'Agència de Protecció de Dades o, si s'escau, de l'organisme competent de cada comunitat autònoma, que s'ha d'assegurar de la procedència o la improcedència de la denegació.
El termini màxim en què s'ha de dictar la resolució expressa de tutela de drets és de sis mesos.
Contra les resolucions de l'Agència de Protecció de Dades es pot presentar recurs contenciós administratiu.
Els interessats que, com a conseqüència de l'incompliment del que disposa aquesta Llei pel responsable o l'encarregat del tractament, pateixin dany o lesió en els seus béns o drets tenen dret a ser indemnitzats.
Quan es tracti de fitxers de titularitat pública, la responsabilitat s'exigeix d'acord amb la legislació reguladora del règim de responsabilitat de les administracions públiques.
En el cas dels fitxers de titularitat privada, l'acció s'ha d'exercir davant els òrgans de la jurisdicció ordinària.
La creació, la modificació o la supressió dels fitxers de les administracions públiques només es poden fer per mitjà d'una disposició general publicada en el Butlletí Oficial de l'Estat o en el diari oficial corresponent.
Les disposicions de creació o de modificació de fitxers han d'indicar:
a ) La finalitat del fitxer i els usos previstos.
b ) Les persones o els col·lectius sobre els quals es pretén obtenir dades de caràcter personal o que estiguin obligats a subministrar-les.
c ) El procediment de recollida de les dades de caràcter personal.
d ) L'estructura bàsica del fitxer i la descripció dels tipus de dades de caràcter personal incloses en el mateix fitxer.
e ) Les cessions de dades de caràcter personal i, si s'escau, les transferències de dades que es prevegin a països tercers.
f ) Els òrgans de les administracions responsables del fitxer.
g ) Els serveis o les unitats davant els quals es puguin exercir els drets d'accés, rectificació, cancel·lació i oposició.
h ) Les mesures de seguretat amb indicació del nivell bàsic, mitjà o alt exigible.
En les disposicions que es dictin per a la supressió dels fitxers, se n'ha d'establir el destí o, si s'escau, les previsions que s'adoptin per destruir-los.
Les dades de caràcter personal recollides o elaborades per les administracions públiques per a l'exercici de les seves atribucions no han de ser comunicades a altres administracions públiques per a l'exercici de competències diferents o de competències que tractin matèries diferents, excepte quan la comunicació hagi estat prevista per les disposicions de creació del fitxer o per una disposició de rang superior que en reguli l'ús, o quan la comunicació tingui com a objecte el tractament posterior de les dades amb finalitats històriques, estadístiques o científiques.
En tot cas, poden ser objecte de comunicació les dades de caràcter personal que una administració pública obtingui o elabori amb destinació a una altra.
No obstant el que estableix l'article 11.2. b, la comunicació de dades recollides de fonts accessibles al públic no es pot efectuar a fitxers de titularitat privada, si no és amb el consentiment de l'interessat o quan una llei prevegi una altra cosa.
En els supòsits que preveuen els apartats 1 i 2 d'aquest article no és necessari el consentiment de l'afectat a què es refereix l'article 11 d'aquesta Llei.
Els fitxers creats per les Forces i els Cossos de Seguretat que continguin dades de caràcter personal que, pel fet d'haver-se recollit per a finalitats administratives, han de ser objecte de registre permanent, estan subjectes al règim general d'aquesta Llei.
La recollida i el tractament per a finalitats policials de dades de caràcter personal per les Forces i els Cossos de Seguretat sense el consentiment de les persones afectades estan limitats a aquells supòsits i aquelles categories de dades que siguin necessaris per a la prevenció d'un perill real per a la seguretat pública o per a la repressió d'infraccions penals, i han de ser emmagatzemades en fitxers específics establerts a aquest efecte, que s'han de classificar per categories en funció del grau de fiabilitat.
La recollida i el tractament per les Forces i els Cossos de Seguretat de les dades a què fan referència els apartats 2 i 3 de l'article 7 es poden fer exclusivament en els supòsits en què sigui absolutament necessari per a les finalitats d'una investigació concreta, sens perjudici del control de legalitat de l'actuació administrativa o de l'obligació de resoldre les pretensions formulades, si s'escau, pels interessats que corresponen als òrgans jurisdiccionals.
Les dades personals registrades amb finalitats policials s'han de cancel·lar quan no siguin necessàries per a les investigacions que n'hagin motivat l'emmagatzematge.
A aquests efectes, s'ha de considerar especialment l'edat de l'afectat i el caràcter de les dades emmagatzemades, la necessitat de mantenir les dades fins a la conclusió d'una investigació o un procediment concret, la resolució judicial ferma, especialment l'absolutòria, l'indult, la rehabilitació i la prescripció de responsabilitat.
Els responsables dels fitxers que continguin les dades a què es refereixen els apartats 2, 3 i 4 de l'article anterior poden denegar l'accés, la rectificació o la cancel·lació en funció dels perills que es puguin derivar per a la defensa de l'Estat o la seguretat pública, la protecció dels drets i les llibertats de tercers o les necessitats de les investigacions que s'estiguin duent a terme.
Els responsables dels fitxers de la Hisenda Pública també poden denegar l'exercici dels drets a què es refereix l'apartat anterior quan això obstaculitzi les actuacions administratives tendents a assegurar el compliment de les obligacions tributàries i, en tot cas, quan l'afectat estigui sent objecte d'actuacions inspectores.
L'afectat al qual es denegui, totalment o parcialment, l'exercici dels drets esmentats en els apartats anteriors ho pot posar en coneixement del director de l'Agència de Protecció de Dades o de l'organisme competent de cada comunitat autònoma en el cas de fitxers mantinguts per cossos de policia propis d'aquestes comunitats, o per les administracions tributàries autonòmiques, els quals s'han d'assegurar de la procedència o improcedència de la denegació.
El que disposen els apartats 1 i 2 de l'article 5 no és aplicable a la recollida de dades quan el fet d'informar-ne l'afectat impedeixi o dificulti greument el compliment de les funcions de control i verificació de les administracions públiques o quan afecti la Defensa Nacional, la seguretat pública o la persecució d'infraccions penals o administratives.
El que disposen l'article 15 i l'apartat 1 de l'article 16 no és aplicable si, ponderats els interessos en presència, resulta que els drets que aquests preceptes concedeixen a l'afectat han de cedir per raons d'interès públic o davant interessos de tercers més dignes de protecció.
Si l'òrgan administratiu responsable del fitxer invoca el que disposa aquest apartat, ha de dictar una resolució motivada i instruir l'afectat del dret que l'assisteix a posar la negativa en coneixement del director de l'Agència de Protecció de Dades o, si s'escau, de l'òrgan equivalent de les comunitats autònomes.
Es poden crear fitxers de titularitat privada que continguin dades de caràcter personal quan sigui necessari per aconseguir l'activitat o l'objecte legítims de la persona, l'empresa o l'entitat titular i es respectin les garanties que aquesta Llei estableix per a la protecció de les persones.
Qualsevol persona o entitat que procedeixi a la creació de fitxers de dades de caràcter personal ho ha de notificar prèviament a l'Agència de Protecció de Dades.
Per la via reglamentària s'ha de procedir a la regulació detallada dels diferents aspectes que ha de contenir la notificació, entre els quals han de figurar necessàriament el responsable del fitxer, la finalitat, la ubicació, el tipus de dades de caràcter personal que conté, les mesures de seguretat, amb indicació del nivell bàsic, mitjà o alt exigible i les cessions de dades de caràcter personal que es prevegin realitzar i, si s'escau, les transferències de dades que es prevegin a països tercers.
S'han de comunicar a l'Agència de Protecció de Dades els canvis que es produeixin en la finalitat del fitxer automatitzat, en el seu responsable i en l'adreça de la seva ubicació.
El Registre general de protecció de dades ha d'inscriure el fitxer si la notificació s'ajusta als requisits exigibles.
Transcorregut un mes des de la presentació de la sol·licitud d'inscripció sense que l'Agència de Protecció de Dades hagi emès resolució sobre la sol·licitud, s'entén inscrit el fitxer automatitzat amb caràcter general.
El responsable del fitxer, en el moment en què s'efectuï la primera cessió de dades, ha d'informar-ne els afectats, indicant-hi, també, la finalitat del fitxer, la naturalesa de les dades que han estat cedides i el nom i l'adreça del cessionari.
L'obligació que estableix l'apartat anterior no existeix en el supòsit que preveuen els apartats 2, lletres c, d, e i 6 de l'article 11, ni quan la cessió estigui imposada per llei.
Les dades personals que figurin en el cens promocional, o les llistes de persones que pertanyin a grups de professionals a què es refereix l'article 3. j d'aquesta Llei s'han de limitar a les que siguin estrictament necessàries per complir la finalitat a què es destina cada llistat.
La inclusió de dades addicionals per les entitats responsables del manteniment d'aquestes fonts requereix el consentiment de l'interessat, que pot ser revocat en qualsevol moment.
Els interessats tenen dret que l'entitat responsable del manteniment dels llistats dels col·legis professionals indiqui gratuïtament que les seves dades personals no es poden utilitzar per a finalitats de publicitat o prospecció comercial.
Els interessats tenen dret a exigir gratuïtament l'exclusió de la totalitat de les seves dades personals que constin en el cens promocional per les entitats encarregades del manteniment d'aquestes fonts.
L'atenció a la sol·licitud d'exclusió de la informació innecessària o d'inclusió de l'objecció a l'ús de les dades per a finalitats de publicitat o venda a distància s'ha de fer en el termini de deu dies pel que fa a les informacions que s'efectuïn mitjançant consulta o comunicació telemàtica i en l'edició següent del llistat sigui quin sigui el suport en què s'editi.
Les fonts d'accés públic que s'editin en forma de llibre o algun altre suport físic perden el caràcter de font accessible amb la nova edició que es publiqui.
En cas que s'obtingui telemàticament una còpia de la llista en format electrònic, aquesta perd el caràcter de font d'accés públic en el termini d'un any, a comptar des del moment d'obtenir-la.
Les dades que figurin en les guies de serveis de telecomunicacions disponibles al públic es regeixen per la seva normativa específica.
Els qui es dediquin a la prestació de serveis d'informació sobre la solvència patrimonial i el crèdit només poden tractar dades de caràcter personal obtingudes dels registres i les fonts accessibles al públic establerts a aquest efecte o procedents d'informacions facilitades per l'interessat o amb el seu consentiment.
També es poden tractar dades de caràcter personal relatives al compliment o l'incompliment d'obligacions dineràries facilitades pel creditor o per qui actuï pel seu compte o interès.
En aquests casos, s'ha de notificar als interessats pel que fa als que hagin registrat dades de caràcter personal en fitxers, en el termini de trenta dies des del registre esmentat, una referència dels que hi hagin estat inclosos i se'ls ha d'informar del seu dret a recollir informació de tots ells, en els termes que estableix aquesta Llei.
En els supòsits a què es refereixen els dos apartats anteriors, quan l'interessat ho sol·liciti, el responsable del tractament li ha de comunicar les dades, i també les avaluacions i les apreciacions que sobre ell li hagin estat comunicades durant els últims sis mesos, i el nom i l'adreça de la persona o l'entitat a qui s'hagin revelat les dades.
Només es poden registrar i cedir les dades de caràcter personal que siguin determinants per enjudiciar la solvència econòmica dels interessats i que no es refereixin, quan siguin adverses, a més de sis anys, sempre que responguin amb veracitat a la situació actual dels interessats.
Els qui es dediquin a la recopilació d'adreces, repartiment de documents, publicitat, venda a distància, prospecció comercial i altres activitats anàlogues poden utilitzar els noms, les adreces o altres dades de caràcter personal quan figurin en fonts accessibles al públic o quan hagin estat facilitats pels mateixos interessats o s'hagin obtingut amb el seu consentiment.
Quan les dades procedeixin de fonts accessibles al públic, de conformitat amb el que estableix el paràgraf segon de l'article 5.5 d'aquesta Llei, en cada comunicació que s'adreci a l'interessat s'ha d'informar de l'origen de les dades i de la identitat del responsable del tractament, així com dels drets que l'assisteixen.
En l'exercici del dret d'accés, els interessats tenen dret a conèixer l'origen de les seves dades de caràcter personal, així com de la resta d'informació a què es refereix l'article 15.
Els interessats tenen el dret d'oposar-se, amb la petició prèvia i sense despeses, al tractament de les dades que els concerneixin, cas en el qual han de ser donats de baixa del tractament i s'han de cancel·lar les informacions que sobre els interessats figurin en el tractament, amb la simple sol·licitud.
Els qui vulguin exercir de manera permanent o esporàdica l'activitat de recopilació d'adreces, repartiment de documents, publicitat, venda a distància, prospecció comercial o altres activitats anàlogues, poden sol·licitar a l'Institut Nacional d'Estadística o als òrgans equivalents de les comunitats autònomes una còpia del cens promocional, format amb les dades de nom, cognoms i domicili que consten en el cens electoral.
L'ús de cada llista de cens promocional té un termini de vigència d'un any.
Transcorregut aquest termini, la llista perd el seu caràcter de font d'accés públic.
Els procediments mitjançant els quals els interessats poden sol·licitar no constar en el cens promocional s'han de regular per reglament.
Entre aquests procediments, que han de ser gratuïts per als interessats, s'ha d'incloure el document d'empadronament.
Trimestralment s'ha d'editar una llista actualitzada del cens promocional en què s'excloguin els noms i les adreces dels que així ho hagin sol·licitat.
Es pot exigir una contraprestació per facilitar la llista en suport informàtic.
Mitjançant acords sectorials, convenis administratius o decisions d'empresa, els responsables de tractaments de titularitat pública i privada, així com les organitzacions en què s'agrupin, poden formular codis tipus que estableixin les condicions d'organització, règim de funcionament, procediments aplicables, normes de seguretat de l'entorn, programes o equips, obligacions dels implicats en el tractament i ús de la informació personal, així com les garanties, en el seu àmbit, per a l'exercici dels drets de les persones, amb ple respecte als principis i les disposicions d'aquesta Llei i les seves normes de desplegament.
Aquests codis poden contenir o no regles operacionals detallades de cada sistema particular i estàndards tècnics d'aplicació.
En el cas que aquestes regles o estàndards no s'incorporin directament al codi, les instruccions o les ordres que els estableixin han de respectar els principis que fixi el codi.
Els codis tipus tenen el caràcter de codis deontològics o de bona pràctica professional, i han de ser dipositats o inscrits en el Registre general de protecció de dades i, quan correspongui, en els creats a aquests efectes per les comunitats autònomes, d'acord amb l'article 41.
El Registre general de protecció de dades pot denegar-ne la inscripció quan consideri que no s'ajusta a les disposicions legals i reglamentàries sobre la matèria, i, en aquest cas, el director de l'Agència de Protecció de Dades ha de requerir els sol·licitants perquè facin les correccions oportunes.
No es poden fer transferències temporals ni definitives de dades de caràcter personal que hagin estat objecte de tractament o hagin estat recollides per sotmetre-les al tractament esmentat amb destinació a països que no proporcionin un nivell de protecció equiparable al que presta aquesta Llei, llevat que, a més a més d'haver-se observat el que disposa aquesta Llei, s'obtingui l'autorització prèvia del director de l'Agència de Protecció de Dades, que només la pot atorgar si s'obtenen garanties adequades.
El caràcter adequat del nivell de protecció que ofereix el país de destinació, l'avalua l'Agència de Protecció de Dades atenent totes les circumstàncies que concorrin en la transferència o la categoria de transferència de dades.
En particular, cal tenir en consideració la naturalesa de les dades, la finalitat i la durada del tractament o dels tractaments previstos, el país d'origen i el país de destinació final, les normes de dret, generals o sectorials, vigents en el país tercer de què es tracti, el contingut dels informes de la Comissió de la Unió Europea, així com les normes professionals i les mesures de seguretat en vigor en aquests països.
El que disposa l'article anterior no és aplicable:
a ) Quan la transferència internacional de dades de caràcter personal resulti de l'aplicació de tractats o convenis en què Espanya sigui part.
b ) Quan la transferència es faci a efectes de prestar o sol·licitar auxili judicial internacional.
c ) Quan la transferència sigui necessària per a la prevenció o per al diagnòstic mèdics, la prestació d'assistència sanitària o tractament mèdics o la gestió de serveis sanitaris.
d ) Quan es refereixi a transferències dineràries d'acord amb la legislació específica.
e ) Quan l'afectat hagi donat el seu consentiment inequívoc a la transferència prevista.
f ) Quan la transferència sigui necessària per a l'execució d'un contracte entre l'afectat i el responsable del fitxer o per a l'adopció de mesures precontractuals adoptades a petició de l'afectat.
g ) Quan la transferència sigui necessària per a la subscripció o l'execució d'un contracte subscrit o per subscriure, en interès de l'afectat, pel responsable del fitxer i un tercer.
h ) Quan la transferència sigui necessària o legalment exigida per salvaguardar un interès públic.
Té aquesta consideració la transferència sol·licitada per una administració fiscal o duanera per al compliment de les seves competències.
i ) Quan la transferència sigui necessària per al reconeixement, l'exercici o la defensa d'un dret en un procés judicial.
j ) Quan la transferència s'efectuï, a petició d'una persona amb interès legítim, des d'un registre públic i aquella estigui d'acord amb la finalitat del registre.
k ) Quan la transferència tingui com a destinació un estat membre de la Unió Europea, o un estat respecte del qual la Comissió de les Comunitats Europees, en l'exercici de les seves competències, hagi declarat que garanteix un nivell de protecció adequat.
L'Agència de Protecció de Dades és un ens de dret públic, amb personalitat jurídica pròpia i plena capacitat pública i privada, que actua amb plena independència de les administracions públiques en l'exercici de les seves funcions.
Es regeix pel que disposen aquesta Llei i un estatut propi, que ha de ser aprovat pel Govern.
En l'exercici de les seves funcions públiques, i en defecte del que disposin aquesta Llei i les seves disposicions de desplegament, l'Agència de Protecció de Dades ha d'actuar d'acord amb la Llei 30/1992, de 26 de novembre, de règim jurídic de les administracions públiques i del procediment administratiu comú.
En les seves adquisicions patrimonials i contractació està subjecta al dret privat.
Els llocs de treball dels òrgans i serveis que integrin l'Agència de Protecció de Dades han de ser ocupats per funcionaris de les administracions públiques i per personal contractat a aquest efecte, segons la naturalesa de les funcions assignades a cada lloc de treball.
Aquest personal està obligat a guardar secret de les dades de caràcter personal que conegui en l'exercici de la seva funció.
L'Agència de Protecció de Dades ha de disposar, per al compliment de les seves finalitats, dels béns i mitjans econòmics següents:
a ) Les assignacions que s'estableixin anualment amb càrrec als pressupostos generals de l'Estat.
b ) Els béns i els valors que constitueixin el seu patrimoni, així com els productes i les rendes del mateix patrimoni.
c ) Qualsevol altre que legalment li pugui ser atribuït.
L'Agència de Protecció de Dades ha d'elaborar i aprovar amb caràcter anual el corresponent avantprojecte de pressupost i l'ha de remetre al Govern perquè sigui integrat, amb la independència deguda, en els pressupostos generals de l'Estat.
El director de l'Agència de Protecció de Dades dirigeix l'Agència i n'exerceix la representació.
És nomenat, d'entre els qui componen el Consell Consultiu, mitjançant reial decret, per un període de quatre anys.
Exerceix les funcions amb plena independència i objectivitat, i no està subjecte a cap instrucció en l'exercici de les seves funcions.
En tot cas, el director ha d'escoltar el Consell Consultiu en les propostes que li faci en l'exercici de les seves funcions.
El director de l'Agència de Protecció de Dades només cessa abans de l'expiració del període a què es refereix l'apartat 1, a petició pròpia o per separació acordada pel Govern, amb la instrucció prèvia d'un expedient, en el qual han de ser escoltats necessàriament els altres membres del Consell Consultiu, per incompliment greu de les seves obligacions, incapacitat sobrevinguda per a l'exercici de la seva funció, incompatibilitat o condemna per delicte dolós.
El director de l'Agència de Protecció de Dades té la consideració d'alt càrrec i queda en la situació de serveis especials si anteriorment exercia una funció pública.
En cas que sigui nomenat per al càrrec algun membre de la carrera judicial o fiscal, també passa a la situació administrativa de serveis especials.
Són funcions de l'Agència de Protecció de Dades:
a ) Vetllar pel compliment de la legislació sobre protecció de dades i controlar-ne l'aplicació, especialment pel que fa als drets d'informació, accés, rectificació, oposició i cancel·lació de dades.
b ) Emetre les autoritzacions que preveuen la Llei o les seves disposicions reglamentàries.
c ) Dictar, si s'escau, i sens perjudici de les competències d'altres òrgans, les instruccions necessàries per adequar els tractaments als principis d'aquesta Llei.
d ) Atendre les peticions i les reclamacions formulades per les persones afectades.
e ) Proporcionar informació a les persones respecte als seus drets en matèria de tractament de les dades de caràcter personal.
f ) Requerir als responsables i els encarregats dels tractaments, amb l'audiència prèvia d'aquests, l'adopció de les mesures necessàries per a l'adequació del tractament de dades a les disposicions d'aquesta Llei i, si s'escau, ordenar la cessació dels tractaments i la cancel·lació dels fitxers, quan no s'ajusti a les seves disposicions.
g ) Exercir la potestat sancionadora en els termes que preveu el títol VII d'aquesta Llei.
h ) Emetre informe, amb caràcter preceptiu, sobre els projectes de disposicions generals que despleguin aquesta Llei.
i ) Recollir dels responsables dels fitxers tota l'ajuda i la informació que consideri necessària per a l'exercici de les seves funcions.
j ) Vetllar per la publicitat de l'existència dels fitxers de dades amb caràcter personal; a aquest efecte, ha de publicar periòdicament una relació dels fitxers esmentats amb la informació addicional que el director de l'Agència determini.
k ) Redactar una memòria anual i remetre-la al Ministeri de Justícia.
l ) Exercir el control i adoptar les autoritzacions que siguin procedents en relació amb els moviments internacionals de dades, així com exercir les funcions de cooperació internacional en matèria de protecció de dades personals.
m ) Vetllar pel compliment de les disposicions que la Llei de la funció estadística pública estableix respecte a la recollida de dades estadístiques i al secret estadístic, així com dictar les instruccions necessàries, dictaminar sobre les condicions de seguretat dels fitxers constituïts amb finalitats exclusivament estadístiques i exercir la potestat a la qual es refereix l'article 46.
n ) Totes les altres que li siguin atribuïdes per normes legals o reglamentàries.
Les resolucions de l'Agència Espanyola de Protecció de Dades s'han de fer públiques, una vegada hagin estat notificades als interessats.
La publicació s'ha de fer preferentment a través de mitjans informàtics o telemàtics.
Reglamentàriament es poden establir els termes en què es dugui a terme la publicitat de les resolucions esmentades.
El que estableixen els paràgrafs anteriors no és aplicable a les resolucions referents a la inscripció d'un fitxer o tractament en el Registre general de protecció de dades ni a aquelles per a les quals s'hi resolgui la inscripció dels codis tipus, que regula l'article 32 d'aquesta Llei orgànica.
El director de l'Agència de Protecció de Dades està assessorat per un Consell Consultiu compost pels membres següents:
Un diputat, proposat pel Congrés dels Diputats.
Un senador, proposat pel Senat.
Un representant de l'Administració central, designat pel Govern.
Un representant de l'Administració local, proposat per la Federació Espanyola de Municipis i Províncies.
Un membre de la Reial Acadèmia de la Història, proposat per aquesta.
Un expert en la matèria, proposat pel Consell Superior d'Universitats.
Un representant dels usuaris i consumidors, seleccionat de la manera que es prevegi per reglament.
Un representant de cada comunitat autònoma que hagi creat una agència de protecció de dades en el seu àmbit territorial, proposat d'acord amb el procediment que estableixi la comunitat autònoma respectiva.
Un representant del sector de fitxers privats, per a la proposta del qual s'ha de seguir el procediment que es reguli per reglament.
El funcionament del Consell Consultiu es regeix per les normes reglamentàries que s'estableixin a aquest efecte.
El Registre general de protecció de dades és un òrgan integrat a l'Agència de Protecció de Dades.
Són objecte d'inscripció en el Registre General de Protecció de Dades:
a ) Els fitxers de què siguin titulars les administracions públiques.
b ) Els fitxers de titularitat privada.
c ) Les autoritzacions a què es refereix aquesta Llei.
d ) Els codis tipus a què es refereix l'article 32 d'aquesta Llei.
e ) Les dades relatives als fitxers que siguin necessàries per a l'exercici dels drets d'informació, accés, rectificació, cancel·lació i oposició.
Per via reglamentària s'ha de regular el procediment d'inscripció dels fitxers, tant de titularitat pública com de titularitat privada, en el Registre General de Protecció de Dades, el contingut de la inscripció, la seva modificació, la cancel·lació, les reclamacions i els recursos contra les resolucions corresponents i altres aspectes pertinents.
Les funcions de l'Agència de Protecció de Dades que regula l'article 37, excepte les esmentades en els apartats j, k i l, i en els apartats f i g pel que fa a les transferències internacionals de dades, així com els articles 46 i 49, en relació amb les seves competències específiques han de ser exercides, quan afectin fitxers de dades de caràcter personal creats o gestionats per les comunitats autònomes i per l'Administració local del seu àmbit territorial, pels òrgans corresponents de cada comunitat, que tenen la consideració d'autoritats de control, als quals han de garantir plena independència i objectivitat en l'exercici de la seva comesa.
Les comunitats autònomes poden crear i mantenir els seus propis registres de fitxers per a l'exercici de les competències que se'ls reconeix sobre els fitxers.
El director de l'Agència de Protecció de Dades pot convocar regularment els òrgans corresponents de les comunitats autònomes a efectes de cooperació institucional i coordinació de criteris o procediments d'actuació.
El director de l'Agència de Protecció de Dades i els òrgans corresponents de les comunitats autònomes poden sol·licitar-se mútuament la informació necessària per al compliment de les seves funcions.
Quan el director de l'Agència de Protecció de Dades constati que el manteniment o l'ús d'un determinat fitxer de les comunitats autònomes contravé a algun precepte d'aquesta Llei en matèria de la seva competència exclusiva pot requerir a l'Administració corresponent que adopti les mesures correctores que determini en el termini que es fixi expressament en el requeriment.
Si l'Administració pública corresponent no compleix el requeriment formulat, el director de l'Agència de Protecció de Dades pot impugnar la resolució adoptada per aquella Administració.
Quan les infraccions a què es refereix l'article 44 es cometin en fitxers de titularitat pública o en relació amb tractaments els responsables dels quals ho serien de fitxers d'aquesta naturalesa, l'òrgan sancionador ha de dictar una resolució en què estableixi les mesures que escau adoptar perquè cessin o es corregeixin els efectes de la infracció.
Aquesta resolució s'ha de notificar al responsable del fitxer, a l'òrgan del qual depengui jeràrquicament i als afectats si n'hi ha.
L'òrgan sancionador també pot proposar la iniciació d'actuacions disciplinàries, si són procedents.
El procediment i les sancions a aplicar són els que estableix la legislació sobre règim disciplinari de les administracions públiques.
S'han de comunicar a l'òrgan sancionador les resolucions que recaiguin en relació amb les mesures i actuacions a què es refereixen els apartats anteriors.
El director de l'Agència ha de comunicar al defensor del Poble les actuacions que efectuï i les resolucions que dicti a l'empara dels apartats anteriors.
Els fitxers i els tractaments automatitzats inscrits o no en el Registre General de Protecció de Dades s'han d'adequar a aquesta Llei orgànica dins el termini de tres anys, a comptar des de la seva entrada en vigor.
En aquest termini, els fitxers de titularitat privada han de ser comunicats a l'Agència de Protecció de Dades i les administracions públiques, responsables de fitxers de titularitat pública, han d'aprovar la disposició pertinent de regulació del fitxer o adaptar l'existent.
En el cas de fitxers i tractaments no automatitzats, la seva adequació a aquesta Llei orgànica i l'obligació que preveu el paràgraf anterior s'han de complir en el termini de dotze anys a comptar des del 24 d'octubre de 1995, sens perjudici de l'exercici dels drets d'accés, rectificació i cancel·lació per part dels afectats.
L'Administració General de l'Estat i les administracions de les comunitats autònomes poden sol·licitar a l'Institut Nacional d'Estadística, sense el consentiment de l'interessat, una còpia actualitzada del fitxer format amb les dades del nom, els cognoms, el domicili, el sexe i la data de naixement que consten en els padrons municipals d'habitants i en el cens electoral corresponents en els territoris on exerceixin les seves competències, per a la creació de fitxers o registres de població.
Els fitxers o els registres de població tenen com a finalitat la comunicació dels diferents òrgans de cada Administració pública amb els interessats residents en els territoris respectius, respecte a les relacions juridicoadministratives derivades de les competències respectives de les administracions públiques.
Els expedients específicament instruïts a l'empara de les derogades lleis de vagabunds i malfactors, i de perillositat i rehabilitació social, que continguin dades de qualsevol índole susceptibles d'afectar la seguretat, l'honor, la intimitat o la imatge de les persones, no poden ser consultats sense que hi hagi consentiment exprés dels afectats, o hagin transcorregut cinquanta anys des de la data d'aquells.
En aquest últim cas, l'Administració General de l'Estat, llevat que hi hagi constància expressa de la mort dels afectats, ha de posar a disposició del sol·licitant la documentació, i suprimir-hi les dades esmentades en el paràgraf anterior, mitjançant la utilització dels procediments tècnics pertinents en cada cas.
L'apartat quart de l'article 112 de la Llei general tributària passa a tenir la redacció següent:
La cessió d'aquelles dades de caràcter personal, objecte de tractament, que s'ha de fer a l'Administració tributària d'acord amb el que disposen l'article 111, els apartats anteriors d'aquest article o una altra norma de rang legal, no requereix el consentiment de l'afectat.
En aquest àmbit tampoc no és aplicable el que, respecte a les administracions públiques, estableix l'apartat 1 de l'article 21 de la Llei orgànica de protecció de dades de caràcter personal.»
El que disposa aquesta Llei orgànica s'entén sens perjudici de les competències del defensor del Poble i dels òrgans anàlegs de les comunitats autònomes.
Es modifica l'article 24.3, paràgraf 2n de la Llei 30/1995, de 8 de novembre, d'ordenació i supervisió de les assegurances privades, amb la redacció següent:
«Les entitats asseguradores poden establir fitxers comuns que continguin dades de caràcter personal per a la liquidació de sinistres i la col·laboració estadística actuarial amb la finalitat de permetre la tarifació i la selecció de riscos i l'elaboració d'estudis de tècnica asseguradora.
La cessió de dades als fitxers esmentats no requereix el consentiment previ de l'afectat, però sí la comunicació a aquest de la possible cessió de les seves dades personals a fitxers comuns per a les finalitats assenyalades amb indicació expressa del responsable perquè es puguin exercir els drets d'accés, rectificació i cancel·lació que preveu la llei.
També es poden establir fitxers comuns la finalitat dels quals sigui prevenir el frau en l'assegurança sense que sigui necessari el consentiment de l'afectat.
No obstant això, en aquests casos és necessària la comunicació a l'afectat, en la primera introducció de les seves dades, de qui sigui el responsable del fitxer i de les formes d'exercici dels drets d'accés, rectificació i cancel·lació.
En tot cas, les dades relatives a la salut només poden ser objecte de tractament amb el consentiment exprés de l'afectat.»
L'Agència de Protecció de Dades és l'organisme competent per a la protecció de les persones físiques pel que fa al tractament de dades de caràcter personal respecte dels tractaments establerts en qualsevol conveni internacional del qual Espanya sigui part que atribueixi aquesta competència a una autoritat nacional de control, mentre no es creï una autoritat diferent per a aquesta comesa en desplegament del conveni.
S'han de desplegar per reglament els procediments de formació del cens promocional, d'oposició a constar-hi, de posada a disposició dels sol·licitants i de control de les llistes difoses.
El reglament ha d'establir els terminis per a la posada en operació del cens promocional.
Fins que no es portin a terme les previsions de la disposició final primera d'aquesta Llei, continuen en vigor, amb el seu propi rang, les normes reglamentàries existents i, especialment, els reials decrets 428/1993, de 26 de març; 1332/1994, de 20 de juny, i 994/1999, d'11 de juny, mentre no s'oposin a aquesta Llei.
Queda derogada la Llei orgànica 5/1992, de 29 d'octubre, de regulació del tractament automatitzat de les dades de caràcter personal.
El Govern ha d'aprovar, o modificar, les disposicions reglamentàries necessàries per a l'aplicació i el desplegament d'aquesta Llei.
Els títols IV, VI excepte l'últim incís del paràgraf 4 de l'article 36 i VII d'aquesta Llei, la disposició addicional quarta, la disposició transitòria primera i la final primera tenen el caràcter de Llei ordinària.