PRÉAMBULE

Le secteur de la poste et des télécommunications, dans sa définition la plus large, constitue un élément moteur pour le développement économique et social du pays et favorise l'épanouissement et la diffusion de son héritage civilisationnel et culturel.

Les efforts poursuivis pour le développement économique et l'évolution rapide des technologies des télécommunications associées aux techniques spatiales, informatiques, audiovisuelles et électroniques permettront aux entreprises marocaines de développer et d'exploiter un secteur de télécommunications en continuelle évolution.

Cette évolution des communications électroniques s'accompagne d'un échange, Aussi rapide que fiable, des objets physiques que représentent les lettres et les paquets.

L'expansion des services nouveaux à la fois de la poste et des télécommunications a entraîné une remise en cause quasi-universelle du mode de gestion et d'organisation de ces deux activités.

La tendance observée à travers le monde vise entre autres :

– La séparation des activités de la poste de celles des télécommunications;

– la séparation des fonctions de la réglementation et de l'exploitation;

– la mise en place d'organes de régulation, de contrôle et d'arbitrage du secteur des télécommunications.

Ce secteur doit alors s'adapter aux mutations socio-économiques qui résultent du développement général du pays et, en même temps, s'intégrer dans un ensemble de réseaux internationaux caractérisés par une association de plus en plus étroite du secteur privé à leur installation et à leur exploitation dans un cadre commercial et concurrentiel.

Il est donc essentiel de doter le secteur d'un cadre juridique et réglementaire en parfaite harmonie avec les traités et les arrangements internationaux auxquels le Royaume du Maroc souscrit, capable d'encourager les initiatives privées pour étendre les réseaux et services de la poste et des télécommunications à l'ensemble du territoire du Royaume et à toutes les couches de la population d'une part, et de mettre les opérateurs économiques en position favorable dans les situations concurrentielles prévalant dans les communications internationales d'autre part.

La nouvelle structure du secteur se fixe comme objectifs :

– De doter le secteur des télécommunications d'un cadre réglementaire efficace et transparent favorisant une concurrence loyale au bénéfice des utilisateurs des réseaux et services des télécommunications;

– de poursuivre le développement de ces réseaux et services en favorisant les initiatives tendant à les adapter à l'évolution des technologies et au progrès scientifique;

– de fournir un service public sur l'ensemble du territoire du Royaume et à toutes les couches de la population et ce, dans le cadre du plan de développement économique et social ;

– d'offrir à l'économie nationale les moyens de communication basés sur des technologies en constante évolution de façon à accroître son ouverture et son intégration dans l'économie mondiale ;

– de dynamiser le secteur de la poste par l'introduction de la concurrence dans le courrier accéléré international ;

– de favoriser la création d'emplois directement ou indirectement liés au secteur.

L'objet de cette loi est de définir le cadre juridique précisant le nouveau paysage du secteur de la poste et des télécommunications, notamment celui des réseaux des Télécommunications qui pourront être exploités par des personnes privées détentrices d'une licence qui sera accordée par décret délibéré conformément à l'article 66 de la Constitution, sachant que l'Etat fixe les orientations générales du secteur de la poste et des télécommunications, et l'autorité gouvernementale compétente veille à leur respect et à leur application.

TITRE 1.- Du Régime Juridique Des Télécommunications

Chapitre PREMIER.- Définitions

Article Premier :

(Modifié et complété par l’article 1 de la Loi nº 55-01 du 4 Novembre 2004).

On entend au sens de la présente loi par :

1) Autorité gouvernementale compétente : l'autorité gouvernementale désignée par voie réglementaire, responsable pour le compte de l'Etat, de l'application de la législation et de la réglementation des postes et télécommunications.

2) Exploitant de réseau public de télécommunications : toute personne morale qui exploite un réseau public de télécommunications ou qui fournit au public un service de télécommunications.

3) Equipement terminal : tout équipement destiné à être connecté directement ou indirectement à un point de terminaison d'un réseau et qui émet, reçoit ou traite des signaux de télécommunications. Ne sont pas visés les équipements permettant d'accéder aux services de radiodiffusion et de télévision.

4) Licence de télécommunications : droit attribué par décret d'établir et/ou d'exploiter un réseau et/ou des services de télécommunications. Dans le cadre de la législation et de la réglementation en vigueur, ce droit est accompagné de garanties sur la durée et les conditions d'établissement et/ou d'exploitation et d'engagements du titulaire à respecter les termes et conditions de la licence.

5) Ondes radioélectriques ou fréquences radioélectriques: Ondes électromagnétiques se propageant dans l'espace sans guide artificiel.

6) Services à valeur ajoutée : Des services qui permettent d'ajouter une valeur aux informations fournies par le client en améliorant leur forme ou leur contenu ou en prévoyant leur stockage et leur recherche, en utilisant nécessairement les capacités des réseaux publics de télécommunications titulaires des licences.

7) Points de terminaison : Les points de connexion physique répondant à des spécifications techniques nécessaires pour avoir accès à un réseau de télécommunications et communiquer efficacement par son intermédiaire. Ils font partie intégrante du réseau.

Lorsqu'un réseau de télécommunications est connecté à un réseau étranger, les points de connexion à ce réseau sont considérés comme point de terminaison.

8) Réseau de télécommunications : Toute installation, tout ensemble d'installations assurant soit la transmission, soit la transmission et l'acheminement de signaux de télécommunications, ainsi que l'échange des informations de commande et de gestion qui y est associé, entre les points de terminaison de ce réseau.

9) Réseau indépendant : Un réseau de télécommunications nécessairement et exclusivement réservé à un usage privé ou partagé, sans but commercial et dont l'utilisation est exclusivement destinée aux besoins spécifiques pour lesquels le réseau a été établi.

Un réseau indépendant est appelé :

– à usage privé, lorsqu'il est réservé à l'usage de la personne physique ou morale qui l'établit ;

– à usage partagé, lorsqu'il est réservé à l'usage d'une société ou ses filiales et succursales, en vue d'échanger des communications internes au sein d'un même groupe.

10) Réseau interne : Un réseau indépendant entièrement établi sur une même propriété, sans emprunter ni le domaine public, y compris hertzien, ni une propriété tierce.

11) Réseau public de télécommunications : L'ensemble des réseaux de télécommunications établis et/ou exploités pour les besoins du public.

12) Réseau public fixe de télécommunications : Réseau de télécommunications offrant des services exclusivement à partir de points de terminaison inamovibles et situés dans des lieux fixes et déterminés, accessibles au moyens d'équipements terminaux.

13) Réseau, installation ou équipement terminal radioélectrique : Un réseau, une installation ou un équipement terminal qui utilise des fréquences hertziennes pour la propagation des ondes en espace libre. Au nombre des réseaux radioélectriques, figurent notamment les réseaux utilisant les capacités de satellites.

14) Service de télécommunications : Toute prestation incluant la transmission ou l'acheminement de signaux ou une combinaison de ces fonctions par des procédés de télécommunications. Ne sont pas visés les services de radiodiffusion et de télévision.

15) Service téléphonique : L'exploitation commerciale pour le public du transport direct de la voix en temps réel, à travers un ou des réseaux publics commutés, permettant à tout utilisateur qu'il soit fixe ou mobile d'utiliser l'équipement connecté à un point de terminaison d'un réseau pour communiquer avec un autre utilisateur qu'il soit fixe ou mobile utilisant un équipement connecté à un autre point de terminaison.

16) Service télex : L'exploitation commerciale du transfert direct en temps réel, par échange de signaux de nature télégraphique, de messages dactylographiés, entre des utilisateurs raccordés aux points de terminaison d'un réseau de télécommunications.

17) Spectre des fréquences radioélectriques : Ensemble des ondes radioélectriques dont la fréquence est comprise entre 3 KHz et 3.000 GHz.

18) Télécommunication : Toute transmission, émission ou réception de signes, de signaux, d'écrits, d'images, de sons ou de renseignements de toute nature, par fil, optique, radioélectricité ou autres systèmes électromagnétiques.

19) Réseau ouvert de télécommunications : L'accès ouvert aux réseaux publics de télécommunications et, le cas échéant, aux services de télécommunications offerts par ces réseaux ainsi que l'utilisation efficace de ces réseaux et de ces services.

20) Interconnexion : Les prestations réciproques offertes par deux exploitants de réseaux ouverts au public, ou les prestations offertes par un exploitant de réseau ouvert au public à un prestataire de service téléphonique au public, qui permettent à l'ensemble des utilisateurs de communiquer librement entre eux, quels que soient les réseaux auxquels ils sont raccordés ou les services qu'ils utilisent.

21) Service universel : Le service universel comprend des services dont le contenu est fixé par la présente loi et des services liés à l’aménagement du territoire et/ou à valeur ajoutée dont le contenu et les modalités d'exécution sont fixés dans le cahier des charges des exploitants de réseaux publics de télécommunications.

Le service universel comprend un service minimum consistant en un service de télécommunications dont un service téléphonique d'une qualité spécifiée, à un prix abordable.

22) Infrastructures alternatives: Toute installation ou ensemble d'installations pouvant assurer ou contribuer à assurer soit la transmission, soit la transmission et l'acheminement de signaux de télécommunications.

23) Exploitants d'infrastructures alternatives : Les personnes morales de droit public habilitées conformément à la législation en vigueur et les personnes morales de droit privé concessionnaires de service public ou tout autre personne de droit privé, disposant d'infrastructures ou de droits pouvant supporter ou contribuer à supporter des réseaux de télécommunications sans qu'elles puissent exercer par elles-mêmes les activités d'exploitant de réseau public de télécommunications au sens de l'article premier (2) de la présente loi.

24) Boucle locale: Le segment de réseau filaire ou radioélectrique existant entre le poste de l'abonné et le commutateur d'abonné auquel il est rattaché.

Chapitre II.- Principes Généraux

Article 2

Sont soumis à licence l'établissement et l'exploitation de tous réseaux publics de télécommunications empruntant le domaine public ou utilisant le spectre des fréquences radioélectriques.

Article 3

Sont soumis à autorisation l'établissement et l'exploitation de réseaux indépendants à l'exception des réseaux internes.

Article 4

Sont soumis à agrément :

– les installations radioélectriques ;

– les équipements terminaux qui sont destinés à être raccordés à un réseau public de télécommunications ;

– les laboratoires d'essais et mesures des équipements de télécommunications.

Article 5

Est soumise à déclaration la fourniture de services à valeur ajoutée, fixés par voie réglementaire, utilisant les capacités disponibles des réseaux de télécommunications visés à l'article 2 ci-dessus.

Article 6

Sont établis librement les réseaux internes et les installations radioélectriques exclusivement composées d'appareils de faible puissance et de faible portée.

Article 7

L'établissement et/ou l'exploitation de réseaux s'effectuent dans les conditions d'une concurrence loyale, et dans le respect, par les exploitants des réseaux publics, du principe d'égalité de traitement des usagers. L'accès de ces derniers aux réseaux publics doit être assuré dans des conditions objectives, transparentes et non discriminatoires.

Article 7 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

Les exploitants d'infrastructures alternatives peuvent louer ou céder à un exploitant de réseau public de télécommunications titulaire d'une licence ou à un demandeur d'une licence dans le cadre d'un appel d'offres, dans le respect de la législation relative aux occupations du domaine public, la capacité excédentaire dont ils pourraient disposer après avoir déployé des infrastructures destinées à leurs propres besoins et/ou les droits de passage sur le domaine public, les servitudes, les emprises, les ouvrages de génie civil, les artères et canalisations et les points hauts dont ils disposent.

Le contrat de location ou de cession doit être communiqué à l'ANRT pour information.

Les recettes et les dépenses relatives à cette cession ou location sont retracées dans une comptabilité distincte de l'exploitant d'infrastructures alternatives.

La location ou la cession d'infrastructures alternatives ne doit pas porter atteinte aux droits de passage que sont en droit d'obtenir les autres exploitants de réseaux publics de télécommunications.

Article 8

L'interconnexion entre les différents réseaux de télécommunications doit être faite dans des conditions réglementaires, techniques et financières, acceptables, objectives et non discriminatoires qui assurent des conditions de concurrence loyale.

L'Agence nationale de réglementation des télécommunications visée à l'article 27 ci-dessous et désignée en abrégé » ANRT » est chargée de veiller au respect des dispositions qui précèdent et tranche les litiges y relatifs.

Article 8 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

L'Agence nationale de réglementation des télécommunications est chargée de veiller au respect de la concurrence loyale dans le secteur des télécommunications et tranche les litiges y afférents, notamment ceux relatifs au respect des articles 6,7 et 10 de la loi nº 6-99 sur la liberté des prix et de la concurrence.

Les modalités de saisine de l'ANRT et la nature des décisions prises par elle sont fixées par voie réglementaire.

L’ANRT informe le Conseil de la Concurrence des décisions prises en vertu du présent article.

Article 9

Le spectre des fréquences radioélectriques fait partie du domaine public de l'Etat. L'assignation de fréquences radioélectriques est soumise au paiement d'une redevance conformément à la réglementation en vigueur.

Article 9 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

L'ANRT attribue aux exploitants de réseaux publics de télécommunications des numéros, blocs de numéros et préfixes dans des conditions objectives, transparentes et non discriminatoires.

Les conditions d'utilisation de ces numéros, blocs de numéros et préfixes sont précisées par les décisions d'attribution établies et notifiées aux exploitants par l'ANRT.

L'ANRT veille à la bonne utilisation des numéros attribués. Les numéros, blocs de numéros et préfixes ne peuvent être protégés par un droit de propriété industrielle ou intellectuelle. Ils sont incessibles et ne peuvent faire l'objet d'un transfert qu'après accord de l'ANRT. Les modalités et conditions de mise en oeuvre de la portabilité des numéros sont fixées par l'ANRT.

Chapitre III.- Du Régime Des Licences

Article 10

(Modifié par l’article 1 de la Loi nº 55-01 du 4 Novembre 2004).

La licence d'établissement et d'exploitation de réseaux publics de télécommunications empruntant le domaine public ou utilisant le spectre des fréquences radioélectriques, visée à ; l'article 2 ci-dessus, est délivrée à toute personne morale adjudicataire d'un appel à la concurrence et qui s'engage à respecter les conditions générales d'exploitation et les clauses d'un cahier des charges réglementant les conditions générales d'établissement et d'exploitation des réseaux et services des télécommunications.

Elle est soumise au paiement d'une contrepartie financière dont les modalités seront précisées dans le cahier des charges précité.

Les conditions générales d'exploitation visées à l'alinéa précédent concernent :

– la concurrence loyale ;

– l'obligation de tenir des comptes financiers autonomes pour chaque réseau et service exploité ;

– les conditions de confidentialité et de neutralité du service au regard des messages transmis ;

– les prescriptions exigées par la défense nationale et la sécurité publique et les prérogatives de l'autorité judiciaire ;

– les modalités de contribution aux missions générales de l'Etat et en particulier aux missions et charges du service universel;

– les conditions de fourniture des informations nécessaires à la réalisation de l'annuaire général des abonnés ;

– l'obligation de respecter les accords et les conventions internationaux ratifiés par le Royaume du Maroc ;

– l'obligation d'acheminer gratuitement les appels d'urgence;

– la contribution à la recherche, à la formation et à la normalisation en matière de télécommunications.

Article 10 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

La contribution des exploitants de réseaux publics de télécommunications, prévue par l'article 10 ci-dessus au titre de la formation et de la normalisation est fixée à 0,75 % de leur chiffre d'affaires, hors taxes, net des frais d'interconnexion, réalisé au titre des activités de télécommunications objet de la licence.

Ce montant est versé directement par les exploitants au budget de l'ANRT.

La contribution des exploitants au titre de la recherche est fixée à 0,25 % du chiffre d'affaires précité.

Elle est versée dans un compte d'affectation spéciale pour la recherche créé conformément à la législation en vigueur.

Sont libérés de cette contribution, les exploitants de réseaux publics de télécommunications qui réalisent, pour un montant équivalent, des programmes de recherche dans le cadre de conventions à passer avec des organismes de recherche dont la liste sera fixée par voie réglementaire.

Article 11

Pour chaque appel à la concurrence ayant pour objet de proposer l'établissement et/ou l'exploitation d'un réseau ou service de télécommunications déterminé, l'administration fixe dans un cahier des charges :

1) les conditions d'établissement du réseau

2) les conditions de la fourniture du service

3) la zone de couverture dudit service et le calendrier de réalisation

4) les fréquences radioélectriques et les blocs de numérotation attribués ainsi que les conditions d'accès aux points hauts faisant partie du domaine public ;

5) les qualifications professionnelles et techniques minimales ainsi que les garanties financières exigées des demandeurs ;

6) les conditions d'exploitation du service notamment les conditions de fourniture du service universel et le principe du respect de l'égalité de traitement des usagers ;

7) les modalités de paiement, de la redevance visée à l'alinéa 2 de l'article 9 ci-dessus ;

8) la durée de validité de la licence et ses conditions de renouvellement

9) les modalités de paiement de la contrepartie financière visée au premier alinéa de ; l'article 10 L'appel à la concurrence détermine les conditions d'accès et d'interconnexion aux réseaux publics de télécommunications et, éventuellement, les conditions de location des éléments de ces réseaux qui sont nécessaires à l'établissement du nouveau réseau ou à la fourniture du service objet de l'appel d'offres. Dans ce cas, l'obtention de la licence emporte de plein droit l'accès à l'interconnexion ou la location nécessaire.

Est déclaré adjudicataire, le candidat dont l'offre est jugée la meilleure par rapport à l'ensemble des prescriptions des cahiers des charges et après avis de l'ANRT visée à l'article 27 ci-dessous.

L'adjudication fait l'objet d'un rapport public.

Article 12

Les licences délivrées par décret en application du présent chapitre sont personnelles. Elles ne peuvent être cédées à un tiers que par décret. Cette cession implique la poursuite du respect de l'ensemble des dispositions de la licence.

Le décret doit être notifié dans un délai maximum de deux mois. Tout refus de l'agrément doit être motivé.

Article 13

Les exploitants de réseaux publics de télécommunications ont l'obligation de respecter les conditions de fourniture d'un réseau ouvert de télécommunications. Ces conditions sont fixées par voie réglementaire et concernent :

* l'adaptation des interfaces techniques y compris, le cas échéant, la définition et la mise en oeuvre des points de terminaison du réseau ;

* les conditions d'utilisation y compris, le cas échéant, l'accès aux fréquences radioélectriques ;

* les principes de la tarification.

Article 13 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

1) Font partie du service universel et sont obligatoires pour les exploitants de réseaux publics de télécommunications, l'acheminement des appels d'urgence, la fourniture d'un service de renseignement et d'un annuaire sous forme imprimée ou électronique.

2) Sont considérées comme missions relatives à l'aménagement du territoire, la desserte du territoire national en cabines téléphoniques installées sur le domaine public et/ou la desserte en moyens de télécommunications des zones périphériques urbaines, des zones industrielles et dans les zones rurales.

3) La liste des services à valeur ajoutée entrant dans le cadre du service universel est fixée dans le cahier des charges et comprend notamment les services permettant l'accès à l’internet.

Les modalités de réalisation des missions du service universel sont fixées dans un cahier des charges particulier des exploitants des réseaux publics de télécommunications pris conformément à la législation et à la réglementation en vigueur.

Les exploitants de réseaux publics de télécommunications contribuent annuellement au financement des missions du service universel dans la limite de 2% du chiffre d'affaires hors taxes net des frais d'interconnexion, réalisé au titre des activités de télécommunications objet de leur licence.

Le cahier des charges prévu à l'alinéa précédent, dit cahier des charges du service universel, est conclu pour une durée déterminée et renouvelé selon les modalités qu’il fixe. II est approuvé par décret.

Toutefois, les exploitants peuvent soit réaliser eux-mêmes les missions du service universel prévues dans le cahier des charges particulier précité, soit s'en libérer en payant la contribution y afférente qui sera versée à un compte d'affectation spéciale qui sera créé conformément à la loi organique des finances et les textes pris pour son application.

De même, en cas de réalisation incomplète desdites missions par les exploitants, ces derniers versent audit compte la différence entre le montant des réalisations et le montant dont ils restent redevables au titre de la contribution aux missions du service universel et sont passibles d'une amende calculée conformément aux clauses du cahier des charges.

Toutefois, les services obligatoires vises au 1) ci-dessus n'entrent pas dans le calcul de la contribution aux charges des missions du service universel.

Les modalités de contribution et de réalisation des missions du service universel sont fixées par voie réglementaire.

Article 13 ter :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

Des licences particulières peuvent être délivrées, après appel à la concurrence conformément à l'article 10, pour la réalisation des missions du service universel visées aux paragraphes 2 et 3 de l'article 13 bis ci-dessus.

Un cahier des charges spécifique approuvé par voie réglementaire doit :

– définir les obligations relatives à l'aménagement du territoire ;

– fixer les modalités d'application du paragraphe 3 de l'article 13 bis relatif aux services à valeur ajoutée.

II précise également les modalités de mise en oeuvre du service universel par l’exploitant et fixe les sanctions pécuniaires applicables en cas de non respect par ce dernier des obligations relatives au service universel.

Lorsque l’appel à la concurrence pour l'attribution de la licence en vue de la réalisation des missions du service universel se révèle infructueux, l'Etat désigne, pour la réalisation desdites missions, dans le cadre d'une convention, un exploitant de réseau public de télécommunications détenant une part de marché au moins égale à 20 % d'un service de télécommunications.

L'exploitant retenu ou désigné pour fournir le service universel n'est pas soumis au paiement de la contrepartie financière visée au premier alinéa de l’article 10 et de la contribution aux missions du service universel visée à l'article 13 bis sur la partie du chiffre d'affaires réalisé dans le cadre de la licence prévue au présent article.

Lorsque l’exploitant retenu après appel à la concurrence n'est pas titulaire d'une licence sur le territoire national, les conditions d'interconnexion aux réseaux existants font l’objet d'un accord entre ledit exploitant et le ou les exploitants offrant les services d'interconnexion. Les tarifs d'interconnexion doivent être ceux en vigueur entre les exploitants existants.

Le cahier des charges prévu au présent article est conclu pour une durée, déterminée et renouvelé selon les modalités qu'il fixe. II est approuvé par décret.

Chapitre IV.-  Du Régime Des Autorisations

Article 14

Les réseaux indépendants peuvent être établis et exploités par toute personne physique ou morale sous réserve de l'obtention de l'autorisation prévue par les dispositions de ; l'article 3 cidessus, délivrée par l'ANRT.

Cette autorisation ne peut être délivrée que si lesdits réseaux ne perturbent pas le fonctionnement technique des réseaux existants. Elle est soumise au paiement de redevance.

L'ANRT précise, cas par cas, les conditions dans lesquelles les réseaux indépendants mentionnés ci-dessus peuvent être, le cas échéant, connectés à un réseau public de télécommunications et ce, sans permettre l'échange de communications entre personnes autres que celles auxquelles l'usage du réseau est réservé.

L'autorisation doit être notifiée dans un délai ne dépassant pas les deux mois. Tout refus d'autorisation doit être motivé.

Chapitre V.- Du Régime Des Agréments

Article 15

Les équipements terminaux sont fournis librement, sans autorisation préalable. Toutefois, lorsqu'ils sont destinés à être connectés à un réseau public de télécommunications, ils doivent faire l'objet d'un agrément préalable délivré par l'ANRT ou par un laboratoire d'essais et mesures d'équipements des télécommunications lui même agréé par l'agence. L'agrément des équipements est exigé dans tous les cas pour les installations radioélectriques, qu'elles soient destinées ou non à être connectées à un réseau public de télécommunications.

L'agrément doit être notifié dans un délai ne dépassant pas les deux mois. Tout refus d'agrément doit être motivé.

Article 16

Les équipements terminaux ou installations soumis à l'agrément mentionné ci-dessus ne peuvent être fabriqués pour le marché intérieur, importés, détenus en vue de la vente, mis en vente, distribués à titre gratuit ou onéreux, connectés à un réseau public de télécommunications ou faire l'objet de publicité que s'ils sont agréés au préalable par l'ANRT ou par un laboratoire d'essais et mesures dûment agréé à cet effet par ladite agence dans les conditions fixées par l'administration.

L'agrément des équipements terminaux et installations radioélectriques visés à l'alinéa précédent a pour objet de garantir, dans l'intérêt général, la sécurité des usagers et du personnel des exploitants, la protection des réseaux de télécommunications, la compatibilité de ces équipements à fonctionner, d'une part, avec les réseaux publics de télécommunications et, d'autre part, avec les autres équipements terminaux permettant d'accéder à un même service, ainsi que la bonne utilisation du spectre radioélectrique.

Les installateurs d'équipements terminaux pour leur compte propre ou pour des tiers, sont tenus responsables des infractions à la réglementation des télécommunications dans le cadre de la législation en vigueur et selon les dispositions de la présente loi.

En outre, ils sont responsables des infractions lorsqu'elles sont commises par leurs agents et du paiement des amendes y afférentes.

Les installations radioélectriques et les équipements terminaux doivent, à tout moment, demeurer conformes au modèle agréé.

Chapitre VI.- Du Régime Des Déclarations

Article 17

(Abrogé et remplacé par l’article 2 de la Loi nº 55-01 du 4 Novembre 2004).

L'exploitation commerciale des services à valeur ajoutée dont la liste est fixée par voie réglementaire sur proposition de l’ANRT, peut être assurée librement par toute personne physique ou morale après avoir déposé, auprès de l’ANRT, une déclaration d'intention d'ouverture du service. Cette déclaration doit contenir les informations suivantes :

– les modalités d'ouverture du service;

– la couverture géographique ;

– les conditions d'accès ;

– la nature des prestations objet du service;

– les tarifs qui seront appliqués aux usagers.

Ce service doit utiliser, sous forme de location, les capacités de liaison d'un ou de plusieurs réseaux publics de télécommunications existants, sauf si le fournisseur de ce service est titulaire de la licence visée à l’article 2 ci-dessus et désire utiliser les capacités de liaison du réseau objet de sa licence.

Ces capacités, doivent servir exclusivement à relier les clients à un point de présence et entre le point de présence et le réseau de l’exploitant de réseau public de télécommunications, sauf dérogation accordée par l’ANRT à un fournisseur de service à valeur ajoutée lui permettant d'utiliser lesdites capacités pour relier ses propres clients dans les conditions techniques d'installation et d'utilisation qu'elle fixe.

Tout changement apporté aux conditions initiales de la déclaration, exception faite des modifications tarifaires, est porté à la connaissance de l’ANRT un mois avant la date envisagée de sa mise en oeuvre.

En cas de cession, le nouveau fournisseur du service à valeur ajoutée est tenu d'informer l’ANRT de ce changement au plus tard 30 jours à compter de la date de cession et de déposer auprès de l’ANRT une déclaration d'ouverture telle que spécifiée au premier alinéa ci-dessus.

Article 18

(Abrogé et remplacé par l’article 2 de la Loi nº 55-01 du 4 Novembre 2004).

L'ANRT accuse réception de la déclaration s'il s'avère que le ou les services à valeur ajoutée déclarés sont conformes à la réglementation y afférente en vigueur.

La liste des déclarations précitées est transmise à la fin de chaque trimestre par l’ANRT à l’autorité gouvernementale compétente ou à toute autre autorité administrative qui en ferait expressément la demande.

Sans préjudice des sanctions pénales, s'il apparaît, à la suite de la fourniture du service objet de la déclaration, que ce dernier porte atteinte à la sûreté ou à l’ordre public ou est contraire à la morale et aux bonnes moeurs, les autorités compétentes peuvent sans délai annuler ladite déclaration.

Chapitre VII.- Du Régime Des Réseaux Et Installations Libres

Article 19

Sous réserve de la conformité des installations radioélectriques et, le cas échéant, des équipements terminaux aux dispositions de ; l'article 16 ci-dessus, peuvent être établis librement :

– les réseaux internes

– les installations radioélectriques exclusivement composées d'appareils de faible puissance et de faible portée dont les catégories sont déterminées par l'ANRT.

Les conditions techniques d'utilisation des réseaux et des installations visés ci-dessus sont déterminées également par l'ANRT.

Les catégories d'installations radioélectriques ainsi que les conditions techniques précitées ne sont opposables aux tiers qu'après leur publication au Bulletin officiel.

Article 20

L'établissement d'un réseau de télécommunications par une entreprise commerciale comprenant plusieurs entités juridiques telle que les sociétés ou leurs filiales ou succursales est libre, sous réserve que ces entités juridiques se situent toutes sur le territoire national. A défaut, une autorisation est prescrite conformément aux dispositions de ; l'article 3 ci-dessus.

L'usage de ce réseau est réservé exclusivement pour les besoins propres de ladite entreprise.

L'infrastructure du réseau précité doit être obligatoirement et entièrement louée à un ou plusieurs exploitants de réseaux publics de télécommunications disposant de la licence citée à l'article 2 ci-dessus.

Chapitre VIII.- Dispositions Communes

Article 21

Sous réserve des dispositions de ; l'article 9 ci-dessus, ne sont pas concernées par la présente loi les installations de télécommunications établies pour les besoins de la défense nationale et de la sécurité publique. Un décret fixera la réglementation qui est applicable auxdites installations.

Article 22

Sont transférés aux exploitants de réseaux publics de télécommunications les droits et avantages prévus par les dispositions du dahir du 21 chaoual 1333 (1er septembre 1915) relatif à l'établissement des lignes télégraphiques et téléphoniques.

Article 22 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

Les personnes morales de droit public, les concessionnaires de services publics et les exploitants de réseaux publics de télécommunications ont l’obligation de donner suite aux demandes de tout exploitant de réseaux publics de télécommunications à installer et à exploiter des matériels de transmission dans la mesure où ces derniers ne perturbent pas l’usage public.

Cette mise à disposition peut concerner notamment les servitudes, les emprises, les ouvrages de génie civil, les artères et canalisations et les points hauts dont peuvent disposer les personnes morales de droit public, les concessionnaires de services publics et les exploitants de réseaux publics de télécommunications.

La mise à disposition doit être faite dans des conditions réglementaires, techniques et financières, acceptables, objectives et non discriminatoires qui assurent des conditions de concurrence loyale.

L'ANRT est chargée de veiller au respect des dispositions qui précèdent et tranche les litiges y relatifs.

L'installation des infrastructures et des équipements doit être réalisée dans le respect de l’environnement et dans les conditions les moins dommageables pour les propriétés privées et le domaine public.

Article 23

Toute personne physique ou morale peut bénéficier, à sa demande, d'un abonnement aux services offerts par les réseaux publics de télécommunications.

L'établissement de l'identité du demandeur peut être exigé.

Le propriétaire d'un immeuble, le syndic ou leur mandataire ne peuvent s'opposer à l'installation de lignes de télécommunications demandées par le locataire.

Les droits des abonnés sont définis dans les cahiers des charges et contrats d'abonnement des exploitants et titulaires de licence conformément à la législation et à la réglementation en vigueur.

Article 24

(Modifié par l’article 1 de la Loi nº 55-01 du 4 Novembre 2004).

Les personnes morales, exploitant des réseaux de télécommunications ou fournissant des services de télécommunications, sont tenues de mettre à la disposition de l'ANRT, dans les délais fixés par son directeur, les informations ou documents nécessaires pour s'assurer du respect par ces personnes des obligations qui leur sont imposées par les textes législatifs et réglementaires ainsi que par la licence qui leur a été délivrée.

L'ANRT est habilitée à procéder auprès des mêmes personnes à des enquêtes, y compris celles qui nécessitent des interventions directes ou des branchements d'équipements externes sur leurs propres réseaux.

Les informations détenues par l’ANRT sont transmises à l’autorité gouvernementale compétente et à toute autre autorité administrative qui en ferait la demande.

L'ANRT peut faire rendre publiques des informations qui lui sont communiquées par l’exploitant, à l'exception de celles identifiées d'un commun accord entre l’exploitant et l’ANRT comme confidentielles ou représentant des données commerciales sensibles.

Elle peut solliciter la vérification, par un expert, de toute information qui lui serait communiquée en vertu du présent article.

Article 25

L'édition et la distribution des annuaires des abonnés aux services de télécommunications relèvent de la seule compétence des exploitants de réseaux publics de télécommunications.

Ne sont pas concernés par l'alinéa précédent les annuaires contenant exclusivement les numéros des abonnés ayant un lien entre eux de type commercial, industriel ou professionnel en général.

Article 26

Les exploitants de réseaux publics de télécommunications, les fournisseurs de services de télécommunications, ainsi que leurs employés sont tenus de respecter le secret des correspondances par voie de télécommunications et les conditions de la protection de la vie privée et des données nominatives des usagers, sous peine des sanctions prévues à ; l'article 92 ci-après.

TITRE 2.- De L'agence Nationale De Réglementation Des Télécommunications

Article 27

Il est institué auprès du Premier ministre un établissement public dénommé «Agence nationale de réglementation des télécommunications», doté de la personnalité morale et de l'autonomie financière.

Cette agence est soumise à la tutelle de l'Etat, laquelle a pour objet de faire respecter les dispositions de la présente loi par les organes compétents de l'agence, notamment pour tout ce qui est relatif aux missions qui lui sont imparties.

Article 28

(Modifié par l’article 1 de la Loi nº 79-99 du 22 juin 2001).

Par dérogation aux dispositions du dahir nº 1-59-271 du 17 chaoual 1379 (14 avril 1960) organisant le contrôle financier de l’Etat sur les offices, établissements publics et sociétés concessionnaires ainsi que sur les sociétés et organismes bénéficiant du concours financier de l’Etat ou de collectivités publiques, tel qu’il a été modifié et complété, l’agence est soumise au contrôle financier de l’Etat, visant à apprécier la conformité de la gestion de cet établissement à la mission et aux objectifs qui lui sont assignés, ses performances techniques et financières ainsi que la régularité des actes de gestion du directeur.

Le contrôle visé ci-dessus est exercé par une commission composée d’experts et par un agent comptable désignés par le ministre chargé des finances.

Sont, tous les six mois, soumis à l’appréciation de la commission d’experts, les mesures d’exécution du budget, les modalités de passation et de réalisation des marchés de travaux, de fournitures ou de services conclu par l’agence, les conditions des acquisitions immobilières réalisées par elle, les conventions passées avec les tiers, l’utilisation des subventions qu’elle a reçues et l’application du statut du personnel.

Pour l’exécution de sa mission, la commission peut à tout moment exercer tous pouvoirs d’investigation sur place. Elle peut procéder à toutes enquêtes, demander communication ou prendre connaissance de tous documents ou titres détenus par l’agence.

La commission établit des rapports sur ses travaux qui sont communiqués au Premier Ministre chargé des finances et aux membres du conseil d’administration.

L’agent comptable veille à la régularité des engagements, des liquidations et des paiements décidés par l’ordonnateur et peut s’y opposer. Dans ce cas, il en informe le directeur qui peut lui ordonner de viser l’acte ou procéder à la dépense.

L’agent comptable fait immédiatement rapport de cette procédure au ministre chargé des finances, au président du conseil d’administration et à la commission d’experts.

Article 28 bis

(Incorporée par l’article 2 de la Loi nº 79-99 du 22 juin 2001).

Avant leur présentation au conseil d’administration, les comptes de l’ANRT doivent faire l’objet d’un audit externe réalisé par un ou plusieurs experts comptables, permettant de formuler une opinion sur la qualité du contrôle interne et de certifier que les états de synthèse donnent une image fidèle du patrimoine, de la situation financière et des résultats de l’ANRT.

Les rapports d’audit sont adressés au Premier ministre, au ministre chargé des finances et de la privatisation et aux membres du conseil d’administration.

Article 29

(Modifié et complété par la loi nº 29-06).

L'ANRT prépare les études et les actes réglementaires relatifs au secteur des télécommunications. Elle assure le contrôle de l'application de la réglementation et veille également au respect des conditions générales d'exploitation visées à ; l'article 10 de la présente loi.

A cet effet, l'ANRT est chargée en particulier :

1) d'élaborer, à la demande de l'autorité gouvernementale compétente ou à l'initiative de l'agence, les propositions visant à adapter le cadre juridique, économique et sécuritaire dans lequel s'exercent les activités de télécommunications. A ce titre, elle prépare les projets de lois, de décrets et d'arrêtés ministériels relatifs au régime des activités des différents opérateurs intervenant dans le secteur des télécommunications ;

2) de préparer et de tenir à jour, en liaison avec les autres départements ministériels concernés et les organismes de sécurité publique, le texte du cahier des charges fixant les droits et obligations des exploitants des réseaux publics de télécommunications ;

3) d'instruire les demandes de licences, de préparer et mettre en oeuvre les procédures d'attribution de licences par appel à la concurrence, de recevoir les déclarations préalables pour les activités de télécommunications relevant du régime des licences. L'ANRT délivre les autorisations et prépare les licences et les cahiers des charges correspondants et assure également le suivi du respect des termes des licences accordées aux divers exploitants ou tout autre intervenant du domaine ;

4) de proposer les spécifications et les procédures techniques d'agrément des laboratoires d'essais et de mesures ;

5) de fixer les spécifications techniques et administratives d'agrément des équipements terminaux et installations radioélectriques et les règles techniques ou méthodologiques applicables aux réseaux de toutes natures pouvant être raccordés aux réseaux publics de télécommunications et à tout réseau de télécommunications ouvert au public. Ces spécifications et règles ne sont opposables aux tiers qu'après leur publication au Bulletin officiel ;

6) (Abrogé par l´article 1 loi nº 93-12 du 17 juin 2013)

7) de proposer les tarifs maximum pour les prestations relatives au service universel ;

8) de participer avec l'autorité gouvernementale chargée des télécommunications au comité permanent des radiocommunications créé par le décret royal nº 675-66 du 6 ramadan 1386 (19 décembre 1966), et aux réunions internationales traitant de la gestion du spectre des fréquences radioélectriques et de la réglementation des télécommunications. Elle participe également aux travaux des organismes nationaux ou étrangers ayant pour objet l'étude et l'amélioration de la réglementation et de la gestion des télécommunications ;

9) d'assurer, pour le compte de l'Etat, la gestion et la surveillance du spectre des fréquences radioélectriques et le respect des contraintes concernant le chiffrement éventuel des informations échangées. A ce titre, elle attribue les fréquences radioélectriques liées à la licence et à l'autorisation prévues aux articles 2 et 3 de la présente loi, sous réserve du paiement par le bénéficiaire de la redevance citée à l'article 9 de la présente loi ;

10) de suivre, pour le compte de l'Etat, le respect de la réglementation en vigueur et des termes des licences, autorisations et agréments accordés dans le secteur des télécommunications. A cet effet, l'ANRT reçoit et analyse toutes les informations et documentations requises des exploitants de réseaux et services de télécommunications dans le cadre de leur licence et de leur cahier des charges et, le cas échéant, demande toutes les précisions et informations complémentaires nécessaires ;

11) de suivre, pour le compte de l'Etat, le développement des technologies de l'information.

12) (Abrogé par l´article 1 loi nº 93-12 du 17 juin 2013)

13) (Abrogé par l´article 1 loi nº 93-12 du 17 juin 2013)

14) de proposer au gouvernement la législation et la réglementation relatives à l'utilisation des noms de domaine Internet «point ma» désignés sous l'extension «.ma», permettant d'identifier les adresses Internet correspondant au territoire national ;

15) d'attribuer les noms de domaine «.ma», de définir les modalités de leur gestion administrative, technique et commerciale dans des conditions transparentes et non discriminatoires et de représenter les titulaires de ces adresses auprès des instances internationales gouvernementales ou non gouvernementales en charge de la gestion internationale des noms de domaine Internet.

Article 29 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

1- Sont passibles de sanctions pécuniaires d'un maximum de cent mille dirhams les exploitants de réseaux de télécommunications qui ne respectent pas:

– les obligations de fournitures à l'ANRT des informations exigées par la réglementation en vigueur ou par cette dernière en ce qui concerne l'interconnexion des réseaux publics de télécommunications;

– les obligations relatives à la fourniture à l'ANRT des informations concernant la comptabilité analytique et l'audit des comptes exigées par la réglementation en vigueur ou par cette dernière ;

– les obligations relatives à la publication des offres tarifaires ;

– les obligations de fourniture à l’ANRT des informations exigées par la réglementation en vigueur ou par cette dernière en matière de service universel;

– les obligations relatives à la fourniture à l'ANRT des informations concernant: o la recherche et la formation; o l’annuaire général des abonnés.

2 -Sont passibles de sanctions pécuniaires d'un maximum de cinquante mille dirhams, les exploitants de réseaux de télécommunications et les fournisseurs de services de télécommunications qui ne respectent pas:

– les obligations de fourniture à l'ANRT des informations exigées par la réglementation en vigueur ou par cette dernière en ce qui concerne l'utilisation des fréquences radioélectriques et des équipements de télécommunications;

– les délais de fourniture à l'ANRT des informations exigées par la réglementation en vigueur ou par cette dernière.

3 – Sont passibles de sanctions pécuniaires d'un maximum de vingt mille dirhams, les exploitants de réseaux de télécommunications et les fournisseurs de services de télécommunications qui ne respectent pas les obligations relatives à la fourniture à l'ANRT des informations exigées autres que celles prévues aux paragraphes 1 et 2 ci-dessus.

Ces sanctions sont prononcées par le directeur de l'ANRT selon une procédure fixée par voie réglementaire.

Les amendes prévues ci-dessus font l’objet d'ordres de recettes émis par le directeur de l’ANRT et recouvrées conformément aux dispositions de l'article 38 bis de la présente loi.

Article 30

(Abrogé et remplacé par l’article 2 de la Loi nº 55-01 du 4 Novembre 2004).

Sous réserve des dispositions de l’article 29 bis ci-dessus, lorsque le titulaire d'une licence d'établissement et d'exploitation de réseaux publics de télécommunications ne respecte pas les conditions qui lui sont imposées par les textes législatifs et réglementaires ou son cahier des charges, le directeur de l'ANRT le met en demeure de cesser l'infraction dans un délai de trente jours.

Si le titulaire ne se conforme pas à la mise en demeure qui lui a été adressée, il sera passible :

a) d'un avertissement qui lui est adressé par le directeur de l'ANRT, après en avoir informé le président du conseil d'administration de l'agence ; l'avertissement, après notification à l'intéressé, peut faire l'objet de publication au Bulletin officiel,

b)

– de la suspension totale ou partielle de la licence pour une durée de trente jours au plus,

– de la suspension temporaire de la licence ou la réduction de sa durée dans la limite d'une année,

– ou du retrait définitif de la licence,

La suspension de la licence est prononcée par l'autorité gouvernementale compétente, sur proposition du directeur de l'ANRT et le retrait de la licence est prononcé par décret sur proposition du directeur de l'ANRT ;

c) et/ou d'une amende égale au maximum à 1 % du chiffre d'affaires hors taxe, net des frais d'interconnexion, tel que déclaré l’année précédente, réalisé au titre des activités de télécommunications objet de la licence.

Dans ce dernier cas, le directeur de l'ANRT, après en avoir informé le président du conseil d'administration de l'agence, saisit le procureur du Roi du tribunal de première instance de Rabat aux fins d'engager les poursuites à l'encontre du contrevenant.

Le directeur de l'ANRT peut se constituer partie civile et exercer les droits reconnus à cette partie. Le tribunal doit, avant jugement au fond, enjoindre au contrevenant le dépôt d'une caution d'un montant égal à celui demandé par l'ANRT et qui ne peut être supérieur au montant de l’amende demandée par cette dernière.

Les sanctions visées aux a) et b) ci-dessus ne sont prononcées que lorsque les griefs retenus contre l'intéressé lui ont été notifiés et qu'il a été à même de consulter le dossier et de présenter ses justifications écrites, dans le délai fixé par le directeur de l’ANRT, qui ne saurait être inférieur à un mois.

Les sanctions prononcées en vertu du b) ci-dessus n'ouvrent droit à aucun dédommagement au profit du contrevenant et l'ANRT prend ou propose à l'administration les mesures nécessaires pour faire assurer la continuité du service et protéger les intérêts des usagers.

L'amende visée au c) ci-dessus est portée au double si le contrevenant est en état de récidive comme ayant été condamné dans les cinq années précédentes par décision irrévocable prononcée pour des faits identiques.

En cas d'atteinte aux prescriptions exigées par la défense nationale et la sécurité publique, le directeur de l'ANRT est habilité, par décision motivée, après en avoir informé l'autorité gouvernementale compétente, à suspendre sans délai la licence, l'autorisation ou l'exploitation de services à valeur ajoutée, mentionnées aux articles 2 à 5 de la présente loi.

En outre, les équipements, objets de la licence, de l'autorisation ou de l'exploitation précitées sont immédiatement saisis.

Article 31

(Modifié par l’article 1 de la Loi nº 55-01 du 4 Novembre 2004).

Lorsque le titulaire d'une licence d'attribution de fréquences radioélectriques, d'une autorisation ou d’une déclaration de service à valeur ajoutée ne respecte pas les obligations qui lui sont imposées par les textes législatifs et réglementaires, ainsi que par les conditions fixées à l'occasion d'attribution de fréquences radioélectriques ou par l'autorisation ou la déclaration, le directeur de l'ANRT le met en demeure de s'y conformer dans un délai de trente jours.

Si le titulaire de l'autorisation ou licence ou déclaration citées à l'alinéa précédent, ne se conforme pas à la mise en demeure qui lui a été adressée, le directeur de l'ANRT peut prononcer à son encontre les sanctions édictées aux articles 29 bis ou 30 ci-dessus.

Ces sanctions ne sont prononcées que lorsque les griefs retenus contre le titulaire lui ont été notifiés et qu'il a été à même de consulter le dossier et de présenter ses observations écrites ou verbales.

Article 32

Les organes d'administration et de gestion de l'ANRT comprennent le conseil d'administration, le comité de gestion et le directeur.

Article 33

Le conseil d'administration de l'ANRT se compose, outre son président, des représentants de l'Etat et de personnalités nommées par décret pour une période de cinq ans et choisies dans le secteur public et privé pour leur compétence technique, juridique et économique dans le domaine des technologies des télécommunications et de l'information.

En ce qui concerne les représentants des secteurs public et privé, la qualité de membre du conseil d'administration est incompatible avec tout intérêt personnel lié au domaine des technologies des télécommunications et de l'information.

Article 34

Le conseil d'administration dispose de tous les pouvoirs et attributions nécessaires à la réalisation des missions imparties à l'ANRT par les dispositions de la présente loi.

Il délibère valablement lorsque les deux tiers au moins de ses membres sont présents et prend ses décisions à la majorité des voix des membres présents ou représentés.

Ne peuvent être représentés, les membres désignés intuitu personae.

Le conseil d'administration délibère sur les orientations générales de l'ANRT et fixe son programme annuel d'activité.

Il peut décider la création de tout comité dont il fixe la composition et les modalités de fonctionnement et auquel il peut déléguer partie de ses pouvoirs.

Il exerce les compétences visées au 2e alinéa de l'article 8 ci-dessus et peut les déléguer au comité de gestion prévu à l'article 35 ci-après.

Il examine le rapport d'activité de l'ANRT que lui présente le directeur.

Il se réunit aussi souvent que les circonstances l'exigent et au moins deux fois par an :

– pour arrêter les états de synthèse de l'exercice clos

– pour arrêter le budget de l'exercice suivant.

Article 35

Le conseil d'administration est assisté d'un comité de gestion qui règle, par ses délibérations les questions pour lesquelles il a reçu délégation du conseil d'administration et notamment celles relatives au règlement des litiges liés à l'interconnexion, visés à l'article 8 ci-dessus.

Les membres du comité de gestion sont nommés par le conseil d'administration pour une période de cinq ans renouvelable.

Article 36

L'ANRT est gérée par un directeur nommé conformément à la législation en vigueur.

Le directeur détient tous les pouvoirs et attributions nécessaires à la gestion de l'ANRT.

En outre, il peut recevoir délégation du conseil d'administration pour le règlement de certaines affaires dont la technicité ou l'urgence impliquent une réponse rapide et techniquement appropriée.

Il assiste, avec voix consultative, aux réunions du conseil d'administration et du comité de gestion et y tient le rôle de rapporteur.

Il représente l'ANRT vis-à-vis de l'Etat, des administrations publiques et des tiers. Il exerce les actions judiciaires en demande et en défense.

Il peut déléguer, pour des questions déterminées, une partie de s'es pouvoirs et attributions aux cadres occupant des postes de direction dans l'ANRT.

Article 36 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 promulguée par le dahir nº 1-04-154 du 21 ramadan 1425 (4 Novembre 2004)).

Les recours pour excès de pouvoir contre les décisions de l'ANRT sont portés devant le tribunal administratif de Rabat.

Article 37

Le directeur de l'ANRT établit, en fin d'exercice, un rapport annuel sur les activités de l'agence au cours de l'année écoulée. Ce rapport expose également la situation d'ensemble des technologies de l'information au Maroc du point de vue de l'application de la législation et de la réglementation en vigueur.

Ce rapport est transmis au Premier ministre. Il est rendu public et publié au » Bulletin officiel «.

Article 37 bis :

(Incorporée par l’article 3 de la Loi nº 55-01 du 4 Novembre 2004).

Les décisions de l'ANRT prises pour l'application de la présente loi n'entrent en vigueur qu'à compter de leur publication au bulletin officiel.

Article 38

(Modifié par l’article 1 de la Loi nº 55-01 du 4 Novembre 2004).

Le budget de l'ANRT est arrêté par le conseil d'administration.

Il comprend

En recettes :

– le produit des redevances perçues à l'occasion de l'étude des dossiers et de l'octroi ou du renouvellement des licences relatives à l'assignation des fréquences radioélectriques, d'agrément des équipements terminaux, et plus généralement, le produit de toute redevance en relation avec les missions de l'ANRT ;

– un pourcentage sur le produit de la contrepartie financière due au titre de la licence visée à l'article 10 dont le montant est fixé par la loi de finances selon les besoins réels de l'ANRT ;

– les produits et les revenus provenant de biens mobiliers et immobiliers ;

– le montant des contributions des exploitants de réseaux publics de télécommunications au titre de la formation et de la normalisation ;

– le produit des amendes prévues a l'article 29 bis ci-dessus ;

– les avances remboursables du Trésor, d'organismes publics ou privés ainsi que les emprunts autorisés conformément à la législation en vigueur ;

– les subventions, dons, legs et toutes autres recettes en rapport avec son activité.

En dépenses :

– les dépenses de fonctionnement et d'équipement ;

– le remboursement des avances et des prêts ;

– toutes autres dépenses en rapport avec l'objet de l'ANRT.

Article 38 bis

Le recouvrement des créances de l'ANRT s'effectue conformément à la législation relative au recouvrement des créances de l'Etat.

TITRE 3.- De La Société Itissalat Al-Maghrib

Chapitre PREMIER.- Dénomination Et Missions

Article 39

Une société anonyme, dénommée » Itissalat Al-Maghrib » est chargée notamment des missions prévues à l'article 40 ci-dessous.

Article 40

(Modifié par l’article 1 de la Loi nº 55-01 du 4 Novembre 2004).

Itissalat Al-Maghrib a pour mission, concurremment avec les opérateurs auxquels aura été délivrée la licence visée à l'article 10 ci-dessus :

– d'assurer le service universel ou de participer à son financement conformément aux dispositions des articles 13 bis et 13 ter ci-dessus,

– d'établir et/ou d'exploiter, un ou plusieurs réseaux publics de télécommunications.

Article 41

Les réseaux et services de télécommunications exploités par l'Office national des postes et télécommunications à la date d'entrée en vigueur de la présente loi sont transférés en pleine propriété à Itissalat Al-Maghrib.

Itissalat Al-Maghrib bénéficie de plein droit de l'exploitation des réseaux et services cités à l'alinéa précédent. Un cahier des charges, approuvé par décret, fixera les conditions dans lesquelles les services de télécommunications correspondants seront rendus.

Article 42

Itissalat Al-Maghrib bénéficie des droits d'utilisation des fréquences radioélectriques relatives à l'exploitation des réseaux et services cités à l'article 41 ci-dessus. En contrepartie, Itissalat Al-Maghrib est soumise au paiement des redevances visées aux articles 9 et 10 ci-dessus.

Pour tous les réseaux ou services autres que ceux visés à l'article 41 ci-dessus, Itissalat Al-Maghrib doit soumettre à l'autorité gouvernementale compétente ou à l'ANRT, selon le cas, les demandes de licences d'établissement et d'exploitation des réseaux et de fourniture de service ou les demandes d'attribution des fréquences radioélectriques qui lui sont nécessaires.

Article 43

La propriété des participations de l'Etat dans le capital d'Itissalat Al-Maghrib peut être transférée au secteur privé dans les conditions prévues par la loi nº 39-89 autorisant le transfert d'entreprises publiques au secteur privé promulguée par le dahir nº 1-90-01 du 15 ramadan 1410 (Il avril 1990) telle qu'elle a été modifiée et complétée.

Article 44

Itissalat Al-Maghrib n'est pas soumise aux dispositions du dahir nº 1-59-271 du 17 chaoual 1379 (14 avril 1960) organisant le contrôle financier de l'Etat sur les établissements publics et sociétés concessionnaires ainsi que sur les sociétés et organismes bénéficiant du concours financier de l'Etat ou de collectivités publiques.

Chapitre II.- Constitution Du Patrimoine

Article 45

Pour la constitution du patrimoine initial d'Itissalat Al-Maghrib, la propriété des biens meubles et immeubles de l'Office national des postes et télécommunications affectés aux activités de télécommunications relevant des missions d'Itissalat Al-Maghrib, est transférée à cette dernière.

Les modalités de transfert seront déterminées par les autorités gouvernementales compétentes.

Sont également transférés à Itissalat Al-Maghrib à la date d'entrée en vigueur de la présente loi :

– les participations que détient l'Office national des postes et télécommunications

– le droit d'usage de bandes de fréquences radioélectriques ou de fréquences radioélectriques attribuées ou assignées aux services relevant de l'Office national des postes et télécommunications.

TITRE 4.- De l'établissement public dénommé » Barid Al-Maghrib «

Chapitre PREMIER.- Dénomination et Missions

Article 46

Il est créé, sous la dénomination » Barid Al-Maghrib «, un établissement public doté de la personnalité morale et de l'autonomie financière.

Article 47

Barid Al-Maghrib est soumis à la tutelle de l'Etat, laquelle a pour objet de faire respecter, par les organes compétents dudit établissement, les dispositions de la présente loi, notamment celles relatives aux missions qui lui sont dévolues et de manière générale de veiller, en ce qui le concerne, à l'application de la législation et de la réglementation relatives aux établissements publics.

Article 48

Barid Al-Maghrib a pour mission d'exercer pour le compte de l'Etat :

– l'émission de timbres-poste ainsi que toutes autres marques d'affranchissement ;

– les activités relevant du monopole de l'Etat en matière du service du courrier sous toutes ses formes, dans les relations intérieures et internationales ;

– la collecte de l'épargne à travers la Caisse d'épargne nationale définie au chapitre IV du présent titre.

A cet effet, Barid Al-Maghrib est habilité à ouvrir des comptes de dépôt à vue ou à terme pour toute personne physique ou morale, au nom de laquelle ou par laquelle des fonds sont versés à la caisse à titre d'épargne.

Article 49

Barid Al-Maghrib assure le service des mandats-poste des régimes interne et externe, il est chargé également de la gestion du service de comptes courants de chèques postaux conformément à la législation en vigueur. Les opérations d'émission et de paiement ainsi que celles de retrait et de dépôt effectuées par Barid Al-Maghrib, au titre des services précités, sont imputés au compte courant du trésorier général ouvert à Bank Al-Maghrib.

Barid Al-Maghrib assure également tous autres services dont l'Etat fixe la liste en considération des besoins du trésor public pour l'accomplissement de ses missions. Une convention conclue entre l'Etat et Barid Al-Maghrib fixe les conditions d'exécution et de juste rémunération desdits services.

Article 50

Par dérogation à la législation en vigueur relative au monopole de l'Etat et selon les conditions fixées par l'autorité gouvernementale compétente, sont ouverts à la concurrence et soumis à autorisation de l'autorité gouvernementale compétente les services de collecte, de transport et de distribution d'objets et de marchandises entrant, par leurs formes, leur poids, leurs dimensions dans les catégories des objets et marchandises régies par les dispositions de conventions de l'Union postale universelle lorsqu'ils sont réalisés selon les formes du courrier accéléré international.

Cette autorisation donne lieu à la perception de redevances.

Barid Al-Maghrib est autorisé de plein droit à fournir les services cités à l'alinéa ci-dessus.

L'autorisation mentionnée au présent article est délivrée lorsque le service, d'une part, répond à un besoin d'intérêt général, et d'autre part, est compatible avec le bon accomplissement par Barid AIMaghrib des missions de service public qui lui sont confiées avec les contraintes tarifaires et de desserte géographique qui en résultent.

Les postulants à l'autorisation doivent s'engager à respecter les obligations arrêtées par l'autorité gouvernementale compétente et qui concernent :

– les conditions de confidentialité et de neutralité du service au regard des messages transmis ;

– la nature, les caractéristiques et la zone de couverture du service ;

– les conditions de continuité et de qualité du service ;

– les qualifications professionnelles et techniques ainsi que les garanties financières exigées du demandeur de l'autorisation ;

– les normes et spécifications du service ;

– les conditions d'exploitation du service notamment le principe du respect de l'égalité de traitement des usagers ainsi que les règles de respect d'une concurrence loyale entre tous les opérateurs ;

– la contribution de l'exploitant à la recherche, à la formation et à la normalisation en matière de poste ;

– les redevances exigées ;

– la durée, les conditions de cessation et de renouvellement de l'autorisation.

Les modalités d'application de ces obligations seront fixées dans l'autorisation délivrée par l'autorité gouvernementale compétente. L'autorisation précitée est personnelle à son titulaire et ne peut être cédée à un tiers.

Toute décision de refus d'autorisation doit être motivée.

Article 51

Barid Al-Maghrib est autorisé à conclure avec l'Etat ou tous autres organismes de droit public ou privé des conventions permettant l'utilisation par l'Etat ou lesdits organismes de l'infrastructure dont il dispose.

Article 52

Barid Al-Maghrib assure l'application des conventions, règlements et arrangements de l'Union postale universelle et des organisations régionales des postes auxquelles adhère le Maroc, sous réserve que l'application desdits conventions, règlements et arrangements n'implique pas l'édiction de textes législatifs ou réglementaires.

Article 53

Barid Al-Maghrib peut créer des filiales et prendre des participations financières dans toutes entreprises entrant par leur objet dans le cadre de ses missions, conformément aux dispositions de la loi nº 39-89 citée à l'article 43 ci-dessus.

Article 54

Barid Al-Maghrib peut créer des établissements de formation des cadres et de formation professionnelle dans le domaine de la poste et des services financiers postaux.

Chapitre II.-

Section Première – Organisation, Gestion Et Administration

Article 55

Barid Al-Maghrib est administré par un conseil d'administration qui comprend, outre les représentants de l'Etat, un représentant de Bank Al-Maghrib, un représentant de la Caisse de dépôt et de gestion et un représentant des personnes morales de droit public et des sociétés dont le capital est souscrit en totalité ou en partie par l'Etat.

Article 56

Le conseil d'administration est investi de tous les pouvoirs et attributions nécessaires à l'administration de Barid Al-Maghrib. Il définit et conduit la politique générale de l'établissement dans le cadre des orientations fixées par le gouvernement et à cet effet, il est notamment chargé :

– d'arrêter le programme des opérations techniques et financières, le budget, le régime des amortissements, les comptes d'exploitation et l'affectation des résultats ;

– d'arrêter la prise, l'extension ou la réduction de participations financières ;

– d'élaborer le statut du personnel qui est approuvé dans les conditions prévues par la réglementation en vigueur pour le personnel des établissements publics;

– d'arrêter les modalités de passation des marchés ;

– de fixer les tarifs des prestations rendues ;

– de choisir les auditeurs prévus à l'article 64 ci-dessous et de fixer leurs honoraires.

Article 57

Le conseil d'administration délibère valablement lorsque les deux tiers au moins de ses membres sont présents. Les décisions sont prises à la majorité des voix. En cas de partage égal des voix, celle du président est prépondérante.

Article 58

Le conseil d'administration peut décider la création de tout comité notamment un comité de gestion dont il fixe la composition et les modalités de fonctionnement et auquel il peut déléguer partie de ses pouvoirs.

Article 59

Barid Al-Maghrib est géré par un directeur nommé conformément à la législation en vigueur qui détient tous les pouvoirs et attributions nécessaires à la gestion de l'établissement.

Le directeur exécute les décisions du conseil d'administration et, le cas échéant, du comité précité, et exécute également les missions pour lesquelles il reçoit délégation du conseil d'administration.

Il peut déléguer, sous sa responsabilité, une partie de ses pouvoirs et attributions au personnel placé sous son autorité.

Article 60

Les décisions du directeur de Barid Al-Maghrib concernant l'ouverture ou la fermeture totale d'une relation internationale de poste ou la fermeture d'un établissement postal sur le territoire national ainsi que celles relatives à l'émission de timbres-poste ne sont exécutoires qu'après accord de l'autorité gouvernementale compétente.

Article 61

Le budget de Barid Al-Maghrib comprend en :

1) Ressources :

– les produits et bénéfices d'exploitation, ainsi que ceux provenant de ses opérations et de son patrimoine ;

– le produit des redevances perçues en contrepartie des autorisations visées à l'article 50 ci-dessus ;

– les dons, legs et produits divers ;

– les avances et prêts remboursables provenant de l'Etat, d'organismes publics ou privés ainsi que les emprunts autorisés conformément à la législation en vigueur toutes autres recettes en rapport avec ses activités les apports éventuels de l'Etat.

2) Charges :

– les charges d'exploitation et d'investissement ;

– le remboursement des avances, prêts et emprunts ;

– le versement éventuel à l'Etat des bénéfices réalisés ;

– toutes autres dépenses en rapport avec les activités de l'établissement.

Article 61 bis

Le recouvrement des créances de Barid Al-Maghrib s'effectue conformément à la législation relative au recouvrement des créances de l'Etat.

Article 62

Sont transférés au directeur de Barid Al-Maghrib, les pouvoirs reconnus à la puissance publique par la législation et la réglementation en vigueur, qui sont nécessaires au respect du monopole en matière de poste et à l'exercice de son contrôle par les agents de l'établissement.

Article 63

Barid Al-Maghrib est soumis aux dispositions du dahir nº 1-63-012 du 12 ramadan 1382 (6 février 1963) concernant les conditions de dépôt des fonds disponibles des établissements publics et des sociétés concessionnaires.

Section II- Contrôle financier

Article 64

Barid Al-Maghrib est soumis au contrôle financier de l'Etat conformément à la législation en vigueur.

En outre, Barid Al-Maghrib doit soumettre ses états financiers annuels à un audit externe. Les auditeurs ont pour mission de formuler une opinion sur la qualité du contrôle interne de l'établissement. Ils s'assurent également que les états financiers donnent une image fidèle du patrimoine, de la situation financière et des résultats de l'établissement.

Les rapports établis par les auditeurs sont communiqués aux membres du conseil d'administration.

Chapitre III.- Constitution Du Patrimoine

Article 65

Pour la constitution du patrimoine initial de Barid Al-Maghrib, la propriété des biens meubles et immeubles de l'Office national des postes et télécommunications, affectés aux activités de la poste et services financiers postaux et de la Caisse d'épargne nationale relevant des missions de Barid AIMaghrib, est transférée à ce dernier.

Sont également transférés à Barid Al-Maghrib à la date d'entrée en vigueur de la présente loi les éléments de l'actif de la Caisse d'épargne nationale.

Chapitre IV.- Dispositions Particulières Relatives A La Caisse D'épargne Nationale

Article 66

Il est créé au sein de Barid Al-Maghrib un service » Caisse d'épargne nationale » placée sous l'autorité du directeur de Barid Al-Maghrib.

Section Première – Dispositions financières et fiscales

Article 67

l'Etat garantit le remboursement des fonds versés en dépôt à la Caisse d'épargne nationale ainsi que le paiement des intérêts y afférents.

Article 68

La Caisse d'épargne nationale est tenue de déposer auprès d'organismes de droit public habilités à recevoir les dépôts de la Caisse d'épargne nationale, toutes les sommes qu'elle reçoit des déposants, sous réserve de ce qui est nécessaire pour assurer le service de remboursement ainsi que les services prévus par l'article 71 ci-dessous.

Article 69

Barid Al-Maghrib peut passer des conventions avec les organismes visés à l'article 68 ci-dessus afin de faire bénéficier ses déposants de prêts-logements.

Article 70

Les conditions et modalités d'ouverture et de rémunération des comptes de dépôt ainsi que le régime des avances prévus respectivement par les articles 48 et 71 de la présente loi sont fixés par l'administration.

Article 71

La Caisse d'épargne nationale est habilitée, en outre, à consentir sur les pensions civiles et militaires, dont la liste est arrêtée par l'administration et selon les modalités fixées par celle-ci, des avances représentant les arrérages courus de deux mois au maximum au profit des résidents au Maroc bénéficiaires desdites pensions.

Article 72

Par dérogation aux dispositions du dahir portant loi nº l-76-292 du 25 chaoual 1397 (9 octobre 1977) relatif à la présentation des opérations d'assurances et de réassurances et/ou de capitalisation et à l'exercice de la profession d'intermédiaire d'assurance, notamment son article premier, Barid AIMaghrib est habilité à proposer aux déposants de la Caisse d'épargne nationale des contrats d'assurances de personnes, émis par les entreprises ou organismes d'assurances de droit public ou de droit privé.

Ces propositions font l'objet de conventions, soumises à l'approbation de l'administration, que Barid Al-Maghrib pourra souscrire avec les entreprises ou organismes d'assurances intéressés en vue de déterminer les conditions et modalités de son intervention.

En aucun cas cette intervention n'habilite la caisse à se prévaloir du titre d'intermédiaire tel que défini dans le dahir portant loi n» 1-76-292 du 25 chaoual 1397 (9 octobre 1977) précité.

Article 73

Les intérêts produits par les dépôts effectués par les personnes physiques auprès de la Caisse d'épargne nationale sont exonérés de tous impôts et taxes.

Les personnes morales demeurent, pour ces intérêts, soumises à la législation fiscale en vigueur.

Article 74

La Caisse d'épargne nationale est exonérée de tous impôts et taxes. Les opérations de la caisse et les pièces qu'elle utilise à cet effet sont exonérées de tout droit d'enregistrement et de timbre.

Section II – Dispositions diverses

Article 75

Les mineurs sont admis à se faire ouvrir des comptes d'épargne, sans l'intervention de leur représentant légal. Ils peuvent retirer sans cette intervention, mais seulement après l'âge de 16 ans révolus, les sommes figurant sur les comptes ainsi ouverts, sauf opposition de leur représentant légal.

Cette opposition est signifiée à la Caisse d'épargne nationale dans la forme des actes extrajudiciaires.

Elle produit à l'égard de la Caisse les mêmes effets que les oppositions prévues au code de procédure civile.

Article 76

Lorsqu'il s'est écoulé une période de quinze ans à partir, tant du versement ou remboursement que de toute opération effectuée à la demande des déposants, les sommes que détient la Caisse d'épargne nationale aux comptes de ceux-ci sont prescrites à leur égard.

La Caisse d'épargne nationale est tenue d'adresser, dans un délai de six mois avant l'expiration de la période précitée, un avis recommandé au titulaire de tout compte susceptible d'être atteint par la prescription et dont l'avoir en capital et intérêts est supérieur ou égal à deux cents dirhams (200 DH).

Si l'ayant droit ne peut être connu ou si, pour une raison' quelconque, le remboursement ne peut être opéré, la somme inscrite à son crédit est prescrite.

Les sommes ainsi prescrites sont versées à parts égales au Trésor et aux oeuvres sociales de bienfaisance désignées par l'administration.

A l'égard des versements faits sous la condition stipulée par le donateur ou le testateur que le titulaire n'en pourra disposer qu'après une date déterminée, la période de 15 ans ne court qu'à partir de cette date.

Article 77

Les saisies-arrêts et oppositions de toute nature formées auprès de la Caisse d'épargne nationale n'ont d'effet que pendant cinq années à compter de la date de leur notification à ladite Caisse.

Si elles n'ont pas été renouvelées dans l'intervalle, elles sont rayées d'office à l'expiration de ce délai.

Aucune saisie-arrêt ou opposition, aucun transfert ou cession, aucune signification, ayant pour objet d'arrêter le paiement, ne peuvent avoir d'effet s'ils sont notifiés après que le service détenteur du compte a autorisé le bureau de poste ou l'agence chargée du paiement de donner suite au retrait qui leur est demandé.

Article 78

Il est interdit de donner comme désignation principale, comme sous-titre ou avec une qualification quelconque le nom de » Caisse d'épargne » à tout établissement ou organisme privé prétendant avoir ou ayant un caractère similaire.

Est interdit l'emploi de procédés tels que : contrefaçon de livrets, prospectus, affiches ou autres, susceptibles de créer une confusion avec la Caisse d'épargne nationale.

Les fondateurs, directeurs ou administrateurs des établissements qui contreviennent aux dispositions du présent article sont poursuivis et punis conformément aux lois et règlements en vigueur.

Article 79

La Caisse d'épargne nationale est autorisée à détruire les quittances de remboursements, dossiers de remboursement après décès, dossiers des comptes courants visés à l'article 76 cidessus, registres matricules, demandes de livrets et registres spéciaux de versement et de remboursement ayant plus de quinze ans de date. Ce délai est réduit à dix ans pour les autres registres et à cinq ans pour les livrets soldés ou remplacés.

Article 80

Les dispositions du dahir portant loi nº l-93-147 du 15 moharrem 1414 (6 juillet 1993) relatif à l'exercice des activités des établissements de crédit et de leur contrôle ne sont pas applicables à Barid AIMaghrib pour ses opérations relatives à la Caisse d'épargne nationale.

TITRE 5.- Des Infractions Et Sanctions Pénales

Chapitre PREMIER.- Des Infractions Et Sanctions Pénales Relatives Au Secteur Des Télécommunications

Article 81

1 – Sera puni d'une amende de 1.500 à 5.000 dirhams quiconque aura, par imprudence ou involontairement :

– commis un fait matériel pouvant compromettre le service des télécommunications ;

– aura dégradé ou détérioré, de quelque manière que ce soit, les lignes aériennes ou souterraines ou les appareils de télécommunications et de tout ouvrage s'y rapportant.

2- Sera puni d'une amende de 3.000 à I0.000 dirhams par équipement terminal quiconque aura fabriqué pour le marché intérieur, importé ou détenu en vue de la vente, la distribution à titre onéreux ou gratuit ou met en vente ou a vendu des équipements terminaux visés aux articles 15 et 16 ci-dessus ainsi que leur connexion à fin réseau public de télécommunications en violation de l'agrément ou en absence d'agrément préalable.

Sera puni de la même amende quiconque aura fait la publicité en faveur de la vente des équipements n'ayant pas reçu l'agrément préalable.

3 – Sera puni d'une amende de 10.000 à 200.000 dirhams quiconque aura fourni ou fait fournir un service à valeur ajoutée en violation des dispositions ou de la déclaration prévues à l'article 5 ci-dessus.

Article 82

Sera puni d'un emprisonnement de un mois à un an et d'une amende de 10.000 à 100.000 dirhams ou de l'une de ces deux peines seulement :

1 – toute personne qui aura effectué des transmissions radioélectriques en utilisant sciemment un indicatif d'appel de la série internationale attribué à une station de l'Etat, à une station du réseau public de télécommunications ou à toute autre station privée autorisée par l'ANRT ;

2 – toute personne qui aura effectué ou fait effectuer des détournements de lignes de télécommunications ou exploite des lignes de télécommunications détournées ;

3 – tout agent d'un exploitant de réseau de télécommunications ou d'un fournisseur de service de télécommunications qui aura refusé de fournir les informations ou documents ou fait obstacle au déroulement des enquêtes mentionnées à l'article 24 ci-dessus.

Article 83

Sera puni d'un emprisonnement d'un mois à deux ans et d'une amende de 10.000 à 200.000 dirhams quiconque :

1 – aura établi ou fait établir un réseau de télécommunications sans la licence prévue à l'article 2 ci-dessus ou l'aura maintenu en violation d'une décision de suspension ou de retrait de cette licence ;

2 – aura fourni ou fait fournir un service de télécommunications sans la licence prévue à l'article 2 ci-dessus ou en violation d'une décision de suspension ou de retrait de cette licence ;

3 – aura mis en oeuvre des réseaux ou installations radioélectriques visés à l'article 19 de la présente loi en contravention aux conditions définies par l'ANRT ;

4 – aura utilisé une fréquence radioélectrique qui ne lui a pas été préalablement assignée par l'ANRT ;

5 – aura établi ou exploité ou fait établir ou exploiter un réseau indépendant, sans l'autorisation prévue à l'article 14 ci-dessus ou l'aura maintenu en violation d'une décision de suspension ou de retrait de cette autorisation, ou aura établi ou exploité ou fait établir ou exploiter un réseau indépendant perturbant le fonctionnement des réseaux existants ou aura établi ou fait établir une liaison empruntant le domaine public sans la licence préalable visée à l'article 2 ;

6 – quiconque aura, par la rupture des fils ou des câbles, par la destruction ou la dégradation des appareils ou par tout autre moyen, volontairement causé l'interruption des télécommunications ;

7 – aura, dans les eaux territoriales ou sur le plateau continental contigu au territoire du Royaume du Maroc, rompu volontairement un câble sous-marin ou lui aura causé ou tenté de lui causer des détériorations de nature à interrompre en tout ou en partie les télécommunications.

Article 84

Les détériorations des câbles sous-marins commises dans les eaux territoriales ou sur le plateau continental contigu au territoire du Royaume du Maroc par un membre de l'équipage d'un navire marocain ou étranger seront jugées par le tribunal dont la compétence territoriale s'étend sur le prolongement maritime du lieu d'infraction.

Les infractions prévues au présent titre pourront être constatées par des procès-verbaux dressés par des officiers de police judiciaire et les agents de la force publique ainsi que par les employés assermentés et commissionnés à cette fin par l'ANRT.

L'ANRT pourra prendre immédiatement et auprès du contrevenant toutes les mesures provisoires et urgentes qui seraient indispensables pour faire cesser les dommages résultant des infractions au présent article.

Lorsque sur une ligne de télécommunications déjà établie, la transmission des signaux est empêchée ou gênée soit par des arbres soit par l'interposition d'un objet quelconque placé à demeure, le président du conseil communal prescrira par arrêté les mesures nécessaires pour faire disparaître l'obstacle qui gêne ou empêche la transmission des signaux de télécommunications lorsqu'il est susceptible d'être déplacé.

Le déplacement de l'obstacle sera à la charge de son auteur si la ligne de télécommunications était déjà établie avant qu'il soit placé à demeure ; il est à la charge du propriétaire de la ligne de télécommunications dans le cas contraire.

Article 85

Outre les officiers et agents de police judiciaire, les employés assermentés et commissionnés à cette fin par l'ANRT peuvent rechercher et constater, par procès-verbal, les infractions aux dispositions des articles 81 à 83 ci-dessus. Leurs procès-verbaux sont transmis dans les cinq jours au procureur du Roi.

Les procès-verbaux établis par les employés visés au premier alinéa du présent article font foi jusqu'à preuve du contraire.

Ces employés peuvent accéder aux locaux, terrains ou moyens de transport à usage professionnel, demander la communication de tout document professionnel et en prendre copie, recueillir, sur convocation ou sur place, les renseignements et justifications.

Ils peuvent également, sur autorisation du procureur du Roi, procéder à la saisie des matériels objet de la contravention.

La demande de l'autorisation précitée doit comporter tous les éléments d'information de nature à justifier la saisie. Celle-ci s'effectue sous l'autorité et le contrôle du procureur du Roi qui l'a autorisée.

Les matériels saisis, sont immédiatement inventoriés. L'inventaire est annexé au procès-verbal dressé sur les lieux. Les originaux du procès-verbal et de l'inventaire sont transmis au procureur du Roi qui a ordonné la saisie.

Article 86

En cas de condamnation pour l'une des infractions prévues aux articles 81, 82 et 83 ci-dessus, le tribunal peut, en outre, prononcer au profit de l'ANRT, la confiscation des matériels et installations constituant le réseau de télécommunications ou permettant la fourniture du service de télécommunications ou en ordonner la destruction sur demande de l'ANRT aux frais du condamné.

Le tribunal peut prononcer à l'encontre du contrevenant, pour l'une des infractions prévues aux articles 81, 82 et 83 l'interdiction d'exercer, pendant une durée de un à cinq ans, toute activité en relation avec le secteur des télécommunications.

L'amende sera appliquée autant de fois qu'il y aura d'infractions distinctes constatées soit dans un seul procès-verbal, soit dans plusieurs procès-verbaux successifs, à l'encontre du même contrevenant.

Les complices des infractions visées ci-dessus seront passibles des mêmes peines que les auteurs principaux.

En cas de récidive, les peines prévues aux articles 81, 82 et 83 ci-dessus, sont portées au double.

Il y a récidive lorsque le contrevenant a subi, dans les cinq années qui précèdent, une première condamnation irrévocable pour l'une des infractions punies par lesdits articles.

Chapitre II.- Des infractions et sanctions pénales relatives au secteur de la poste

Article 87

Toute infraction au monopole de l'Etat tel qu'il est défini à l'article 48 de la présente loi est punie d'une amende de 5.000 à 10.000 dirhams.

En cas de récidive, le contrevenant est puni d'une peine d'emprisonnement de 6 mois à un an et d'une amende de 10.000 à 100.000 dirhams.

Il y a récidive lorsque le contrevenant a subi, dans les cinq années qui précèdent, une première condamnation irrévocable pour infraction au monopole de l'Etat en matière de service du courrier.

Article 88

Outre les officiers et agents de la police judiciaire, les employés de l'administration ou Barid AIMaghrib, assermentés et commissionnés par l'administration, peuvent rechercher et constater par procès-verbaux, les infractions aux dispositions de la présente loi et des textes pris pour son application. Les procès-verbaux doivent contenir l'énumération des lettres et paquets saisis ainsi que les adresses de leurs destinataires. Ils en avisent le receveur du bureau de poste le plus proche auquel sont remis le courrier saisi et une copie du procès-verbal.

Article 89

La gendarmerie royale et les agents de police judiciaire ayant qualité pour constater les contraventions en matière de transport de personnes et de marchandises peuvent, en cas d'infraction aux dispositions de l'article 48 de la présente loi, opérer des saisies et perquisitions sur toutes personnes qui, en raison de leur profession ou de leur commerce, font habituellement du transport terrestre d'un lieu à un autre.

Article 90

Les agents des douanes aux frontières et les agents de police judiciaire ayant qualité pour constater les infractions au transport par voie maritime ou aérienne s'assurent, à l'occasion de visites de navires ou d'avions, si le capitaine et les membres de l'équipage ne sont pas porteurs de lettres ou paquets entrant dans le monopole de l'Etat en matière de service du courrier.

En cas de contravention, lesdits agents dressent un procès-verbal et avisent le receveur du bureau de poste le plus proche auquel sont remis le courrier saisi et une copie du procès-verbal.

Article 91

Les transporteurs sont personnellement responsables du paiement des amendes et dommages -intérêts prononcés à l'encontre de leurs employés. Ils peuvent se retourner contre leurs employés ou toute autre personne ayant commis l'infraction pour le remboursement des sommes payées.

Chapitre III.- Des Infractions Et Sanctions Pénales Communes

Article 92

Sera puni d'une peine d'emprisonnement de 3 mois à 5 ans et d'une amende de 5.000 à 100.000 dirhams toute personne autorisée à fournir un service de poste rapide internationale ou tout agent employé par elle, qui dans le cadre de l'exercice de ses fonctions ouvre, détourne ou détruit le courrier, viole le secret de correspondance ou qui aide à accomplir ces actes.

Sera passible des mêmes peines, toute personne autorisée à fournir un service de télécommunications et tout employé par des exploitants de réseaux des télécommunications ou fournisseurs de services des télécommunications, qui dans le cadre de l'exercice de ses fonctions et en dehors des cas prévus par la loi, viole de quelque manière que ce soit, le secret des correspondances émises, transmises ou reçues par voie de télécommunications ou qui en a donné l'ordre ou qui a aidé à l'accomplissement de ces actes.

Sera puni d'une peine d'emprisonnement d'un mois à un an et d'une amende de 5.000 à 100.000 dirhams ou par l'une de ces deux peines seulement, toute personne autre que celles mentionnées dans les deux alinéas précédents qui a commis un des faits punis par lesdits alinéas.

Outre les sanctions prévues aux alinéas 1, 2 et 3 ci-dessus, le contrevenant est interdit d'exercer toute activité ou profession dans le secteur des télécommunications ou celui de la poste ou en relation avec lesdits secteurs pour une durée de un à cinq ans.

Article 93

Sans préjudice des peines appliquées en matière de rébellion, tout refus d'obtempérer à une demande de perquisition, toute attaque ou résistance avec violence ou menace envers les agents ayant qualité pour constater les infractions à la présente loi et aux textes pris pour son application sont punis d'une peine d'emprisonnement de 6 mois à 1 an et d'une amende de 10.000 à 100.000 dirhams.

Article 94

Nonobstant les dispositions de l'article 55 du code pénal, l'amende ne peut faire l'objet de sursis.

TITRE 6.- Dispositions Communes

Chapitre PREMIER.- Patrimoine

Article 95

Les éléments de l'actif de l'Office national des postes et télécommunications autres que ceux cités aux articles 45 et 65 ainsi que ses avoirs en comptes bancaires, au CCP et à la trésorerie générale sont transférés à L'ANRT, Itissalat Al-Maghrib et à Barid AL-Maghrib.

Article 96

Une commission, dont la composition et les modalités de désignation des membres sont déterminées par l'administration, sera chargée de la répartition des ressources citées à l'article 95 ci-dessus entre l'ANRT, Itissalat Al-Maghrib et Barid Al-Maghrib.

Article 97

Les biens meubles et immeubles du domaine privé de l'Etat nécessaires au fonctionnement de l'ANRT, d'Itissalat Al-Maghrib et de Barid Al-Maghrib leur sont transférés en pleine propriété.

Les biens du domaine public nécessaires au fonctionnement de l'ANRT, d'Itissalat AL-Maghrib et de Barid AL-Maghrib sont mis à leur disposition.

Les modalités des transferts et de mise à disposition visées ci-dessus sont déterminées par voie réglementaire.

Article 98

Les transferts visés ci-dessus ne donnent lieu à la perception d'aucun droit ou taxe.

Les transferts au profit d'Itissalat AL-Maghrib, diminués des obligations et charges de l'ONPT à la date d'entrée en vigueur de la présente loi, constituent l'apport de l'Etat au capital d'Itissalat Al-Maghrib.

Chapitre II.- Personnel

Article 99

Les personnels en fonction à l'Office national des postes et télécommunications à la date d'entrée en vigueur de la présente loi sont transférés à l'ANRT, à Itissalat AL-Maghrib et à Barid AL-Maghrib et ce en fonction de l'activité à laquelle ils sont affectés sous réserve des dispositions de l'article 103 alinéa 3 ci-dessous.

Article 100

La situation conférée par les statuts particuliers de l'ANRT, d'Itissalat AL-Maghrib et de Barid ALMaghrib aux personnels transférés en vertu de l'article 99 ci-dessus ne saurait, en aucun cas, être moins favorable que celle détenue par les intéressés à la date de leur transfert.

Article 101

Les services effectués par lesdits personnels à l'Office national des postes et télécommunications sont considérés comme ayant été effectués au sein de l'ANRT, d'Itissalat AL-Maghrib et de Barid AL-Maghrib.

Article 102

Nonobstant toutes dispositions contraires, les personnels transférés à l'ANRT, à Itissalat ALMaghrib et à Barid AL-Maghrib continuent à être affiliés, pour le régime des pensions, aux caisses auxquelles ils cotisaient à la date d'entrée en vigueur de la présente loi.

Article 103

Les personnels titulaires ou stagiaires affectés à la date d'entrée en vigueur de la présente loi au sein du ministère chargé des postes et des télécommunications dans les services dont les attributions sont prises en charge par l'ANRT, à l'exception des personnels dont le maintien est jugé nécessaire au sein du ministère, sont détachés à l'ANRT.

Le personnel temporaire permanent du ministère chargé des postes et des télécommunications affecté à la date d'entrée en vigueur de la présente loi dans les services dont les attributions sont prises en charge par l'ANRT est transféré à cette dernière, à l'exception du personnel dont le maintien est jugé nécessaire pour le fonctionnement de ce ministère.

Le personnel de l'Office national des postes et télécommunications affecté exclusivement aux activités d'agrément des équipements des télécommunications et au contrôle des stations radioélectriques est également transféré à l'ANRT.

Le personnel titulaire, stagiaire et temporaire détaché ou transféré sera intégré dans les cadres de l'ANRT dans les conditions qui seront fixées par le statut particulier du personnel de l'agence.

Article 104

La situation statutaire conférée par le statut particulier de l'ANRT au personnel intégré visé par le premier et le troisième alinéa de l'article 103 ci-dessus ne saurait, en aucun cas, être moins favorable que celle détenue par les intéressés à la date de leur intégration.

Les services effectués par le personnel visé au quatrième alinéa de l'article 103 ci-dessus dans l'administration ou à l'ONPT avant leur transfert au sein de l'ANRT, sont considérés comme ayant été effectués au sein de l'ANRT.

Section III.- Dispositions diverses

Article 105

Pour l'acquisition des biens immeubles nécessaires à l'accomplissement de leurs activités présentant un caractère d'utilité publique l'ANRT, Itissalat AL-Maghrib, Barid AL-Maghrib et les exploitants de réseaux publics de télécommunications exercent, par délégation, les droits de la puissance publique en matière d'expropriation pour cause d'utilité publique et d'occupation temporaire dans le respect des dispositions de la législation en vigueur.

Article 106

L'ANRT, Itissalat Al-Maghrib et Barid Al-Maghrib sont subrogés dans les droits et obligations de l'ONPT pour tous les marchés d'étude, de travaux, de fournitures et e transport ainsi que tous autres contrats et conventions notamment financières conclus avant la date d'entrée en vigueur de la présente loi et relatifs aux activités de télécommunications pour l'ANRT et Itissalat Al-Maghrib et aux services de la poste et services financiers postaux ainsi que ceux de la Caisse d'épargne nationale pour Barid AIMaghrib.

Article 107

L'Institut national des postes et télécommunications est rattaché à l'ANRT. L'Agence peut passer des conventions avec Itissalat Al-Maghrib et d'autres exploitants pour l'utilisation des installations et équipements de l'institut.

(Incorporée par l’article unique de la loi 59-10 du 2 juillet 2011).

Les modalités de réorganisation de l’institut national des  postes et télécommunications sont fixées par voie réglementaire, sous réserve de ce qui suit et nonobstant toutes dispositions contraires:

a) l’institut national des postes et télécommunications peut, dans les formes prévues par son règlement intérieur, instaurer des diplômes d’établissement, notamment dans le domaine de la formation continue, après avis du conseil de coordination et accord du conseil d’administration de l’Agence  nationale de réglementation des télécommunications;

b) l’institut national des postes et télécommunications est dirigé pour une période de quatre ans renouvelable une fois par un directeur assisté de directeurs adjoints et d’un secrétaire général, tous nommés par le directeur de l’Agence nationale de réglementation des télécommunications, conformément aux modalités fixées par voie réglementaire;

c) les structures d’enseignement et de recherche de l’institut national des postes et télécommunications, ainsi que  leur organisation sont fixées par voie réglementaire, sur proposition du conseil de l’établissement et après avis du conseil de coordination et accord du conseil d’administration de l’Agence nationale de réglementation des télécommunications.

Article 108

Les biens meubles et immeubles relevant du domaine privé de l'Etat ainsi que ceux appartenant à l'Office national des postes et télécommunications, qui sont à la date d'entrée en vigueur de la présente loi, affectés aux oeuvres sociales du personnel de l'ONPT, sont transférés en vue d'une affectation aux mêmes fins au ministère chargé des postes et télécommunications, à l'ANRT, à Itissalat AL-Maghrib et à Barid AL-Maghrib au prorata du nombre du personnel transféré à ces organismes, détaché ou affecté auprès d'eux en application des dispositions des articles 99 et 103 de la présente loi.

Les transferts visés à l'alinéa ci-dessus ne donnent lieu à la perception d'aucun impôt, taxe ou droit de quelque nature que ce soit.

Ils sont effectués par la commission prévue à l'article 96 ci-dessus après consultation des présidents des associations visées à l'alinéa 2 de l'article 109 ci-après.

Article 109

Il sera procédé simultanément à la dissolution des associations des oeuvres sociales de l'ONPT, existantes à la date d'entrée en vigueur de la présente loi, et à la constitution des associations des oeuvres sociales des personnels du ministère chargé des postes et télécommunications, de l'ANRT, d'Itissalat Al-Maghrib et Barid Al-Maghrib.

Les biens meubles et immeubles appartenant aux associations dissoutes seront répartis par dérogation aux dispositions du dahir nº 1-58-376 du 3 joumada 1 1378 (15 novembre 1958) réglementant le droit d'association, par une commission paritaire composée des représentants de l'administration et des organismes visés à l'alinéa premier ci-dessus d'une part, et d'autre part des associations des oeuvres sociales créées au sein de l'administration et desdits organismes.

Les transferts visés à l'alinéa ci-dessus ne donnent lieu à la perception d'aucun impôt, taxe ou droit de quelque nature que ce soit.

Article 110

L'Etat, représenté par le ministre chargé des postes et télécommunications, l'ANRT, Itissalat ALMaghrib et Barid Al-Maghrib concluront entre eux et avec les associations créées en application de l'article 109 ci-dessus des conventions pour une utilisation équitable des oeuvres sociales des personnels adhérents à ces associations afin de permettre auxdits personnels de continuer à bénéficier des prestations de toute nature qui leur étaient servies à la date d'entrée en vigueur de la présente loi.

Article 111

(Modifié par l’article premier du décret-loi nº2-06-663 du 10 septembre 2002).

Sont abrogées les dispositions relatives aux matières régies par la présente loi et notamment les textes suivants tels qu'ils ont été modifiés ou complétés :

– les dispositions du dahir du 2 chaabane 1356 (8 octobre 1937) sur la conservation et la police des lignes et des stations de télécommunications ;

– les dispositions du dahir, portant loi nº 1-84-8 du 6 rabii Il 1404 (10 janvier 1984) instituant l'Office national des postes et télécommunications ;

– les dispositions de la loi nº 05-83 portant réorganisation de la Caisse d'épargne nationale promulguée par le dahir nº 1-87-118 du 28 ramadan 1412 (2 avril 1992).

Lov om ændring af retsplejeloven, lov om retsafgifter, designloven, varemærkeloven, markedsføringsloven og lov om forbud til beskyttelse af forbrugernes interesser

(Midlertidige afgørelser om forbud og påbud)

Justitsministeriet

§ 1

I retsplejeloven, jf. lovbekendtgørelse Nr. 1008 af 24. oktober 2012, foretages følgende ændringer:

1.– I § 12, stk. 3, indsættes efter «borgerlige sager»: «og midlertidige afgørelser om forbud eller påbud efter kapitel 40».

2.– I § 15, stk. 2, indsættes før Nr. 1 som nyt nummer:

Nr. 1-4 bliver herefter Nr. 2-5.

3.– I § 15, stk. 2, Nr. 1 og 2, der bliver Nr. 2 og 3, ændres «forbudssager» til: «midlertidige afgørelser om forbud eller påbud».

4.– § 16, stk. 6, affattes således:

«Stk. 6.– Ved behandling af anmodninger om meddelelse af forbud og påbud efter kapitel 40 kan retten bestemme, at retten skal tiltrædes af 2 sagkyndige medlemmer, hvis fagkundskab skønnes at være af betydning for sagen. Stk. 5 finder tilsvarende anvendelse.»

5.– I § 20, stk. 1, indsættes som 2. pkt.:

«1. pkt. finder tilsvarende anvendelse ved byrettens behandling af anmodninger om meddelelse af forbud eller påbud efter kapitel 40.»

6.– I § 20, stk. 2, indsættes som 2. pkt.:

«1. pkt. finder tilsvarende anvendelse under landsrettens behandling af kæresager om midlertidige afgørelser om forbud eller påbud, der er afgjort ved byretten eller Sø- og Handelsretten i 1. instans under medvirken af sagkyndige.»

7.– I § 132 og § 136, stk. 3, ændres «§ 15, stk. 2, Nr. 4» til: «§ 15, stk. 2, Nr. 5».

8.– Efter § 410 indsættes:

«Kapitel 40.- Midlertidige afgørelser om forbud og påbud i en borgerlig sag

§ 411.– Efter anmodning kan retten efter reglerne i dette kapitel ved et forbud eller påbud bestemme, at private og repræsentanter for stat, region og kommune i disses egenskab af parter i private retsforhold midlertidigt skal foretage, undlade eller tåle bestemte handlinger.

Stk. 2.– Hvis formålet med en anmodning efter stk. 1 er at opnå sikkerhed for fyldestgørelse af et pengekrav, skal anmodning herom indgives og behandles efter reglerne i kapitel 56 om arrest.

Stk. 3.– Hvis formålet med en anmodning efter stk. 1 er at sikre bevis for en krænkelse af immaterialrettigheder m.v., skal anmodning herom indgives og behandles efter reglerne om bevissikring i kapitel 57 a.

Stk. 4.- Med hensyn til luftfartøjer, fremmede statsskibe og skibsladninger, der tilhører fremmede stater, kan forbud og påbud kun anvendes efter reglerne herom i anden lovgivning.

§ 412.– Anmodning om meddelelse af forbud eller påbud indgives til en ret, der har saglig kompetence efter § 224 eller § 225, stk. 1 og 2, og stedlig kompetence efter kapitel 22 til at behandle en sådan sag. § 225, stk. 3, og § 227 finder tilsvarende anvendelse.

Stk. 2.– Hvis tvisten om den rettighed, der søges beskyttet ved forbuddet eller påbuddet, skal afgøres ved voldgift eller en udenlandsk domstol, indgives anmodning om meddelelse af forbud eller påbud til en ret, som ville have haft saglig og stedlig kompetence efter stk. 1.

§ 413.– Forbud eller påbud kan meddeles, hvis den part, der anmoder om meddelelse af forbuddet eller påbuddet, godtgør eller sandsynliggør,

§ 414.– Forbud eller påbud kan ikke meddeles, når det skønnes, at lovens almindelige regler om straf og erstatning og eventuelt en af modparten tilbudt sikkerhed yder parten tilstrækkeligt værn.

Stk. 2.– Retten kan nægte at meddele forbud eller påbud, hvis det vil påføre modparten skade eller ulempe, der står i åbenbart misforhold til partens interesse i meddelelse af forbuddet eller påbuddet.

§ 415.– Retten kan bestemme, at parten som betingelse for meddelelse af forbud eller påbud skal stille sikkerhed for den skade og ulempe, som kan påføres modparten ved forbuddet eller påbuddet.

Stk. 2.– Retten bestemmer sikkerhedens art og størrelse.

Stk. 3.– Har retten stillet krav om sikkerhed, meddeles forbud eller påbud først, når den forlangte sikkerhed er stillet. Retten giver parterne besked om tidspunktet for forbuddets eller påbuddets meddelelse, såfremt dette tidspunkt ikke allerede er oplyst i et retsmøde, jf. § 162.

Stk. 4.– Parterne kan, når tvisten er opstået, aftale, at forbud og påbud kan meddeles uden sikkerhedsstillelse. I sager mellem erhvervsdrivende om forhold, der vedrører parternes erhverv, kan en sådan aftale også indgås, før tvisten er opstået. Med erhverv sidestilles offentlig virksomhed. Retten kan efter anmodning undtagelsesvis se bort fra en aftale som nævnt i 2. pkt., hvis hensynet til den ene part i særlig grad taler herfor.

§ 416.– Anmodning om meddelelse af forbud eller påbud skal opfylde kravene i § 348. § 349 finder tilsvarende anvendelse.

§ 417.– Anmodningen om meddelelse af forbud eller påbud behandles i et retsmøde, hvor den fornødne bevisførelse finder sted. Retten kan afskære en bevisførelse, som findes uforenelig med hensynet til forretningens fremme. § 344 finder tilsvarende anvendelse.

Stk. 2.– Retten fastsætter tid og sted for det i stk. 1 nævnte møde og giver meddelelse herom til den part, der har anmodet om meddelelse af forbuddet eller påbuddet.

Stk. 3.– Retten underretter så vidt muligt modparten om tid og sted for mødet. Underretning kan ske ved tilsigelse, jf. stk. 4 og 5. Underretning kan dog undlades, hvis retten finder det ubetænkeligt at afholde mødet uden forudgående meddelelse til modparten, eller hvis det må antages, at formålet med forbuddet eller påbuddet vil forspildes, hvis modparten underrettes.

Stk. 4.– Retten kan med et af denne fastsat varsel tilsige den, som anmodningen om meddelelse af forbud eller påbud retter sig imod, til mødet, såfremt dette afholdes i den retskreds, hvor parten har bopæl eller opholdssted, eller hvorfra parten driver erhvervsmæssig virksomhed, eller i en tilstødende retskreds. Afholdes mødet ved Sø- og Handelsrettens hovedtingsted, Københavns Byret, Retten på Frederiksberg, Retten i Glostrup eller Retten i Lyngby, kan parten tilsiges, såfremt denne har sådan tilknytning til en af disse retskredse. Det kan i tilsigelsen pålægges parten at møde personligt. Tilsigelsen skal indeholde oplysning om varslet og om virkningerne af udeblivelse.

Stk. 5.– Er den part, som anmodningen om meddelelse af forbud eller påbud retter sig imod, en forening, et selskab el.lign. , kan foreningens, selskabets el.lign.s direktør eller forretningsfører eller i fornødent fald et medlem af bestyrelsen tilsiges efter stk. 4, hvis vedkommende har bopæl eller opholdssted i retskredsen eller en tilstødende retskreds eller foreningen, selskabet el.lign. har hjemting i eller driver erhvervsmæssig virksomhed fra en af disse retskredse. Stk.　4, 2. pkt., finder tilsvarende anvendelse.

§ 418.– Hvis den part, der har anmodet om meddelelse af forbuddet eller påbuddet, ikke møder, afvises anmodningen om meddelelse af forbud eller påbud.

Stk. 2.– Hvis den part, som anmodningen om meddelelse af forbud eller påbud retter sig imod, ikke er til stede, kan anmodningen om meddelelse af forbud eller påbud imødekommes, hvis den er tilstrækkeligt begrundet i sagsfremstillingen og det i øvrigt fremkomne og parten er lovligt tilsagt eller underretning af parten er undladt i medfør af § 417, stk. 3, 3. pkt. Retten kan udsætte mødet, hvis retten finder det ønskeligt, at parten bør være til stede.

Stk. 3.- § 365, stk. 4 og 5, finder tilsvarende anvendelse under mødet.

§ 419.– Retten kan udsætte sagen, hvis

§ 420.– Tredjemand kan indtræde som part under behandlingen af anmodningen om meddelelse af forbud eller påbud, for så vidt angår spørgsmålet, om forbuddet eller påbuddet vil stride imod den pågældendes ret. Indtrædelsen sker ved en erklæring herom til retten.

Stk. 2.– Tredjemand, der har en retlig interesse i udfaldet af en sag, kan indtræde i sagen til støtte for en af parterne. § 252, stk. 2-4, finder tilsvarende anvendelse.

§ 421.– Retten træffer afgørelse om betaling af de omkostninger, der er forbundet med afgørelsen om forbud eller påbud. Rettens afgørelse træffes i overensstemmelse med reglerne i kapitel 30. Hvis sag om den rettighed, der påstås krænket, allerede er anlagt ved en dansk domstol, kan retten henskyde afgørelsen til afgørelsen om sagsomkostninger i den verserende sag.

§ 422.– Retten vejleder i fornødent omfang den, der ikke møder med advokat, om dennes retsstilling.

Stk. 2.– Retten kan give en person, der opfylder de økonomiske betingelser efter § 325, fri proces, hvis den pågældende har behov for advokatbistand.

Stk. 3.– Retten vejleder den, som forbuddet eller påbuddet retter sig imod, om retsvirkningerne af afgørelsen, herunder at overtrædelse af forbuddet eller påbuddet kan medføre strafansvar, jf. § 430.

§ 423.– Hvis retten meddeler forbud eller påbud, kan retten efter anmodning fra den part, der har anmodet om meddelelse af forbuddet eller påbuddet, samtidig træffe afgørelse om at beslaglægge rørligt gods, såfremt der er bestemte grunde til at antage, at det vil blive anvendt til overtrædelse af forbuddet eller påbuddet. Hvis retten finder, at spørgsmålet om beslaglæggelse bør behandles særskilt, kan retten henvise spørgsmålet til særskilt behandling ved fogedretten efter reglerne i kapitel 57.

Stk. 2.– Det beslaglagte opbevares på partens bekostning af retten eller af den, retten bemyndiger hertil.

Stk. 3.– Retten kan betinge beslaglæggelse af, at parten stiller sikkerhed for de i stk. 2 nævnte omkostninger. Beslaglæggelse kan endvidere betinges af, at en i medfør af § 415 fastsat sikkerhed forhøjes.

Stk. 4.- Under behandlingen af en anmodning om beslaglæggelse finder § 491, stk. 3, § 494, stk. 2, § 495, stk. 2, § 497 og § 498 tilsvarende anvendelse.

§ 424.– Bistand til opretholdelse eller gennemførelse af et meddelt forbud eller påbud ydes af fogedretten efter reglerne i kapitel 57.

§ 425.– Hvis sag om den rettighed, der påstås krænket, ikke allerede er anlagt ved en dansk eller udenlandsk domstol eller indledt ved en voldgiftsret, skal den, der har anmodet om meddelelse af forbud eller påbud, inden 2 uger efter at afgørelsen om at meddele forbud eller påbud er endelig, anlægge eller indlede en sådan sag. Hvis sagen anlægges ved en dansk domstol, skal sagen anlægges ved den ret, der har behandlet anmodningen om meddelelse af forbud eller påbud i 1. instans, eller ved Sø- og Handelsretten efter § 225, stk. 2. § 225, stk. 3, § 226 og § 227 finder tilsvarende anvendelse.

Stk. 2.- Stk. 1 finder tilsvarende anvendelse, når forbud eller påbud er afværget ved sikkerhedsstillelse.

Stk. 3.- Stk. 1 og 2 kan fraviges ved parternes aftale. En sådan aftale kan først indgås, når der er truffet endelig afgørelse om at meddele forbud eller påbud.

§ 426.– Et forbud eller påbud gælder, indtil det ophæves efter stk. 2 eller 3 eller bortfalder efter stk. 4.

Stk. 2.- Et forbud eller påbud kan ophæves helt eller delvis, hvis

Stk. 3.- Et forbud eller påbud i en sag, hvor sagen om den rettighed, der påstås krænket, skal afgøres ved udenlandsk domstol eller ved voldgift, kan endvidere ophæves, når afgørelsen i sagen om den rettighed, der påstås krænket, er endelig.

Stk. 4.- Et forbud eller påbud i en sag, hvor sagen om den rettighed, der påstås krænket, skal afgøres ved en dansk domstol, bortfalder, hvis forbuddet eller påbuddet ikke forinden er ophævet efter stk. 2, når der er afsagt dom i sagen om den rettighed, der påstås krænket, og anke ikke er iværksat inden ankefristens udløb eller en rettidigt iværksat anke senere er frafaldet eller andet er bestemt i dommen.

Stk. 5.– Anmodning om ophævelse af et forbud eller påbud indgives skriftligt til den ret, der har behandlet anmodningen om meddelelse af forbud eller påbud i 1. instans.

Stk. 6.– Forinden et forbud eller påbud ophæves, skal retten så vidt muligt give den part, der har opnået forbuddet eller påbuddet, lejlighed til at udtale sig.

§ 427.– Byrettens afgørelser om forbud og påbud, herunder en afgørelse om ophævelse af forbud eller påbud eller en selvstændig afgørelse om betaling af de omkostninger, der er forbundet med behandlingen af spørgsmålet, træffes ved kendelse, der kan kæres efter reglerne i kapitel 53. Kære har ikke opsættende virkning for afgørelsen om forbud eller påbud.

Stk. 2.– Sø- og Handelsrettens afgørelser om forbud og påbud, herunder en afgørelse om ophævelse af forbud eller påbud eller en selvstændig afgørelse om betaling af de omkostninger, der er forbundet med behandlingen af spørgsmålet, træffes ved kendelse, der kan kæres til Østre Landsret. Kapitel 53 finder tilsvarende anvendelse. Kære har ikke opsættende virkning for afgørelsen om forbud og påbud.

§ 428.– Den, som har opnået et forbud eller påbud på grundlag af en rettighed, som viser sig ikke at bestå, skal betale modparten erstatning for tab og godtgørelse for tort. Det samme gælder, når forbuddet eller påbuddet bortfalder eller ophæves på grund af efterfølgende omstændigheder, såfremt det må antages, at rettigheden ikke bestod.

Stk. 2.– Viser rettighedshaverens ret sig alene at bestå i et mindre omfang, skal rettighedshaveren betale modparten erstatning for det tab, der følger af, at forbuddet eller påbuddet har haft for stor udstrækning.

Stk. 3.– Er forbuddet eller påbuddet ulovligt af andre grunde, skal rettighedshaveren betale modparten erstatning for tab og godtgørelse for tort, såfremt rettighedshaveren burde have undladt at begære forbud eller påbud.

Stk. 4.– Krav efter stk. 1-3 kan gøres gældende som modkrav under sagen, hvis denne allerede verserer ved en dansk domstol, eller under selvstændigt søgsmål. Selvstændigt søgsmål, der først kan anlægges, når forbuddet eller påbuddet er ophævet eller bortfaldet, jf. § 426, skal anlægges inden 3 måneder efter ophævelsen eller bortfaldet.

Stk. 5.- Stk. 1-4 finder tilsvarende anvendelse, når et forbud eller påbud afværges ved sikkerhedsstillelse, jf. § 414, stk. 1.

Stk. 6.– Ophæves et forbud eller påbud under kære, kan der ved afgørelsen i kæresagen tillægges modparten erstatning og godtgørelse efter stk. 1-3.

§ 429.– Hvis sagen om den rettighed, der påstås krænket, afgøres ved en dansk domstol, træffes der ved afgørelsen bestemmelse om, hvorledes der skal forholdes med beslaglagt rørligt gods, herunder gods, der er beslaglagt af fogedretten i medfør af kapitel 57. En sådan bestemmelse kan også træffes ved ophævelse af et forbud eller påbud i medfør af § 426 eller ved dommen i en i medfør af § 430 anlagt sag. Ved afgørelsen kan det beslaglagte tilbagegives den part, som forbuddet eller påbuddet retter sig imod, udleveres til en rettighedshaver eller konfiskeres. Sker der konfiskation, kan det konfiskerede efter anmodning anvendes til dækning af erstatningskrav, der tilkommer den part, der har opnået forbuddet eller påbuddet.

§ 430.– Den, der forsætligt overtræder et forbud eller påbud, kan idømmes straf af bøde eller fængsel indtil 4 måneder og i forbindelse hermed dømmes til at betale erstatning. Sag efter 1. pkt. anlægges af den part, der har opnået forbuddet eller påbuddet.

Stk. 2.- Stk. 1 finder tilsvarende anvendelse over for den, der forsætligt yder den, som et forbud eller påbud retter sig imod, bistand til at overtræde forbuddet eller påbuddet.

Stk. 3.– Spørgsmålet om idømmelse af straf eller erstatning kan udsættes, indtil sagen om den rettighed, der påstås krænket, er afgjort.»

9.– § 587, stk. 3, affattes således:

«Stk. 3.– Fogedrettens ophævelse af en arrest kan ikke hindres fra at træde i virksomhed ved anvendelse af kære. 1. pkt. finder tilsvarende anvendelse ved rettens ophævelse af et forbud eller påbud.»

10.– I § 587, stk. 4, 2. pkt., ændres «kapitel 57 nedlagt forbud» til: «kapitel 40 meddelt forbud eller påbud».

11.– § 587, stk. 5, affattes således:

«Stk. 5.– Under kære af et forbud eller påbud finder § 417, stk. 1, 2. pkt., tilsvarende anvendelse.»

12.– Kapitel 57 affattes således:

«Kapitel 57.- Bistand til opretholdelse af forbud og påbud

§ 641.　Er der meddelt forbud eller påbud efter kapitel 40, yder fogedretten efter anmodning den, der har opnået forbuddet eller påbuddet (rekvirenten), bistand til opretholdelse af forbuddet eller påbuddet, herunder ved at hindre, at forbuddet overtrædes, ved at sikre, at påbuddet efterkommes, eller ved at tilintetgøre, hvad der er foretaget i strid med forbuddet eller påbuddet.

Stk. 2.– Fogedretten kan beslaglægge rørligt gods, såfremt det anvendes eller har været anvendt ved overtrædelse af forbuddet eller påbuddet, eller såfremt der er bestemte grunde til at antage, at det vil blive anvendt til sådant formål.

Stk. 3.– Det beslaglagte opbevares på rekvirentens bekostning af fogedretten eller af den, fogedretten bemyndiger hertil.

Stk. 4.– Fogedretten kan betinge beslaglæggelse af, at rekvirenten stiller sikkerhed for de i stk.　3 nævnte omkostninger. Beslaglæggelse kan endvidere betinges af, at en sikkerhed, som retten har fastsat i medfør af § 415, forhøjes.

Stk. 5.– Foretager fogedretten beslaglæggelse, skal fogedretten underrette den ret, som har meddelt forbuddet eller påbuddet, om afgørelsen.

§ 642.– Anmodning om bistand eller beslaglæggelse efter § 641 indgives til fogedretten i den retskreds, hvor der efter § 487 er værneting, eller til fogedretten ved den byret, der har meddelt forbuddet eller påbuddet. Anmodningen skal vedlægges udskrift af kendelsen om forbud eller påbud.

Stk. 2.- Med hensyn til sagens behandling finder § 248, § 344, § 348, § 349, § 360, stk. 3, § 491, stk. 1, 1. pkt., og stk. 3, § 492, stk. 1, § 493, stk. 1 og 2, § 494, stk. 1, 2 og 4, § 495, stk. 1, 1. pkt., og stk. 2 og 3, §§ 497-500, § 502, stk. 1, Nr. 2 og 3, og § 506 tilsvarende anvendelse. Under behandlingen af en anmodning om bistand til sikring af opretholdelsen af et påbud finder endvidere reglerne i kapitel 48 tilsvarende anvendelse.

§ 643.– Fogedretten træffer afgørelse om betaling af de omkostninger, der har været forbundet med fogedrettens behandling af sagen. Reglerne i kapitel 30 finder tilsvarende anvendelse. Hvis sag om den rettighed, der påstås krænket, allerede er anlagt ved en dansk domstol, kan fogedretten henskyde afgørelsen til afgørelsen om sagsomkostninger i den verserende sag.

§ 644.– Fogedrettens afgørelser, der træffes ved kendelse, kan kæres efter reglerne i kapitel 53. Kære har ikke opsættende virkning.»

13.– I § 653 d ændres «§ 647, stk. 2» til: «§ 643».

§ 2

I lov om retsafgifter, jf. lovbekendtgørelse Nr. 936 af 8. september 2006, som ændret bl.a. ved § 2 i lov Nr. 487 af 12. juni 2009, § 3 i lov Nr. 1266 af 16. december 2009 og § 2 i lov Nr. 113 af 3. februar 2012 og senest ved § 3 i lov Nr. 325 af 11. april 2012, foretages følgende ændringer:

1.– I § 12, stk. 1, Nr. 9, udgår «og forbud».

2.– Overskriften til afsnit II affattes således:

«Afsnit II.- Afgifter for midlertidige afgørelser om forbud og påbud og foged- og auktionsforretninger».

3.– Overskriften til kapitel 3 affattes således:

«Kapitel 3.- Midlertidige afgørelser om forbud eller påbud samt fogedforretninger».

4.– I § 17, stk. 1, Nr. 3, og § 17 a, stk. 2, 3. pkt., ændres «nedlæggelse» til: «meddelelse».

5.– I § 17, stk. 1, Nr. 3, og § 17 a, stk. 2, 3. pkt., indsættes efter «forbud»: «eller påbud».

6.– I§ 17 a, stk. 4, indsættes efter «Afgiftspligten bortfalder, hvis»: «retsafdelingen eller».

7.– To steder i　§ 18, stk. 1, indsættes efter «når der første gang over for»: «retsafdelingen eller».

8.– I § 19, 1. pkt., ændres «fogedret eller fogedretten» til: «retsafdeling eller fogedret eller retsafdelingen eller fogedretten».

Erhvervs- og Vækstministeriet

§ 3

I designloven, jf. lovbekendtgørelse Nr. 102 af 24. januar 2012, foretages følgende ændringer:

1.– § 43, stk. 1, affattes således:

«Midlertidige afgørelser om forbud eller påbud i henhold til EF-designforordningen meddeles af byretten eller Sø- og Handelsretten, jf. retsplejelovens kapitel 40.»

2.– I § 43, stk. 2 og 3, ændres «Forbud» til: «Midlertidige afgørelser om forbud eller påbud», og «nedlægges» til: «meddeles».

3.– I § 43, stk. 3, ændres «forbudet» til: «den midlertidige afgørelse».

4.– I § 43, stk. 4, indsættes efter «kapitel»: «40 og».

5.– I § 43, stk. 5, ændres «stk. 2 og 3» til: «stk. 1-3».

§ 4

I varemærkeloven, jf. lovbekendtgørelse Nr. 109 af 24. januar 2012, foretages følgende ændringer:

1.– I § 43 b, stk. 1, § 43 c, stk. 1, og § 43 d ændres «Forbud» til: «Midlertidige afgørelser om forbud eller påbud», og «nedlægges» til: «meddeles».

2.– I § 43 b, stk. 1, ændres «fogedretten» til: «byretten eller Sø- og Handelsretten».

3.– I § 43 b, stk. 2, og　§ 43 c, stk. 3, 1. pkt., indsættes efter «kap.»: «40 og».

4.– I § 43 c, stk. 3, 2. pkt., ændres «§ 645» til: «§ 641».

5.– I  § 43 d ændres «forbuddet» til: «den midlertidige afgørelse».

§ 5

I markedsføringsloven, jf. lovbekendtgørelse Nr. 58 af 20. januar 2012, foretages følgende ændring:

1.– I § 29, stk. 1, 3. pkt., ændres «§ 642, Nr. 2, § 643, § 645, stk. 1-3, og § 651» til: «§ 413, Nr. 2, § 414, § 430 og § 641, stk. 1-3 og 5,», og «§ 648, stk. 2» til: «§ 422, stk. 3».

§ 6

I lov Nr. 1257 af 20. december 2000 om forbud til beskyttelse af forbrugernes interesser foretages følgende ændring:

1.– I § 3, stk. 2, ændres «fogedretten» til: «byretten eller Sø- og Handelsretten», «nedlægge forbud» til: «meddele forbud eller påbud» og «57» til: «40».

Ikrafttræden m.v.

§ 7

Stk. 1.– Loven træder i kraft den 1. juli 2013.

Stk. 2.– Loven finder anvendelse i forhold til anmodninger om meddelelse af forbud og påbud, der indgives til retten efter lovens ikrafttræden.

§ 8

Stk. 1.– Loven gælder ikke for Færøerne og Grønland, jf. dog stk. 2.

Stk. 2.– §§ 3, 4 og 6 kan ved kongelig anordning sættes i kraft for Færøerne og Grønland med de ændringer, som de færøske og grønlandske forhold tilsiger.

Givet på Marselisborg Slot, den 23. december 2012

Under Vor Kongelige Hånd og Segl

MARGRETHE R.

Morten Bødskov

Órganos de control.- El Registrar.- que debe llevar el registro y control de los bandos de datos personales, emitir líneas directrices de comportamiento y recibir las quejas

                             .- El Data Protection Tribunal.- compuesto por 31 miembros que es la instancia de apelación de las decisiones del Registrar.

Data Protection Acta 1984, Notes to help you apply for Registration, The Data Protection Registrar, Wilmslow, septiembre 1985.

Data Protection Act 1984, Guideline 1. Introduction to the Act, The Data Protection Registrar, Wilmslow, marzo 1987

Data Protection Act 1984, Guideline 2. The Definitions, The Data Protection Registrar, Wilmslow, 1987.

Data Protection Act 1984, Guideline 3. The Register and Registration, The Data Protection Registrar, Wilmslow, marzo 1987.

Data Protection Act 1984, Guideline 4. The Data Protection Principles, The Data Protection Registrar, Wilmslow, marzo 1987.

Data Protection Act 1984, Guideline 5. Individual Rights, The Data Protection Registrar, Wilmslow, marzo 1987.

Data Protection Act 1984, Guideline 6. The Exemptions, The Data Protection Registrar, Wilmslow, marzo 1987.

Data Protection Act 1984, Guideline 7. Enforcement and  Appeals, The Data Protection Registrar, Wilmslow, marzo 1987.

Data Protection Acta 1984, Guideline 8. Summary for Computer Bureaux, The Data Protection Registrar, Wilmslow, marzo 1987.

            The Data Protection Act 1984 consta de 43 secciones y 5 partes.

PART  I Preliminary.-            Section 1.- Definition of «data» and related expressiones.

                                               Section 2.- The data protection principles

                                               Section 3.- The Registrar and the Tribunal

PART  II Registration and Supervision of data users and computer bureaux

Registration                            Section 4.- Registration of data users and computer bureaux

                                               Section 5.- Prohibition of unregistered holding etc. of personal data.

                                               Section 6.- Applications for registration and for amendment                                                 of  registered  particular.                        

                                              Section 7.- Duration and renewal of registration.

                                              Section 8.- Duration and renewal of registration

                                              Section 9.- Inspection etc. of registered particulars.

Supersvision                           Section 10.- Enforcement notices

                                              Section 11.- De-registration notices

                                              Section 12.- Transfer prohibition notices

Appeals                                 Section 13.- Rights of appeal

                                              Section 14.- Determination of appeals.

Miscellaneous and supplementary

                                              Section 15.- Unauthorised disclosure by computer bureau

                                              Section 16.- Powers of entry and inspection

                                              Section 17.- Disclosure of information

                                              Section 18.- Service of notices.

                                              Section 19.- Prosecutions and penalties

                                              Section 20.- Liability of directors etc.

PART III Rights of Data Subjects

                                              Section 21.- Right of access to personal data              

                                              Section 22.- Compensation for inaccuracy 

                                              Section 23.- Compensation for loss or unauthorised disclosure        

                                              Section 24.- Rectification and erasure

                                              Section 25.- Jurisdiction and procedure

PART IV Exemptions

                                              Section 26.- Preliminary

                                              Section 27.- National security

                                              Section 28.- Crime and taxation

                                              Section 29.- Health and social work

                                              Section 30.- Regulation of financial services etc.

                                              Section 31.- Judicial appointments and legal professional privilege

                                              Section 32.- Payrolls and accounts

                                              Section 33.- Domestic or other limited purposes

                                              Section 34.- Other exemptions

                                              Section 35.- Examination marks

PART V General                   Section 36.- General duties of Registrar

                                              Section 37.- Co-operation between parties to Convention

                                              Section 38.- Application to government departments and police

                                              Section 39.- Data held, and services privided, outside the United                                                      Kingdom

                                              Section 40.- Regulations, rules and orders.

                                              Section 41.- General interpretation

                                              Section 42.- Commencement and transitional provisions

                                              Section 43.- Short title and extent.

SCHEDULES:                        

                        1.- The data protection principles

                        2.- The Data Protection Registrar and the Data Protection Tribunal

                        3.- Appeal proceedings

                        4.- Powers of entry and inspection.

Resolución 36904/2001, de 6 de noviembre de la Superintendencia de Industria y Comercio, Por la cual se fijan los estándares para la autorización y funcionamiento de las entidades de certificación y sus auditores.

EL SUPERINTENDENTE DE INDUSTRIA Y COMERCIO

en uso de las facultades legales, en especial las conferidas en los artículos 29º, 34º, 41º y 42º de la Ley 527 de 1999 y los decretos 2153 de 1992, 2269 de 1993 y 1747 de 2000, y

CONSIDERANDO:

Que en los términos del artículo 41º de la Ley 527 de 1999, se faculta a la Superintendencia de Industria y Comercio para autorizar la actividad de las entidades de certificación en el territorio nacional, así como velar por su funcionamiento y la prestación eficiente del servicio.

Que en el numeral 11 del artículo 41º de la Ley 527 de 1999 y en el 21 del artículo 2º del decreto 2153 de 1992, se faculta a la Superintendencia de Industria y Comercio para impartir instrucciones sobre el adecuado cumplimiento de las normas a las cuales deben sujetarse las entidades de certificación.

Que en el artículo 34º de la Ley 527 de 1999 se determina que la Superintendencia de Industria y Comercio autorizará la cesación de actividades de las entidades de certificación.

Que en el numeral 10 del artículo 2º del decreto 2153 de 1992 y en el numeral 5 del artículo 41º de la Ley 527 de 1999, se determina que la Superintendencia de Industria y Comercio podrá solicitar a las personas naturales o jurídicas el suministro de información, datos, informes, libros y papeles de comercio que se requieran para el correcto ejercicio de sus funciones.

RESUELVE:

Artículo 1º. Modifíquese el artículo 8.2.5 del título V de la circular única así:

«8.2.5. Actualización anual de información de estados financieros y garantías

La entidad de certificación abierta deberá remitir a esta Superintendencia los estados financieros de fin de ejercicio certificados y dictaminados, copia de las garantías y el informe de auditoría contemplado en el numeral 8.2.1 literal c) de este capítulo, dentro de los primeros quince (15) días del mes de abril de cada año calendario.

Si la entidad de certificación ha sido autorizada en el mismo año o el último trimestre del año anterior, no tendrá que presentar el informe de auditoría dentro de la actualización anual de información de estados financieros y garantías.»

COMUNIQUESE Y CUMPLASE

Dada en Bogotá D.C.,

MÓNICA MURCIA PÁEZ, SUPERINTENDENTE DE INDUSTRIA Y COMERCIO

CAPITOLO I.PRINCIPI GENERALI

Artícolo 1. Finalità e definizioni

1. La presente legge garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche, con particolare riferimento alla riservatezza e all'identità personale; garantisce altresì i diritti delle persone giuridiche e di ogni altro ente o associazione.

2. Ai fini della presente legge si intende:

a) per -banca di dati- qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento;
b) per -trattamento- qualunque operazione o complesso di operazioni, svolti con o senza l'ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati;
c) per -dato personale- qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;
d) per -titolare- la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza;
e) per -responsabile- la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;
f) per -interessato- la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali;
g) per -comunicazione- il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione;
h) per -diffusione- il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione;
i) per -dato anonimo- il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile;
l) per -blocco- la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento;
m) per -Garante- l'autorità istituita ai sensi dell'articolo 30.

Artícolo 2.Ambito di applicazione

1. La presente legge si applica al trattamento di dati personali da chiunque effettuato nel territorio dello Stato.

Artícolo 3.Trattamento di dati per fini esclusivamente personali

1. Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali non è soggetto all'applicazione della presente legge, sempreché i dati non siano destinati ad una comunicazione sistematica o alla diffusione.

2. Al trattamento di cui al comma 1 si applicano in ogni caso le disposizioni in tema di sicurezza dei dati di cui all'articolo 15, nonché le disposizioni di cui agli articoli 18 e 36.

Artícolo 4. Particolari trattamenti in ambito pubblico

1. La presente legge non si applica al trattamento di dati personali effettuato:

a) dal Centro elaborazione dati di cui all'articolo 8 della legge 1. aprile 1981, n. 121, come modificato dall'articolo 43, comma 1, della presente legge, ovvero sui dati destinati a confluirvi in base alla legge, nonché in virtù dell'accordo di adesione alla Convenzione di applicazione dell'Accordo di Schengen, reso esecutivo con legge 30 settembre 1993, n. 388;
b) dagli organismi di cui agli articoli 3, 4 e 6 della legge 24 ottobre 1977, n. 801, ovvero sui dati coperti da segreto di Stato ai sensi dell'articolo 12 della medesima legge;
c) nell'ambito del servizio del casellario giudiziale di cui al titolo IV del libro decimo del codice di procedura penale e al regio decreto 18 giugno 1931, n. 778, e successive modificazioni, o, in base alla legge, nell'ambito del servizio dei carichi pendenti nella materia penale;
d) in attuazione dell'articolo 371-bis, comma 3, del codice di procedura penale o, per ragioni di giustizia, nell'ambito di uffici giudiziari, del Consiglio superiore della magistratura e del Ministero di grazia e giustizia;
e) da altri soggetti pubblici per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione dei reati, in base ad espresse disposizioni di legge che prevedano specificamente il trattamento.

2. Ai trattamenti di cui al comma 1 si applicano in ogni caso le disposizioni di cui agli articoli 9, 15, 17, 18, 31, 32, commi 6 e 7, e 36, nonché, fatta eccezione per i trattamenti di cui alla lettera b) del comma 1, le disposizioni di cui agli articoli 7 e 34.

Artícolo 5. Trattamento di dati svolto senza l'ausilio di mezzi elettronici

1. Il trattamento di dati personali svolto senza l'ausilio di mezzi elettronici o comunque automatizzati è soggetto alla medesima disciplina prevista per il trattamento effettuato con l'ausilio di tali mezzi.

Artícolo 6. Trattamento di dati detenuti all'estero

1.      Il trattamento nel territorio dello Stato di dati personali detenuti all'estero è soggetto alle disposizioni della presente legge.

2.      Se il trattamento di cui al comma 1 consiste in un trasferimento di dati personali fuori dal territorio nazionale si applicano in ogni caso le disposizioni dell'articolo 28.

CAPITOLO II. OBBLIGHI PER IL TITOLARE DEL TRATTAMENTO

Artícolo 7. Notificazione

1. Il titolare che intenda procedere ad un trattamento di dati personali soggetto al campo di applicazione della presente legge è tenuto a darne notificazione al Garante.

2. La notificazione è effettuata preventivamente ed una sola volta, a mezzo di lettera raccomandata ovvero con altro mezzo idoneo a certificarne la ricezione, a prescindere dal numero delle operazioni da svolgere, nonché dalla durata del trattamento e può riguardare uno o più trattamenti con finalità correlate. Una nuova notificazione è richiesta solo se muta taluno degli elementi indicati nel comma 4 e deve precedere l'effettuazione della variazione.

3. La notificazione è sottoscritta dal notificante e dal responsabile del trattamento.

4. La notificazione contiene:

a) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare;
b) le finalità e modalità del trattamento;
c) la natura dei dati, il luogo ove sono custoditi e le categorie di interessati cui i dati si riferiscono;
d) l'ambito di comunicazione e di diffusione dei dati;
e) i trasferimenti di dati previsti verso Paesi non appartenenti all'Unione europea o, qualora, riguardino taluno dei dati di cui agli articoli 22 e 24, fuori del territorio nazionale;
f) una descrizione generale che permetta di valutare l'adeguatezza delle misure tecniche ed organizzative adottate per la sicurezza dei dati;
g) l'indicazione della banca di dati o delle banche di dati cui si riferisce il trattamento, nonché l'eventuale connessione con altri trattamenti o banche di dati, anche fuori del territorio nazionale;
h) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del responsabile; in mancanza di tale indicazione si considera responsabile il notificante;
i) la qualità e la legittimazione del notificante.

5. I soggetti tenuti ad iscriversi o che devono essere annotati nel registro delle imprese di cui all'articolo 2188 del codice civile, nonché coloro che devono fornire le informazioni di cui all'articolo 8, comma 8, lettera d), della legge 29 dicembre 1993, n. 580, alle camere di commercio, industria, artigianato e agricoltura, possono effettuare la notificazione per il tramite di queste ultime, secondo le modalità stabilite con il regolamento di cui all'articolo 33, comma 3. I piccoli imprenditori e gli artigiani possono effettuare la notificazione anche per il tramite delle rispettive rappresentanze di categoria; gli iscritti agli albi professionali anche per il tramite dei rispettivi ordini professionali. Resta in ogni caso ferma la disposizione di cui al comma 3.

5-bis. La notificazione in forma semplificata può non contenere taluno degli elementi di cui al comma 4, lettere b), c), e) e g), individuati dal Garante ai sensi del regolamento di cui all'articolo33, comma 3, quando il trattamento è effettuato:

a) da soggetti pubblici, esclusi gli enti pubblici economici, sulla base di espressa disposizione di legge ai sensi degli articoli 22, comma 3 e 24, ovvero del provvedimento di cui al medesimo articolo 24;
b) nell'esercizio della professione di giornalista e per l'esclusivo perseguimento delle relative finalità, ovvero dai soggetti indicati nel comma 4-bis dell'articolo 25, nel rispetto del codice di deontologia di cui al medesimo articolo;
c) temporaneamente senza l'ausilio di mezzi elettronici o comunque automatizzati, ai soli fini e con le modalità strettamente collegate all'organizzazione interna dell'attività esercitata dal titolare, relativamente a dati non registrati in una banca di dati e diversi da quelli di cui agli articoli 22 e 24.
c-bis) per scopi storici, di ricerca scientifica e di statistica in conformità alle leggi, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 31.

5-ter. Fuori dei casi di cui all'articolo 4, il trattamento non è soggetto a notificazione quando:

a) è necessario per l'assolvimento di un compito previsto dalla legge, da un regolamento o dalla normativa comunitaria, relativamente a dati diversi da quelli indicati negli articoli 22 e 24;
b) riguarda dati contenuti o provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità di cui all'articolo 20, comma 1, lettera b);
c) è effettuato per esclusive finalità di gestione del protocollo, relativamente ai dati necessari per la classificazione della corrispondenza inviata per fini diversi da quelli di cui all'articolo 13, comma 1, lettera e), con particolare riferimento alle generalità e ai recapiti degli interessati, alla loro qualifica e all'organizzazione di appartenenza;
d) riguarda rubriche telefoniche o analoghe non destinate alla diffusione, utilizzate unicamente per ragioni d'ufficio e di lavoro e comunque per fini diversi da quelli di cui all'articolo 13, comma 1, lettera e);
e) è finalizzato unicamente all'adempimento di specifici obblighi contabili, retributivi, previdenziali, assistenziali e fiscali, ed è effettuato con riferimento alle sole categorie di dati, di interessati e di destinatari della comunicazione e diffusione strettamente collegate a tale adempimento, conservando i dati non oltre il periodo necessario all'adempimento medesimo;
f) è effettuato, salvo quanto previsto dal comma 5-bis, lettera b) da liberi professionisti iscritti in albi o elenchi professionali, per le sole finalità strettamente collegate all'adempimento di specifiche prestazioni e fermo restando il segreto professionale;
g) è effettuato dai piccoli imprenditori di cui all'articolo 2083 del Codice civile per le sole finalità strettamente collegate allo svolgimento dell'attività professionale esercitata, e limitatamente alle categorie di dati di interessati, di destinatari della comunicazione e diffusione e al periodo di conservazione dei dati necessari per il perseguimento delle finalità medesime;
h) è finalizzato alla tenuta di albi o elenchi professionali in conformità alle leggi a ai regolamenti;
i) è effettuato per esclusive finalità dell'ordinaria gestione di biblioteche, musei e mostre, in conformità alle leggi e ai regolamenti, ovvero per la organizzazione di iniziative culturali o sportive o per la formazione di cataloghi e bibliografie;
l) è effettuato da associazioni, fondazioni, comitati anche a carattere politico, filosofico, religioso o sindacale, ovvero da loro organismi rappresentativi, istituiti per scopi non di lucro e per il perseguimento di finalità lecite, relativamente a dati inerenti agli associati e ai soggetti che in relazione a tali finalità hanno contatti regolari con l'associazione, la fondazione, il comitato o l'organismo, fermi restando gli obblighi di informativa degli interessati e di acquisizione del consenso, ove necessario;
m) è effettuato dalle organizzazioni di volontariato di cui alla legge 11 agosto 1991, n. 266, nei limiti di cui alla lettera l) e nel rispetto delle autorizzazioni e delle prescrizioni di legge di cui agli articoli 22 e 23;
n) è effettuato temporaneamente ed è finalizzato esclusivamente alla pubblicazione o diffusione occasionale di articoli, saggi e altre manifestazioni del pensiero, nel rispetto del Codice di cui all'articolo 25;
o) è effettuato, anche con mezzi elettronici o comunque automatizzati, per la redazione di periodici o pubblicazioni aventi finalità di informazione giuridica, relativamente a dati desunti da provvedimenti dell'autorità giudiziaria o di altre autorità;
p) è effettuato temporaneamente per esclusive finalità di raccolta di adesioni a proposte di legge d'iniziativa popolare, a richieste di referendum, a petizioni o ad appelli;
q) è finalizzato unicamente all'amministrazione dei condomini di cui all'articolo 1117 e seguenti del Codice civile, limitatamente alle categorie di dati, di interessati e di destinatari della comunicazione necessarie per l'amministrazione dei beni comuni, conservando i dati non oltre il periodo necessario per la tutela dei corrispondenti diritti.
q-bis) è compreso nel programma statistico nazionale o in atti di programmazione statistica previsti dalla legge ed è effettuato in conformità alle leggi, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 31.

5-quater. Il titolare si può avvalere della notificazione semplificata o dell'esonero di cui ai commi 5-bis e 5-ter, sempre che il trattamento riguardi unicamente le finalità, le categorie di dati, di interessati e di destinatari della comunicazione e diffusione individuate, unitamente al periodo di conservazione dei dati, dai medesimi commi 5-bis e 5-ter, nonchè:

a) nei casi di cui ai commi 5-bis, lettera a) e 5-ter, lettere a) e m), dalle disposizioni di legge o di regolamento o dalla normativa comunitaria ivi indicate;
b) nel caso di cui al comma 5-bis, lettera b), dal codice di deontologia ivi indicato;
c) nei casi residui, dal Garante, con le autorizzazioni rilasciate con le modalità previste dall'articolo 41, comma 7, ovvero, per i dati diversi da quelli di cui agli articoli 22 e 24, con provvedimenti analoghi.

5-quinquies. Il titolare che si avvale dell'esonero di cui al comma 5-ter deve fornire gli elementi di cui al comma 4 a chiunque ne faccia richiesta

Artícolo 8. Responsabile

1. Il responsabile, se designato, deve essere nominato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.

2. Il responsabile procede al trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 1 e delle proprie istruzioni.

3. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti.

4. I compiti affidati al responsabile devono essere analiticamente specificati per iscritto.
5. Gli incaricati del trattamento devono elaborare i dati personali ai quali hanno accesso attenendosi alle istruzioni del titolare o del responsabile.

CAPITOLO III. TRATTAMENTO DEI DATI PERSONALI

Sezione I. Raccolta e requisiti dei dati

Artícolo 9. Modalità di raccolta e requisiti dei dati personali

1. I dati personali oggetto di trattamento devono essere:

a) trattati in modo lecito e secondo correttezza;
b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi;
c) esatti e, se necessario, aggiornati;
d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

1-bis. Il trattamento di dati personali per scopi storici, di ricerca scientifica o di statistica è compatibile con gli scopi per i quali i dati sono raccolti o successivamente trattati e può essere effettuato anche oltre il periodo necessario a questi ultimi scopi.

Artícolo 10. Informazioni rese al momento della raccolta

1. L'interessato o la persona presso la quale sono raccolti i dati personali devono essere previamente informati oralmente o per iscritto circa:

a) le finalità e le modalità del trattamento cui sono destinati i dati;
b) la natura obbligatoria o facoltativa del conferimento dei dati;
c) le conseguenze di un eventuale rifiuto di rispondere;
d) i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati e l'ambito di diffusione dei dati medesimi;
e) i diritti di cui all'articolo 13;
f) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare e, se designato, del responsabile.

2. L'informativa di cui al comma 1 può non comprendere gli elementi già noti alla persona che fornisce i dati o la cui conoscenza può ostacolare l'espletamento di funzioni pubbliche ispettive o di controllo, svolte per il perseguimento delle finalità di cui agli articoli 4, comma 1, lettera e), e 14, comma 1, lettera d).

3. Quando i dati personali non sono raccolti presso l'interessato, l'informativa di cui al comma 1 è data al medesimo interessato all'atto della registrazione dei dati o, qualora sia prevista la loro comunicazione, non oltre la prima comunicazione.

4. La disposizione di cui al comma 3 non si applica quando l'informativa all'interessato comporta un impiego di mezzi che il Garante dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si rivela, a giudizio del Garante, impossibile, ovvero nel caso in cui i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria. La medesima disposizione non si applica, altresì, quando i dati sono trattati ai fini dello svolgimento delle investigazioni di cui all'articolo 38 delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con Decreto Legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento.

Sezione II. Diritti dell'interessato nel trattamento dei dati

Artícolo 11. Consenso

1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato.

2. Il consenso può riguardare l'intero trattamento ovvero una o più operazioni dello stesso.

3. Il consenso è validamente prestato solo se è espresso liberamente, e in forma specifica e documentata per iscritto, e se sono state rese all'interessato le informazioni di cui all'articolo 10.

Artícolo 12. Casi di esclusione del consenso

1. Il consenso non è richiesto quando il trattamento:

a) riguarda dati raccolti e detenuti in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) è necessario per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato o per l'acquisizione di informative precontrattuali attivate su richiesta di quest'ultimo, ovvero per l'adempimento di un obbligo legale;
c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque;
d) è finalizzato unicamente a scopi di ricerca scientifica o di statistica ed è effettuato nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 31;
e) è effettuato nell'esercizio della professione di giornalista e per l'esclusivo perseguimento delle relative finalità. In tale caso, si applica il codice di deontologia di cui all'articolo 25;
f) riguarda dati relativi allo svolgimento di attività economiche raccolti anche ai fini indicati nell'articolo 13, comma 1, lettera e), nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
g) è necessario per la salvaguardia della vita o dell'incolumità fisica dell'interessato o di un terzo, nel caso in cui l'interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere;
h) è necessario ai fini dello svolgimento delle investigazioni di cui all'articolo 38 delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con Decreto Legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento.

Artícolo 13. Diritti dell'interessato

1. In relazione al trattamento di dati personali l'interessato ha diritto:

a) di conoscere, mediante accesso gratuito al registro di cui all'articolo 31, comma 1, lettera a), l'esistenza di trattamenti di dati che possono riguardarlo;
b) di essere informato su quanto indicato all'articolo 7, comma 4, lettere a), b) e h);
c) di ottenere, a cura del titolare o del responsabile, senza ritardo:

1) la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intellegibile dei medesimi dati e della loro origine, nonché della logica e delle finalità su cui si basa il trattamento;la richiesta può essere rinnovata, salva l'esistenza di giustificati motivi, con intervallo non minore di novanta giorni;
2) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;
3) l'aggiornamento, la rettificazione ovvero, qualora vi abbia interesse, l'integrazione dei dati;
4) l'attestazione che le operazioni di cui ai numeri 2) e 3) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato;

d) di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta;
e) di opporsi, in tutto o in parte, al trattamento di dati personali che lo riguardano, previsto a fini di informazioni commerciali o di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva e di essere informato dal titolare, non oltre il momento in cui i dati sono comunicati o diffusi, della possibilità di esercitare gratuitamente tale diritto.

2. Per ciascuna richiesta di cui al comma 1, lettera c), numero 1), può essere chiesto all'interessato, ove non risulti confermata l'esistenza di dati che lo riguardano, un contributo spese, non superiore ai costi effettivamente sopportati, secondo le modalità ed entro i limiti stabiliti dal regolamento di cui all'articolo 33, comma 3.

3. I diritti di cui al comma 1 riferiti ai dati personali concernenti persone decedute possono essere esercitati da chiunque vi abbia interesse.

4. Nell'esercizio dei diritti di cui al comma 1 l'interessato può conferire, per iscritto, delega o procura a persone fisiche o ad associazioni.

5. Restano ferme le norme sul segreto professionale degli esercenti la professione di giornalista, limitatamente alla fonte della notizia.

Artícolo 14. Limiti all'esercizio dei diritti

1. I diritti di cui all'articolo 13, comma 1, lettere c) e d), non possono essere esercitati nei confronti dei trattamenti di dati personali raccolti:

a) in base alle disposizioni del decreto-legge 3 maggio 1991, n. 143, convertito, con modificazioni, dalla legge 5 luglio 1991, n. 197, e successive modificazioni;
b) in base alle disposizioni del decreto-legge 31 dicembre 1991, n. 419, convertito, con modificazioni, dalla legge 18 febbraio 1992, n. 172, e successive modificazioni;
c) da Commissioni parlamentari di inchiesta istituite ai sensi dell'articolo 82 della Costituzione;
d) da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di legge, per esclusive finalità inerenti la politica monetaria e valutaria, il sistema dei pagamenti, il controllo degli intermediari e dei mercati creditizi e finanziari nonché la tutela della loro stabilità;
e) ai sensi dell'articolo 12, comma 1, lettera h), limitatamente al periodo durante il quale potrebbe derivarne pregiudizio per lo svolgimento delle investigazioni o per l'esercizio del diritto di cui alla medesima lettera h).

2. Nei casi di cui al comma 1 il Garante, anche su segnalazione dell'interessato ai sensi dell'articolo 31, comma 1, lettera d), esegue i necessari accertamenti nei modi di cui all'articolo 32, commi 6 e 7, e indica le necessarie modificazioni ed integrazioni, verificandone l'attuazione.

Sezione III. Sicurezza nel trattamento dei dati, limiti alla utilizzabilità dei dati e risarcimento del danno

Artícolo 15. Sicurezza dei dati

1.I dati personali oggetto di trattamento devono essere custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

2. Le misure minime di sicurezza da adottare in via preventiva sono individuate con regolamento emanato con decreto del Presidente della Repubblica, ai sensi dell'articolo 17, comma 1, lettera a), della llegge 23 agosto 1988, n. 400, entro centottanta giorni dalla data di entrata in vigore della presente legge, su proposta del Ministro di grazia e giustizia, sentiti l'Autorità per l'informatica nella pubblica amministrazione e il Garante.

3. Le misure di sicurezza di cui al comma 2 sono adeguate, entro due anni dalla data di entrata in vigore della presente legge e successivamente con cadenza almeno biennale, con successivi regolamenti emanati con le modalità di cui al medesimo comma 2, in relazione all'evoluzione tecnica del settore e all'esperienza maturata.

4. Le misure di sicurezza relative ai dati trattati dagli organismi di cui all'articolo 4, comma 1, lettera b), sono stabilite con decreto del Presidente del Consiglio dei ministri con l'osservanza delle norme che regolano la materia.

Artícolo 16. Cessazione del trattamento dei dati

1. In caso di cessazione, per qualsiasi causa, del trattamento dei dati, il titolare deve notificare preventivamente al Garante la loro destinazione.

2. I dati possono essere:

a) distrutti;
b) ceduti ad altro titolare, purché destinati ad un trattamento per finalità analoghe agli scopi per i quali i dati sono raccolti;
c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione.
c-bis) conservati o ceduti ad altro titolare, per scopi storici, di ricerca scientifica e di statistica, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 31.

3. La cessione dei dati in violazione di quanto previsto dalla lettera b) del comma 2 o di altre disposizioni di legge in materia di trattamento dei dati personali è nulla ed è punita ai sensi dell'articolo 39, comma 1.

Artícolo 17. Limiti all'utilizzabilità di dati personali

1. Nessun atto o provvedimento giudiziario o amministrativo che implichi una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell'interessato.

2. L'interessato può opporsi ad ogni altro tipo di decisione adottata sulla base del trattamento di cui al comma 1 del presente articolo, ai sensi dell'articolo 13, comma 1, lettera d), salvo che la decisione sia stata adottata in occasione della conclusione o dell'esecuzione di un contratto, in accoglimento di una proposta dell'interessato o sulla base di adeguate garanzie individuate dalla legge.

Artícolo 18. Danni cagionati per effetto del trattamento di dati personali

1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile.

Sezione IV. Comunicazione e diffusione dei dati

Artícolo 19. Incaricati del trattamento

1. Non si considera comunicazione la conoscenza dei dati personali da parte delle persone incaricate per iscritto di compiere le operazioni del trattamento dal titolare o dal responsabile, e che operano sotto la loro diretta autorità.

Artícolo 20. Requisiti per la comunicazione e la diffusione dei dati

1. La comunicazione e la diffusione dei dati personali da parte di privati e di enti pubblici economici sono ammesse:

a) con il consenso espresso dell'interessato;
b) se i dati provengono da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi e i regolamenti stabiliscono per la loro conoscibilità e pubblicità;
c) in adempimento di un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
d) nell'esercizio della professione di giornalista e per l'esclusivo perseguimento delle relative finalità. Restano fermi i limiti del diritto di cronaca posti a tutela della riservatezza ed in particolare dell'essenzialità dell'informazione riguardo a fatti di interesse pubblico. Si applica inoltre il codice di deontologia di cui all'articolo 25;
e) se i dati sono relativi allo svolgimento di attività economiche, nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
f) qualora siano necessarie per la salvaguardia della vita o dell'incolumità fisica dell'interessato o di un terzo, nel caso in cui l'interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere;
g) limitatamente alla comunicazione, qualora questa sia necessaria ai fini dello svolgimento delle investigazioni di cui all'articolo 38 delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con Decreto Legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere un diritto in sede giudiziaria, nel rispetto della normativa di cui alla lettera e) del presente comma, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;
h) limitatamente alla comunicazione, quando questa sia effettuata nell'ambito dei gruppi bancari di cui all'articolo 60 del testo unico delle leggi in materia bancaria e creditizia approvato con decreto legislativo 1. settembre 1993, n. 385, nonché tra società controllate e società collegate ai sensi dell'articolo 2359 del codice civile, i cui trattamenti con finalità correlate sono stati notificati ai sensi dell'articolo 7, comma 2, per il perseguimento delle medesime finalità per le quali i dati sono stati raccolti.

2. Alla comunicazione e alla diffusione dei dati personali da parte di soggetti pubblici, esclusi gli enti pubblici economici, si applicano le disposizioni dell'articolo 27.

Artícolo 21. Divieto di comunicazione e diffusione

1. Sono vietate la comunicazione e la diffusione di dati personali per finalità diverse da quelle indicate nella notificazione di cui all'articolo 7.

2. Sono altresì vietate la comunicazione e la diffusione di dati personali dei quali sia stata ordinata la cancellazione, ovvero quando sia decorso il periodo di tempo indicato nell'articolo 9, comma 1, lettera e).

3. Il Garante può vietare la diffusione di taluno dei dati relativi a singoli soggetti, od a categorie di soggetti, quando la diffusione si pone in contrasto con rilevanti interessi della collettività. Contro il divieto può essere proposta opposizione ai sensi dell'articolo 29, commi 6 e 7.

4. La comunicazione e la diffusione dei dati sono comunque permesse:

a) qualora siano necessarie per finalità di ricerca scientifica o di statistica e siano effettuate nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 31;
b) quando siano richieste dai soggetti di cui all'articolo 4, comma 1, lettere b), d) ed e), per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati, con l'osservanza delle norme che regolano la materia.

CAPITOLO IV. TRATTAMENTO DI DATI PARTICOLARI

Artícolo 22. Dati sensibili

1. I dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale, possono essere oggetto di trattamento solo con il consenso scritto dell'interessato e previa autorizzazione del Garante.

1-bis. Il comma 1 non si applica ai dati relativi agli aderenti alle confessioni religiose i cui i rapporti con lo Stato siano regolati da accordi o intese ai sensi degli articoli 7 e 8 della Costituzione, nonchè relativi ai soggetti che con riferimento a finalità di natura esclusivamente religiosa hanno contatti regolari con le medesine confessioni, che siano trattati dai relativi organi o enti civilmente riconosciuti, semprechè i dati non siano comunicati o diffusi fuori delle medesime confessioni. Queste ultime determinano idonee garanzie relativamente ai trattamenti effettuati.

2. Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro trenta giorni, decorsi i quali la mancata pronuncia equivale a rigetto. Con il provvedimento di autorizzazione, ovvero successivamente, anche sulla base di eventuali verifiche, il Garante può prescrivere misure e accorgimenti a garanzia dell'interessato, che il titolare del trattamento è tenuto ad adottare.

3. Il trattamento dei dati indicati al comma 1 da parte di soggetti pubblici, esclusi gli enti pubblici economici, è consentito solo se autorizzato da espressa disposizione di legge, nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite. In mancanza di espressa disposizione di legge, e fuori dai casi previsti dai decreti legislativi di modificazione ed integrazione della presente legge, emanati in attuazione della legge 31 dicembre 1996, n. 676, i soggetti pubblici possono richiedere al Garante, nelle more della specificazione legislativa, l'individuazione delle attività, tra quelle demandate ai medesimi soggetti dalla legge, che perseguono rilevanti finalità di interesse pubblico e per le quali è conseguentemente autorizzato, ai sensi del comma 2, il trattamento dei dati indicati al comma 1.

3-bis. Nei casi in cui è specificata, a norma del comma 3, la finalità di rilevante interesse pubblico, ma non sono specificati i tipi di dati e le operazioni eseguibili, i soggetti pubblici, in applicazione di quanto previsto dalla presente legge e dai decreti legislativi di attuazione della legge 31 dicembre 1996, n. 676, in materia di dati sensibili, identificano e rendono pubblici, secondo i rispettivi ordinamenti, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente.

4. I dati personali idonei a rivelare lo stato di salute e la vita sessuale possono essere oggetto di trattamento previa autorizzazione del Garante, qualora il trattamento sia necessario ai fini dello svolgimento delle investigazioni di cui all'articolo 38 delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con Decreto Legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere in sede giudiziaria un diritto di rango pari a quello dell'interessato, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Il Garante prescrive le misure e gli accorgimenti di cui al comma 2 e promuove la sottoscrizione di un apposito codice di deontologia e di buona condotta secondo le modalità di cui all'articolo 31, comma 1, lettera h). Resta fermo quanto previsto dall'articolo 43, comma 2

Artícolo 23. Dati inerenti alla salute

1. Gli esercenti le professioni sanitarie e gli organismi sanitari pubblici possono, anche senza l'autorizzazione del Garante, trattare i dati personali idonei a rivelare lo stato di salute, limitatamente ai dati e alle operazioni indispensabili per il perseguimento di finalità di tutela dell'incolumità fisica e della salute dell'interessato. Se le medesime finalità riguardano un terzo o la collettività, in mancanza del consenso dell'interessato, il trattamento può avvenire previa autorizzazione del Garante.

1-bis. Con decreto del ministro della Sanità adottato ai sensi dell'articolo 17, comma 3, della legge 23 agosto 1988, n. 400, sentiti la Conferenza permanente per i rapporti tra lo Stato, le regioni, e le province autonome di Trento e Bolzano e il Garante, sono individuate modalità semplificate per le informative di cui all'articolo 10 e per la prestazione del consenso nei confronti di organismi sanitari pubblici, di organismi sanitari e di esercenti le professioni sanitarie convenzionati o accreditati dal Servizio sanitario nazionale, nonché per il trattamento dei dati da parte dei medesimi soggetti, sulla base dei seguenti criteri:

a) previsione di informative effettuate da un unico soggetto, in particolare da parte del medico di medicina generale scelto dall'interessato, per conto di più titolari di trattamento;
b) validità nei confronti di più titolari di trattamento, del consenso prestato ai sensi dell'articolo 11, comma 3, per conto di più titolari di trattamento, anche con riguardo alla richiesta di prestazioni specialistiche, alla prescrizione di farmaci, alla raccolta di dati da parte del medico di medicina generale, detenuti da altri titolari, e alla pluralità di prestazioni mediche effettuate da un medesimo titolare di trattamento;
c) identificazione dei casi di urgenza nei quali anche per effetto delle situazioni indicate nel comma 1-ter, l'informativa e il consenso possono intervenire successivamente alla richiesta della prestazione;
d) previsione di modalità di applicazione del comma 2 del presente articolo ai professionisti sanitari, diversi dai medici, che intrattengono rapporti diretti con i pazienti;
e) previsione di misure volte ad assicurare che nell'organizzazione dei servizi e delle prestazioni sia garantito il rispetto dei diritti di cui all'articolo 1.

1-ter. Il decreto di cui al comma 1 disciplina anche quanto previsto dall'articolo 22, comma 3-bis, della legge.

1-quater. In caso di incapacità di agire, ovvero di impossibilità fisica o di incapacità di intendere o di volere, il consenso al trattamento dei dati idonei a rivelare lo stato di salute è validamente manifestato nei confronti di esercenti le professioni sanitarie e di organismi sanitari, rispettivamente, da chi esercita legalmente la podestà ovvero da un familiare, da un prossimo congiunto, da un convivente, o, in loro assenza, dal responsabile della struttura presso cui dimori.

2. I dati personali idonei a rivelare lo stato di salute possono essere resi noti all'interessato o ai soggetti di cui al comma 1-ter solo per il tramite di un medico designato dall'interessato o dal titolare.

3. L'autorizzazione di cui al comma 1 è rilasciata, salvi i casi di particolare urgenza, sentito il Consiglio superiore di sanità. è vietata la comunicazione dei dati ottenuti oltre i limiti fissati con l'autorizzazione.

4. La diffusione dei dati idonei a rivelare lo stato di salute è vietata, salvo nel caso in cui sia necessaria per finalità di prevenzione, accertamento o repressione dei reati, con l'osservanza delle norme che regolano la materia.

Artícolo 24. Dati relativi ai provvedimenti di cui all'articolo 686 del codice di procedura penale

1. Il trattamento di dati personali idonei a rivelare provvedimenti di cui all'articolo 686, commi 1, lettere a) e d), 2 e 3, del codice di procedura penale, è ammesso soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e le precise operazioni autorizzate.

Artícolo 25. Trattamento di dati particolari nell'esercizio della professione di giornalista

1. Le disposizioni relative al consenso dell'interessato e all'autorizzazione del Garante,nonché il limite previsto dall'articolo 24, non si applicano quando il trattamento dei dati di cuiagli articoli 22 e 24 è effettuato nell'esercizio della professione di giornalista e per l'esclusivoperseguimento delle relative finalità. Il giornalista rispetta i limiti del diritto di cronaca, inparticolare quello dell'essenzialitè dell'informazione riguardo a fatti di interesse pubblico,ferma restando la possibiltà di trattare i dati relativi a circostanze o fatti resi noti direttamentedall'interessato o attraverso i suoi comportamenti in pubblico.

2. Il Garante promuove, nei modi di cui all'articolo 31, comma 1, lettera h), l'adozione, da parte del Consiglio nazionale dell'ordine dei giornalisti, di un apposito codice di deontologia relativo al trattamento dei dati di cui al comma 1 del presente articolo, effettuato nell'esercizio della professione di giornalista, che preveda misure ed accorgimenti a garanzia degli interessati rapportate alla natura dei dati, in particolare per quanto riguarda quelli idonei a rivelare lo stato di salute e la vita sessuale. Nella fase di formazione del codice, ovvero successivamente, il Garante, in cooperazione con il Consiglio, prescrive eventuali misure e accorgimenti a garanzia degli interessati, che il Consiglio è tenuto a recepire.
Il codice è pubblicato sulla Gazzetta Ufficiale a cura del Garante, e diviene efficace quindici giorni dopo la sua pubblicazione.

3. Ove entro sei mesi dalla proposta del Garante il codice di deontologia di cui al comma 2 non sia stato adottato dal Consiglio nazionale dell'ordine dei giornalisti, esso è adottato in via sostitutiva dal Garante ed è efficace sino alla adozione di un diverso codice secondo la procedura di cui al comma 2. In caso di violazione delle prescrizioni contenute nel codice di deontologia, il Garante può vietare il trattamento ai sensi dell'articolo 31, comma 1, lettera l).

4. Nel codice di cui ai commi 2 e 3 sono inserite, altresì, prescrizioni concernenti i dati personali diversi da quelli indicati negli articoli 22 e 24.
Il codice può prevedere forme semplificate per le informative di cui all'articolo 10.

4-bis. Le disposizioni della presente legge che attengono all'esercizio della professione di giornalista si applicano anche ai trattamenti effettuati dai soggetti iscritti nell'elenco dei pubblicisti o nel registro dei praticanti di cui agli articoli 26 e 33 della legge 3 febbraio 1963, n. 69, nonché ai trattamenti temporanei finalizzati esclusivamente alla pubblicazione o diffusione occasionale di articoli, saggi e altre manifestazioni del pensiero.

Artícolo 26. Dati concernenti persone giuridiche

1. Il trattamento nonché la cessazione del trattamento di dati concernenti persone giuridiche, enti o associazioni non sono soggetti a notificazione.

2. Ai dati riguardanti persone giuridiche, enti o associazioni non si applicano le disposizioni dell'articolo 28.

CAPITOLO V. TRATTAMENTI SOGGETTI A REGIME SPECIALE

Artícolo 27. Trattamento da parte di soggetti pubblici

1. Salvo quanto previsto al comma 2, il trattamento di dati personali da parte di soggetti pubblici, esclusi gli enti pubblici economici, è consentito soltanto per lo svolgimento delle funzioni istituzionali, nei limiti stabiliti dalla legge e dai regolamenti.

2. La comunicazione e la diffusione a soggetti pubblici, esclusi gli enti pubblici economici, dei dati trattati sono ammesse quando siano previste da norme di legge o di regolamento, o risultino comunque necessarie per lo svolgimento delle funzioni istituzionali. In tale ultimo caso deve esserne data previa comunicazione nei modi di cui all'articolo 7, commi 2 e 3 al Garante che vieta, con provvedimento motivato, la comunicazione o la diffusione se risultano violate le disposizioni della presente legge.

3. La comunicazione e la diffusione dei dati personali da parte di soggetti pubblici a privati o a enti pubblici economici sono ammesse solo se previste da norme di legge o di regolamento.

4. I criteri di organizzazione delle amministrazioni pubbliche di cui all'articolo 5 del decreto legislativo 3 febbraio 1993, n. 29, sono attuati nel pieno rispetto delle disposizioni della presente legge.

Artícolo 28. Trasferimento di dati personali all'estero

1. Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso un Paese non appartenente all'Unione europea o riguardi taluno dei dati di cui agli articoli 22 e 24.

2. Il trasferimento può avvenire soltanto dopo quindici giorni dalla data della notificazione; il termine è di venti giorni qualora il trasferimento riguardi taluno dei dati di cui agli articoli 22 e 24.

3. Il trasferimento è vietato qualora l'ordinamento dello Stato di destinazione o di transito dei dati non assicuri un livello di tutela delle persone adeguato ovvero, se si tratta dei dati di cui agli articoli 22 e 24, di grado pari a quello assicurato dall'ordinamento italiano. Sono valutate anche le modalità del trasferimento e dei trattamenti previsti, le relative finalità, la natura dei dati e le misure di sicurezza.

4. Il trasferimento è comunque consentito qualora:

a) l'interessato abbia manifestato il proprio consenso espresso ovvero, se il trasferimento riguarda taluno dei dati di cui agli articoli 22 e 24, in forma scritta;
b) sia necessario per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato o per l'acquisizione di informative precontrattuali attivate su richiesta di quest'ultimo, ovvero per la conclusione o per l'esecuzione di un contratto stipulato a favore dell'interessato;
c) sia necessario per la salvaguardia di un interesse pubblico rilevante individuato con legge o con regolamento, ovvero specificato ai sensi degli articoli 22, comma 3, e 24, se il trasferimento riguarda taluno dei dati ivi previsti;
d) sia necessario ai fini dello svolgimento delle investigazioni di cui all'articolo 38 delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con Decreto Legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trasferiti esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;
e) sia necessario per la salvaguardia della vita o dell'incolumità fisica dell'interessato o di un terzo, nel caso in cui l'interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere;
f) sia effettuato in accoglimento di una richiesta di accesso ai documenti amministrativi, ovvero di una richiesta di informazioni estraibili da un pubblico registro, elenco, atto o documento conoscibile da chiunque, con l'osservanza delle norme che regolano la materia;
g) sia autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell'interessato, prestate anche con un contratto.
g-bis) il trattamento sia finalizzato unicamente a scopi di ricerca scientifica o di statistica e sia effettuato nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 31.

5. Contro il divieto di cui al comma 3 del presente articolo può essere proposta opposizione ai sensi dell'articolo 29, commi 6 e 7.

6. Le disposizioni del presente articolo non si applicano al trasferimento di dati personali effettuato nell'esercizio della professione di giornalista e per l'esclusivo perseguimento delle relative finalità.

7. La notificazione di cui al comma 1 del presente articolo è effettuata ai sensi dell'articolo 7 ed è annotata in apposita sezione del registro previsto dall'articolo 31, comma 1, lettera a). La notificazione può essere effettuata con un unico atto unitamente a quella prevista dall'articolo 7.

CAPITOLO VI. TUTELA AMMINISTRATIVA E GIURISDIZIONALE

Articolo 29. Tutela

1. I diritti di cui all'articolo 13, comma 1, possono essere fatti valere dinanzi all'autorità giudiziaria o con ricorso al Garante. Il ricorso al Garante non può essere proposto qualora, per il medesimo oggetto e tra le stesse parti, sia stata già adita l'autorità giudiziaria.

2. Salvi i casi in cui il decorso del termine esporrebbe taluno a pregiudizio imminente ed irreparabile, il ricorso al Garante può essere proposto solo dopo che siano decorsi cinque giorni dalla richiesta avanzata sul medesimo oggetto al responsabile. La presentazione del ricorso rende improponibile un'ulteriore domanda dinanzi all'autorità giudiziaria tra le stesse parti e per il medesimo oggetto.

3. Nel procedimento dinanzi al Garante il titolare, il responsabile e l'interessato hanno diritto di essere sentiti, personalmente o a mezzo di procuratore speciale, e hanno facoltà di presentare memorie o documenti. Il Garante può disporre, anche d'ufficio, l'espletamento di perizie.

4. Assunte le necessarie informazioni il Garante, se ritiene fondato il ricorso, ordina al titolare e al responsabile, con decisione motivata, la cessazione del comportamento illegittimo, indicando le misure necessarie a tutela dei diritti dell'interessato e assegnando un termine per la loro adozione. Il provvedimento è comunicato senza ritardo alle parti interessate, a cura dell'ufficio del Garante. La mancata pronuncia sul ricorso, decorsi trenta giorni dalla data di presentazione, equivale a rigetto.

5. Se la particolarità del caso lo richiede, il Garante può disporre in via provvisoria il blocco in tutto o in parte di taluno dei dati ovvero l'immediata sospensione di una o più operazioni del trattamento. Il provvedimento cessa di avere ogni effetto se, entro i successivi venti giorni, non è adottata la decisione di cui al comma 4 ed è impugnabile unitamente a tale decisione.

6. Avverso il provvedimento espresso o il rigetto tacito di cui al comma 4, il titolare o l'interessato possono proporre opposizione al tribunale del luogo ove risiede il titolare, entro il termine di trenta giorni dalla data di comunicazione del provvedimento o dalla data del rigetto tacito. L'opposizione non sospende l'esecuzione del provvedimento.

6-bis. Il decorso dei termini previsti dai commi 4, 5 e 6 è sospeso di diritto dal 1 al 30 agosto di ciascun anno e riprende a decorrere dalla fine del periodo di sospensione. Ove il decorso abbia inizio durante tale periodo, l'inizio stesso è differito alla fine del periodo medesimo. La sospensione non opera nei casi in cui sussista il pregiudizio di cui al comma 2 e non preclude l'adozione dei provvedimenti di cui al comma 5.

7. Il tribunale provvede nei modi di cui agli articoli 737 e seguenti del codice di procedura civile, anche in deroga al divieto di cui all'articolo 4 della legge 20 marzo 1865, n. 2248, allegato e), e può sospendere, a richiesta, l'esecuzione del provvedimento. Avverso il decreto del tribunale è ammesso unicamente il ricorso per cassazione.

8. Tutte le controversie, ivi comprese quelle inerenti al rilascio dell'autorizzazione di cui all'articolo 22, comma 1, o che riguardano, comunque, l'applicazione della presente legge, sono di competenza dell'autorità giudiziaria ordinaria.

9. Il danno non patrimoniale è risarcibile anche nei casi di violazione dell'articolo 9.

CAPITOLO VII. GARANTE PER LA PROTEZIONE DEI DATI

Artícolo 30. Istituzione del garante

1. è istituito il Garante per protezione dei dati personali.

2. Il Garante opera in piena autonomia e con indipendenza di giudizio e di valutazione.

3. Il Garante è organo collegiale costituito da quattro membri, eletti due dalla Camera dei deputati e due dal Senato della Repubblica con voto limitato. Essi eleggono nel loro ambito un presidente, il cui voto prevale in caso di parità. I membri sono scelti tra persone che assicurino indipendenza e che siano esperti di riconosciuta competenza nelle materie del diritto o dell'informatica, garantendo la presenza di entrambe le qualificazioni.

4. Il presidente e i membri durano in carica quattro anni e non possono essere confermati per più di una volta; per tutta la durata dell'incarico il presidente e i membri non possono esercitare, a pena di decadenza, alcuna attività professionale o di consulenza, né essere amministratori o dipendenti di enti pubblici o privati, né ricoprire cariche elettive.

5. All'atto dell'accettazione della nomina il presidente e i membri sono collocati fuori ruolo se dipendenti di pubbliche amministrazioni o magistrati in attività di servizio; se professori universitari di ruolo, sono collocati in aspettativa senza assegni ai sensi dell'articolo 13 del decreto del Presidente della Repubblica 11 luglio 1980, n. 382, e successive modificazioni. Il personale collocato fuori ruolo o in aspettativa non può essere sostituito.

6. Al presidente compete una indennità di funzione non eccedente, nel massimo, la retribuzione spettante al primo presidente della Corte di cassazione. Ai membri compete un'indennità di funzione non eccedente, nel massimo, i due terzi di quella spettante al presidente. Le predette indennità di funzione sono determinate, con il regolamento di cui all'articolo 33, comma 3, in misura tale da poter essere corrisposte a carico degli ordinari stanziamenti.

Artícolo 31. Compiti del garante

1. Il Garante ha il compito di:

a) istituire e tenere un registro generale dei trattamenti sulla base delle notificazioni ricevute;
b) controllare se i trattamenti sono effettuati nel rispetto delle norme di legge e di regolamento e in conformità alla notificazione;
c) segnalare ai relativi titolari o responsabili le modificazioni opportune al fine di rendere il trattamento conforme alle disposizioni vigenti;
d) ricevere le segnalazioni ed i reclami degli interessati o delle associazioni che li rappresentano, relativi ad inosservanze di legge o di regolamento, e provvedere sui ricorsi presentati ai sensi dell'articolo 29;
e) adottare i provvedimenti previsti dalla legge o dai regolamenti;
f) vigilare sui casi di cessazione, per qualsiasi causa, di un trattamento;
g) denunciare i fatti configurabili come reati perseguibili d'ufficio, dei quali viene a conoscenza nell'esercizio o a causa delle sue funzioni;
h) promuovere nell'ambito delle categorie interessate, nell'osservanza del principio di rappresentatività, la sottoscrizione di codici di deontologia e di buona condotta per determinati settori, verificarne la conformità alle leggi e ai regolamenti anche attraverso l'esame di osservazioni di soggetti interessati e contribuire a garantirne la diffusione e il rispetto;
i) curare la conoscenza tra il pubblico delle norme che regolano la materia e delle relative finalità, nonché delle misure di sicurezza dei dati di cui all'articolo 15;
l) vietare, in tutto o in parte, il trattamento dei dati o disporne il blocco quando, in considerazione della natura dei dati o, comunque, delle modalità del trattamento o degli effetti che esso può determinare, vi è il concreto rischio del verificarsi di un pregiudizio rilevante per uno o più interessati;
m) segnalare al Governo l'opportunità di provvedimenti normativi richiesti dall'evoluzione del settore;
n) predisporre annualmente una relazione sull'attività svolta e sullo stato di attuazione della presente legge, che è trasmessa al Parlamento e al Governo entro il 30 aprile dell'anno successivo a quello cui si riferisce;
o) curare l'attività di assistenza indicata nel capitolo IV della Convenzione n. 108 sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, adottata a Strasburgo il 28 gennaio 1981 e resa esecutiva con legge 21 febbraio 1989, n. 98, quale autorità designata ai fini della cooperazione tra Stati ai sensi dell'articolo 13 della Convenzione medesima;
p) esercitare il controllo sui trattamenti di cui all'articolo 4 e verificare, anche su richiesta dell'interessato, se rispondono ai requisiti stabiliti dalla legge o dai regolamenti.

2. Il Presidente del Consiglio dei ministri e ciascun ministro consultano il Garante all'atto della predisposizione delle norme regolamentari e degli atti amministrativi suscettibili di incidere sulle materie disciplinate dalla presente legge.

3. Il registro di cui al comma 1, lettera a), del presente articolo, è tenuto nei modi di cui all'articolo 33, comma 5. Entro il termine di un anno dalla data della sua istituzione, il Garante promuove opportune intese con le province ed eventualmente con altre pubbliche amministrazioni al fine di assicurare la consultazione del registro mediante almeno un terminale dislocato su base provinciale, preferibilmente nell'ambito dell'ufficio per le relazioni con il pubblico di cui all'articolo 12 del decreto legislativo 3 febbraio 1993, n. 29, e successive modificazioni.

4. Contro il divieto di cui al comma 1, lettera l), del presente articolo, può essere proposta opposizione ai sensi dell'articolo 29, commi 6 e 7.

5. Il Garante e l'Autorità per l'informatica nella pubblica amministrazione cooperano tra loro nello svolgimento dei rispettivi compiti; a tal fine, invitano il presidente o un suo delegato membro dell'altro organo a partecipare alle riunioni prendendo parte alla discussione di argomenti di comune interesse iscritti all'ordine del giorno; possono richiedere, altresì, la collaborazione di personale specializzato addetto all'altro organo.

6. Le disposizioni del comma 5 si applicano anche nei rapporti tra il Garante e le autorità di vigilanza competenti per il settore creditizio, per le attività assicurative e per la radiodiffusione e l'editoria.

Artícolo 32. Accertamenti e controlli

1.      Per l'espletamento dei propri compiti il Garante può richiedere al responsabile, al titolare, all'interessato o anche a terzi di fornire informazioni e di esibire documenti.

2. Il Garante, qualora ne ricorra la necessità ai fini del controllo del rispetto delle disposizioni in materia di trattamento dei dati personali, può disporre accessi alle banche di dati o altre ispezioni e verifiche nei luoghi ove si svolge il trattamento o nei quali occorre effettuare rilevazioni comunque utili al medesimo controllo, avvalendosi, ove necessario, della collaborazione di altri organi dello Stato.

3. Gli accertamenti di cui al comma 2 sono disposti previa autorizzazione del presidente del tribunale competente per territorio in relazione al luogo dell'accertamento, il quale provvede senza ritardo sulla richiesta del Garante, con decreto motivato; le relative modalità di svolgimento sono individuate con il regolamento di cui all'articolo 33, comma 3.

4. I soggetti interessati agli accertamenti sono tenuti a farli eseguire.

5. Resta fermo quanto previsto dall'articolo 220 delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con Decreto Legislativo 28 luglio 1989, n. 271.

6. Per i trattamenti di cui agli articoli 4 e 14, comma 1, gli accertamenti sono effettuati per il tramite di un membro designato dal Garante. Se il trattamento non risulta conforme alle disposizioni di legge o di regolamento, il Garante indica al titolare o al responsabile le necessarie modificazioni ed integrazioni e ne verifica l'attuazione. Se l'accertamento è stato richiesto dall'interessato, a quest'ultimo è fornito in ogni caso un riscontro circa il relativo esito, salvo che ricorrano i motivi di cui all'articolo 10, comma 4, della legge 1. aprile 1981, n. 121, come sostituito dall'articolo 42, comma 1, della presente legge, o motivi di difesa o di sicurezza dello Stato.

7. Gli accertamenti di cui al comma 6 non sono delegabili. Qualora risulti necessario in ragione della specificità della verifica, il membro designato può farsi assistere da personale specializzato che è tenuto al segreto ai sensi dell'articolo 33, comma 6. Gli atti e i documenti acquisiti sono custoditi secondo modalità tali da assicurarne la segretezza e sono conoscibili dal presidente e dai membri del Garante e, se necessario per lo svolgimento delle funzioni dell'organo, da un numero delimitato di addetti al relativo ufficio, individuati dal Garante sulla base di criteri definiti dal regolamento di cui all'articolo 33, comma 3. Per gli accertamenti relativi agli organismi e ai dati di cui all'articolo 4, comma 1, lettera b), il membro designato prende visione degli atti e dei documenti rilevanti e riferisce oralmente nelle riunioni del Garante.

Artícolo 33. Ufficio del Garante

1. Alle dipendenze del Garante è posto un ufficio composto, in sede di prima applicazione della presente legge, da dipendenti dello Stato e di altre amministrazioni pubbliche, collocati fuori ruolo nelle forme previste dai rispettivi ordinamenti, il cui servizio presso il medesimo ufficio è equiparato ad ogni effetto di legge a quello prestato nelle rispettive amministrazioni di provenienza. Il relativo contingente è determinato, in misura non superiore a quarantacinque unità, su proposta del Garante medesimo, con decreto del Presidente del Consiglio dei ministri, di concerto con i Ministri del tesoro e per la funzione pubblica, entro novanta giorni dalla data di elezione del Garante.
Il segretario generale può essere scelto anche tra magistrati ordinari o amministrativi.

1-bis. è istituito il ruolo organico del personale dipendente del Garante. Con proprio regolamento il Garante definisce:
a) l'ordinamento delle carriere e le modalità del reclutamento secondo le procedure previste dall'articolo 36 del decreto legislativo 3 febbraio 1993, n. 29, e successive modificazioni;
b) le modalità dell'inquadramento in ruolo del personale in servizio alla data di entrata in vigore del regolamento;
c) il trattamento giuridico ed economico del personale, secondo i criteri previsti dalla legge 31 luglio 1997, n. 249, e, per gli incarichi di funzioni dirigenziali, dall'articolo 19, comma 6, del citato decreto legislativo n. 29, come sostituito dall'articolo 13 del decreto legislativo 31 marzo 1998, n. 80, tenuto conto delle specifiche esigenze funzionali e organizzative.
Il regolamento è pubblicato nella Gazzetta Ufficiale.
Nelle more della più generale razionalizzazione del trattamento economico delle autorit` amministrative indipendenti, al personale è attribuito l'ottanta per cento del trattamento economico del personale dell'Autorità per le garanzie nelle comunicazioni.
Per il periodo intercorrente tra l'8 maggio 1997 e la data di entrata in vigore del regolamento, resta ferma l'indennità di cui all'articolo 41 del decreto del Presidente della Repubblica 10 luglio 1991, n. 231, corrisposta al personale in servizio. Dal 1 gennaio 1998 e fino alla data di entrata in vigore del medesimo regolamento, è inoltre corrisposta la differenza tra il nuovo trattamento e la retribuzione già in godimento maggiorata della predetta indennità di funzione.

1-ter. L'ufficio può avvalersi, per motivate esigenze, di dipendenti dello Stato o di altre amministrazioni pubbliche o di enti pubblici collocati in posizione di fuori ruolo nelle forme previste dai rispettivi ordinamenti, ovvero in aspettativa ai sensi dell'articolo 13 del decreto del Presidente della Repubblica 11 luglio 1980, n. 382, e successive modificazioni, in numero non superiore, complessivamente, a venti unità e per non oltre il venti per cento delle qualifiche dirigenziali, lasciando non coperto un corrispondente numero di posti di ruolo. Al personale di cui al presente comma è corrisposta una indennità pari alla eventuale differenza tra il trattamento erogato dall'amministrazione o dall'ente di provenienza e quello spettante al corrispondente personale di ruolo, e comunque non inferiore alla indennità di cui all'articolo 41 del citato decreto del Presidente della Repubblica n. 231 del 1991.

1-quater. Con proprio regolamento il Garante ripartisce l'organico, fissato nel limite di cento unità, tra il personale dei diversi livelli e quello delle qualifiche dirigenziali e disciplina l'organizzazione, il funzionamento dell'ufficio, la riscossione e la utilizzazione dei diritti di segreteria, ivi compresi quelli corrisposti dall'8 maggio 1997, e la gestione delle spese, anche in deroga alle norme sulla contabilità generale dello Stato.
Il regolamento è pubblicato nella Gazzetta Ufficiale.

1-quinquies. In aggiunta al personale di ruolo, l'ufficio può assumere direttamente dipendenti con contratto a tempo determinato disciplinato dalle norme di diritto privato, in numero non superiore a venti unità, ivi compresi i consulenti assunti con contratto a tempo determinato ai sensi del comma 4.

1-sexies. All'ufficio del Garante, al fine di garantire la responsabilità e l'autonomia ai sensi della legge 7 agosto 1990, n. 241, e successive modificazioni, e del decreto legislativo 3 febbraio 1993, n. 29, e successive modificazioni, si applicano i principi riguardanti l'individuazione e le funzioni del responsabile del procedimento, nonchè quelli relativi alla distinzione fra le funzioni di indirizzo e di controllo, attribuite agli organi di vertice, e quelli concernenti le funzioni di gestione attribuite ai dirigenti.

2. Le spese di funzionamento dell'ufficio del Garante sono poste a carico di un fondo stanziato a tale scopo nel bilancio dello Stato e iscritto in apposito capitolo dello stato di previsione del Ministero del tesoro. Il rendiconto della gestione finanziaria è soggetto al controllo della Corte dei conti.

3. In sede di prima applicazione della presente legge, le norme concernenti l'organizzazione ed il funzionamento dell'ufficio del Garante, nonché quelle dirette a disciplinare la riscossione dei diritti di segreteria e la gestione delle spese, anche in deroga alle disposizioni sulla contabilità generale dello Stato, sono adottate con regolamento emanato con decreto del Presidente della Repubblica, entro tre mesi dalla data di entrata in vigore della presente legge, previa deliberazione del Consiglio dei ministri, sentito il Consiglio di Stato, su proposta del Presidente del Consiglio dei ministri, di concerto con i Ministri del tesoro, di grazia e giustizia e dell'interno, e su parere conforme del Garante stesso. Nel medesimo regolamento sono determinate le indennità di cui all'articolo 30, comma 6, e altresì previste le norme concernenti il procedimento dinanzi al Garante di cui all'articolo 29, commi da 1 a 5, secondo modalità tali da assicurare, nella speditezza del procedimento medesimo, il pieno rispetto del contraddittorio tra le parti interessate, nonché le norme volte a precisare le modalità per l'esercizio dei diritti di cui all'articolo 13, nonché della notificazione di cui all'articolo 7, per via telematica o mediante supporto magnetico o lettera raccomandata con avviso di ricevimento o altro idoneo sistema. Il parere del Consiglio di Stato sullo schema di regolamento è reso entro trenta giorni dalla ricezione della richiesta; decorso tale termine il regolamento può comunque essere emanato.

3-bis. Con effetto dalla data di entrata in vigore del regolamento di cui al comma 1-quater, cessano di avere vigore le norme adottate ai sensi del comma 3, primo periodo.

4. Nei casi in cui la natura tecnica o la delicatezza dei problemi lo richiedano, il Garante può avvalersi dell'opera di consulenti, i quali sono remunerati in base alle vigenti tariffe professionali ovvero sono assunti con contratti a tempo determinato di durata non superiore a due anni, che possono essere rinnovati per non più di due volte.

5. Per l'espletamento dei propri compiti, l'ufficio del Garante può avvalersi di sistemi automatizzati ad elaborazione informatica e di strumenti telematici propri ovvero, salvaguardando le garanzie previste dalla presente legge, appartenenti all'Autorità per l'informatica nella pubblica amministrazione o, in caso di indisponibilità, ad enti pubblici convenzionati.

6. Il personale addetto all'ufficio del Garante ed i consulenti sono tenuti al segreto su tutto ciò di cui siano venuti a conoscenza, nell'esercizio delle proprie funzioni, in ordine a banche di dati e ad operazioni di trattamento.

6-bis. Il personale dell'ufficio del Garante addetto agli accertamenti di cui all'articolo 32 riveste, in numero non superiore a cinque unità, nei limiti del servizio cui è destinato e secondo le rispettive attribuzioni, la qualifica di ufficiale o agente di polizia giudiziaria.

CAPITOLO VIII. SANZIONI

Artícolo 34. Omessa o infedele notificazione

1. Chiunque, essendovi tenuto, non provvede alle notificazioni prescritte dagli articoli 7 e 28, ovvero indica in esse notizie incomplete o non rispondenti al vero, è punito con la reclusione da tre mesi a due anni. Se il fatto concerne la notificazione prevista dall'articolo 16, comma 1, la pena è della reclusione sino ad un anno.

Artícolo 35. Trattamento illecito di dati personali

1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 11, 20 e 27, è punito con la reclusione sino a due anni o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da tre mesi a due anni.

2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, comunica o diffonde dati personali in violazione di quanto disposto dagli articoli 21, 22, 23 e 24, ovvero del divieto di cui all'articolo 28, comma 3, è punito con la reclusione da tre mesi a due anni.

3. Se dai fatti di cui ai commi 1 e 2 deriva nocumento, la reclusione è da uno a tre anni.

Artícolo 36. Omessa adozione di misure necessarie alla sicurezza dei dati

1. Chiunque, essendovi tenuto, omette di adottare le misure necessarie a garantire la sicurezza dei dati personali, in violazione delle disposizioni dei regolamenti di cui ai commi 2 e 3 dell'articolo 15, è punito con la reclusione sino ad un anno. Se dal fatto deriva nocumento, la pena è della reclusione da due mesi a due anni.

2. Se il fatto di cui al comma 1 è commesso per colpa si applica la reclusione fino ad un anno.

Artícolo 37. Inosservanza dei provvedimenti del garante

1. Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai sensi dell'articolo 22, comma 2, o dell'articolo 29, commi 4 e 5, è punito con la reclusione da tre mesi a due anni.

Artícolo 38. Pena accessoria

1. La condanna per uno dei delitti previsti dalla presente legge importa la pubblicazione della sentenza.

Artícolo 39. Sanzioni amministrative

1. Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante ai sensi degli articoli 29, comma 4, e 32, comma 1, è punito con la sanzione amministrativa del pagamento di una somma da lire un milione a lire sei milioni.

2. La violazione delle disposizioni di cui agli articoli 10 e 23, comma 2, è punita con la sanzione amministrativa del pagamento di una somma da lire cinquecentomila a lire tre milioni.

3. L'organo competente a ricevere il rapporto e ad irrogare le sanzioni di cui al presente articolo è il Garante. Si osservano, in quanto applicabili, le disposizioni della legge 24 novembre 1981, n. 689, e successive modificazioni.
I proventi, nella misura del cinquanta per cento del totale annuo, sono riassegnati al fondo di cui all'articolo 33, comma 2, e sono utilizzati unicamente per l'esercizio dei compiti di cui agli articoli 31, comma 1, lettera i) e 32.

CAPITOLO IX. DISPOSIZIONI TRANSITORIE E FINALI ED ABROGAZIONI

Artícolo 40. Comunicazioni al garante

1. Copia dei provvedimenti emessi dall'autorità giudiziaria in relazione a quanto previsto dalla presente legge e dalla legge 23 dicembre 1993, n. 547, è trasmessa, a cura della cancelleria, al Garante.

Artícolo 41. Disposizioni transitorie

1.      Fermo restando l'esercizio dei diritti di cui agli articoli 13 e 29, le disposizioni della presente legge che prescrivono il consenso dell'interessato non si applicano in riferimento ai dati personali raccolti precedentemente alla data di entrata in vigore della legge stessa, o il cui trattamento sia iniziato prima di tale data. Resta salva l'applicazione delle disposizioni relative alla comunicazione e alla diffusione dei dati previste dalla presente legge.

2. Per i trattamenti di dati personali iniziati prima del 1 gennaio 1998 le notificazioni prescritte dagli articoli 7 e 28 sono effettuate dal 1 gennaio 1998 al 31 marzo 1998 ovvero, per i trattamenti di cui all'articolo 5 riguardanti dati diversi da quelli di cui agli articoli 22 e 24, nonchè per quelli di cui all'articolo 4, comma 1, lettere c), d) ed e), dal 1 aprile 1998 al 30 giugno 1998.

3. Le misure minime di sicurezza di cui all'articolo 15, comma 2, devono essere adottate entro il termine di sei mesi dalla data di entrata in vigore del regolamento ivi previsto. Fino al decorso di tale termine, i dati personali devono essere custoditi in maniera tale da evitare un incremento dei rischi di cui all'articolo 15, comma 1.

4. Le misure di cui all'articolo 15, comma 3, devono essere adottate entro il termine di sei mesi dalla data di entrata in vigore dei regolamenti ivi previsti.

5. Nei ventiquattro mesi successivi alla data di entrata in vigore della presente legge, i trattamenti dei dati di cui all'articolo 22, comma 3, ad opera di soggetti pubblici, esclusi gli enti pubblici economici, e all'articolo 24, possono essere proseguiti anche in assenza delle disposizioni di legge ivi indicate, previa comunicazione al Garante.

6. In sede di prima applicazione della presente legge, fino alla elezione del Garante ai sensi dell'articolo 30, le funzioni del Garante sono svolte dal presidente dell'Autorità per l'informatica nella pubblica amministrazione, fatta eccezione per l'esame dei ricorsi di cui all'articolo 29.

7. Le disposizioni della presente legge che prevedono un'autorizzazione del Garante si applicano, limitatamente alla medesima autorizzazione e fatta eccezione per la disposizione di cui all'articolo 28, comma 4, lettera g), a decorrere dal 30 novembre 1997. Le medesime disposizioni possono essere applicate dal Garante anche mediante il rilascio di autorizzazioni relative a determinate categorie di titolari o di trattamenti.

7-bis. In sede di prima applicazione della presente legge, le informative e le comunicazioni di cui agli articoli 10, comma 3, e 27, comma 2, possono essere date entro il 30 novembre 1997.

Artócolo 42. Modifiche a disposizioni vigenti

1. L'articolo 10 della legge 1. aprile 1981, n. 121, è sostituito dal seguente:

«Art. 10 – Controlli 1. Il controllo sul Centro elaborazione dati è esercitato dal Garante per la protezione dei dati personali, nei modi previsti dalla legge e dai regolamenti.
I dati e le informazioni conservati negli archivi del Centro possono essere utilizzati in procedimenti giudiziari o amministrativi soltanto attraverso l'acquisizione delle fonti originarie indicate nel primo comma dell'articolo 7, fermo restando quanto stabilito dall'articolo 240 del codice di procedura penale. Quando nel corso di un procedimento giurisdizionale o amministrativo viene rilevata l'erroneità o l'incompletezza dei dati e delle informazioni, o l'illegittimità del loro trattamento, l'autorità procedente ne dà notizia al Garante per la tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali.
 La persona alla quale si riferiscono i dati può chiedere all'ufficio di cui alla lettera a) del primo comma dell'articolo 5 la conferma dell'esistenza di dati personali che lo riguardano, la loro comunicazione in forma intellegibile e, se i dati risultano trattati in violazione di vigenti disposizioni di legge o di regolamento, la loro cancellazione o trasformazione in forma anonima.
 Esperiti i necessari accertamenti, l'ufficio comunica al richiedente, non oltre venti giorni dalla richiesta, le determinazioni adottate. L'ufficio può omettere di provvedere sulla richiesta se ciò può pregiudicare azioni od operazioni a tutela dell'ordine e della sicurezza pubblica o di prevenzione e repressione della criminalità, dandone informazione al Garante per la protezione dei dati personali.
 Chiunque viene a conoscenza dell'esistenza di dati personali che lo riguardano, trattati anche in forma non automatizzata in violazione di disposizioni di legge o di regolamento, può chiedere al tribunale del luogo ove risiede il titolare del trattamento di compiere gli accertamenti necessari e di ordinare la rettifica, l'integrazione, la cancellazione o la trasformazione in forma anonima dei dati medesimi. Il tribunale provvede nei modi di cui agli articoli 737 e seguenti del codice di procedura civile».

2. Il comma 1 dell'articolo 4 del Decreto Legislativo 12 febbraio 1993, n. 39, è sostituito dal seguente:

«1. è istituita l'Autorità per l'informatica nella pubblica amministrazione, denominata

«Autorità» ai fini del presente decreto; tale Autorità opera in piena autonomia e con indipendenza di giudizio e di valutazione».

3. Il comma 1 dell'articolo 5 del Decreto Legislativo 12 febbraio 1993, n. 39, è sostituito dal seguente:

«1. Le norme concernenti l'organizzazione ed il funzionamento dell'Autorità, l'istituzione del ruolo del personale, il relativo trattamento giuridico ed economico e l'ordinamento delle carriere, nonché la gestione delle spese nei limiti previsti dal presente decreto, anche in deroga alle disposizioni sulla contabilità generale dello Stato, sono adottate con regolamento emanato con decreto del Presidente della Repubblica, previa deliberazione del Consiglio dei ministri, sentito il Consiglio di Stato, su proposta del Presidente del Consiglio dei ministri, di concerto con il Ministro del tesoro e su parere conforme dell'Autorità medesima. Il parere del Consiglio di Stato sullo schema di regolamento è reso entro trenta giorni dalla ricezione della richiesta, decorsi i quali il regolamento può comunque essere emanato. Si applica il trattamento economico previsto per il personale del Garante per l'editoria e la radiodiffusione ovvero dell'organismo che dovesse subentrare nelle relative funzioni, fermo restando il limite massimo complessivo di centocinquanta unità. Restano altresì fermi gli stanziamenti dei capitoli di cui al comma 2, così come determinati per il 1995 e tenendo conto dei limiti di incremento previsti per la categoria IV per il triennio 1996-1998».

4. Negli articoli 9, comma 2, e 10, comma 2, della legge 30 settembre 1993, n. 388, le parole: «Garante per la protezione dei dati» sono sostituite dalle seguenti: «Garante per la tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali».

Artícolo 43. Abrogazioni

1. Sono abrogate le disposizioni di legge o di regolamento incompatibili con la presente legge e, in particolare, il quarto comma dell'articolo 8 ed il quarto comma dell'articolo 9 della legge 1. aprile 1981, n. 121. Entro sei mesi dalla data di emanazione del decreto di cui all'articolo 33, comma 1, della presente legge, il Ministro dell'interno trasferisce all'ufficio del Garante il materiale informativo raccolto a tale data in attuazione del citato articolo 8 della legge n. 121 del 1981.

2. Restano ferme le disposizioni della legge 20 maggio 1970, n. 300, e successive modificazioni, nonché, in quanto compatibili, le disposizioni della legge 5 giugno 1990, n. 135, e successive modificazioni, del decreto legislativo 6 settembre 1989, n. 322, nonché le vigenti norme in materia di accesso ai documenti amministrativi ed agli archivi di Stato. Restano altresì ferme le disposizioni di legge che stabiliscono divieti o limiti più restrittivi in materia di trattamento di taluni dati personali.

3. Per i trattamenti di cui all'articolo 4, comma 1, lettera e), della presente legge, resta fermo l'obbligo di conferimento di dati ed informazioni di cui all'articolo 6, primo comma, lettera a), della legge 1. aprile 1981, n. 121.

CAPITOLO X. COPERTURA FINANZIARIA ED ENTRATA IN VIGORE

Artícolo 44. Copertura finanziaria

1. All'onere derivante dall'attuazione della presente legge, valutato in lire 8.029 milioni per il 1997 ed in lire 12.045 milioni a decorrere dal 1998, si provvede mediante corrispondente riduzione dello stanziamento iscritto, ai fini del bilancio triennale 1997-1999, al capitolo 6856 dello stato di previsione del Ministero del tesoro per l'anno 1997, all'uopo utilizzando, per il 1997, quanto a lire 4.553 milioni, l'accantonamento riguardante il Ministero degli affari esteri e, quanto a lire 3.476 milioni, l'accantonamento riguardante la Presidenza del Consiglio dei ministri e, per gli anni 1998 e 1999, quanto a lire 6.830 milioni, le proiezioni per gli stessi anni dell'accantonamento riguardante il Ministero degli affari esteri e, quanto a lire 5.215 milioni, le proiezioni per gli stessi anni dell'accantonamento riguardante la Presidenza del Consiglio dei ministri.

2. Il Ministro del tesoro è autorizzato ad apportare, con propri decreti, le occorrenti variazioni di bilancio.

Artícolo 45. Entrata in vigore

1. La presente legge entra in vigore centoventi giorni dopo la sua pubblicazione nella Gazzetta Ufficiale. Per i trattamenti svolti senza l'ausilio di mezzi elettronici o comunque automatizzati che non riguardano taluno dei dati di cui agli articoli 22 e 24, le disposizioni della presente legge si applicano a decorrere dal 1 gennaio 1998. Fermo restando quanto previsto dall'articolo 9, comma 2, della legge 30 settembre 1993, n. 388, la presente legge entra in vigore il giorno successivo a quello della sua pubblicazione nella Gazzetta Ufficiale, limitatamente ai trattamenti di dati effettuati in esecuzione dell'accordo di cui all'articolo 4, comma 1, lettera a) e alla nomina del Garante.

LA ASAMBLEA GENERAL,

Profundamente preocupados por la tasa de infecciones nuevas por VIH/SIDA, así como por la cantidad de personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él en las Américas, en particular mujeres y niñas;

RECONOCIENDO:

La importancia que los Estados Miembros han asignado a la lucha contra el virus de la inmunodeficiencia humana (VIH) en las Américas, así como a la promoción y protección de los derechos humanos de las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él;

Que es necesario ampliar la participación de personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él en el diseño y ejecución de campañas masivas de información sobre la prevención y el tratamiento de la enfermedad, en un marco de protección de los derechos humanos e inclusión social, combatiendo la exclusión y la discriminación de todo tipo.

Que las personas viviendo con VIH/SIDA enfrentan una serie de barreras, incluyendo el estigma y la discriminación ejercidos por líderes comunitarios y religiosos, proveedores de servicios, agentes del Estado o aún sus propios familiares, la falta de acceso a seguro médico o servicios de salud adecuados, la pérdida o negación del empleo – y por ende del ingreso económico, la falta de acceso a créditos y la pérdida de vínculos familiares y sociales, así como otros obstáculos;

TENIENDO EN CUENTA:

La adopción, mediante la resolución AG/RES. 1732 (XXX-O/00), del Programa Interamericano sobre la Promoción de los Derechos Humanos de la Mujer y la Equidad e Igualdad de Género (PIA), en el cual los Estados Miembros de la OEA se comprometieron a desarrollar estrategias decisivas para integrar la perspectiva de género en todas las esferas de la vida pública como una forma para alcanzar la meta final de promover y proteger los derechos humanos de las mujeres y la igualdad de género;

La adopción por la Asamblea General de las Naciones Unidas (ONU), de la «Declaración de compromiso en la lucha contra el VIH/SIDA» (2001) y de la «Declaración política sobre el VIH/SIDA» (A/RES/60/262, 2006), en las cuales los Estados Miembros se comprometieron a eliminar todas las formas de discriminación y asegurar el pleno disfrute de todos los derechos humanos y libertades fundamentales de las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él;

La adopción por la Asamblea General de la ONU de la «Declaración política sobre el VIH y el SIDA: intensificación de nuestro esfuerzo para eliminar el VIH y el SIDA» (A/RES/65/277, 2011), en la cual los Estados Miembros se comprometieron además a «intensificar los esfuerzos nacionales encaminados a crear marcos jurídicos, sociales y normativos en cada contexto nacional a fin de eliminar el estigma, la discriminación y la violencia relacionados con el VIH y promover el acceso a la prevención, el tratamiento, la atención y el apoyo relativos al VIH y el acceso no discriminatorio a la educación, la atención de la salud, el empleo y los servicios sociales, a proporcionar protección jurídica a las personas afectadas por el VIH, incluidos el derecho a la herencia y el respeto de la intimidad y la confidencialidad, y a promover y proteger todos los derechos humanos y las libertades fundamentales, prestando especial atención a las personas vulnerables al VIH y afectadas por él» [par.77]; y

La adopción por la Asamblea de Delegadas de la Comisión Interamericana de Mujeres (CIM) de la Declaración de San Salvador sobre Género, Violencia y VIH (CIM/DEC. 4/07 (VII-E/07), 2007), en la cual las Delegadas de la CIM se comprometieron a intensificar los esfuerzos destinados a eliminar la violencia y la discriminación contra las mujeres, adolescentes y niñas viviendo con VIH/SIDA.

RECORDANDO:

El trabajo de la Comisión Interamericana de Derechos Humanos (CIDH) y de la CIM en el reconocimiento del riesgo, el estigma social, la discriminación y la violencia que enfrentan las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él;

Los esfuerzos de la CIDH y de la CIM para analizar el marco jurídico y normativo en torno al VIH e identificar los obstáculos que enfrentan las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él para el pleno ejercicio de sus derechos humanos;

La adopción del Plan Estratégico Regional para VIH/SIDA e ITS 2006-2015 por la Organización Panamericana de la Salud;

El trabajo y los avances de la sociedad civil y otros actores sociales a nivel nacional y regional en cuanto a una respuesta efectiva a las necesidades de las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él;

PREOCUPADOS por el exorbitante costo de los antiretrovirales y otros tratamientos que permiten a las personas viviendo con VIH/SIDA el pleno disfrute de sus derechos humanos; y

PROFUNDAMENTE PREOCUPADOS por la escasez de recursos financieros disponibles en la región para iniciativas de educación, sensibilización y cambio de comportamiento necesarias para frenar la tasa de infecciones nuevas por VIH;

RESUELVE:

1. Reafirmar su compromiso con la promoción y protección de todos los derechos humanos de las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él, de acuerdo con lo estipulado en la «Declaración política sobre el VIH y el SIDA: intensificación de nuestro esfuerzo para eliminar el VIH y el SIDA» (A/RES/65/277, 2011);

2. Continuar apoyando los esfuerzos de la CIDH y de la CIM para analizar el marco jurídico y normativo en torno al VIH/SIDA, en el contexto de los compromisos internacionales e interamericanos adquiridos por los Estados Miembros y promover y proteger todos los derechos humanos y libertades fundamentales, con particular atención a las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él;

3. Alentar a los Estados Miembros a que:

4. Instar a la Secretaría General a fortalecer la cooperación con los organismos internacionales que trabajan en temas de VIH/SIDA mediante el intercambio de experiencias y mejores prácticas y la realización de actividades conjuntas, coordinando esfuerzos y sumando capacidades para lograr el mayor impacto posible.

5. Instar a la Secretaría General a que fortalezca su cooperación con la Organización Panamericana de la Salud y con el Programa Conjunto de las Naciones Unidas sobre el VIH/SIDA (ONUSIDA), en el marco de la «Declaración política sobre el VIH y el SIDA: intensificación de nuestro esfuerzo para eliminar el VIH y el SIDA» (A/RES/65/277, 2011), mediante un acuerdo de cooperación, y desarrolle un Plan de Acción que incluya, entre otros objetivos:

6. Instar a la Secretaría General que en la movilización de fondos para proyectos específicos incluya proyectos y programas destinados a las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él.

7. Instar a la Secretaría General que se continúe estimulando la participación de las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él en los foros y reuniones de la OEA.

8. Trabajar con la Organización Panamericana de la Salud en el marco de su Consejo Directivo para declarar el año 2015 «Año interamericano para proteger los derechos humanos de las personas vulnerables al VIH/SIDA, viviendo con VIH/SIDA y afectadas por él» e instar a los Estados Miembros y a la Secretaría General a participar en su conmemoración con actividades de política y de cultura orientadas a la protección y la promoción de los derechos humanos y libertades fundamentales, en particular de estas personas.

9. Solicitar al Consejo Permanente que informe a la Asamblea General, en su cuadragésima cuarto período ordinario de sesiones, sobre la implementación de la presente resolución. La ejecución de las actividades previstas en esta resolución estará sujeta a la disponibilidad de recursos financieros en el programa-presupuesto de la Organización y otros recursos.

——————————————————————————————————————　

(1) La Delegación de San Vicente y las Granadinas reconoce la sumamente valiosa y vasta labor de la Organización Panamericana de la Salud (OPS) para reducir el alto índice de infecciones por VIH/SIDA en el Hemisferio. San Vicente y las Granadinas considera que las campañas de educación y concienciación que realiza la OPS y el apoyo al tratamiento asequible y el bienestar general de la población que vive y está afectada por el VIH/SIDA ya comprende las estrategias para reducir el estigma y eliminar la discriminación vinculados a esta enfermedad. Estas estrategias toman en cuenta las políticas y leyes públicas, en lo necesario.

Recurso contencioso-administrativo núm. 271/2001.

Jurisdicción: Contencioso-Administrativa

Ponente: Ilmo. Sr. D. Eduardo Calvo Rojas

PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL: Normativa aplicable: movimiento internacional de datos: régimen jurídico: norma general y excepciones; Instrucción 1/2000, de 1 diciembre: transferencia de datos cuyo destinatario situado en territorio de un Estado no miembro, respecto del que no se haya declarado un adecuado nivel de protección: potestad de la Agencia: extralimitación: examen; disposiciones generales: aplicación a todo tipo de transferencias sin distinción entre ellas y con independencia del país de destino: extralimitación: nulidad; transferencia que tengan por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero: potestad de la Agencia: improcedencia de articular mecanismos de control equivalentes a la autorización previa expresamente excluida por la Ley: nulidad.

La Agencia de Protección de Datos dictó Instrucción 1, de 1-12-2000, relativa a las normas por las que se rigen los movimientos internacionales de datos.

La Audiencia Nacional estima en parte el recurso contencioso-administrativo interpuesto anulando el apartado 2 de la norma 3ª y la norma 6ª de dicha Instrucción, si bien ambos únicamente en cuanto pretenden extender su aplicación a las transferencias internacionales de datos comprendidas en los supuestos de excepción del artículo 34 de la LO 15/1999, de 13 diciembre, y anulando también el apartado 1 de la norma 4ª de la misma Instrucción, desestimando en lo demás la pretensión de la demandante.

Madrid, a quince de marzo de dos mil dos.

La Sala constituida por los señores Magistrados relacionados al margen ha visto el recurso contencioso-administrativo número 271/2001 interpuesto por el Procurador don Oscar G. S. G. en representación de la Asociación Nacional de Entidades de Financiación (ASNEF) contra la Instrucción 1/2000, de 1 de diciembre (RCL 20002875), de la Agencia de Protección de Datos, relativa a las normas por las que se rigen los movimientos internacionales de datos. Ha sido parte demandada en las presentes actuaciones la Administración del Estado, representada por la Abogacía del Estado.

ANTECEDENTES DE HECHO

PRIMERO.– Admitido el recurso y previos los oportunos trámites se confirió traslado a la parte actora para que formalizase la demanda, lo que llevó a efecto mediante escrito presentado el 11 de septiembre de 2001 en el que tras alegar los hechos y fundamentos de derecho que consideró oportunos termina solicitando que se dicte sentencia estimatoria del recurso en la que «… anulando y revocando en su totalidad la Instrucción 1/2000, de 1 de diciembre (RCL 20002875), de la Agencia de Protección de Datos, relativa a las normas por las que se rigen los movimientos internacionales de datos, publicada el Boletín Oficial del Estado número 301 de 16 de diciembre, declare su no aplicabilidad apercibiendo de todo ello a la Administración recurrida, y, todo ello, condenando en todo caso a la Administración demandada, la Agencia de Protección de Datos, al pago de las costas causadas en este procedimiento».

SEGUNDO.- El Abogado del Estado contestó la demanda mediante escrito presentado el 27 de noviembre de 2001 en el que, tras exponer los hechos y fundamentos de derecho que estimó oportunos solicita el dictado de sentencia en la que se desestime el recurso y se confirme la resolución recurrida por ser conforme a derecho, con imposición de las costas a la parte recurrente.

TERCERO.– No habiéndose solicitado el recibimiento a prueba solicitado ni el trámite de vista o conclusiones quedaron las actuaciones pendientes de señalamiento para votación y fallo fijándose finalmente al efecto el día 13 de marzo del presente año, fecha en que tuvo lugar la deliberación y votación.

Ha sido Ponente el Ilmo. Sr. D. Eduardo Calvo Rojas.

FUNDAMENTOS DE DERECHO

PRIMERO.- El presente recurso lo dirige la Asociación Nacional de Entidades de Financiación (ASNEF) contra la Instrucción 1/2000, de 1 de diciembre (RCL 20002875), de la Agencia de Protección de Datos, relativa a las normas por las que se rigen los movimientos internacionales de datos y publicada el Boletín Oficial del Estado núm. 301, de 16 de diciembre de 2000.

Nos encontramos entonces ante una impugnación directamente dirigida contra una Instrucción dictada por el Director de la Agencia en ejercicio de la atribución que le confiere el artículo 37.c) de la Ley Orgánica 15/1999, de 13 de diciembre (RCL 19993058), de Protección de Datos de Carácter Personal, donde se establece la competencia de la mencionada Agencia de Protección de Datos para dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la presente Ley.

La demandante no cuestiona la competencia de la Agencia para dictar esta clase de «instrucciones» sino el contenido y alcance de la concreta instrucción aquí recurrida, que a juicio de la demandante se ha extralimitado del ámbito de las atribuciones que la Agencia tiene legalmente reconocidas. Ahora bien, la parte actora se ha encargado de especificar en la argumentación de su escrito demanda los apartados de esa Instrucción que a su juicio incurren en aquella extralimitación (se trata, básicamente, del apartado 2 de la Norma Tercera, el apartado 1 de la Norma Cuarta, los apartados 1 y 2 de la Norma Quinta así como la Norma Sexta, y en particular un determinado párrafo de su apartado 2, de la mencionada Instrucción 1/2000). Y puesto que la argumentación de la demandante se centra en esas concretas disposiciones podemos ya anticipar que, en caso de prosperar la impugnación, la estimación del presente recurso no habrá de acarrear la nulidad o anulación de toda la Instrucción -así se solicita en el suplico de la demanda- sino sólo la de aquellos apartados específicamente impugnados en los que se apreciase disconformidad a derecho; y, en su caso, la de aquellos otros apartados que, aun no habiendo sido concretamente impugnados, estén intrínsecamente vinculados a aquéllos por razón de su contenido o por el juego de remisiones que la propia Instrucción impugnada realiza entre sus distintas normas.

SEGUNDO.– La referencia legal inexcusable para determinar si la Instrucción impugnada es o no ajustada a derecho viene dada por lo dispuesto en los artículos 33 y 34 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que regulan el «movimiento internacional de datos» en los términos que seguidamente enunciaremos. De momento conviene señalar que a través de estos preceptos legales se realiza la transposición a nuestro ordenamiento jurídico de lo dispuesto en materia de transferencia internacional de datos en el capítulo IV, artículos 25 y 26, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 (LCEur 19952977), relativa a la protección de las personas físicas en lo que afecta al tratamiento de datos personales y a la libre circulación de estos datos.

La Directiva 95/46/CE define su objeto con una expresa referencia a la necesaria garantía de la protección de las libertados y de los derechos fundamentales de las personas física, y, en particular, del derecho a la intimidad en lo que respecta al tratamiento de los datos personales (artículo 1.1); pero inmediatamente después establece, dentro todavía de ese artículo dedicado a definir su objeto, que los Estados miembros no podrán restringir ni prohibir la libre circulación de datos personales entre los Estados miembros por motivos relacionados con la protección garantizada en virtud del apartado 1 (artículo 1.2). Es decir, la Directiva propugna decididamente la necesidad de adoptar garantías de protección, pero al mismo tiempo indica que ninguna medida protectora o garantizadora podrá restringir y, menos aún, prohibir la libre circulación de datos personales entre los Estados miembros.

Siendo éste el punto de partida de la Directiva, resulta congruente que la regulación de las transferencias de datos contenida en sus artículos 25 y 26 se refiera exclusivamente a las «transferencias de datos personales a países terceros». No se considera necesaria ninguna indicación o cautela respecto a las transferencias de datos entre Estados miembros, pues entre ellos rige aquel principio de libre circulación de datos personales destacado en el artículo 1.2 de la propia Directiva.

Partiendo de estas premisas, el artículo 25.1 de la Directiva determina que los Estados miembros dispondrán que la transferencia de datos a un país tercero únicamente pueda efectuarse cuando, sin perjuicio del cumplimiento de las disposiciones nacionales, el país tercero garantice un adecuado nivel de protección; y seguidamente se enuncian algunos criterios para evaluar el carácter adecuado del nivel de protección de los datos (artículo 25.2). Pero a continuación el artículo 26 establece, por vía de excepción, que no obstante lo dispuesto en el artículo anterior, y salvo disposición contraria del derecho nacional, los Estados miembros dispondrán que pueda efectuarse una transferencia de datos a países terceros que no garanticen un nivel de protección adecuado siempre y cuando concurran algunos de los supuestos que la propia Directiva detalla [artículo 26.1, apartados a) al f) y artículo 26.2 de la Directiva].

TERCERO.- Sin perjuicio de que en buena medida estaban ya anticipados en la Ley Orgánica 5/1992, de 29 de octubre (RCL 19922347) (artículos 32 y 33 LORTAD), los principios de la Directiva 95/46/CE han quedado ahora incorporados a nuestro ordenamiento jurídico a través de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, cuyos artículos 33 y 34 regulan, como ya sabemos, el «movimiento internacional de datos». Ahora bien, sin apartarse en lo sustancial de los parámetros marcados en la Directiva, el legislador español ha optado por una sistemática diferente y que seguidamente pasamos a sintetizar.

El esquema legal consiste en una norma general y una serie de excepciones. La norma general viene establecida en el artículo 33 de la Ley Orgánica 15/1999, cuyo apartado 1) se refiere a las transferencias temporales o definitivas de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley; y determina esta norma general que no podrán realizarse tales transferencias salvo que, además de haberse observado lo dispuesto en la propia Ley, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas. Por lo demás, el apartado 2) del mismo artículo 33 enuncia los criterios a seguir para evaluar si un determinado país ofrece o no un adecuado nivel de protección.

Las excepciones, o, como determina expresamente el legislador, supuestos en los que lo dispuesto en el artículo anterior no será de aplicación, vienen enumeradas en los once apartados [del a) al k)] que integran el artículo 34 de la propia Ley Orgánica 15/1999. De entre estas excepciones merece que destaquemos ahora, pues la Instrucción objeto de litigio las menciona específicamente, las establecidas en apartado a): cuando el afectado haya dado su consentimiento inequívoco a la transferencia prevista; el apartado g): cuando la transferencia sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del afectado, por el responsable del fichero y un tercero; y, en fin, la excepción del apartado k): cuando la transferencia tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado.

Es así incuestionable la voluntad del legislador de que las transferencias internacionales de datos queden excluidas del trámite de la autorización por el Director de la Agencia de Protección de Datos en todos y cada uno de los supuestos que enumera el artículo 34. Y debe notarse que entre estos supuestos de excepción se encuentran las transferencias de datos entre Estados miembros de la Unión Europea. Es decir, que aquel principio de libre circulación de datos personales entre los Estados miembros que la Directiva 95/46/CE quiso destacar incluyéndolo en el precepto que define el objeto mismo de la Directiva (artículo 1), encuentra reflejo en nuestra legislación en forma de excepción a la regla que exige la autorización previa para las transferencia internacionales de datos. Pero el que su plasmación en nuestro ordenamiento se haya producido de esta forma tan modesta, junto con otras excepciones de muy diversa significación, no puede ir en menoscabo de la firmeza ni de la necesaria observancia de aquel principio básico del Derecho Comunitario.

En fin, la existencia de las mencionadas excepciones a la regla general en modo alguno significa, claro es, que en estos supuestos inexigibilidad de la autorización previa el responsable del fichero que promueve la transferencia de datos quede liberado del conjunto de deberes y obligaciones que le impone la Ley Orgánica 15/1999; ni que pueda eludir las responsabilidades derivadas de su actuación. Únicamente queda liberado de la exigencia de autorización previa de la transferencia por el Director de la Agencia, y ello por disponerlo así de manera expresa el mencionado artículo 34.

CUARTO.– Atendiendo precisamente a la sistemática de ese régimen legal que acabamos de sintetizar, lo primero que destaca en la Instrucción recurrida es que no aparecen en ella separados con la debida nitidez los supuestos regidos por la regla general y aquellos otros en los que por vía de excepción no opera la necesidad de autorización previa.

Más aún, podría cuestionarse incluso el modo en que la Norma Primera de la Instrucción define su ámbito de aplicación señalando que «la presente Instrucción será de aplicación a cualquier supuesto de transferencia internacional de datos de carácter personal». Frente a este enunciado podría aducirse que con relación a aquellos supuestos de transferencia de datos que el legislador ha querido dispensar del trámite de autorización previa no procede que se dicte Instrucción ni norma de desarrollo alguna, sin perjuicio, claro es, de la debida observancia de la totalidad del régimen legal aplicable. Sin embargo, no abundaremos más en esta línea de argumentación porque, aparte de que la mencionada Norma Primera de la Instrucción no ha sido específicamente impugnada, no cabe ignorar que con relación a estos supuestos en que no es exigible la autorización previa también puede resultar precisa alguna instrucción o norma de carácter instrumental como es, por ejemplo, la relativa al modo en que habrá de realizarse la preceptiva notificación de la transferencia de datos a efectos de su inscripción en el Registro General de Protección de Datos (véase el apartado 1 de la Norma Tercera de la Instrucción, al que luego volveremos a referirnos).

Lo que no resultaría aceptable -y según la demandante esto es lo que ha sucedido- es que por la vía de la Instrucción y con el pretexto de que debe comprobarse la concurrencia de los supuestos de excepción alegados, la Agencia de Protección de Datos pretendiese articular un control previo alternativo que vendría a operar en sustitución de aquella «autorización previa» que el legislador ha querido expresamente excluir.

QUINTO.- La Norma Tercera de la Instrucción recurrida aparece incluida entre las que la propia Instrucción denomina «disposiciones generales», aplicables por tanto a toda clase de transferencias internacionales de datos. Dicha Norma Tercera se refiere en su apartado 1) a la obligación de dirigir la oportuna notificación al Registro General de Protección de Datos cuando se pretenda realizar una transferencia internacional de datos, lo que deberá hacerse constar en el momento de promover la inscripción del fichero o, si éste estuviese inscrito con anterioridad, instando la oportuna modificación de la inscripción. Nada que objetar a estas determinaciones que, por lo demás, no hacen sino desarrollar lo dispuesto en el último inciso del artículo 26.2 de la Ley Orgánica 15/1999.

Donde se inicia propiamente la controversia es con relación a lo dispuesto en el apartado 2) de esta Norma Tercera, que regula la potestad de la Agencia de Protección de Datos para:

Recabar del responsable del fichero las aportaciones documentales que se consideren necesarias para completar la información relativa a la transferencia internacional. Requerir a dicho responsable para que aporte la documentación acreditativa del cumplimiento de la obligación a que se refiere la Norma Segunda de la propia Instrucción (dicha Norma Segunda invoca lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999 para establecer que el responsable del fichero tiene el deber de informar al afectado sobre el hecho, el destino y la finalidad de la transferencia de datos que pretenda realizar).

Requerir asimismo al responsable del fichero que acredite, si lo hubiese alegado, el consentimiento del afectado o la relación contractual que motive la transferencia. Y, en fin, solicitar del responsable del fichero que acredite los extremos a los que se refiere la Sección Segunda de la presente Instrucción [es difícil determinar el sentido y alcance de este último inciso pues la mencionada Sección Segunda, en la que se incluyen las Normas Cuarta, Quinta y Sexta de la Instrucción, contiene disposiciones heterogéneas y no es fácil acotar dentro de ellas cuáles son los «extremos» sobre los que la Agencia, al amparo de este inciso de la Norma Segunda, podría recabar su acreditación; y la confusión es aún mayor cuando se advierte que, en una especie de «juego de los espejos», el apartado 1) de la Norma Cuarta se remite a su vez a este apartado 2) de la Norma Tercera cuando se refiere al requerimiento que la Agencia puede formular al responsable del fichero para que aporte documentación complementaria. No obstante, volveremos a referirnos a este inciso cuando examinemos la impugnación dirigida contra la Norma Sexta de la Instrucción].

Pues bien, para determinar si estas disposiciones contenidas en el apartado 2) de la Norma Tercera de la Instrucción son o no ajustadas a derecho resulta imprescindible diferenciar -aunque la Norma examinada no lo hace- según que vengan referidas a las transferencias de datos sujetas a autorización previa o, por el contrario, a cualquiera de los supuestos de excepción enumerados en el artículo 34 de la Ley Orgánica 15/1999. El problema de partida que presenta este apartado 2) de la Norma Tercera es, precisamente, que pretende referirse de manera indistinta a toda clase de transferencias internacionales de datos siendo así que, por imperativo legal, el margen de actuación y las posibilidades de intervención de la Agencia de Protección de Datos son muy distintos en uno y otro caso.

SEXTO.- Con relación a las transferencias internacionales de datos con destino a países que no proporcionen un nivel adecuado de protección -supuesto general del artículo 33.1 de la Ley Orgánica 15/1999– no se advierte que las disposiciones contenidas en la Norma Tercera.2) de la Instrucción hayan incurrido en extralimitación, pues aquí la habilitación legal conferida a la Agencia es sumamente amplia y no sólo supone que la transferencia de datos está sujeta a la autorización previa del Director de la Agencia sino que el precepto legal añade que dicha autorización «…sólo podrá otorgarla si se obtienen garantías adecuadas». Este inciso justifica, o incluso exige, que la Agencia de Protección de Datos adopte determinadas cautelas y requerimientos, como son las establecidas en esta Norma Tercera.2) de la Instrucción, pues sólo de este modo pueden lograrse esas «garantías adecuadas» sin las cuales no es posible la autorización de la transferencia de datos.

Podría cuestionarse si está justificado el párrafo en el que se establece que por parte de la Agencia «…podrá solicitarse del responsable del fichero para que aporte la documentación que acredite el cumplimiento de la obligación a la que se refiere la Norma Segunda de esta Instrucción». Más aún, cabría incluso cuestionar la conformidad a derecho de esa Norma Segunda, pues aunque en ella se invoca lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999 para imponer al responsable del fichero el deber de informar al afectado sobre el hecho, el destino y la finalidad de la transferencia de datos que se pretenda realizar, lo cierto es que ningún apartado del mencionado artículo 5 de la Ley Orgánica establece de manera específica el deber de informar a los interesados sobre las transferencias internacionales de los datos que les afecten. Sin embargo, y puesto que existen también argumentos para considerar que la Norma Segunda no incurre en extralimitación, no procede que profundicemos más en este punto dado que esta Norma Segunda de la Instrucción no ha sido impugnada por la demandante ni sobre ella se ha suscitado debate. Y siendo ello así, no cabe considerar contrario a derecho el párrafo anteriormente transcrito pues la posibilidad de formular un requerimiento para constatar el cumplimiento de aquel deber de información a los afectados sería una de las cautelas que la Agencia de Protección de Datos puede y debe adoptar cuando se trata de transferencias internacionales de datos con destino a países que no proporcionen un nivel adecuado de protección.

SÉPTIMO.– Ya hemos señalado que la Norma Tercera de la Instrucción pretende ser de aplicación a toda clase de transferencias internacionales de datos.

Podría pensarse que la mencionada Norma Tercera excluye al menos de su ámbito de aplicación las transferencias de datos a países miembros de la Unión Europea, supuesto éste que, como sabemos, está incluido en la excepción del artículo 34.k) de la Ley Orgánica 15/1999 y al que la Instrucción recurrida no se refiere de manera expresa a lo largo de su articulado. Esta hipótesis parece reforzada por el hecho de que la Norma Cuarta de la Instrucción, que se dedica específicamente a las transferencias al territorio de Estados no miembros de la Unión Europea que otorguen un nivel adecuado de protección, tampoco menciona las transferencias a países de la Unión Europea siendo así que unas y otras están incluidas en la misma excepción del artículo 34.k). Sin embargo, todo indica que la Norma Tercera pretende ser de aplicación a toda clase de transferencias internacionales, sin distinción alguna entre ellas y con independencia de cuál sea el país de destino. Esta vocación de aplicabilidad general y sin distinciones se reconoce expresamente el Preámbulo de la Instrucción (apartado III) y la confirma el hecho de que la Norma Tercera está incluida en la Sección-I referida a «disposiciones generales». En fin, la pretensión de aplicabilidad a toda clase de transferencias internacionales de datos -incluidas, por tanto, aquellas en las que concurra cualquiera de los supuestos de excepción del artículo 34 de la Ley Orgánica 15/1999– queda inequívocamente demostrada desde el momento en que la propia Norma Tercera se refiere en su apartado 2) a alguno de esos supuestos de excepción, como son el consentimiento del afectado y la existencia de una relación contractual que motive la transferencia.

Pues bien, es precisamente esta vocación expansiva la que nos lleva a concluir que el apartado 2) de la Norma Tercera de la Instrucción no puede ser considerado ajustado a derecho en la medida en que pretende ser aplicable en los supuestos de excepción que enumera en artículo 34 de la Ley Orgánica 15/1999 siendo así que en estos casos no cabe -ya lo dijimos- articular unos trámites o mecanismos de control de significación equivalente a la autorización previa que ha sido expresamente excluida por el legislador.

Por supuesto, la transferencia internacional de datos -esté o no sujeta a autorización previa- no excluye que sean de aplicación el conjunto de disposiciones de la Ley Orgánica 15/1999, ni impide o menoscaba el ejercicio de las competencias (inspectoras, sancionadoras,…) que la legislación atribuye a la Agencia de Protección de Datos; y así nos lo recuerda la propia Instrucción recurrida en el párrafo primero su Norma Segunda. Pero no resulta aceptable que estas potestades de comprobación o incluso de inspección encaminadas a asegurar el cumplimiento de la Ley las ejerza la Agencia precisamente al tener conocimiento de que pretende realizarse una transferencia de datos para la que no es necesaria su autorización; y menos aun cabe aceptar que a los requerimientos realizados en esa ocasión se les atribuya la virtualidad de, si no son atendidos dentro del plazo señalado, impedir la inscripción y con ello la propia viabilidad de la transferencia [apartado 3) de la Norma Tercera].

El Abogado del Estado aduce que si el responsable del fichero alega encontrase en un supuesto de excepción -en los que la transferencia de datos no necesita autorización- resulta procedente que la Agencia pueda solicitar alguna justificación que le permita constatar que efectivamente concurre el supuesto de excepción. El planteamiento es correcto, pero sucede que la Norma Tercera.2) -y, por la remisión que hace a ésta, lo mismo ocurre con la Norma Cuarta.1) de la Instrucción- no se limita a permitir que la Agencia formule al responsable del fichero un requerimiento encaminado constatar la excepción, sino que contempla la posibilidad de que le requiera la aportación de otros documentos y la justificación del cumplimiento de obligaciones que no guardan relación con la concurrencia de la excepción alegada.

OCTAVO.– El apartado 1) de la Norma Cuarta de la Instrucción recurrida viene a señalar que cuando la transferencia internacional tenga por destinatario una persona o entidad pública o privada situada en territorio de un Estado no miembro de la Unión Europea respecto del que se haya declarado un adecuado nivel de protección o que sea miembro del Espacio Económico Europeo (la Instrucción no precisa el alcance de esta expresión pero no debe ser confundida con la de ser miembro de la Unión Europea), se podrá requerir al responsable del fichero la aportación de la documentación a la que se refiere el apartado segundo de la norma tercera de esta instrucción.

Esta remisión que hace la Norma Cuarta.1) a lo dispuesto en la Norma Tercera.2) determina que debamos considerar aplicables a aquélla todas las consideraciones ya expuestas con relación a ésta. Y aquí ni siquiera es necesario hacer la salvedad de que la norma es contraria a derecho sólo en la medida en que pretende aplicarse supuestos de excepción en los que la Ley ha excluido la autorización previa, pues sucede que el mencionado apartado 1) de la Norma Cuarta se refiere específicamente a uno de esos supuestos de excepción.

NOVENO.- Con relación a las normas que llevamos examinadas la argumentación de la demandante se orienta en la línea de los razonamientos que hemos expuesto en apartados anteriores, aunque lo hace con una sistemática diferente y, además, se detiene y pone el acento en determinados aspectos que no favorecen precisamente su pretensión anulatoria.

Así, además de señalar que las normas Tercera.2) y Cuarta.1) de la Instrucción recurrida pretenden establecer unos mecanismos de control al margen de lo dispuesto en los artículos 33 y 34 de la Ley Orgánica 15/1999 -planteamiento que, según lo que llevamos expuesto, comparte esta Sala- la demandante pone luego especial interés en destacar que en determinados casos al responsable del fichero le resultaría imposible atender el requerimiento que la Agencia le dirigiese al amparo de las normas mencionadas. Para ello pone algunos ejemplos, como es el caso de una entidad que crea un fichero que tiene como finalidad la transferencia de datos a terceros países, siempre con el consentimiento del afectado, pero que en el momento de su creación no tiene un solo dato; aduce la demandante que en este momento inicial, el de la inscripción del fichero, le será imposible al responsable acreditar que está solicitando el consentimiento a los afectados porque éstos todavía no existen. Con este y otro ejemplo similar la demandante pretende poner de manifiesto que, además de incurrir en extralimitación con relación a las previsiones legales, la Instrucción impugnada contiene disposiciones de imposible cumplimiento.

El mismo ejemplo que propone la demandante sirve para demostrar la inconsistencia de su planteamiento. Para que opere el supuesto de excepción en el que no sería necesaria la autorización previa de la Agencia no basta con que el responsable del fichero manifieste su propósito de recabar en su día el consentimiento de los afectados, pues el artículo 34.e) de la Ley Orgánica 15/1999 se refiere al caso en que el afectado haya dado su consentimiento inequívoco a la transferencia prevista. Quiere con ello decirse que, salvo que concurriese algún otro supuesto de excepción que no se menciona en el relato, el ejemplo que propone la demandante quedaría comprendido en la regla general del artículo 33.1 de la Ley Orgánica; la transferencia de datos estaría sujeta, por tanto, al trámite de autorización por la Agencia, y antes de ello la Agencia podría dirigir al responsable los requerimientos que resultasen procedentes para obtener las garantías adecuadas conforme a lo previsto en el último inciso del mencionado artículo 33.1. En fin, no parece presumible que en el caso del ejemplo la Agencia fuese a formular un requerimiento encaminado a acreditar el consentimiento de los afectados; tal requerimiento tendría sentido únicamente cuando el responsable hubiese alegado que cuenta con ese consentimiento, pues sólo entonces sería relevante a efectos de que opere la dispensa de autorización previa.

No son, entonces, estas razones de imposibilidad de cumplimiento que aduce la demandante, sino las que hemos expuesto con anterioridad, las que nos llevan a considerar que la Norma Tercera.2) de la Instrucción recurrida es contraria a derecho en cuanto pretende extender su aplicación a las transferencias internacionales de datos comprendidas en los supuestos de excepción del artículo 34 de la Ley Orgánica 15/1999. Y por las mismas razones debe considerarse contraria a derecho al Norma Cuarta.1) de la mencionada Instrucción.

DÉCIMO.– La pretensión anulatoria de la demandante debe ser en cambio desestimada en lo que afecta a la Norma Quinta de la Instrucción.

Esta Norma Quinta se refiere al caso de que la transferencia internacional de datos tenga por destinatario una persona o entidad pública o privada situada en territorio de un Estado no miembro de la Unión Europea respecto del que no se haya declarado un adecuado nivel de protección o que no pertenezca al Espacio Económico Europeo. Dentro de esa rúbrica común, el apartado 1) de la Norma Quinta se refiere a los casos en que el transmitente se funde en alguno de los supuestos comprendidos en los apartados a) a j) del artículo 34 de la Ley Orgánica 15/1999, mientras que el apartado 2) se refiere a aquellas transferencias cuando no se hubiese invocado ninguno de aquellas circunstancias de excepción o habiéndose alegado no hubiese quedado acreditada.

En la hipótesis del apartado 1) la norma se limita a señalar que la Agencia de Protección de Datos podrá requerir al responsable del fichero para que aporte la documentación que justifique su alegación. Nada hay que objetar a esta previsión pues, como ya anteriormente tuvimos ocasión de señalar, si el responsable del fichero alega encontrase en un supuesto de excepción -en los que la transferencia de datos no necesita autorización- resulta procedente que la Agencia pueda solicitar alguna justificación que le permita constatar que efectivamente concurre la circunstancia alegada. Y respecto a la argumentación de la demandante -ilustrada de nuevo con ejemplos- en la que se cuestiona esta Norma Quinta.1) alegando también que en determinados casos puede resultar imposible al responsable del fichero atender al requerimiento de la Agencia, nos remitimos a las consideraciones que expusimos en el Fundamento Jurídico Noveno, en el que creemos haber puesto de manifiesto la inconsistencia del ejemplo y, en definitiva, del argumento de la demandante.

Con mayor motivo debe ser desestimada la impugnación dirigida contra el apartado 2) de la Norma Quinta, pues allí se trata del supuesto en que no se hubiese invocado ninguna de aquellas circunstancias de excepción o, habiéndose alegado, no hubiese quedado acreditada -hipótesis de la regla general del artículo 33 de la Ley Orgánica 15/1999– y lo que este apartado de la Instrucción se limita a señalar, en perfecta consonancia con el precepto legal, es que en tal caso será necesario recabar la autorización del Directos de la Agencia de Protección de Datos.

Los apartados 3) al 8) de la Norma Quinta no han sido específicamente impugnados ni sobre ellos ha formulado la demandante ningún argumento o reproche, por lo que prescindiremos de realizar aquí consideración alguna sobre ellos.

UNDÉCIMO.– Se cuestiona también en la demanda la conformidad a derecho de la Norma Sexta de la Instrucción, que aborda las «especialidades en las transferencias que tengan por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero». Pero conviene desde ahora señalar que la impugnación de esta Norma Sexta se formula de manera algo confusa. Así, el punto 6) de la fundamentación jurídica de la demanda -que reproduce de forma casi literal el Hecho Quinto de la propia demanda- sólo se detiene en un párrafo muy concreto al que luego nos referiremos; en cuanto al resto de los apartados de la Norma Sexta se limita la demandante a impugnarlos remitiéndose a las mismas cuestiones y argumentaciones aducidas en los apartados anteriores de la demanda. Pues bien, aunque esta referencia a lo anteriormente razonado no resulta ociosa, esta Sala considera que para determinar si la Norma Sexta es o no ajustada a derecho no basta con esa genérica y algo inexpresiva remisión; por ello añadiremos algunas consideraciones específicas. Veamos.

El apartado 1) de la Norma Sexta se refiere tanto a la forma que habrá de utilizarse cuando la transferencia internacional tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero -necesariamente mediante contrato escrito- como a las condiciones que deben estipularse en los contratos relativos a ese tipo de transferencias. El apartado 2) de dicha Norma Sexta señala que la receptora de la transferencia no podrá comunicar los datos, ni siquiera para su conservación, a otras personas, que si la transmitente deseara que se presten servicios de tratamiento por parte de varias entidades distintas situadas fuera del territorio nacional deberá contratar dichos servicios con cada una de ella y, en fin, que no es posible que la destinataria subcontrate esta segunda actividad con otra empresa, a menos que actúe en nombre y por cuenta del responsable del fichero.

No merece objeciones el que la Agencia de Protección de Datos haya considerado necesario articular algunas disposiciones específicas referidas a las transferencias internacionales de datos realizadas con un determinado objeto. Ahora bien, como límite a esta potestad de la Agencia de dictar instrucciones debemos señalar que por más que la transferencia tenga esa concreta finalidad -la realización de un tratamiento de datos por cuenta del responsable del fichero- si concurre algunos de supuestos contemplados en el tantas veces mencionado artículo 34 de la Ley Orgánica 15/1999 resultan plenamente aplicables las consideraciones que ya hemos expuesto sobre la improcedencia de que la Agencia pretenda articular unos trámites o mecanismos de control de significación equivalente a la autorización previa que ha sido expresamente excluida por el legislador.

Es cierto que precisamente con relación a estas transferencias que tienen una finalidad instrumental muy determinada no resulta fácil imaginar que se invoquen algunas de las circunstancias previstas en el mencionado artículo 34. Pero otros de esos supuestos de excepción, y, desde luego, el que aparece previsto en el artículo 34.k) -que la transferencia tenga como destino un Estado miembro de la Unión Europea o un Estado con respecto al cual se haya declarado que garantiza un nivel de protección adecuado- sí tienen perfecta cabida aunque la transferencia tenga aquella finalidad instrumental; y entonces no hay razón para que se les pretenda aplicar un régimen distinto al querido por el legislador.

Cabría objetar que aunque la Norma Sexta fija unos requisitos de forma y de fondo de los contratos en los que se estipulen este tipo de transferencias, no se establecen en dicha Norma unos trámites y requerimientos que supongan el ejercicio por parte de la Agencia de un control equivalente a la autorización previa. Sucede sin embargo que, aunque no queda plasmado en la propia Norma Sexta, el carácter imperativo de aquellos requisitos -y su virtualidad para dejar en suspenso la transferencia de datos mientras no se acredite su cumplimiento- resulta claro de lo dispuesto de la Norma Tercera.2) que, según sabemos, está referida a toda clase de transferencias internacionales y que en su penúltimo párrafo establece que entre los requerimientos que la Agencia puede formular al responsable del fichero se incluyen los destinados a acreditar los extremos a los que se refiere la Sección Segunda de la presente Instrucción [recuérdese que la Norma Sexta forma parte de esta Sección Segunda a la que se refiere la Norma Tercera.2)].

En consecuencia, y al igual que señalábamos anteriormente con relación a la Norma Tercera.2), también la Norma Sexta de la Instrucción debe ser considerada contraria a derecho en la medida en que pretende ser aplicable en los supuestos de excepción que enumera en artículo 34 de la Ley Orgánica 15/1999.

DUODÉCIMO.- El punto de partida es netamente diferente si se examina la Norma Sexta en tanto que referida a transferencias internacionales de datos en las que no concurre ninguna de las circunstancias de excepción del artículo 34 de la Ley Orgánica 15/1999, pues entonces la transferencia no sólo está sujeta al régimen general que se concreta en la necesaria autorización previa sino que, por disposición expresa del artículo 33, la Agencia de Protección de Datos puede otorgar esa autorización sólo si se obtienen las garantías adecuadas, exigencia ésta que habilita a la Agencia para establecer requerimientos que aseguren la obtención de tales garantías.

Partiendo de esta premisa, lo cierto es que la demandante no ha expuesto de forma pormenorizada las razones por las que a su juicio procede que la Norma Sexta quede enteramente anulada. Así, aparte de remitirse a las mismas cuestiones y argumentaciones aducidas en los apartados anteriores de la demanda -remisión que ya hemos mencionado y completado- la demandante utiliza una fórmula algo críptica para dirigir su reproche contra «…la parte correspondiente de la Norma Sexta de la Instrucción recurrida y, en particular también, al segundo párrafo del apartado 2 de la citada norma».

La exposición contenida en la demanda no nos permite determinar cuál es esa parte correspondiente de la Norma Sexta a la que se refiere la demandante en el primer inciso del párrafo que acabamos de transcribir. Lo único que sí deja claro es que impugna, en particular, el párrafo segundo del apartado 2) de la Norma Sexta donde se dispone que no es posible «… que la destinataria subcontrate esta segunda actividad con otra empresa, a menos que actúe en nombre y por cuenta del responsable del fichero». Pues bien, dada la relación de este concreto inciso con el resto de lo dispuesto en el apartado 2) y con lo establecido en los apartados 1) y 3) de la Norma Sexta, no se aprecian razones para considerar falto de cobertura y, en definitiva, contrario a derecho precisamente el inciso de referencia y no así los otros párrafos y apartados a los que aquél aparece vinculado y contra los cuales, sin embargo, la parte actora no ha desarrollado ningún argumento de impugnación.

No cabe descartar que, atendiendo a su contenido y puestos en relación con los preceptos de la Ley Orgánica 15/1999, algunos otros párrafos y apartados de la Norma Sexta de la Instrucción pudieran haber sido objeto de algún reproche u objeción; pero, puesto que no lo han sido, no debe prosperar una pretensión anulatoria referida al concreto inciso señalado por la demandante pues, aparte de no estar suficientemente argumentada esta impugnación tan selectivamente acotada, carecería de sentido y resultaría perturbador un eventual pronunciamiento estimatorio referido a un punto tan concreto, con el consiguiente fraccionamiento de la norma.

DECIMOTERCERO.- Por las razones expuestas el presente recurso debe ser estimado en parte, siendo procedente que anulemos el apartado 2) de la Norma Tercera y la Norma Sexta de la Instrucción recurrida en cuanto pretenden extender su aplicación a las transferencias internacionales de datos comprendidas en los supuestos de excepción del artículo 34 de la Ley Orgánica 15/1999, así como también procede la anulación del apartado 1) de la Norma Cuarta de la misma Instrucción, debiendo desestimarse en lo demás la pretensión anulatoria que formula la demandante.

DECIMOCUARTO.– No se ha apreciado temeridad o mala fe a los efectos previstos en materia de costas procesales en el artículo 139.1 de la Ley 29/1998, de 13 de julio (RCL 19981741), reguladora de esta Jurisdicción.

Vistos los preceptos citados y demás normas de procedente aplicación.

FALLAMOS

Que estimando en parte el recurso contencioso-administrativo interpuesto en representación de la Asociación Nacional de Entidades de Financiación (ASNEF) contra la Instrucción 1/2000, de 1 de diciembre (RCL 20002875), de la Agencia de Protección de Datos, relativa a las normas por las que se rigen los movimientos internacionales de datos, debemos anular y anulamos el apartado 2) de la Norma Tercera y la Norma Sexta de dicha Instrucción, si bien ambos únicamente en cuanto pretenden extender su aplicación a las transferencias internacionales de datos comprendidas en los supuestos de excepción del artículo 34 de la Ley Orgánica 15/1999 (RCL 19993058), y anulamos también el apartado 1) de la Norma Cuarta de la misma Instrucción, desestimando en lo demás la pretensión de la demandante, sin imponer las costas de este proceso a ninguno de los litigantes.

Así, por esta nuestra sentencia de la que se llevará testimonio a los autos de su razón, lo pronunciamos mandamos y firmamos.

PUBLICACIÓN.-Leída y publicada ha sido la anterior sentencia en el mismo día de su fecha. Doy fe.

Lima, 11 de enero de 2008

CONSIDERANDO:

Que el artículo 88° del Texto Único Ordenado (TUO) del Código Tributario, aprobado por el Decreto Supremo nº 135-99-EF y normas modificatorias, faculta a la Administración Tributaria a establecer para determinados deudores tributarios la obligación de presentar la declaración tributaria por medios magnéticos;

Que la Resolución de Superintendencia nº 002-2000/SUNAT y normas modificatorias, así como la Resolución de Superintendencia nº 143-2000/SUNAT, aprueban disposiciones sobre la forma y las condiciones generales para la presentación de declaraciones tributarias determinativas e informativas a través de los formularios virtuales generados por los Programas de Declaración Telemática (PDT);

Que, asimismo, la Resolución de Superintendencia nº 129-2002/SUNAT y normas modificatorias, precisada por la Resolución de Superintendencia nº 133-2002/SUNAT, señala los sujetos obligados a presentar declaraciones tributarias determinativas a través de los formularios virtuales generados por los PDT y, adicionalmente, mediante la Resolución de Superintendencia nº 138-2002/SUNAT se señala nuevos sujetos obligados;

Que el Decreto Supremo nº 209-2007-EF ha establecido que durante el año 2008 el valor de la Unidad Impositiva Tributaria (UIT), será de Tres Mil Quinientos Nuevos Soles (S/.3,500.00);

Que, por su parte, mediante la Resolución de Superintendencia nº 204-2007/SUNAT se aprobó el PDT Planilla Electrónica, Formulario Virtual nº 0601 – versión 1.0;

Que, por lo tanto, resulta necesario actualizar el valor de la UIT en el PDT Planilla Electrónica, Formulario Virtual nº 0601, con el fin de que una nueva versión permita a los deudores tributarios calcular correctamente el crédito contra las aportaciones al Régimen Contributivo de la Seguridad Social en Salud (RCSSS);

Que la Resolución de Superintendencia nº 135-2007/SUNAT aprobó el PDT IGV- Renta Mensual, Formulario Virtual nº 621 – versión 4.6, respecto del cual la SUNAT ha desarrollado una nueva versión cuya difusión resulta conveniente realizar;

En uso de las facultades conferidas por el artículo 88° del TUO del Código Tributario, el artículo 3° del Decreto Supremo nº 018-2007-TR, el artículo 11° del Decreto Legislativo nº 501 y el inciso q) del artículo 19° del Reglamento de Organización y Funciones de la SUNAT, aprobado por el Decreto Supremo nº 115-2002-PCM;

SE RESUELVE:

Artículo 1º.- APROBACIÓN DE LAS NUEVAS VERSIONES DEL PDT PLANILLA ELECTRÓNICA Y DEL PDT IGV – RENTA MENSUAL

Apruébase el PDT Planilla Electrónica, Formulario Virtual nº 0601 – versión 1.1, el cual será utilizado por los deudores tributarios para cumplir con la presentación de la Planilla Electrónica y la declaración de las obligaciones que se generen a partir del período enero de 2008; y el PDT IGV – Renta Mensual, Formulario Virtual nº 621 – versión 4.7.

Artículo 2º.- OBTENCIÓN DE LAS NUEVAS VERSIONES DEL PDT PLANILLA ELECTRÓNICA Y DEL PDT IGV – RENTA MENSUAL

El PDT Planilla Electrónica, Formulario Virtual Nº 0601 – versión 1.1 y el PDT IGV – Renta Mensual, Formulario Virtual 621 – versión 4.7, estarán a disposición de los interesados en SUNAT Virtual a partir del 14 de enero de 2008. Para tal efecto, se entiende por SUNAT Virtual al Portal de la SUNAT en la Internet, cuya dirección electrónica es http://www.sunat.gob.pe.

La SUNAT, a través de sus dependencias, facilitará la obtención de los mencionados PDT a los deudores tributarios que no tuvieran acceso a la Internet, para lo cual aquellos deberán proporcionar los disquetes de capacidad 1.44 MB de 3.5 pulgadas que sean necesarios.

Artículo 3º.- UTILIZACIÓN DE LAS NUEVAS VERSIONES DEL PDT PLANILLA ELECTRÓNICA Y DEL PDT IGV – RENTA MENSUAL

Los sujetos obligados a presentar el PDT Planilla Electrónica y/o el PDT IGV – Renta Mensual, deberán utilizar las nuevas versiones a partir del período enero de 2008. Las referidas versiones de los PDT serán presentadas únicamente desde el 1 de febrero de 2008.

Los sujetos obligados a presentar el PDT IGV – Renta Mensual por períodos anteriores a enero de 2008, utilizarán la nueva versión del PDT desde el 1 de febrero de 2008. Lo señalado también será de aplicación para efecto de la presentación de las declaraciones rectificatorias.

Artículo 4º.- PAGOS DE LAS CONTRIBUCIONES A ESSALUD POR CONCEPTO DE PENSIONES EN OPORTUNIDAD DISTINTA A LA PRESENTACIÓN DEL PDT PLANILLA ELECTRÓNICA

Cuando el pago de las Contribuciones al EsSalud por concepto de pensiones se realice en una oportunidad distinta a la presentación del PDT Planilla Electrónica, se utilizará el Sistema Pago Fácil considerando el formulario virtual y código de tributo siguientes:

DISPOSICIONES COMPLEMENTARIAS FINALES

Primera.- APROBACIÓN DE NUEVAS VERSIONES DE  PDT

Apruébase las nuevas versiones de los PDT que deberán ser utilizadas por los deudores tributarios para la elaboración y la presentación de las declaraciones correspondientes a períodos anteriores a enero de 2008 a que se refiere la Primera Disposición Complementaria Final de la Resolución de Superintendencia nº 204-2007/SUNAT:

Dichas versiones estarán a disposición de los interesados en SUNAT Virtual a partir del 14 de enero de 2008, debiendo ser utilizadas desde el 1 de febrero de 2008. Para tal efecto se entiende por SUNAT Virtual al Portal de la SUNAT en la Internet, cuya dirección electrónica es http://www.sunat.gob.pe.

La SUNAT, a través de sus dependencias, facilitará la obtención de los mencionados PDT a los deudores tributarios que no tuvieran acceso a la Internet, para lo cual aquellos deberán proporcionar los disquetes de capacidad 1.44 MB de 3.5 pulgadas que sean necesarios.

Segunda .- VIGENCIA

La presente resolución entrará en vigencia a partir del día siguiente de su publicación.

DISPOSICIÓN COMPLEMENTARIA TRANSITORIA

Única.- UTILIZACIÓN DE LAS VERSIONES ANTERIORES DEL PDT IGV – RENTA MENSUAL, PDT REMUNERACIONES Y PDT SEGURO COMPLEMENTARIO DE TRABAJO DE RIESGO
 

Por los períodos anteriores a enero de 2008, los deudores tributarios podrán hacer uso de las versiones anteriores del PDT IGV – Renta Mensual, Formulario Virtual nº 621 – versión 4.6, PDT Remuneraciones, Formulario Virtual nº 600 – versión 4.8 y PDT Seguro Complementario de Trabajo de Riesgo, Formulario Virtual nº 610 – versión 3.4, hasta el 31 de enero de 2008.

DISPOSICIÓN COMPLEMENTARIA MODIFICATORIA

Única.- MODIFICACIÓN DE LA RESOLUCIÓN DE SUPERINTENDENCIA nº 204-2007/SUNAT

Sustitúyase el artículo 4° de la Resolución de Superintendencia nº 204-2007/SUNAT, por el siguiente texto:

«Artículo 4°.- SUJETOS OBLIGADOS A PRESENTAR EL PDT PLANILLA ELECTRÓNICA

Se encuentran obligados a presentar el PDT Planilla Electrónica, los sujetos siguientes:

a.  Aquellos Empleadores definidos en el literal j) del artículo 1° que se encuentren dentro de los supuestos del artículo 2° del Decreto Supremo, con excepción de quienes únicamente contraten a los prestadores de servicios a que se refiere el numeral i) del inciso d) del artículo 1° del mencionado Decreto Supremo, cuando no tengan la calidad de agentes de retención de acuerdo al inciso b) del artículo 71° del Texto Único Ordenado de la Ley del Impuesto a la Renta aprobado por el Decreto Supremo nº 179-2004-EF y normas modificatorias.

b.  Aquellos que hubieran incurrido o que incurran en los supuestos previstos en las normas vigentes para presentar sus declaraciones mensuales, sustitutorias o rectificatorias, a través de los PDTs que se detallan a continuación y siempre que deban presentar o declarar alguno de los conceptos señalados en el artículo 3°:

i)  PDT Remuneraciones, Formulario Virtual nº 600.

ii) PDT Seguro Complementario de Trabajo de Riesgo, Formulario Virtual nº 610.

iii) PDT IGV – Renta Mensual, Formulario Virtual nº 621.

Aquellos sujetos no comprendidos en el presente artículo podrán optar por presentar y/o declarar los conceptos a que se refiere el artículo 3° mediante el PDT Planilla Electrónica. Una vez ejercida la opción deberán continuar utilizando dicho PDT para dichos efectos.»

Regístrese, comuníquese y publíquese.

LAURA CALDERON REGJO
Superintendente Nacional 

Assoluzione per duplicazione programmi microsoft-office su piú macchine avendo una sola licenza.

REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO

II Giudice ha pronunciato la seguente sentenza

Nel procedimento penale nei confronti di

……………………………………., nat_ l´…………………………. a ………..

………… imputat_ del reato di cui all'art. 171 L. 633/41 perché abusivamente duplicava a fini di lucro i seguenti programmi per elaboratore: MICROSOFT WORD – MICROSOFT EXCEL – MICROSOFT POWER POINT – MICROSOF SCHEDULE – MICROSOFT ACCESS. Accertato in Cagliari in data 16-09- 1996

In Fatto e in Diritto

Il 16 settembre 1996 personale del Nucleo Regionale di Polizia Tributaria della Guardia di Finanza si recó in via ………………………….]………., presso _

……….

……………..O]……………………… I verbalizzanti trovarono che la società utilizzava per lo svolgimento della propria attività commerciale (relativa, come si evince dal verbale, ad accertamenti catastali) tre personal computer: un Athena pentium 90, un Daastar 486, uno Staver 386.

Essi accertarono altresì, mediante l'uso del programma d'intercettazione Spaudit, che su tutti i personal era stato caricato il programma OFFICE della Microsoft ( contenente i programmi Word, Excel, PowerPoint, Schedule

e Access) nonostante……………… fosse in possesso di una sola licenza d'uso relativa al programma OFFICE montato sul computer Athena. Da ciò gli agenti dedussero che il programma era stato duplicato e caricato, a loro

avviso illeciamente, sui computers Datastar e Staver e procedettero al sequestro del software contenuto nella memoria rigida delle ultime due macchine sul presupposto che la duplicazione del programma da parte del——— costituisse violazione della norma di cui all'art. 171 bis della legge 22-4-1941. In data 8 novembre 1996 il P.M. presso questa Pretura, competente per il reato indicato, chiedeva la fissazione di un'udienza camerale per l'applicazione di pena concordata con l'indagata.

Si ritiene doveroso rilevar che, sulla scorta degli atti allegati alla richiesta, dev'essere pronunciata immediatamente, ex art. 129c.p.p., sentenza di assoluzione de——— poichè il fatto contestatole non costituisce reato per mancanza del fine di lucro richiesto nella fattispecie in esame per la punibilita' della condotta tenuta dal——-.L'articolo 171 bis della legge sul diritto d'autore è stato introdotto con l'art.10 del decreto legislativo del 29 dicembre 1992, emanato in attuazione della Direttiva 91/50/CEE. Tale normativa (in particolare l'articolo 1 del decreto citato) ha riconosciuto, ai programmi per elaboratore il valore di opere letterarie ed artistiche e la conseguente meritevolezza della tutela offerta dalla Legge n.633 del 1941. Non è questa la sede appropriata per soffermarsi a riflettere sulla scelta operata dal Legislatore Italiano ( uniforme d'altro canto a quella di numerosissimi altri Stati), preceduta comunque da una oramai consolidata iurisprudenza

di legittimità e, in parte, dei giudici di merito univoche nel riconoscere ai programmi per elaboratore lo status di opera dell'ingegno, e ad apprestarne la conseguente tutela (per tutte si richiamano: Pretura Pisa 11 -4- 1984 e Corte di Cassazione, terza sezione, 24-11-1986). Si appalesa peraltro la necessità di soffermarsi sugli aspetti penalistici della norma incriminatrice. L'articolo 171 bis citato evidenzia, al pari delle fattispecie individuate dall'articolo 171, una chiara finalità sanzionatoria, di ulteriore tutela dell'opera dell'ingegno già dettagliatamente regolamentata dalle norme privatistiche. Con la sanzione penale si cristallizzano e si ribadiscono i valori già attribuiti dall'ordinamento alle opere dell'ingegno ed ai diritti su di esse spettanti ai Loro autori. L'articolo in questione ha la marcata finalita' di garantire al titolare del programma i vantaggi economici che derivano dalla sua commercializzazione in contrasto netto e conflittale con il diffuso fenomeno del commercio clandestino di programmi duplicati e contraffatti (il cosiddetto campo dei computer crimes ) La struttura della norma è composita e volta ad individuare in modo analitico le diverse condotte punibili. Si tratta con tutta evidenza di norma a pi. fattispecie o norma mista cumulativa, che prevede differenti condotte materiali punibili.

L'articolo 171 bis individua le condotte sanzionabili nel duplicare programmi a scopo di lucro o (, sapendo o avendo motiv di sapere che si tratta di copie illecitamente riprodotte) nell'importare, distribuire, detenere a scopo commerciale, nel concedere in locazione programmi o strumenti atti ad eludere i locks ossia i sistemi di protezione degli stessi software. Appare utile ad un inquadramento generale della norma porre in luce che le condotte consistenti nel duplicare i Programmi a fine di lucro e nel detenere programmi abusivamente riprodotti a scopo commerciale costituiscono con certezza, sotto l profilo della condotta, un'anticipazione del momento consumativo del reato rispetto alle altre fattispecie individuate (importazione, vendita, distribuzione e locazione) esse sono in realtà inquadrabili come reati di pericolo, senza danno effettivo per il legittimo proprietario-produttore dell'opera e presentano dalle condotte di per sè non offensive in concreto degli interessi tutelati dalla norma. La duplicazione e la detenzione acquistano rilievo penale in tanto in quanto siano finalizzate rispettivamente al lucro ed alla commercializzazione. Tali condotte sono pertanto sanzionate solo se sorrette dal dolo specifico indicato. In particolare deve ritenersi che, di per se, la duplicazione del programma non solo non assurge in alcun modo a fatto penalmente rilevante, ma è senza dubbio consentita dalla normativa attuale in tenia di diritto d'autore. Cio' si ricava in primo luogo dall'art. 5 D.1.GS. n.518/92 che, nell'introdurre l'ar.64 ter della L. n.633/1941, al secondo comma dello stesso non consente che si imponga al compratore il divieto di effettuare una copia di riserva del programma stesso. Ma ancor meglio si evince dall'articolo 68 della L 633/1941 che permette, ed anzi indica come libera la riproduzione di singole opere o loro parti per uso personale dei lettori (rectius fruitori) con il limite del divieto di spaccio al pubblico di tali beni onde logicamente evitare la lesione dei diritti di utilizzazine economica spettanti al titolare del diritto sul l'opera. Si puo' pertanto escludere che violi la fattispecie citata il soggetto, pubblico o privato che detenga per utilizzarla una copia abusivamente duplicata del programma L'elemento che rende invece penalmente illecita la duplicazione e' dato dal fine di lucro, dalla volontà diretta specificamente a lucrare dalla riproduzione. Deve infatti garantirsi al titolare dei diritti sull'opera il vantaggio esclusivo di mettere in commercio il programma, e quindi di lucrarvi ( articolo 17 Legge sul diritto d'autore ) senza dover patire e subire danni da illecite concorrenze. Invero il fine di lucro connota tutte le fattispecie focalizzate dall'art. 171 bis, ma il suo significato dev'essere chiarito.

Il termine lucro indica esclusivamente un guadagno patrimoniale ossia un accrescimento patrimoniale consistente nell'acquisizione di uno o piu' beni; esso non coincide in linea di principio con il termine profitto, che a un significato ben più ampio. Il profitto può implicare sia il lucro: quindi l'accrescimento effettivo della sfera patrimoniale, che la mancata perdita patrimoniale ossia il depauperamento dei beni di un soggetto. In altri termini nel profitto può rientrare anche la mancata spesa che un soggetto dovrebbe, per ipotesi, affrontare per ottenere un bene. Il lucro costituisce solo ed esclusivamente l'accrescimento positivo del patrimonio; il profitto anche la sola non diminuzioe dello stesso: Alla luce di quanto riportato si può concludere sostenendo che …………………, che svolgeva attività relativa ad accertamenti catastali su immobili ( come si legge dal verbale che indica che nella sua banca dati v'erano migliaia di visure catastali ) nel duplicare le copie del programma OFFICE della Microsoft e con l'utilizzarle esclusivamente per la sua attivita' non era mossa da fini di lucro, ma eventualmente di profitto, consistente nell'evitare la spesa necessaria ad acuistare le altre due copie del programma e pertanto non ha violato la fattispecie contenuta nella norma i,`riminatrice, perchè nella condotta dalla stessa tenuta non è ravvisabile il fine di lucro. …..dev'essere assolta perchè il fatto non costituisce reato, ferma restando la sua responsabilità sotto altri profili diversi da quello penalistico.

P.Q.M.

Visti gli articoli 171 bis L.n.633/1941 , 129 c p p assolve…. ]……………dal reato ascritole perchè il fatto non costituisce reato.

Cagliari 26-11-1996

IL GIUDICE : MASSIMO DEPLANO

Depositato in Cancelleria oggi

Cagliari, li 03 DIC. 1996

La Sala Segunda del Tribunal Constitucional, compuesta por don Eugeni Gay Montalvo, Presidente, doña Elisa Pérez Vera, don Ramón Rodríguez Arribas, don Francisco Hernando Santiago, don Luis Ignacio Ortega Álvarez y don Francisco Pérez de los Cobos Orihuel, Magistrados, ha pronunciado

EN NOMBRE DEL REY

la siguiente

SENTENCIA

En el recurso de amparo núm. 5928-2009, promovido por don C. T. R., representado por el Procurador de los Tribunales don J. P. de R. G. de C. y asistido por el Abogado don Diego Silva Merchante, contra la Sentencia de la Sección Primera de la Audiencia Provincial de Sevilla de 7 de mayo de 2008, dictada en procedimiento abreviado núm. 254-2007, que condenó al recurrente como autor de un delito de corrupción de menores a la pena de cuatro años de prisión e inhabilitación especial para el derecho de sufragio pasivo durante el tiempo de la condena, y contra la Sentencia de la Sala de lo Penal del Tribunal Supremo, de 18 de febrero de 2009, dictada en recurso de casación núm. 1396-2008, que confirmó la condena impuesta. Ha intervenido el Ministerio Fiscal. Ha sido Ponente el Magistrado don Eugeni Gay Montalvo, quien expresa el parecer de la Sala.

I. Antecedentes

1. Mediante escrito registrado en este Tribunal con fecha de 24 de junio de 2009, el Procurador de los Tribunales don J. P. de R. G. de C., en nombre de don C. T. R., interpuso recurso de amparo contra las resoluciones reseñadas en el encabezamiento.

2. Los hechos de los que trae causa la demanda de amparo, relevantes para la resolución del caso son, en síntesis, los siguientes:

a) La Sentencia de la Audiencia Provincial de Sevilla ya referenciada condenó al recurrente como autor de un delito de corrupción de menores del art. 189.1 b) del Código penal a la pena de cuatro años de prisión e inhabilitación especial para el derecho de sufragio pasivo durante el tiempo de la condena. Los hechos probados relatan lo siguiente:

Así, en la carpeta «Mis documentos/mis imágenes» el acusado conservaba 17 videos y más de 3.000 fotografías de contenido pedófilo, y en la carpeta «eMule/Incoming» almacenaba más de 140 vídeos y más de 150 fotografías de pornografía infantil.

Los ficheros que representaban tales imágenes fueron obtenidos por el acusado, mediante el sistema de intercambio de archivos en Internet conocido como peer to peer, utilizando el mencionado programa eMule, por el que se comparten imágenes mediante su descarga y distribución simultánea. Por este sistema, el acusado –que tenía configurado el programa eMule para poner a disposición de cualquier otro usuario de la red todos los archivos contenidos en el disco duro de su ordenador– distribuyó material pornográfico de menores (muchos de ellos, menores de trece años) en una cantidad equivalente a unos 96 gigabytes.

Frente a la alegada lesión del derecho a la intimidad, planteada por el recurrente como cuestión previa, la Audiencia Provincial responde lo siguiente:

b) La Sentencia del Tribunal Supremo desestimó el recurso de casación interpuesto. Respecto del motivo que denunciaba la vulneración del derecho a la intimidad, responde la Sala Segunda en los siguientes términos:

3. La demanda de amparo se fundamenta en la vulneración del derecho a la intimidad (art. 18.1 CE) y de los derechos a un proceso con todas las garantías y a la presunción de inocencia (art. 24.2 CE). Considera el recurrente vulnerado su derecho a la intimidad porque tanto el dueño de la tienda donde llevó a reparar el ordenador como los policías nacionales que accedieron al ordenador actuaron sin previa autorización judicial. Alega que la policía al recibir la denuncia debía haber solicitado autorización del Juez. Por otra parte, tampoco existían motivos de urgencia que legitimaran una actuación policial inmediata. De igual modo que, tanto para acceder al contenido de la correspondencia –salvo las que incorporan una declaración de contenido–, como para acceder a los registros de llamadas de un teléfono móvil es necesaria autorización judicial que debe exigirse para acceder al contenido de un ordenador personal. Además, discrepa asimismo de la argumentación de los órganos judiciales pues no cabe afirmar un consentimiento siquiera tácito a la divulgación de la información contenida en el ordenador. Por más que hubiera manifestado que carecía de contraseña, el ordenador fue entregado en la tienda únicamente para la reparación de la grabadora y no para el acceso a los documentos. Y tampoco puede justificarse tal consentimiento en el hecho de que compartía los archivos a través del programa eMule, pues ese dato sólo se obtiene a posteriori una vez que ya se ha accedido al contenido del equipo.

En segundo lugar entiende vulnerado el derecho a un proceso con todas las garantías (art. 24.2 CE), por haberse utilizado prueba ilícita para fundar la condena dada la lesión del derecho a la intimidad; además, la totalidad de las pruebas en que se basa la condena se derivan directa o indirectamente del hallazgo de los archivos obtenido con vulneración del art. 18.1 CE, por lo que resulta lesionado también el derecho a la presunción de inocencia (art. 24.2 CE). Especifica al respecto que tampoco puede servir a tal fin la declaración del propio recurrente, puesto que en el acto del juicio oral se acogió a su derecho a no declarar y la acusación no solicitó la lectura de sus declaraciones prestadas ante el Juez de instrucción.

4. La Sala Segunda de este Tribunal, por providencia de 22 de julio de 2010, acordó admitir a trámite la demanda de amparo y, en aplicación de lo dispuesto en el art. 51 de la Ley Orgánica del Tribunal Constitucional (LOTC), dirigir atentas comunicaciones a los órganos judiciales competentes para la remisión de certificación o fotocopia adverada de las actuaciones y emplazamiento a quienes hubieran sido parte en el procedimiento, a excepción del demandante de amparo, para que, si lo desearen, pudiesen comparecer en el plazo de diez días en el presente proceso de amparo.

Igualmente se acordó formar la correspondiente pieza separada de suspensión, en la que, tras los trámites oportunos, se dictó por la Sala Segunda de este Tribunal el ATC 129/2010, de 4 de octubre, acordando acceder la suspensión de la pena privativa de libertad de cuatro años de prisión y la accesoria de inhabilitación especial para el derecho de sufragio pasivo durante el tiempo de la condena.

5. Por diligencia de ordenación de la Secretaría de Justicia de la Sala Segunda de 18 de octubre de 2010 se acordó dar vista de las actuaciones recibidas al Ministerio Fiscal por plazo común de veinte días para presentar las alegaciones que estimase pertinentes, de conformidad con el art. 52.1 LOTC.

6. El Ministerio Fiscal, en escrito registrado el 24 de noviembre de 2010, interesó el otorgamiento del amparo por vulneración del derecho a la intimidad (art. 18.1 CE) y del derecho a un proceso con todas las garantías (art. 24.2 CE).

Después de exponer la doctrina constitucional sobre el derecho a la intimidad, manifiesta que el ordenador es un elemento idóneo para albergar datos personales contenidos en los archivos informáticos y, con ello, para ejercer el derecho a la intimidad, por lo que para su acceso resulta preciso el consentimiento del titular o, en su caso, la existencia de razones de necesidad y urgencia y un juicio positivo de proporcionalidad. Respecto al acceso del encargado de la tienda a la carpeta «mis documentos», discrepa el Ministerio público de los argumentos esgrimidos por las resoluciones judiciales recurridas, pues considera que ni hubo un consentimiento expreso por parte del demandante de amparo, ni cabe afirmar la realización de actos concluyentes e inequívocos de los que quepa inferir un consentimiento tácito. Por ello, el acceso a los archivos del ordenador por parte del encargado de la tienda vulneró el derecho a la intimidad.

En relación a la actuación de la policía judicial, asevera el Ministerio Fiscal, tras citar lo que afirmamos en la STC 70/2002, de 25 de abril, que una vez entregado el ordenador junto con la formulación de la denuncia, la policía habría podido solicitar el consentimiento del recurrente, quien se hallaba ya identificado, o bien haber recabado autorización judicial. En ausencia de tales requisitos habilitantes, el acceso al contenido del ordenador únicamente podría considerarse legítimo cuando existiesen razones de necesidad de una intervención policial inmediata para la prevención y averiguación del delito, el descubrimiento del delincuente y la obtención de pruebas incriminatorias, y sólo cuando la intervención se realizara desde el respeto al principio de proporcionalidad; circunstancias de urgencia y necesidad que no concurren en el caso concreto. Por otra parte, no cabe justificar la actuación policial con el argumento de que el denunciante ya había accedido a los mismos, ni tampoco en que el recurrente tuviera configurado un programa de intercambio de archivos con acceso a terceros. En relación con esta última circunstancia, asevera el Ministerio público que ese hecho no permite abrigar una suerte de autorización genérica para el acceso por cualesquiera personas al contenido de su ordenador, debiendo tenerse en cuenta, asimismo, que el conocimiento de la existencia del programa informático de intercambio de archivos se obtiene sólo una vez se ha accedido al ordenador.

A continuación, se plantea el Ministerio Fiscal si la vulneración del derecho a la intimidad (art. 18.1 CE) conllevaría, además, la lesión del derecho a un proceso con todas las garantías (art. 24.2 CE), por haberse valorado prueba obtenida con vulneración de derechos fundamentales. Las pruebas practicadas en el juicio oral y valoradas por los órganos judiciales han sido, además del hallazgo de los archivos pedófilos, el testimonio

del testigo dueño de la tienda de informática y el del policía instructor del atestado, quien además depuso como perito del informe pericial que se aportó como prueba documental pericial. El hallazgo de los archivos proviene directamente de la medida lesiva del derecho fundamental, pero para determinar si las restantes pruebas derivadas adquieren también ese carácter, es preciso analizar si son jurídicamente independientes (STC 81/1998, de 2 de abril). Por lo que respecta a la testifical del policía, considera el Fiscal que es materialmente inescindible de la prueba originaria, por no ser sino mera reproducción vía testimonio del acto de injerencia en el derecho fundamental; a igual conclusión llega respecto de la prueba pericial, hallándose también en conexión de antijuridicidad con el hallazgo ilícito de los archivos pedófilos. Distinta suerte ha de correr, no obstante, la prueba testifical del encargado del establecimiento, atendiendo a la menor entidad de la lesión del derecho a la intimidad –al no ser intencional– del que tal prueba proviene.

Pudiendo considerarse lícita la citada declaración testifical del encargado de la tienda, y habiéndose valorado conjuntamente con otras que sí deben ser consideradas ilícitas y deben, por ello, ser expulsadas del ordenamiento, concluye el Ministerio Fiscal que desde las competencias atribuidas al Tribunal Constitucional no puede éste efectuar un pronunciamiento sobre la entidad probatoria de dicha prueba a los efectos de su relevancia para la presunción de inocencia, por lo que lo procedente sería declarar la vulneración del derecho a la intimidad (art. 18.1 CE) y el derecho a un proceso con todas las garantías (art. 24.2 CE); anular las resoluciones recurridas y retrotraer el procedimiento al momento anterior a dictarse la Sentencia de la Audiencia Provincial, para que sean los órganos judiciales quienes valoren la suficiencia de la prueba carente del vicio de ilicitud.

El recurrente, mediante escrito de 22 de noviembre de 2010, reiteró los argumentos expuestos en su demanda de amparo, solicitando la anulación de las Sentencias recurridas.

7. Por providencia de fecha 3 de noviembre de 2011, se señaló para deliberación y fallo de la Sentencia el día 7 del mismo mes y año.

II. Fundamentos jurídicos

1. Se dirige la presente demanda de amparo contra la Sentencia de la Audiencia Provincial de Sevilla de 7 de mayo de 2008 que condenó al recurrente como autor de un delito de corrupción de menores en su modalidad de distribución de pornografía infantil [art. 189.1 b) del Código penal], y contra la Sentencia del Tribunal Supremo de 18 de febrero de 2009 que confirmó la condena impuesta. Se plantea en la misma la vulneración del derecho a la intimidad (art. 18.1 CE), del derecho a un proceso con todas las garantías (art. 24.2 CE) y del derecho a la presunción de inocencia (art. 24.2 CE), por haberse fundado la condena en prueba de cargo obtenida con vulneración del primer derecho fundamental invocado, al haber accedido tanto el denunciante de los hechos, como después la policía, a determinados archivos del ordenador del demandante de amparo sin su consentimiento y sin autorización judicial, y no existiendo, por lo demás, razones de urgencia. El Ministerio Fiscal solicita igualmente el otorgamiento del amparo por las razones que se han expuesto en los antecedentes de esta resolución.

2. Para dar respuesta a la cuestión nuclear que se plantea en la demanda es preciso, en primer lugar, exponer la doctrina que este Tribunal ha desarrollado en relación con el derecho fundamental a la intimidad (art. 18.1 CE).

Según hemos venido manifestando, el derecho a la intimidad personal, en cuanto derivación de la dignidad de la persona (art. 10.1 CE), implica la existencia de un ámbito propio y reservado frente a la acción y el conocimiento de los demás, necesario, según las pautas de nuestra cultura, para mantener una calidad mínima de la vida humana (SSTC 207/1996, de 16 de diciembre, FJ 3; 186/2000, de 10 de julio, FJ 5; 196/2004, de 15 de noviembre, FJ 2; 206/2007, de 24 de septiembre, FJ 4; y 159/2009, de 29 de junio, FJ 3). De forma que «lo que el art. 18.1 garantiza es un derecho al secreto, a ser desconocido, a que los demás no sepan qué somos o lo que hacemos, vedando que terceros, sean particulares o poderes públicos, decidan cuales sean los lindes de nuestra vida privada, pudiendo cada persona reservarse un espacio resguardado de la curiosidad ajena, sea cual sea lo contenido en ese espacio» (SSTC 127/2003, de 30 de junio, FJ 7 y 89/2006, de 27 de marzo, FJ 5). Del precepto constitucional citado se deduce que el derecho a la intimidad confiere a la persona el poder jurídico de imponer a terceros el deber de abstenerse de toda intromisión en la esfera íntima y la prohibición de hacer uso de lo así conocido (SSTC 196/2004, de 15 de noviembre, FJ 2; 206/2007, de 24 de septiembre, FJ 5; y 70/2009, de 23 de marzo, FJ 2).

No obstante lo anterior, hemos afirmado que el consentimiento eficaz del sujeto particular permitirá la inmisión en su derecho a la intimidad, pues corresponde a cada persona acotar el ámbito de intimidad personal y familiar que reserva al conocimiento ajeno (SSTC 83/2002, de 22 de abril, FJ 5 y 196/2006, de 3 de julio, FJ 5), aunque este consentimiento puede ser revocado en cualquier momento (STC 159/2009, de 29 de junio, FJ 3). Ahora bien, se vulnerará el derecho a la intimidad personal cuando la penetración en el ámbito propio y reservado del sujeto «aun autorizada, subvierta los términos y el alcance para el que se otorgó el consentimiento, quebrando la conexión entre la información personal que se recaba y el objetivo tolerado para el que fue recogida» (SSTC 196/2004, de 15 de noviembre, FJ 2; 206/2007, de 24 de septiembre, FJ 5; y 70/2009, de 23 de marzo, FJ 2). En lo relativo a la forma de prestación del consentimiento, hemos manifestado que éste no precisa ser expreso, admitiéndose también un consentimiento tácito. Así, en la STC 196/2004, de 15 de noviembre, en que se analizaba si un reconocimiento médico realizado a un trabajador había afectado a su intimidad personal, reconocimos no sólo la eficacia del consentimiento prestado verbalmente, sino además la del derivado de la realización de actos concluyentes que expresen dicha voluntad (FJ 9). También llegamos a esta conclusión en las SSTC 22/1984, de 17 de febrero, y 209/2007, de 24 de septiembre, en supuestos referentes al derecho a la inviolabilidad del domicilio del art. 18.2 CE, manifestando en la primera que este consentimiento no necesita ser «expreso» (FJ 3) y en la segunda que, salvo casos excepcionales, la mera falta de oposición a la intromisión domiciliar no podrá entenderse como un consentimiento tácito (FJ 5).

Por otra parte, tampoco podrá considerarse ilegítima aquella injerencia o intromisión en el derecho a la intimidad que encuentra su fundamento en la necesidad de preservar el ámbito de protección de otros derechos fundamentales u otros bienes jurídicos constitucionalmente protegidos (STC 159/2009, de 29 de junio, FJ 3). A esto se refiere nuestra doctrina cuando alude al carácter no ilimitado o absoluto de los derechos fundamentales, de forma que el derecho a la intimidad personal, como cualquier otro derecho, puede verse sometido a restricciones (SSTC 98/2000, de 10 de abril, FJ 5; 156/2001, de 2 de julio, FJ 4; y 70/2009, de 23 de marzo, FJ 3). Así, aunque el art. 18.1 CE no prevé expresamente la posibilidad de un sacrificio legítimo del derecho a la intimidad –a diferencia de lo que ocurre en otros supuestos, como respecto de los derechos reconocidos en los arts. 18.2 y 3 CE–, su ámbito de protección puede ceder en aquellos casos en los que se constata la existencia de un interés constitucionalmente prevalente al interés de la persona en mantener la privacidad de determinada información. Precisando esta doctrina, recordábamos en la STC 70/2002, de 3 de abril, FJ 10, (resumiendo lo dicho en la STC 207/1996, de 16 de diciembre, FJ 4) que los requisitos que proporcionan una justificación constitucional objetiva y razonable a la injerencia en el derecho a la intimidad son los siguientes: la existencia de un fin constitucionalmente legítimo; que la medida limitativa del derecho esté prevista en la ley (principio de legalidad); que como regla general se acuerde mediante una resolución judicial motivada (si bien reconociendo que debido a la falta de reserva constitucional a favor del Juez, la ley puede autorizar a la policía judicial para la práctica de inspecciones, reconocimientos e incluso de intervenciones corporales leves, siempre y cuando se respeten los principios de proporcionalidad y razonabilidad) y, finalmente, la estricta observancia del principio de proporcionalidad, concretado, a su vez, en las tres siguientes condiciones: «si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)» (STC 89/2006, de 27 de marzo, FJ 3).

Por lo que se refiere a la concurrencia de un fin constitucionalmente legítimo que puede permitir la injerencia en el derecho a la intimidad, este Tribunal ha venido sosteniendo que reviste esta naturaleza «el interés público propio de la investigación de un delito, y, más en concreto, la determinación de hechos relevantes para el proceso penal» (SSTC 25/2005, de 14 de febrero, FJ 6 y 206/2007, de 24 de septiembre, FJ 6). En efecto, «la persecución y castigo del delito constituye un bien digno de protección constitucional, a través del cual se defienden otros como la paz social y la seguridad ciudadana, bienes igualmente reconocidos en los arts. 10.1 y 104.1 CE» [SSTC 127/2000, de 16 de mayo, FJ 3 a) y 292/2000, de 30 de noviembre, FJ 9]. También hemos precisado que «reviste relevancia e interés público la información sobre los resultados positivos o negativos que alcanzan en sus investigaciones las fuerzas y cuerpos de seguridad, especialmente si los delitos cometidos entrañan una cierta gravedad o han causado un impacto considerable en la opinión pública, extendiéndose aquella relevancia o interés a cuantos datos o hechos novedosos puedan ir descubriéndose por las más diversas vías, en el curso de las investigaciones dirigidas al esclarecimiento de su autoría, causas y circunstancias del hecho delictivo» (STC 14/2003, de 28 de enero, FJ 11).

De lo anterior, se deduce que el legislador ha de habilitar las potestades o instrumentos jurídicos que sean adecuados para que, dentro del respeto debido a los principios y valores constitucionales, las fuerzas y cuerpos de seguridad del Estado cumplan con esta función de averiguación del delito. Como reseñamos en la STC 70/2002, de 3 de abril, FJ 10, «[p]or lo que respecta a la habilitación legal en virtud de la cual la policía judicial puede practicar la injerencia en el derecho a la intimidad del detenido, en el momento de la detención, las normas aplicables son, en primer lugar el art. 282 LECrim, que establece como obligaciones de la policía judicial la de «averiguar los delitos públicos que se cometieron en su territorio o demarcación; practicar, según sus atribuciones, las diligencias necesarias para comprobarlos y descubrir a los delincuentes, y recoger todos los efectos, instrumentos o pruebas del delito de cuya desaparición hubiere peligro poniéndolos a disposición de la Autoridad Judicial». En la misma línea, el art. 11.1 de la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, establece como funciones de éstos, entre otras, f) «prevenir la comisión de actos delictivos»; g) «investigar los delitos para descubrir y detener a los presuntos culpables, asegurar los instrumentos, efectos y pruebas del delito, poniéndolos a disposición del Juez o Tribunal competente y elaborar los informes técnicos y periciales procedentes». Por último, el art. 14 de la Ley Orgánica 1/1992, de 21 de febrero, sobre protección de la seguridad ciudadana, establece que las autoridades competentes podrán disponer las actuaciones policiales estrictamente necesarias para asegurar la consecución de las finalidades previstas en el art. 1 de esta Ley, finalidades entre las que se encuentra la prevención de la comisión de delitos». Según la citada Sentencia (mismo fundamento jurídico) existe, por tanto, «una habilitación legal específica que faculta a la policía para recoger los efectos, instrumentos y pruebas del delito y ponerlos a disposición judicial y para practicar las diligencias necesarias para la averiguación del delito y el descubrimiento del delincuente. Entre esas diligencias (que la Ley no enumera casuísticamente, pero que limita adjetivándolas y orientándolas a un fin) podrá encontrarse la de examinar o acceder al contenido de esos instrumentos o efectos, y en concreto, de documentos o papeles que se le ocupen al detenido, realizando un primer análisis de los mismos, siempre que –como exige el propio texto legal– ello sea necesario (estrictamente necesario, conforme al art. 14 de la Ley Orgánica 1/1992), estricta necesidad que habrá de valorarse atendidas las circunstancias del caso y que ha de entenderse como la exigencia legal de una estricta observancia de los requisitos dimanantes del principio de proporcionalidad. Así interpretada la norma, puede afirmarse que la habilitación legal existente cumple en principio con las exigencias de certeza y seguridad jurídica dimanantes del principio de legalidad, sin perjuicio de una mayor concreción en eventuales reformas legislativas.»

En relación a la necesidad de autorización judicial, el criterio general, conforme a nuestra jurisprudencia, es que sólo pueden llevarse a cabo injerencias en el ámbito de este derecho fundamental mediante la preceptiva resolución judicial motivada que se adecue al principio de proporcionalidad (SSTC 207/1996, de 16 de diciembre, FJ 4; 25/2005, de 14 de febrero, FJ 6; y 233/2005, de 26 de septiembre, FJ 4). Esta regla no se aplica, también según nuestra doctrina, en los supuestos en que concurran motivos justificados para la intervención policial inmediata, que ha de respetar también el principio de proporcionalidad. De manera significativa hemos resaltado en la STC 70/2002, de 3 de abril, que «la regla general es que el ámbito de lo íntimo sigue preservado en el momento de la detención y que sólo pueden llevarse a cabo injerencias en el mismo mediante la preceptiva autorización judicial motivada conforme a criterios de proporcionalidad. De no existir ésta, los efectos intervenidos que puedan pertenecer al ámbito de lo íntimo han de ponerse a disposición judicial, para que sea el juez quien los examine. Esa regla general se excepciona en los supuestos en que existan razones de necesidad de intervención policial inmediata, para la prevención y averiguación del delito, el descubrimiento de los delincuentes y la obtención de pruebas incriminatorias. En esos casos estará justificada la intervención policial sin autorización judicial, siempre que la misma se realice también desde el respeto al principio de proporcionalidad» [FJ 10 b) 3]. Bien entendido que «la valoración de la urgencia y necesidad de la intervención policial ha de realizarse ex ante y es susceptible de control judicial ex post, al igual que el respeto al principio de proporcionalidad. La constatación ex post de la falta del presupuesto habilitante o del respeto al principio de proporcionalidad implicaría la vulneración del derecho fundamental y tendría efectos procesales en cuanto a la ilicitud de la prueba en su caso obtenida, por haberlo sido con vulneración de derechos fundamentales» [FJ 10 b) 5]. En esta línea en la STC 206/2007, de 24 de septiembre, FJ 8, afirmábamos que «la regla general es que sólo mediante una resolución judicial motivada se pueden adoptar tales medidas y que, de adoptarse sin consentimiento del afectado y sin autorización judicial, han de acreditarse razones de urgencia y necesidad que hagan imprescindible la intervención inmediata y respetarse estrictamente los principios de proporcionalidad y razonabilidad». En esta Sentencia razonábamos que no había existido una autorización judicial previa para la injerencia acaecida en el derecho a la intimidad (en este caso un análisis de sangre interesado por la Guardia Civil), entendiéndose como relevante el hecho de que tampoco por los órganos judiciales se había efectuado posteriormente una «ponderación de los intereses en conflicto teniendo en cuenta el derecho fundamental en juego que les condujera a considerar justificada –a la vista de las circunstancias del caso– la actuación policial sin previa autorización judicial» (mismo fundamento jurídico).

3. Una vez expuesta la doctrina relevante para efectuar el enjuiciamiento que nos ocupa, el siguiente paso de nuestro análisis debe dirigirse a determinar si un ordenador personal puede ser un medio idóneo para el ejercicio de la intimidad personal, resultando entonces necesario para acceder a su contenido el consentimiento de su titular o que se den los presupuestos que legalmente habilitan la intromisión, de acuerdo con los parámetros constitucionales antes desarrollados.

A tal fin conviene empezar recordando que este Tribunal ha reseñado, ya en su STC 110/1984, de 26 de noviembre, que «la inviolabilidad del domicilio y de la correspondencia, que son algunas de esas libertades tradicionales, tienen como finalidad principal el respeto a un ámbito de vida privada personal y familiar, que debe quedar excluido del conocimiento ajeno y de las intromisiones de los demás, salvo autorización del interesado. Lo ocurrido es que el avance de la tecnología actual y el desarrollo de los medios de comunicación de masas ha obligado a extender esa protección más allá del aseguramiento del domicilio como espacio físico en que normalmente se desenvuelve la intimidad y del respeto a la correspondencia, que es o puede ser medio de conocimiento de aspectos de la vida privada. De aquí el reconocimiento global de un derecho a la intimidad o a la vida privada que abarque las intromisiones que por cualquier medio puedan realizarse en ese ámbito reservado de vida» (FJ 3). En el mismo sentido, en la STC 119/2001, de 24 de mayo, afirmábamos que «estos derechos han adquirido también una dimensión positiva en relación con el libre desarrollo de la personalidad, orientada a la plena efectividad de estos derechos fundamentales. En efecto, habida cuenta de que nuestro texto constitucional no consagra derechos meramente teóricos o ilusorios, sino reales y efectivos …, se hace imprescindible asegurar su protección no sólo frente a las injerencias ya mencionadas, sino también frente a los riesgos que puedan surgir en una sociedad tecnológicamente avanzada. A esta nueva realidad ha sido sensible la jurisprudencia del Tribunal Europeo de Derechos Humanos, como se refleja en las Sentencias de 21 de febrero de 1990, caso Powell y Rayner contra Reino Unido; de 9 de diciembre de 1994, caso López Ostra contra Reino de España, y de 19 de febrero de 1998, caso Guerra y otros contra Italia» (FJ 5).

En armonía con lo anterior, este Tribunal ha venido describiendo casuísticamente una serie de supuestos, en que, con independencia de las libertades tradicionales antes mencionadas, ha podido sobrevenir una injerencia no admisible en el ámbito de la vida privada e íntima de la persona. Así, hemos afirmado que «el derecho a la intimidad comprende la información relativa a la salud física y psíquica de las personas, quedando afectado en aquellos casos en los que sin consentimiento del paciente se accede a datos relativos a su salud o a informes relativos a la misma» (SSTC 70/2009, de 23 de marzo, FJ 2 y 159/2009, de 29 de junio, FJ 3). También hemos dicho que «no hay duda de que, en principio, los datos relativos a la situación económica de una persona entran dentro de la intimidad constitucionalmente protegida» (STC 233/1999, de 16 de diciembre, FJ 7), que «en las declaraciones del IRPF se ponen de manifiesto datos que pertenecen a la intimidad constitucionalmente tutelada de los sujetos pasivos» (STC 47/2001, de 15 de febrero, FJ 8), y que «la información concerniente al gasto en que incurre un obligado tributario, no sólo forma parte de dicho ámbito, sino que a través de su investigación o indagación puede penetrarse en la zona más estricta de la vida privada o, lo que es lo mismo, en los aspectos más básicos de la autodeterminación personal del individuo» (STC 233/2005, de 26 de septiembre, FJ 4). Por otra parte, en la STC 70/2002, de 3 de abril, en que un guardia civil había intervenido a un detenido una agenda personal y un documento que se encontraba en su interior, sostuvimos que «con independencia de la relevancia que ello pudiera tener a los fines de la investigación penal y, por tanto, de su posible justificación, debemos afirmar que la apertura de una agenda, su examen y la lectura de los papeles que se encontraban en su interior supone una intromisión en la esfera privada de la persona a la que tales efectos pertenecen, esto es, en el ámbito protegido por el derecho a la intimidad, tal como nuestra jurisprudencia lo define» (FJ 10). Finalmente, cabe recordar que en la STC 14/2003, de 28 de enero, FJ 6, afirmamos que la reseña fotográfica de un detenido, obtenida durante su permanencia en dependencias policiales, «ha de configurarse como un dato de carácter personal», respecto del cual los miembros de las fuerzas y cuerpos de seguridad del Estado «están obligados en principio al deber de secreto profesional».

Si no hay duda de que los datos personales relativos a una persona individualmente considerados, a que se ha hecho referencia anteriormente, están dentro del ámbito de la intimidad constitucionalmente protegido, menos aún pueda haberla de que el cúmulo de la información que se almacena por su titular en un ordenador personal, entre otros datos sobre su vida privada y profesional (en forma de documentos, carpetas, fotografías, vídeos, etc.) –por lo que sus funciones podrían equipararse a los de una agenda electrónica–, no sólo forma parte de este mismo ámbito, sino que además a través de su observación por los demás pueden descubrirse aspectos de la esfera más íntima del ser humano. Es evidente que cuando su titular navega por Internet, participa en foros de conversación o redes sociales, descarga archivos o documentos, realiza operaciones de comercio electrónico, forma parte de grupos de noticias, entre otras posibilidades, está revelando datos acerca de su personalidad, que pueden afectar al núcleo más profundo de su intimidad por referirse a ideologías, creencias religiosas, aficiones personales, información sobre la salud, orientaciones sexuales, etc. Quizás, estos datos que se reflejan en un ordenador personal puedan tacharse de irrelevantes o livianos si se consideran aisladamente, pero si se analizan en su conjunto, una vez convenientemente entremezclados, no cabe duda que configuran todos ellos un perfil altamente descriptivo de la personalidad de su titular, que es preciso proteger frente a la intromisión de terceros o de los poderes públicos, por cuanto atañen, en definitiva, a la misma peculiaridad o individualidad de la persona. A esto debe añadirse que el ordenador es un instrumento útil para la emisión o recepción de correos electrónicos, pudiendo quedar afectado en tal caso, no sólo el derecho al secreto de las comunicaciones del art. 18.3 CE (por cuanto es indudable que la utilización de este procedimiento supone un acto de comunicación), sino también el derecho a la intimidad personal (art. 18.1 CE), en la medida en que estos correos o email, escritos o ya leídos por su destinatario, quedan almacenados en la memoria del terminal informático utilizado. Por ello deviene necesario establecer una serie de garantías frente a los riesgos que existen para los derechos y libertades públicas, en particular la intimidad personal, a causa del uso indebido de la informática así como de las nuevas tecnologías de la información.

4. En este mismo sentido diversas disposiciones tomadas a nivel europeo se han ocupado de esta materia. Así procede citar en primer lugar el Convenio núm. 108 del Consejo de Europa sobre protección de los datos informatizados de carácter personal (1981), vinculante para España, y las recomendaciones del Comité de Ministros que lo desarrollan, en particular, la recomendación sobre datos personales utilizados en el sector policial (1987) y la recomendación sobre privacidad en Internet (1999). El preámbulo de esta última recomendación –R(99) 5, de 23 de febrero de 1999– pone de relieve que «el desarrollo de las tecnologías y la generalización de la recogida y del tratamiento de datos personales en las «autopistas de la información» suponen riesgos para la intimidad de las personas naturales» y que «las comunicaciones con ayuda de las nuevas tecnologías de la información están también sujetas al respeto de los derechos humanos y de las libertades fundamentales, en concreto al respeto a la intimidad y del secreto de las comunicaciones, tal y como se garantizan en el artículo 8 de la Convención Europea de los Derechos Humanos«. Además, recuerda esta recomendación que «el uso de Internet supone una responsabilidad en cada acción e implica riesgos para la intimidad» (introducción), por cuanto cada visita a un sitio de Internet deja una serie de «rastros electrónicos» que pueden utilizarse para establecer «un perfil de su persona y sus intereses» (apartado II, 2), subrayando también que la dirección de correo electrónico constituye «un dato de carácter personal que otras personas pueden querer utilizar para diferentes fines» (apartado II, 6).

En este mismo orden de cosas debe citarse la acción normativa desarrollada por la Unión Europea, entre la que destaca a los efectos del presente asunto, además de la consagración del derecho a la protección de los datos personales realizada por el art. 8 de la Carta de Derechos Fundamentales de la Unión Europea, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo de 12 de julio de 2002 relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, cuyo considerando núm. 6 resalta que «Internet está revolucionando las estructuras tradicionales del mercado al aportar una infraestructura común mundial para la prestación de una amplia gama de servicios de comunicaciones electrónicas. Los servicios de comunicaciones electrónicas disponibles al público a través de Internet introducen nuevas posibilidades para los usuarios, pero también nuevos riesgos para sus datos personales y su intimidad». Además, recuerda en su considerando núm. 24 que «los equipos terminales de los usuarios de redes de comunicaciones electrónicas, así como toda información almacenada en dichos equipos, forman parte de la esfera privada de los usuarios que debe ser protegida de conformidad con el Convenio europeo para la protección de los derechos humanos y de las libertades fundamentales«, advirtiendo que «los denominados programas espías (Spyware), web bugs, identificadores ocultos y otros dispositivos similares pueden introducirse en el terminal del usuario sin su conocimiento para acceder a información, archivar información oculta o rastrear las actividades del usuario, lo que puede suponer una grave intromisión en la intimidad de dichos usuarios».

También cabe citar las resoluciones del Parlamento Europeo de 17 de septiembre de 1996 y de 17 de diciembre de 1998, ambas sobre el respeto de los derechos humanos en la Unión Europea, la primera en cuanto dispone en su apartado 53 que «el respeto de la vida privada y familiar, de la reputación, del domicilio y de las comunicaciones privadas, tanto de las personas físicas como jurídicas, así como la protección de datos de carácter personal son derechos fundamentales básicos respecto de los cuales los Estados miembros deben ejercer una especial protección, habida cuenta de la incidencia negativa que sobre los mismos tienen las nuevas tecnologías y que sólo la armonización de las legislaciones nacionales en la materia, confiriendo una alta protección, es susceptible de responder a este desafío», y la segunda, al subrayar en su apartado 23 que «el derecho al respeto de la vida privada y familiar, del domicilio y de la correspondencia, así como a la protección de los datos de carácter personal, representan derechos fundamentales que los Estados tienen la obligación de proteger y que, por consiguiente, toda medida de vigilancia óptica, acústica o informática deberá adoptarse dentro de su más estricto respeto y acompañada en todos los casos de garantías judiciales».

El Tribunal de Justicia de la Unión Europea ha reafirmado también la importancia del derecho a la protección de los datos personales como un elemento a tomar en consideración no sólo en el momento de transponer una directiva sino también cuando las autoridades estatales y los órganos judiciales nacionales procedan a su aplicación [entre otras, Sentencia del Tribunal de Justicia (Gran Sala) de 29 de enero de 2008, asunto C-275/06, Productores de Música de España (Promusicae) c. Telefónica de España, S.A.U., apartados 61-70]. Por su parte, el Tribunal Europeo de Derechos Humanos ha venido asumiendo una interpretación extensiva del concepto «vida privada» del art. 8 del Convenio europeo para la protección de los derechos humanos y de las libertades fundamentales. Así, su Sentencia de 16 de febrero de 2000, dictada en el caso Amann contra Suiza, considera que «el término «vida privada» no se debe interpretar de forma restrictiva», de forma que éste «engloba el derecho del individuo de crear y desarrollar relaciones con sus semejantes», sin que «ninguna razón de principio permita excluir las actividades profesionales o comerciales» (§ 65). De manera específica, la STEDH de 3 de abril de 2007, caso Copland contra el Reino Unido, considera en su § 41 que están incluidos en el ámbito de protección del art. 8 del Convenio europeo, por cuanto pueden contener datos sensibles que afecten a la intimidad, tanto «los correos electrónicos enviados desde el lugar del trabajo» como «la información derivada del seguimiento del uso personal de Internet». En este caso, precisa el Tribunal, a la demandante no se le advirtió de que podría ser objeto de un seguimiento, por lo que podía razonablemente esperar que se reconociera el carácter privado «en lo que respecta al correo electrónico y la navegación por Internet» (§ 42). Por su parte, la STEDH de 22 de mayo de 2008, caso Iliya Stefanov contra Bulgaria, consideró que el registro de la oficina de un Abogado, incluyendo los datos electrónicos, equivale a una injerencia en su «vida privada», lesiva por ello del art. 8 del Convenio (§ 34). No obstante reconocer el Tribunal que concurría en este caso un objetivo legítimo (investigación penal por delito de extorsión) y que existía una previa autorización judicial, siendo así que «los registros del PC y las incautaciones deben, por regla general, llevarse a cabo en virtud de una orden judicial» (§ 39), razona que la expresada orden se había elaborado en términos excesivamente amplios, ejecutándose además de manera desproporcionada por la policía, por lo que se había afectado al secreto profesional, por cuanto «retiró todo el equipo del solicitante, incluyendo sus accesorios, así como todos los disquetes que se encontraban en su oficina», resultando que durante el tiempo que permaneció este material en su poder «ningún tipo de garantías existen para asegurar que durante el periodo intermedio el contenido completo del disco duro y los discos no fueron inspeccionados o copiados» (§ 42). De lo expuesto, parece desprenderse que cualquier injerencia en el contenido de un ordenador personal –ya sea por vía de acceso remoto a través de medios técnicos, ya, como en el presente caso, por vía manual– deberá venir legitimada en principio por el consentimiento de su titular, o bien por la concurrencia de los presupuestos habilitantes antes citados.

Tal conclusión, por otra parte, parece desprenderse, si bien de manera indirecta, del contenido de la Sentencia de este Tribunal Constitucional 34/2009, de 9 de febrero, en la que apreciamos que no se había infringido por el órgano judicial el principio de legalidad penal al haber condenado al demandante por un delito de descubrimiento y revelación de secretos, cuyo bien jurídico protegido es la intimidad, resultando como hechos probados que éste había accedido al ordenador de una compañera de trabajo y había procedido a la lectura de sus mensajes de correo electrónico. En particular, reseñábamos que «[d]esde la estricta perspectiva de control que corresponde a este Tribunal en modo alguno cabe tildar a la vista del tipo penal previsto del art. 197.1 y 2 CP de aplicación analógica o in malam partem, carente de razonabilidad por apartarse de su tenor literal o por utilización de pautas extravagantes o criterios no aceptados por la comunidad jurídica la llevada a cabo por la Audiencia Provincial, al considerar documentos personales e íntimos la libreta de direcciones y de teléfonos de la denunciante, accediendo por este medio a la dirección de su correo electrónico y subsumir en aquel tipo penal el acceso a dichos documentos sin el consentimiento de su titular, obteniendo de esta forma datos de carácter personal de aquella y de sus compañeros, que es la conducta por la que ha sido condenado el recurrente de amparo» (FJ 6). A la misma conclusión hemos llegado respecto del acceso a los datos almacenados en un teléfono móvil en la STC 230/2007, de 5 de noviembre, si bien declarando vulnerado en tal caso el art. 18.3 CE al haberse accedido por la Guardia Civil al registro de llamadas memorizado en el terminal intervenido al recurrente, confeccionando un listado de llamadas recibidas, enviadas y perdidas, sin su consentimiento ni autorización judicial (FJ 2).

5. Expuesto lo anterior, resulta conveniente analizar por separado las dos conductas que el demandante de amparo considera lesivas del derecho a la intimidad, comenzando por la del encargado del establecimiento de informática, consistente en acceder a la carpeta llamada «mis documentos/mis imágenes» de su ordenador personal, en la que encontró diversos archivos fotográficos de contenido pedófilo que motivaron la presentación de la denuncia.

Según se desprende de los antecedentes, el recurrente acudió al establecimiento de informática que regentaba el denunciante y le hizo entrega de su ordenador portátil con el encargo de cambiar la grabadora que no funcionaba. Consta también acreditado que al recibir el encargo el titular del establecimiento preguntó al recurrente si el ordenador tenía contraseña de acceso, respondiendo éste negativamente y sin manifestar limitación alguna en el uso del ordenador y acceso a los ficheros que almacenaba. Una vez efectuada la reparación y para comprobar el correcto funcionamiento de las piezas sustituidas el encargado escogió al azar diversos archivos para proceder a su grabación y posterior reproducción en el ordenador, lo que, al parecer, suele ser práctica habitual en estos casos, visualizando entonces las imágenes pornográficas de los menores que contenía. El testigo puso entonces tal circunstancia en conocimiento de la Policía Nacional que procedió a la intervención del portátil.

Como hemos afirmado anteriormente, corresponde a cada persona acotar el ámbito de intimidad personal y familiar que reserva al conocimiento ajeno, por lo que el consentimiento del titular del derecho fundamental legitimará la inmisión en el ámbito de la intimidad e impedirá, por tanto, considerarlo vulnerado. En lo relativo a la forma de este consentimiento hemos puesto de relieve que puede manifestarse de forma expresa, prestándose entonces verbalmente, o bien tácita. En este caso la conducta analizada no es por sí misma reveladora de una declaración de voluntad, sino que de dicha conducta se infiere que debió concurrir tal voluntad. Por ello, se conceptúan estas declaraciones como tácitas, porque resultan, no de expresiones, sino de hechos (actos concluyentes), siendo preciso, para conocer su verdadero significado, acudir a conjeturas o presunciones.

En el presente caso, más allá del tradicional marco conceptual de la forma de la prestación del consentimiento a que se ha hecho referencia, es preciso analizar las características de la declaración de voluntad en realidad emitida por el propietario del ordenador personal. Éste, es verdad, como dice el Fiscal, no autorizó de forma expresa al encargado de la tienda de informática a acceder al contenido de sus archivos o ficheros donde se encontraban las fotografías y videos de contenido pedófilo, ni tampoco tácitamente porque nos encontramos ante una manifestación de voluntad efectuada por su parte, por lo que no es necesario acudir a conjeturas o presunciones sobre los hechos para su interpretación. Dicho lo anterior, lo que sí se aprecia claramente en el recurrente es la concurrencia de una declaración expresiva de su voluntad de hacer entrega a dicho encargado de su portátil, poniéndolo a su disposición, para que éste procediera a su reparación (en concreto, para cambiar la grabadora que no funcionaba). Para ello le informa, incluso, como hemos visto, de que no precisa de contraseña alguna de acceso. Las razones que hayan podido llevar al recurrente a adoptar esta actitud, ya sean debidas a negligencia, descuido o desconocimiento del carácter ilícito de los referidos archivos (en este sentido, se observa en las actuaciones que una de las alegaciones de su línea defensiva fue invocar precisamente un supuesto error de prohibición) escapan, evidentemente, al análisis que debe realizarse en este Tribunal Constitucional. Así las cosas, durante el desempeño de la función encomendada, el responsable del establecimiento informático descubrió casualmente el material pedófilo, en particular cuando, una vez reparado el ordenador, procedía a comprobar su correcto funcionamiento. A tal fin, escogió al azar diversos archivos para llevar a cabo su grabación y posterior reproducción, lo que le permitiría conocer el correcto funcionamiento de las piezas sustituidas, práctica que, según se acreditó durante el juicio, constituye el protocolo habitual en estos casos. De lo expuesto, se deduce que dicho responsable no se extralimitó del mandato recibido estando amparado su proceder, que ha llevado al descubrimiento del material ilícito, por la propia autorización expresa del ahora demandante. Avala esta conclusión la circunstancia de que este encargado limitara su actuación a la carpeta «mis documentos» del usuario, mínimo necesario para realizar la referida prueba de grabación, sin pretender adentrarse en otras carpetas respecto de las que, por hallarse más ocultas o por expresarlo así el título asignado a las mismas, pudiera presumirse un mayor revestimiento de protección y reserva. Seguidamente, una vez producido el hallazgo, aquél se limitó a cumplir con la obligación que le viene legalmente impuesta a todo ciudadano consistente en denunciar ante las autoridades competentes la posible perpetración de un delito público del que ha tenido conocimiento (arts. 259 y ss. de la Ley de enjuiciamiento criminal).

En consecuencia, podemos descartar que la conducta desarrollada por el denunciante vulnerara el derecho a la intimidad del recurrente (art. 18.1 CE), por haber sufrido este una supuesta intromisión indebida en su esfera íntima.

6. Procede seguidamente analizar la legitimación de la actuación policial, una vez que el propietario de la tienda de informática presentó la denuncia e hizo entrega del ordenador, al haber procedido a revisar su contenido sin autorización judicial.

Según consta en las actuaciones, dicho responsable, en efecto, compareció en fecha 18 de diciembre de 2007 en el grupo de delitos tecnológicos y contra la propiedad industrial de la Brigada provincial de policía judicial de Sevilla, donde informó a los agentes del material pedófilo que había descubierto casualmente al acceder a la carpeta «mis documentos/mis imágenes», haciendo entrega en dicho acto del portátil. También facilitó los datos identificativos del cliente e, incluso, le reconoció fotográficamente en una composición que le fue exhibida a tal fin. Por la policía se procedió entonces a encender el ordenador entregado, accediendo ésta, no sólo a la carpeta «mis documentos», sino también a la carpeta denominada «Incoming«, perteneciente al programa de intercambio de archivos eMule. Poco después de la diligencia de acceso al ordenador, al día siguiente, se procede a la detención del denunciado, quien es oído en manifestación en las dependencias policiales. Concluido el atestado, en el que obra una diligencia de remisión del ordenador al grupo de pericias informáticas de dicha Brigada provincial para que se realizara un análisis más exhaustivo de su contenido, el detenido es puesto a disposición judicial el 20 de diciembre del mismo año. En la misma fecha el Juez de instrucción en funciones de guardia dictó Auto incoando diligencias previas, realizando como primera actuación procesal la de oír en declaración al agente policial que había intervenido como instructor del referido atestado, quien dio las explicaciones necesarias.

Con estos antecedentes, lo primero que cabe afirmar es que la autorización que el recurrente prestó para el acceso a su ordenador al propietario del establecimiento de informática, en la forma expuesta, no puede extenderse al posterior acceso a los archivos por parte de la policía. Tal como hemos afirmado anteriormente, el derecho a la intimidad personal se vulnera también cuando, aun autorizada su intromisión en un primer momento, se subvierten después los términos y el alcance para el que se otorgó. Como hemos visto, en el presente caso el alcance de la autorización dada se circunscribía a la manipulación por parte de dicho profesional del portátil para que procediera a la reparación del equipo informático, lo que no puede erigirse en legitimación para una intervención posterior realizada por personas distintas y motivada por otros fines. Lo contrario significaría asignar a un acto concreto de autorización una eficacia genérica erga omnes y temporalmente indeterminada, argumento que, sin duda, se revela contrario a los márgenes de disponibilidad de los derechos fundamentales, basados en la voluntad de su titular y cuyo alcance sólo a él corresponde delimitar. Esta conclusión aparece, además, avalada por la circunstancia de que los funcionarios policiales no se limitaron, una vez incautado el ordenador, a acceder, tal como había efectuado el denunciante, a la carpeta «mis documentos» del usuario, sino que ampliaron su análisis supervisando en particular la carpeta «eMule/Incoming», como hemos dicho.

Conviene reseñar en este momento que fue el hallazgo de este último programa, que estaba configurado de forma que los archivos pedófilos depositados en el ordenador pudieran ser descargados por otras personas a través de Internet, lo que ha fundado la condena del recurrente por la modalidad específica de distribución de material pornográfico infantil del art. 189.1 b) del Código penal. En este sentido, tampoco el hecho de que el recurrente permitiera, a través del programa eMule este acceso de otros usuarios a sus archivos, puede erigirse en una suerte de autorización genérica frente a posteriores y distintas injerencias en el ámbito reservado de su intimidad, a pesar de que ha sido éste el argumento utilizado aquí tanto por la Audiencia Provincial de Sevilla como por la Sala Segunda del Tribunal Supremo. En efecto, además de que el acceso a los expresados archivos sólo es factible para los usuarios que tengan instalada su misma aplicación, es lo cierto que la policía tan solo tiene conocimiento de la utilización del referido programa cuando accede al ordenador, siendo así que, conforme hemos expuesto, las circunstancias que permiten afirmar la existencia del presupuesto habilitante para penetrar en la esfera de la intimidad del titular del derecho deben evaluarse y apreciarse ex ante, sin que dicho acceso pueda justificarse ex post a partir de hechos sólo descubiertos después y como consecuencia del mismo.

7. Descartada la existencia de una autorización por parte del recurrente que facultase a la policía para supervisar su ordenador personal, nos corresponde analizar si, en todo caso, su actuación ha podido estar motivada por la concurrencia de otros bienes jurídicos constitucionalmente protegidos, de forma que se aprecie una justificación objetiva y razonable para la injerencia en su derecho a la intimidad personal.

Puede afirmarse, sin necesidad de una mayor argumentación, que la conducta adoptada por la policía perseguía un fin legítimo, por cuanto se enmarcaba dentro de las investigaciones que ésta realizaba dirigidas al esclarecimiento de un delito de pornografía infantil. Al propio tiempo existe la habilitación legal necesaria para la realización, por parte de los agentes intervinientes, de este tipo de pesquisas, pues, como hemos visto, se encuentran entre sus funciones las de practicar las diligencias necesarias para comprobar los delitos, descubrir sus autores y recoger los efectos, instrumentos o pruebas, pudiendo efectuar «un primer análisis» de los efectos intervenidos (en este sentido, se observa en el propio atestado policial cómo su instructor califica el informe realizado sobre el contenido del ordenador como «un análisis preliminar», sin perjuicio de la pericial que luego se solicita al grupo especializado de pericias informáticas). Finalmente, si bien la intervención policial desplegada no contó con la previa autorización judicial, circunstancia ésta que ha llevado a considerar, tanto al recurrente como al Fiscal, que se había producido en este caso una vulneración del derecho a la intimidad personal, podemos afirmar que nos encontramos ante uno de los supuestos excepcionados de la regla general, que permite nuestra jurisprudencia, pues existen y pueden constatarse razones para entender que la actuación de la policía era necesaria, resultando, además, la medida de investigación adoptada razonable en términos de proporcionalidad.

Dicho lo anterior, y con independencia de la necesidad de que el legislador regule esta materia con más precisión, avala esta última conclusión la circunstancia de que los funcionarios intervinientes actuaron ante la notitia criminis proporcionada por el propietario de una tienda de informática, quien se personó en las dependencias policiales informando acerca del material pedófilo que había encontrado en un ordenador personal. Con esta actuación, los expresados agentes pretendían, con la conveniente celeridad que requerían las circunstancias, comprobar la veracidad de lo ya descubierto por este ciudadano, así como constatar si existían elementos suficientes para la detención de la persona denunciada. Hemos de valorar, además, que la investigación se circunscribía de manera específica a un delito de distribución de pornografía infantil, lo que resulta relevante, no sólo por la modalidad delictiva y la dificultad de su persecución penal al utilizarse para su comisión las nuevas tecnologías e Internet, sino fundamentalmente en atención a la gravedad que estos hechos implican, derivada ésta de la pena que llevan aparejados por referirse a víctimas especialmente vulnerables.

En esta dirección, la Decisión del Consejo de la Unión Europea de 29 de mayo de 2000, relativa a la lucha contra la pornografía infantil en Internet, luego de advertir en su introducción que «la producción, tratamiento, posesión y difusión de material pornográfico infantil pueden representar una modalidad importante de la delincuencia internacional organizada, cuya envergadura dentro de la Unión Europea suscita cada vez mayor preocupación», insta a los Estados miembros en su artículo 1 a que adopten las medidas necesarias para «garantizar una actuación rápida de las autoridades policiales» en cuanto reciban información sobre estos casos y para «animar a los usuarios de Internet a que comuniquen a las autoridades policiales, directa o indirectamente, sus sospechas sobre la difusión de material pornográfico en Internet, cuando encuentren material de este tipo». Por su parte, la Decisión Marco del mismo Consejo de 22 de diciembre de 2003, sobre la lucha contra la explotación sexual de los niños y la pornografía infantil, tras resaltar también en su parte introductoria que la pornografía infantil constituye «una violación de los derechos humanos y del derecho fundamental del niño a una educación y un desarrollo armonioso», describe en su artículo 5 las especiales penas privativas de libertad y las circunstancias agravantes que los Estados miembros han de aplicar en este tipo de infracciones.

Por otra parte, adquiere especial relevancia en este caso la función que se encomienda a la policía judicial de asegurar las pruebas incriminatorias, debiendo destacarse que en estas infracciones, a diferencia de lo que generalmente ocurre con ocasión de otro tipo de intervenciones (p. ej. telefónicas o postales), el delito se comete en la red, por lo que el ordenador, no sólo es el medio a través del cual se conoce la infracción, sino fundamentalmente la pieza de convicción esencial y el objeto de prueba. En este supuesto, hay que tener en cuenta que la persona denunciada no estaba detenida cuando se practica la intervención, por lo que tampoco aparece como irrazonable intentar evitar la eventualidad de que mediante una conexión a distancia desde otra ubicación se procediese al borrado de los ficheros ilícitos de ese ordenador o que pudiera tener en la «nube» de Internet. En todo caso, también aparece como un interés digno de reseñar la conveniencia de que por parte de los funcionarios policiales se comprobara con la conveniente premura la posibilidad de que existiesen otros partícipes, máxime en este caso en que se utilizó una aplicación informática que permite el intercambio de archivos, o que, incluso, detrás del material pedófilo descubierto, pudieran esconderse unos abusos a menores que habrían de acreditarse.

A estas apreciaciones, habría de añadirse que la actuación policial respetó el principio de proporcionalidad, pues se trata de una medida idónea para la investigación del delito (del terminal informático se podían extraer –como así fue– pruebas incriminatorias y nuevos datos para la investigación), imprescindible en el caso concreto (no existían otras menos gravosas) y fue ejecutada de tal modo que el sacrificio del derecho fundamental a la intimidad no resultó desmedido en relación con la gravedad de los hechos y las evidencias existentes. En este punto, merece subrayarse que el órgano judicial no estuvo durante un espacio prolongado de tiempo al margen de la iniciativa adoptada por la policía, pues ésta inmediatamente (a los dos días) dio cuenta al Juez de instrucción, pudiendo entonces éste hacer la conveniente ponderación sobre si dicha diligencia estaba o no justificada, después de oír, como hemos visto, al instructor del atestado instruido.

De todo lo cual cabe concluir que, siendo la actuación policial constitucionalmente legítima, el sacrificio del derecho fundamental afectado estaba justificado por la presencia de otros intereses constitucionalmente relevantes, no pudiendo apreciarse vulneración alguna del derecho a la intimidad personal del recurrente.

8. Finalmente, se alega en la demanda la vulneración del derecho a un proceso con todas las garantías y a la presunción de inocencia (art. 24.2 CE), al haberse utilizado en el proceso por el órgano judicial para la condena la diligencia de apertura y examen por la policía del ordenador personal, reputada prueba ilícita según lo expuesto por el recurrente, resultando que el resto de los elementos probatorios ponderados derivarían de esta actuación. Es decir, según se infiere de la demanda, las demás pruebas practicadas en el juicio oral proceden del hallazgo de los archivos ilícitos, no existiendo ninguna de ellas que tenga un carácter autónomo, por lo que deberían de considerarse, a su vez, ilícitas según lo dispuesto en el art. 11.1 de la Ley Orgánica del Poder Judicial al tratarse de pruebas obtenidas indirectamente con vulneración del derecho fundamental a la intimidad personal (art. 18.1 CE). De este modo, la exclusión probatoria abarcaría, no sólo al referido descubrimiento, sino también a las declaraciones del denunciante y de los propios funcionarios policiales intervinientes, pues estos elementos probatorios nunca se habrían producido sin aquella intervención. Además, no puede servir como elemento incriminatorio el contenido del testimonio prestado por el acusado en el juicio oral, pues en este acto se acogió a su derecho a no declarar y el Ministerio público no interesó la lectura de sus declaraciones prestadas en fase de instrucción.

No obstante lo anterior, descartada la nulidad de la expresada diligencia al no apreciarse lesión alguna del derecho reconocido en el art. 18.1 CE, tal como hemos desarrollado ampliamente, no cabe apreciar tampoco la nulidad subsiguiente de las restantes pruebas practicadas, por lo que también resulta procedente rechazar el presente motivo de amparo. En todo caso, concurre en este supuesto prueba de cargo suficiente y practicada con todas las garantías para enervar el derecho a la presunción de inocencia del acusado, habiendo consistido ésta, no sólo en el dato objetivo del hallazgo de los archivos de contenido pedófilo, susceptibles de ser distribuidos a terceros, sino también en los testimonios del propietario del establecimiento de informática que presentó la denuncia y del funcionario policial instructor del atestado, así como en el contenido del informe pericial elaborado por el grupo de pericias informáticas de la policía judicial, debidamente incorporado a las actuaciones e introducido en el plenario para su discusión por las partes.

En definitiva, ha de concluirse que la condena del demandante como autor de un delito de distribución de material pornográfico infantil del art. 189.1 b) del Código penal se sustenta en pruebas de cargo válidamente practicadas, al haberse acomodado a las exigencias constitucionales, mediante un razonamiento debidamente explicitado en las resoluciones judiciales, como hemos comprobado, que no puede calificarse de irrazonable, puesto que los datos tenidos en cuenta resultan suficientemente concluyentes, sin que a este Tribunal le competa realizar ningún otro juicio ni entrar a examinar otras inferencias propuestas por quien solicita el amparo (SSTC 206/2007, de 24 de septiembre, FJ 4; 219/2009, de 21 de diciembre, FJ 9; y 134/2010, de 2 de diciembre, FJ 9, entre otras).

FALLO

En atención a todo lo expuesto, el Tribunal Constitucional, POR LA AUTORIDAD QUE LE CONFIERE LA CONSTITUCIÓN DE LA NACIÓN ESPAÑOLA,

Ha decidido

Desestimar la demanda de amparo presentada por don C. T. R..

Publíquese esta Sentencia en el «Boletín Oficial del Estado».

Dada en Madrid, a siete de noviembre de dos mil once.

Eugeni Gay Montalvo.

Elisa Pérez Vera.

Ramón Rodríguez Arribas.

Francisco José Hernando Santiago.

Luis Ignacio Ortega Álvarez.

Francisco Pérez de los Cobos Orihuel.

Voto particular que formula la Magistrada doña Elisa Pérez Vera a la Sentencia recaída en el recurso de amparo 5928-2009

Haciendo uso de la facultad prevista en el artículo 90.2 LOTC, y pese al respeto personal que me merece el criterio mayoritario reflejado en la Sentencia, me siento en la obligación de mostrar mi disentimiento en este Voto particular, que refleja fielmente la posición que mantuve en la deliberación de la Sala y que expresa mi discrepancia con el fallo y con una parte de los argumentos que lo sustentan.

La cuestión jurídica debatida en el recurso de amparo que ha resuelto la Sentencia de la que discrepo es la de determinar el ámbito de protección que, en términos constitucionales, proyecta el derecho a la intimidad sobre el contenido almacenado en un ordenador personal. En efecto, de la respuesta que reciba esta cuestión dependerá la licitud de las pruebas obtenidas en el registro policial, realizado sin autorización judicial, en el ordenador personal del actor.

La Sentencia parte de una correcta exposición de la doctrina constitucional sobre el derecho a la intimidad y de la consideración del ordenador personal como espacio idóneo para la proyección de tal derecho. Ambos aspectos los comparto plenamente, como también comparto las reflexiones sobre la preocupación, interna e internacional, que suscita el delito por el que era investigado y por el que fue finalmente condenado el recurrente. Todavía en el ámbito de las coincidencias también comparto el diferente tratamiento dado a las dos conductas a las que se reprocha la vulneración del derecho a la intimidad, es decir, la del técnico informático cuyos servicios requirió el actor para solucionar los problemas de funcionamiento de su ordenador, de una parte, y, la de la policía ante la que se denunció la existencia de archivos pedófilos en el mismo, por otra.

En cuanto a la primera comparto la opinión de la mayoría, expresada en el fundamento jurídico 5, de que la conducta del técnico informático responde al deber general de colaboración de los ciudadanos en la persecución del delito cuyo conocimiento alcanzó en virtud de un hallazgo casual. La Sentencia apoyada por la mayoría no considera, de modo expreso, que tal hallazgo fuera posible por la existencia de un consentimiento tácito del propietario del ordenador personal para acceder a algún archivo que permitiera constatar que la avería detectada se había resuelto. Por mi parte, entiendo que la Sentencia debería haber precisado que el hallazgo se produce merced a una intervención del técnico informático amparada por el consentimiento tácito del recurrente: en todo caso así lo vendría a reconocer implícitamente el texto aprobado por la mayoría cuando al analizar la actuación policial (FJ 6) descarta que pudiera ampararse en la autorización del recurrente que valida la actuación del particular.

Ahora bien, el punto en que mis discrepancias con la Sentencia se hacen insalvables es en el relativo a la valoración de la actuación policial. Ante todo, creo que nuestra decisión tendría que haber tomado como punto de partida la deficiente «calidad de la ley» en cuanto a la protección de la intimidad contenida en medios informáticos. Una insuficiencia en la previsión legal, a la que se refiere también la decisión aprobada por la mayoría en el fundamento jurídico 7, aunque sin extraer de ella ninguna consecuencia. Por mi parte entiendo que precisamente esa circunstancia debería haber llevado a este Tribunal a extremar su celo como garante de los derechos fundamentales consagrados en la Constitución, precisando los supuestos y las condiciones en que puede producirse una intervención policial en el ordenador personal de un ciudadano, como hemos hecho en otras ocasiones (como se hizo, por ejemplo, en las SSTC 49/1999, de 5 de abril, y 184/2003, de 23 de octubre, en materia de intervención de las comunicaciones telefónicas).

La Sentencia en este punto se construye sobre la base de que al supuesto considerado le es de aplicación la doctrina general sobre la intimidad que se erige, así, en canon de enjuiciamiento. Pues bien, aceptando tal enfoque, e insistiendo en el carácter complementario que le corresponde a la doctrina de este Tribunal ante las carencias de la regulación legal, mi apartamiento de la aplicación que la Sentencia hace de la doctrina al caso concreto comprende tanto la fundamentación jurídica como el fallo al que conduce.

Según la citada doctrina, en ausencia de autorización del titular del derecho a la intimidad, la intervención policial ha de venir avalada por las notas de su urgencia y necesidad, con respeto al principio de proporcionalidad, extremos todos ellos susceptibles de ulterior control judicial [STC 70/2002, de 3 de abril, FJ 10 b) 5]. Ciertamente el art. 18 apartado 1 CE, a diferencia de lo dispuesto en los apartados 2 y 3 sobre el domicilio y las comunicaciones, no exige expresamente la autorización judicial en relación con la protección del derecho a la intimidad, aunque es sabido que la doctrina del Tribunal, tal y como se recoge en la propia Sentencia, ha consagrado con carácter general la exigencia de dicha autorización. Sin embargo, la ausencia de previsión constitucional tiene consecuencias e implica que el legislador tenga una mayor libertad (sujeto siempre al control de constitucionalidad de este Tribunal Constitucional), para decidir los supuestos en que tal autorización pueda no resultar necesaria; pero, en ausencia de normativa legal, la doctrina constitucional conserva todo su vigor.

En la Sentencia se descarta correctamente la existencia de autorización por parte del recurrente, para considerar a continuación que «existe la habilitación legal necesaria para la realización, por parte de los agentes intervinientes, de este tipo de pesquisas, pues, como hemos visto, se encuentran entre sus funciones las de practicar las diligencias para comprobar los delitos, descubrir sus autores y recoger los efectos, instrumentos o pruebas, pudiendo efectuar «un primer análisis» de los efectos intervenidos (en este sentido, se observa en el propio atestado policial cómo su instructor califica el informe realizado sobre el contenido del ordenador como «un análisis preliminar», sin perjuicio de la pericial que luego se solicita al grupo especializado de pericias informáticas).» (FJ 7).

Ahora bien, lo que no dice la Sentencia pero resulta obvio es que tal habilitación legal lleva implícita la exigencia de que en su realización no se conculque ningún derecho fundamental, que es precisamente el tema debatido en este recurso. Por otra parte, el que el informe sobre el contenido del ordenador se califique como «análisis preliminar» en nada obsta al hecho, reconocido por la propia Sentencia, de que para su elaboración la policía accedió, no sólo a la carpeta «mis documentos» en la que había entrado el técnico encargado de su reparación, sino a otra denominada «Incoming«, perteneciente al programa de intercambio de archivos eMule. Ello supone una intromisión en el contenido del ordenador que va más allá de la primera toma de contacto que tal vez pudiera considerarse necesaria para establecer la verosimilitud del delito denunciado. Es más, según refiere la Sentencia, la policía pone el ordenador a disposición del grupo especializado de pericias informáticas de la policía judicial antes de que el atestado sea puesto en conocimiento del Juez de instrucción.

Todo ello se produjo, como es evidente, sin previa autorización judicial. Sin embargo, la Sentencia considera que ninguna vulneración de un derecho fundamental produje tal actuación; y es que, según la Sentencia, «nos encontramos ante uno de los supuestos excepcionados de la regla general, que permite nuestra jurisprudencia, pues existen y pueden constatarse razones para entender que la actuación de la policía era necesaria, resultando, además, la medida de investigación adoptada razonable en términos de proporcionalidad» (mismo fundamento jurídico).

No puedo compartir esta afirmación ni el razonamiento que la sustenta. En efecto, para deducir la necesidad de la actuación policial se afirma que en el tipo de infracciones investigadas «a diferencia de lo que generalmente ocurre con ocasión de otro tipo de intervenciones (p. ej. telefónicas o postales), el delito se comete en la red, por lo que el ordenador, no sólo es el medio a través del cual se conoce la infracción, sino fundamentalmente la pieza de convicción esencial y el objeto de prueba». Siendo esencialmente cierta la anterior afirmación no alcanzo a entender por qué, estando el ordenador físicamente en poder de la policía, las diligencias de investigación no podían esperar a que su realización contara con autorización judicial. Se añade a continuación en la Sentencia un dato que podría resultar relevante: cuando se practica la intervención la persona denunciada no estaba detenida «por lo que tampoco aparece como irrazonable intentar evitar la eventualidad de que mediante una conexión a distancia desde otra ubicación se procediese al borrado de los ficheros ilícitos de ese ordenador o que pudiera tener en la «nube» de Internet» (mismo fundamento jurídico). Pues bien, entiendo que no correspondía al Tribunal Constitucional aportar una justificación de la actuación policial de índole técnica y no utilizada por las decisiones recurridas. Pero es que, además, el acceso a archivos de Internet (como los que incriminaban al recurrente) sólo puede realizarse si el terminal en cuestión está conectado a la red, por lo que en nada se hubiera puesto en riesgo la labor investigadora de la policía si, estando dicho terminal en su poder, se mantiene apagado hasta lograr la preceptiva autorización judicial. Por lo demás desde el día siguiente de la denuncia y de la entrega del ordenador el denunciado permaneció detenido en dependencias policiales, hasta que un día más tarde fue puesto a disposición judicial. De este modo durante veinticuatro de las cuarenta y ocho horas que tardó en dar cuenta al Juez de instrucción, la policía tuvo en dependencias policiales tanto el ordenador como al denunciado, cuyo comportamiento por tanto no podía poner en peligro ninguno de los elementos de prueba contenidos en aquél.

Con lo cual me resulta evidente que no existía la urgente necesidad que se aprecia en la Sentencia para obviar la autorización judicial. Estoy de acuerdo en que la entrada en el ordenador era una medida idónea e imprescindible para establecer todos los elementos del delito investigado. Pero no concurriendo la urgente necesidad de realizar esa intervención de manera inmediata, la misma debió llevarse a cabo con la autorización previa y el control de su ejecución por parte de la autoridad judicial, ya que durante el tiempo necesario para su obtención no existía riesgo de destrucción de las pruebas incriminatorias, ni se ponía en peligro la investigación policial. No habiéndose hecho así, tal actuación vulneró, en mi opinión, el derecho a la intimidad del actor, contaminando inexorablemente las pruebas obtenidas en la misma, sin que pueda considerarse sanada dicha vulneración por el conocimiento a posteriori por el Juez de instrucción de la iniciativa policial, como parece apuntar la Sentencia, ni por el hecho de que a posteriori pudiera valorarse en sí misma como necesaria.

Finalmente, habiendo llegado al convencimiento de que se ha vulnerado el derecho a la intimidad del recurrente he de concluir que se ha afectado igualmente al derecho a un proceso con todas las garantías (art. 24.2 CE), al haberse fundado la condena en prueba obtenida con vulneración de un derecho fundamental. Dado que la declaración de ilicitud de la prueba sólo alcanzaría, en mi opinión, a la injerencia en la intimidad efectuada por la policía, pero no a la realizada por el encargado del establecimiento, y que la determinación de qué medios de prueba se hallan en conexión de antijuridicidad con el hallazgo realizado por la policía no resulta evidente, por lo que el fallo de la Sentencia debería haber sido de estimación parcial del amparo solicitado, con retroacción de actuaciones al momento inmediatamente anterior al pronunciamiento condenatorio de la Audiencia Provincial para que procediera a dictar una nueva resolución acorde con los derechos vulnerados.

Madrid, a catorce de noviembre de dos mil once.

Elisa Pérez Vera.

Tercer Dictamen del Supervisor Europeo de Protección de Datos de 27 de abril de 2007, sobre la propuesta de Decisión Marco del Consejo relativa a la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal (Diario Oficial nº C 139 de 23.6.2007, pp. 1-10).

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado constitutivo de la Comunidad Europea y, en particular, su artículo 286,

Vista la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, su artículo 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1),

Visto el Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos (2) personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, y, en particular, su artículo 41,

HA ADOPTADO EL SIGUIENTE DICTAMEN:

I. INTRODUCCIÓN

1. El 19 de diciembre de 2005 y el 29 de noviembre de 2006, el SEPD emitió dos dictámenes (3) sobre la propuesta de Decisión Marco del Consejo relativa a la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal, presentada por la Comisión. En estos dictámenes se subrayaba la importancia de la propuesta como instrumento eficaz para la protección de datos personales en el ámbito cubierto por el título VI del Tratado UE. En el segundo, concretamente, el SEPD manifestaba su preocupación ante el hecho de que las negociaciones estuvieran evolucionando hacia un nivel de protección de los datos personales que no sólo era inferior a los criterios establecidos en la Directiva 95/46/CE, sino también incompatible con la formulación más general del Convenio 108 del Consejo de Europa (4).

2. En enero de 2007, la Presidencia alemana formuló una serie de elementos fundamentales para revisar la propuesta, con el fin de eliminar las reservas pendientes y mejorar la protección de datos del tercer pilar (5). El proyecto de propuesta revisada (6) se presentó al Parlamento Europeo en una segunda consulta el 13 de abril de 2007.

3. Tanto los cambios de fondo que contiene la propuesta revisada como la importancia de la misma requieren un nuevo dictamen del SEPD. Este dictamen se centrará en los principales motivos de inquietud del SEPD y no volverá sobre las observaciones formuladas en los dictámenes anteriores, ya que estas siguen siendo válidas para la propuesta revisada.

II. NUEVO IMPULSO DE LA PRESIDENCIA ALEMANA

4. El SEPD celebra que la Presidencia alemana esté dedicando un gran esfuerzo a las negociaciones de esta Decisión Marco del Consejo. Es bien sabido que las negociaciones se vieron bloqueadas en el Consejo, debido a diferencias fundamentales de opinión entre los Estados miembros sobre cuestiones clave. Por ello, la Presidencia ha tomado una decisión acertada al imprimir a estas negociaciones un impulso renovado presentando un texto nuevo.

5. El que la Presidencia alemana haya dado un nuevo impulso a las negociaciones es en sí algo muy positivo. Sin embargo, tras estudiar exhaustivamente el texto más reciente, el SEPD no está satisfecho con el contenido. En efecto, el texto presentado por la Presidencia alemana no está a la altura de las expectativas, y ello por los motivos siguientes:

– El texto disminuye la protección del ciudadano, ya que se han suprimido de él una serie de disposiciones fundamentales para esta protección que figuraban en la propuesta de la Comisión.

– En muchos aspectos, la propuesta revisada queda incluso por debajo del nivel de protección establecido en el Convenio 108. Por lo tanto, no es satisfactorio e incluso resultará incompatible con las obligaciones internacionales de los Estados miembros.

– El texto aumenta la complejidad de este asunto, ya que cubre el tratamiento de datos que realicen Europol, Eurojust y el Sistema de Información Aduanero del tercer pilar, y abre el debate sobre la supervisión de estos organismos. En concreto, el presente dictamen tratará de si una Decisión Marco del Consejo es un instrumento jurídico adecuado para estos temas.

– La calidad legislativa del texto deja que desear. Aparte del tipo de instrumento jurídico elegido, varias disposiciones incumplen las normas de las directrices comunes sobre la calidad de la redacción de la legislación comunitaria (7). En concreto, el texto no está redactado de manera clara, sencilla y precisa, lo que hace difícil para los ciudadanos el determinar sus derechos y obligaciones inequívocamente.

– La escasa protección que ofrece esta propuesta no puede contribuir adecuadamente a la creación de un espacio de libertad, seguridad y justicia en el que la policía y las autoridades judiciales puedan intercambiar información sobre la aplicación de la ley con independencia de las fronteras nacionales. De hecho, a falta de un nivel de protección de datos que sea elevado y aplicable en general, la propuesta sigue sometiendo los intercambios de información a distintas «normas de origen» y «estándares dobles» nacionales que repercuten de manera importante en la eficiencia de la cooperación para la aplicación de la ley sin mejorar la protección de los datos personales (8).

6. El SEPD es bien consciente de lo difícil que resulta llegar a la unanimidad en el Consejo. Sin embargo, el procedimiento de toma de decisiones no puede justificar el que se adopte un planteamiento de mínimo común denominador que iría en menoscabo de los derechos fundamentales de los ciudadanos de la UE y restaría eficiencia a la aplicación de la ley. En este sentido, sería de desear que la experiencia en protección de datos se tomara plenamente en consideración y que se integraran debidamente las recomendaciones formuladas por el Parlamento Europeo en sus resoluciones (9).

III. MARCO JURÍDICO Y OBJETIVO DEL PRESENTE DICTAMEN

7. Una Decisión Marco sobre la protección de datos personales en el tercer pilar es un elemento fundamental para el desarrollo de un espacio de libertad, seguridad y justicia. La creciente importancia que está adquiriendo la cooperación policial y judicial en asuntos penales, así como las actuaciones derivadas del Programa de La Haya (10), han puesto de manifiesto la necesidad de adoptar criterios comunes para la protección de datos en el tercer pilar.

8. Por desgracia, tal como ha afirmado reiteradamente el SEPD así como otros interesados competentes (11), los instrumentos existentes de rango europeo son insuficientes. El Convenio 108 del Consejo de Europa, que es vinculante para los Estados miembros, establece principios fundamentales generales sobre la protección de datos, pero aun cuando ha de interpretarse a la luz de la jurisprudencia del Tribunal Europeo de Derechos Humanos, no otorgaa la precisión necesaria, cosa que el SEPD ha afirmado ya en varias ocasiones (12). La Directiva 95/46/CE, que integraba y especificaba los principios del Convenio 108 respecto del mercado interior, se adoptó ya en 1995. Esta Directiva no se aplica a las actividades que entran en el ámbito de aplicación del tercer pilar. Para las actividades del ámbito de la cooperación policial y judicial, todos los Estados miembros han suscrito la Recomendación no R (87) 15 (13), que especifica hasta cierto punto el Convenio 108 para el sector policial, pero este no es un instrumento jurídico vinculante.

9. En este contexto, el artículo 30.1.b) del TUE establece que las actuaciones comunes en el ámbito de la cooperación policial que supongan el tratamiento de información por parte de servicios con funciones coercitivas estén sujetas «a las disposiciones correspondientes en materia de protección de datos personales». A falta de una Decisión Marco del Consejo con un contenido satisfactorio, tales disposiciones no existen.

10. Puede establecerse fácilmente un paralelismo con el desarrollo del mercado interior, ámbito en el que se consideró que un elevado nivel de protección de los datos personales en toda la Comunidad era un elemento fundamental para eliminar los obstáculos a la libre circulación de bienes, servicios, capitales y personas, lo que llevó a la adopción de la Directiva 95/46/CE. Por analogía, un espacio de libertad, seguridad y justicia en el que la información circule libremente entre las autoridades encargadas del cumplimiento de la ley, tanto en el plano nacional como en el de la Unión Europea, requiere un nivel de protección de los datos personales que sea elevado y uniforme en todos los Estados miembros.

11. Todo esto contrasta con la situación actual, en la que no existe tal marco general, sino que las disposiciones sobre la protección de los datos personales en el tercer pilar son específicas a este sector y se hallan dispersas en distintos instrumentos jurídicos (14). Algunas propuestas recientes (15) confirman y potencian la fragmentación ya existente de las disposiciones sobre protección de datos en este ámbito y hacen peligrar su coherencia. Por otra parte, la falta de un marco general afecta a la rapidez de la adopción de muchas propuestas en el ámbito de la cooperación policial y judicial.

12. Por estos motivos, el SEPD ha respaldado decididamente en sus dictámenes anteriores la propuesta de la Comisión y ha formulado recomendaciones pertinentes para mejorar una propuesta que resultaba necesaria para garantizar un nivel adecuado de protección del ciudadano. El SEPD ha sostenido reiteradamente que un marco general para la protección de datos en el tercer pilar ha de garantizar un nivel de protección elevado y coherente, aprovechando los principios establecidos en el Convenio 108 y en la Directiva 95/46/CE, y teniendo en cuenta asimismo, cuando proceda, la especificidad de las actividades de aplicación de la ley.

13. La coherencia de este marco general con los principios de protección de datos del primer pilar es tanto más importante en un contexto en el que la participación creciente del sector privado en la aplicación de la ley supone que los datos personales pasan del primer al tercer pilar (como ocurre en el caso del registro de nombres de los pasajeros, o PNR), o bien del tercero al primero. Ejemplos pertinentes pueden encontrarse fácilmente: la utilización de listas de exclusión con personas a las que no debería permitirse entrar en los aviones, listas elaboradas por las compañías aéreas para las autoridades de aplicación de la ley, a efectos del primer pilar (con fines comerciales así como por motivos de seguridad aérea), así como la propuesta sobre el acceso para las autoridades de aplicación de la ley a la base VIS, creada como instrumento de una política común de visados (16). En consecuencia, el SEPD recalca que los principios sobre protección de datos del primer pilar deben aplicarse también al tercer pilar. Sin embargo, la especificidad de las actividades de aplicación de la ley pueden hacer necesarias disposiciones complementarias o excepcionales (17).

14. Es esencial contar con salvaguardas adecuadas, coherentes y aplicables ampliamente a la protección de datos en el tercer pilar, no sólo para garantizar el derecho fundamental a la protección de datos de las personas, sino también para promover la eficiencia de la cooperación en la aplicación de la ley en el espacio de libertad, seguridad y justicia.

15. En este contexto, el presente dictamen evalúa hasta qué punto la propuesta revisada actual establece disposiciones adecuadas sobre la protección de datos personales con arreglo al artículo 30.1.b) del TUE. Al hacerlo, el SEPD remite a algunas de las recomendaciones que hizo en los dictámenes anteriores. En el presente dictamen se evalúa también si la propuesta revisada respeta las obligaciones internacionales que para los Estados miembros derivan del Convenio 108 del Consejo de Europa y de la jurisprudencia del Tribunal Europeo de Derechos Humanos, así como los principios establecidos en la Recomendación no R (87) 15 sobre la utilización de datos personales en el ámbito policial. Por otra parte, el SEPD estudiará hasta qué punto lo dispuesto en la propuesta repercutiría en la eficiencia de la cooperación policial y judicial.

IV. PRINCIPALES PREOCUPACIONES

IV.1. Aplicabilidad del tratamiento nacional de datos personales

16. La propuesta incluye ahora un considerando en que se afirma que los Estados miembros aplicarán las normas de la Decisión marco a sus sistemas nacionales de tratamiento de datos para que, a la hora de recopilar los datos, se cumplan ya las condiciones de su transmisión (considerando 6 bis). Este considerando trata de atender a las preocupaciones manifestadas no sólo por el SEPD en sus dictámenes anteriores, sino también por muchos otros interesados. De hecho, el Parlamento Europeo, la Conferencia de autoridades de protección de datos, e incluso el Comité Consultivo sobre tratamiento y protección de datos del Consejo de Europa (integrado por representantes de los Gobiernos europeos con competencias en materia de protección de datos), han puesto de manifiesto en varias ocasiones que la aplicabilidad de la Decisión Marco al tratamiento nacional de datos personales es condición esencial no sólo para garantizar una protección suficiente de los datos personales, sino también para hacer posible una cooperación eficaz entre las autoridades policiales (18)

17. Con todo, el considerando como tal no puede imponer una obligación que no esté establecida expresamente en la parte dispositiva. Desgraciadamente, el artículo 1 (Objetivo y ámbito de aplicación) limita explícitamente la aplicabilidad de la propuesta a los datos intercambiados entre los Estados miembros o los organismos de la UE, garantizando «la plena protección de los derechos y libertades fundamentales, y en particular la intimidad, de los interesados cuando los datos personales se transmitan (…)».

18. Por consiguiente, la versión actual del texto otorga plena discreción a los Estados miembros a la hora de aplicar principios uniformes de protección de datos al tratamiento nacional de datos personales y no obliga a los Estados miembros a aplicar las mismas normas comunes de protección de datos, todo ello en un ámbito de cooperación policial y judicial en que deben suprimirse las fronteras. En estas circunstancias, el SEPD vuelve a poner de relieve que la posibilidad de que existan distintos niveles de protección de datos entre los distintos Estados miembros dentro del tercer pilar sería:

– incoherente con la creación de un espacio de libertad, seguridad y justicia en el que los ciudadanos circulen libremente y con una adecuada aproximación de las legislaciones de conformidad con el artículo 34.2.b) del TUE;

– inapropiada para la protección de datos personales, habida cuenta del artículo 30.1.b) del TUE;

– ineficaz e inviable para las autoridades policiales, para las cuales constituirían una carga indebida las distinciones difíciles de manejar entre los datos nacionales y los datos transmitidos o disponibles para la transmisión, que en la mayoría de los casos formarán parte del mismo expediente (19);

19. El SEPD aconseja encarecidamente al legislador que amplíe el ámbito de la aplicabilidad, obligando -y no tan sólo invitando- a los Estados miembros a que apliquen la Decisión Marco al tratamiento nacional de los datos personales. Además, no existen argumentos jurídicos de peso para respaldar la opinión según la cual la aplicación a los datos nacionales no estaría autorizada por el artículo 34 del TUE.

IV.2. Limitación de los fines adicionales para los cuales pueden tratarse los datos personales

20. El principio de limitación de los fines es uno de los principios básicos de la protección de datos. En particular, el Convenio 108 establece que los datos de carácter personal «se registrarán para finalidades determinadas y legítimas, y no se utilizarán de una forma incompatible con dichas finalidades» (artículo 5.b)); Sólo se permiten excepciones a este principio en la medida en que las establezca la ley y constituyan una medida necesaria en una sociedad democrática para, entre otras cosas, «la represión de infracciones penales» (artículo 9). La jurisprudencia del Tribunal Europeo de Derechos Humanos ha enunciado claramente que tales excepciones han de ser proporcionadas, precisas y predecibles, de conformidad con el artículo 8.2 del Convenio Europeo de Derechos Humanos (20)

21. En la propuesta actual, las disposiciones relativas a la limitación de los fines se establecen en los artículos 3 y 12. El artículo 3 autoriza el tratamiento adicional con fines compatibles con el fin para el que los datos se recopilaron y está, por lo tanto, en consonancia con los principios básicos de la protección de datos.

22. No obstante, el artículo 3 es excesivamente amplio y no comprende una limitación adecuada de los fines de almacenamiento, como exige también el artículo 5.b) del Convenio 108 anteriormente citado. Los fines del título VI del Tratado UE a que se hace referencia no pueden considerarse como «finalidades determinadas y legítimas». La finalidad de la cooperación policial y judicial no es legítima por naturaleza (21) y, desde luego, no es determinada.

23. El artículo 3 no contiene ninguna excepción de las que podría contener de conformidad con el artículo 9 del Convenio 108. Sin embargo, el artículo 12 de la propuesta establece una serie sumamente amplia y no claramente definida de excepciones respecto del principio de limitación de los fines en el contexto de los datos personales recibidos de otro Estado miembro o puesto a disposición por éste. Concretamente, no se establece de forma explícita en este artículo la condición de que serán necesarias unas excepciones. En segundo lugar, no queda claro cuáles son los «otros procedimientos judiciales» respecto de los cuales el artículo 12.1.d autoriza que se traten los datos personales recogidos y transmitidos para un fin distinto. Por otra parte, el artículo 12.1.d autoriza que se traten con «cualquier otro fin», con la única condición de que las autoridades competentes que hayan transmitido los datos personales den su consentimiento. En este contexto, cabe señalar que no podrá considerarse, bajo ningún concepto, que el consentimiento de la autoridad transmisora sustituye el consentimiento del interesado ni que constituye un motivo de derecho para apartarse del principio de limitación de los fines. Por consiguiente, el SEPD hace hincapié en que esta excepción amplia y abierta no satisface los requisitos básicos de una protección de datos adecuada e incluso contradice los principios fundamentales del Convenio 108. Por consiguiente, el SEPD recomienda al legislador que vuelva a redactar las disposiciones pertinentes.

24. Una última observación se refiere al artículo 12.2, que ofrece la posibilidad de que las decisiones del Consejo correspondientes al tercer pilar primen sobre el apartado 1 cuando se hayan previsto las condiciones adecuadas para el tratamiento de los datos personales. El SEPD destaca que la formulación de este apartado es de carácter muy general y no hace justicia a la naturaleza de la Decisión Marco del Consejo en tanto que ley general aplicable a la cooperación policial y judicial. Esta ley general debería aplicarse a todo el tratamiento de datos personales en este ámbito.

25. El SEPD opina que las disposiciones actuales relativas al tratamiento posterior de datos personales afectan al principio fundamental de limitación de los fines e incluso se sitúan por debajo del nivel actual que establece el Convenio 108. Por consiguiente, el SEPD recomienda al legislador que vuelva a redactar las disposiciones pertinentes a la luz de las normas internacionales de protección de datos existentes y de la jurisprudencia pertinente.

IV.3. Protección adecuada en el intercambio de datos personales con terceros países

26. El Convenio 108 también trata las transferencias a terceros países. El Protocolo adicional relativo a las autoridades de control y los flujos transfronterizos de datos establece el principio general -sujeto a determinadas excepciones- de que se permite la transferencia de datos personales a un país tercero solamente si esa parte garantiza un nivel adecuado de protección para la transferencia considerada. El principio de «protección adecuada» se ha ejecutado y se ha especificado en varios instrumentos jurídicos de la Unión Europea, no sólo en instrumentos del primer pilar sobre protección de datos, como la Directiva 95/46/CE (22), sino también en instrumentos jurídicos del tercer pilar, como los instrumentos jurídicos por los que se creaban Europol y Eurojust.

27. El considerando 12 de la propuesta actual afirma que, en caso de transferencia de datos personales a terceros países u organismos internacionales, estos datos «deberían, en principio, gozar de un nivel de protección adecuado». Además, el artículo 14 permite que se transfieran datos personales transmitidos de otro Estado miembro a terceros países u organismos internacionales cuando la autoridad que los transmite haya dado su consentimiento a la transferencia de acuerdo con su Derecho nacional. Por lo tanto, las disposiciones de la propuesta no establecen ninguna necesidad de protección adecuada, ni prevén criterio o mecanismo común alguno para evaluar la adecuación. Esto significa que cada Estado miembro evaluará conforme a su propia discreción el nivel de adecuación previsto por el tercer país o el organismo internacional. Por consiguiente, la lista de países y organizaciones internacionales adecuados -a los cuales se permite una transferencia- variará considerablemente de un Estado miembro a otro.

28. Este marco jurídico también obstaculizaría la cooperación policial y judicial. En efecto, las autoridades policiales de un Estado miembro, al decidir sobre una solicitud de un expediente penal determinado presentada por un tercer país, no solamente tendrán que considerar la adecuación de ese país, sino que también habrán de tener en cuenta si cada uno de los demás Estados miembros (hasta 26) que han contribuido al expediente ha dado su consentimiento, con arreglo a su propia evaluación de la adecuación del tercer país de que se trate.

29. A este respecto, el artículo 27 de la propuesta (Relación con acuerdos con terceros Estados) añade más incertidumbre, al estipular que la Decisión Marco no afectará a las obligaciones y compromisos contraídos por los Estados miembros o la UE en virtud de acuerdos bilaterales o multilaterales con terceros Estados. Según el SEPD, esta disposición debería limitarse claramente a los acuerdos vigentes y debería establecer que los futuros acuerdos estén en consonancia con las disposiciones de la presente propuesta.

30. El SEPD cree que las disposiciones actuales sobre transferencias de datos personales a terceros países y organizaciones internacionales no serían adecuadas para proteger los datos personales, ni viables para las autoridades policiales. Por tanto, el SEPD reitera (23) la necesidad de garantizar un nivel adecuado de protección cuando se transfieran datos personales a terceros países u organizaciones internacionales y que se creen mecanismos que garanticen normas comunes y decisiones coordinadas en relación con las constataciones. Esta misma opinión expresaron con anterioridad el Parlamento Europeo y el Comité sobre tratamiento y protección de datos del Consejo de Europa.

IV.4. Calidad de los datos

31. El artículo 5 del Convenio 108 establece los principios para garantizar la calidad de los datos personales. Más información al respecto figura en otros instrumentos no vinculantes como la Recomendación no R (87) 15 y en sus tres evaluaciones realizadas hasta la fecha.

32. Al comparar la propuesta actual con los instrumentos jurídicos antes mencionados, se pone claramente de manifiesto que en la versión revisada faltan determinadas garantías importantes, en algunos casos ya previstas en la propuesta de la Comisión:

– El artículo 3 de la propuesta no garantiza que los datos se obtendrán y tratarán lealmente, como exige el artículo 5 del Convenio 108.

– La propuesta ya no incluye ninguna disposición que establezca — tal y como exige el principio 3.2 de la Recomendación no R (87) 15 — que las diferentes categorías de datos se clasifiquen según su grado de exactitud y fiabilidad, y que los datos basados en hechos se distingan de los basados en opiniones o apreciaciones personales (24). La falta de un requisito común de este tipo podría ir justamente en detrimento de los datos intercambiados entre autoridades policiales, al no poder éstas establecer si los datos pueden entenderse como «prueba», «hecho», «información irrefutable» o «información no probatoria». La consecuencia podría ser no sólo obstaculizar tratamientos de seguridad y recogida de información que se basan en estas distinciones, sino también dificultar a los tribunales la salvaguardia de las condenas.

– No existe distinción entre diferentes categorías de interesados (delincuentes, sospechosos, víctimas, testigos, etc.) ni garantías específicas para datos relacionados con personas no sospechosas, contrariamente al principio 2 de la Recomendación no R (87) 15 y sus informes de evaluación (25). De nuevo, estas distinciones no sólo resultan necesarias a efectos de la protección de los datos personales de los ciudadanos, sino también a efectos de la capacidad de los destinatarios para poder utilizar plenamente los datos recibidos. Sin estas distinciones, los servicios policiales destinatarios no pueden utilizar los datos de forma inmediata, sino que primero tienen que determinar la calificación de los datos y, posteriormente, la manera de utilizarlos y compartirlos a efectos de la aplicación de la ley.

– La comprobación regular prevista en el artículo 6 no garantiza el control regular de de la calidad de los datos ni que los expedientes policiales no contengan datos superfluos o inexactos y actualizados, como exige la Recomendación no R (87) 15 (26). La importancia de dicha comprobación para la protección de datos no sólo es obvia, sino esencial, una vez más, para el tratamiento eficaz de los servicios de policía. La información anticuada y caducada puede, en el mejor de los casos, resultar inútil y, en el peor de los casos, desviar los recursos destinados a las prioridades en curso hacia asuntos que no son ni deben ser el centro de la investigación.

– En caso de que existan indicios de que los datos personales -transmitidos por otro Estado miembro- son inexactos, no existe obligación ni mecanismos para garantizar su rectificación en el Estado miembro de origen. Una vez más, la cuestión de la exactitud resulta esencial para el trabajo eficaz de la policía y la judicatura. Si no se puede garantizar la calidad de los datos, se perjudicará la utilidad de la transferencia de datos como instrumento para la lucha contra la delincuencia transfronteriza.

33. En estas circunstancias, el SEPD opina que las disposiciones de la propuesta actual relacionadas con la calidad de los datos no son ni adecuadas ni completas, en particular teniendo en cuenta la Recomendación no R (87) 15 suscrita por todos los Estados miembros, e incluso se sitúan por debajo del nivel de protección exigido por el Convenio 108. Asimismo resulta útil recordar una vez más que la exactitud de los datos personales redunda en el interés tanto de las propias autoridades policiales como de los particulares (27).

IV.5. Intercambio de datos personales con autoridades no competentes y particulares

34. Según el principio 5 (Comunicación de datos) de la Recomendación no R (87) 15, la comunicación de datos personales por las autoridades de aplicación de la ley a otros órganos públicos o particulares sólo debería permitirse en condiciones específicas y estrictas. Estas disposiciones, que figuran en la propuesta inicial de la Comisión y que el SEPD y el Parlamento Europeo acogieron favorablemente, han sido suprimidas ahora en la versión revisada. Por ello, el nuevo texto no establece garantías específicas para la transferencia de datos personales a particulares o a autoridades que no sean responsables de la aplicación de la ley.

35. Además, el acceso y la ulterior utilización por las autoridades de la aplicación de la ley de los datos personales controlados por los particulares se permitirá únicamente sobre la base de unas condiciones y limitaciones bien definidas. En particular, como ya indicó el SEPD en sus anteriores dictámenes, el acceso por las autoridades de aplicación de la ley sólo se autorizará considerando cada caso individual, en determinadas circunstancias y para fines específicos, y estará bajo el control judicial en los Estados miembros. Las últimas novedades, como la Directiva 2006/24/CE (28) sobre la conservación de datos, el acuerdo con los Estados Unidos sobre el registro de nombres de pasajeros (PNR) (29) y el acceso por las autoridades de aplicación de la ley a los datos mantenidos por SWIFT (30) confirman la importancia fundamental que tienen estas garantías. Es de lamentar que en la actual propuesta no se establezcan garantías específicas sobre el acceso y la ulterior utilización por las autoridades de aplicación de la ley de los datos personales recogidos por particulares.

36. En este contexto, el SEPD observa que, por lo se refiere al intercambio de datos personales con particulares y autoridades no competentes, la actual propuesta no cumple los principios de la Recomendación no R (87) 15 ni aborda la cuestión fundamental del acceso y de la ulterior utilización por las autoridades de aplicación de la ley de los datos personales controlados por particulares.

IV.6. Otros puntos importantes

37. Además de los aspectos principales antes mencionados, el SEPD desea llamar la atención del legislador sobre los puntos que figuran a continuación, y que en la mayoría de los casos ya han sido tratados con mayor detalle en sus anteriores dictámenes.

– Categorías especiales de datos. El artículo 7 de la propuesta revisada contradice la prohibición establecida en el artículo 6 del Convenio 108. Además, no hace referencia a los datos personales relativos a las condenas penales, que son indudablemente de gran importancia en el contexto de la cooperación policial y judicial, ni establece salvaguardias específicas con respecto a los datos biométricos y perfiles de ADN.

– Decisiones individuales automatizadas. El SEPD se congratula de que el artículo 8 incorpore esta disposición en la propuesta revisada.

– Registro y documentación. El artículo 11, para ser eficaz a efectos de verificación de la legalidad del tratamiento de datos, debería establecer mecanismos adecuados para registrar o documentar no sólo todas las transmisiones de datos, sino también todos los accesos a datos.

– Derecho a ser informado. El artículo 16 es incompleto, ya que no menciona la información acerca de la identidad de la persona responsable de tratamiento y de los destinatarios. Además, el considerando 13 («Podrá requerirse informar a las personas en cuestión del tratamiento de sus datos (…)») habla de la información como de una mera posibilidad, en lugar de una obligación fundamental de la persona responsable del tratamiento.

– Derecho de acceso. El artículo 17 es incompleto, ya que el acceso debería incluir también los fines para los que se tratan los datos y la comunicación en una forma inteligible. Por otra parte, las excepciones establecidas en el apartado 2 –como el caso de que el acceso «suponga perjuicio para los intereses nacionales»– son demasiado amplias e imprevisibles. Por último, no hay ningún mecanismo que garantice que un recurso presentado ante el organismo de control permita la concesión de acceso cuando éste se haya denegado de forma ilegal.

V. NUEVAS CUESTIONES PLANTEADAS EN LA PROPUESTA REVISADA

38. La propuesta revisada incluye un elemento completamente nuevo con respecto a la propuesta de la Comisión. La propuesta da cabida a actividades de las instituciones y organismos europeos en el tercer pilar (artículo 1.2 de la propuesta). Según el considerando 20, se incluye el tratamiento de datos por Europol, Eurojust y el Sistema de Información Aduanero del tercer pilar. El artículo 1.2 no sólo menciona a los organismos europeos, sino también a las instituciones, lo que significa que, por ejemplo, el tratamiento de datos dentro del Consejo debería estar sujeto a la Decisión Marco del Consejo. No está claro si los autores del texto deseaban que el ámbito de aplicación fuera tan amplio, o más bien que se limitara a los tres organismos mencionados en el considerando 20. En cualquier caso, debería aclararse el texto para evitar la incertidumbre jurídica.

39. Esto nos lleva a hacer una observación más general. Según el SEPD, es sumamente importante que se garantice un nivel adecuado de protección de datos en todo el tercer pilar, ya que sólo así se facilitaría de manera suficiente el intercambio de información en un espacio de libertad, seguridad y justicia sin fronteras internas. Ello implica aplicar el marco general sobre la protección de datos a los organismos europeos dentro del tercer pilar. El SEPD puso de relieve esta necesidad en la parte IV de su dictamen sobre la propuesta de una Decisión del Consejo sobre Europol.

40. No obstante, teniendo en cuenta la eficacia de la labor legisladora, el SEPD alberga serias dudas acerca de si la presente Decisión Marco del Consejo debe cubrir o no las actividades de los organismos europeos que actúan en el tercer pilar. El primer argumento en contra de un ámbito de aplicación tan amplio como el indicado guarda relación con la política legislativa. El SEDP teme que la inclusión de los organismos europeos en el texto actual entrañaría el riesgo de que los debates en el Consejo se centren en este nuevo elemento, en lugar de hacerlo en las disposiciones básicas sobre la protección de datos, lo cual complicaría el proceso legislativo. El segundo argumento es de naturaleza jurídica. A primera vista, parece que una Decisión Marco del Consejo -un instrumento que es comparable a una Directiva según el Tratado CE- no es el instrumento jurídico adecuado para reglamentar los derechos y obligaciones de los organismos europeos. El artículo 34 del Tratado UE introduce este instrumento para la aproximación de las disposiciones legales y reglamentarias de los Estados miembros. En cualquier caso, existe el grave riesgo de que la base jurídica se ponga en entredicho durante el proceso legislativo o con posterioridad al mismo.

41. El SEPD comparte un punto de vista similar, también en lo que se refiere al instrumento jurídico elegido, sobre el artículo 26 del proyecto, que prevé el establecimiento de un nuevo órgano común de control que sustituya a las autoridades existentes que supervisan el tratamiento de datos en los organismos del tercer pilar. Considerada en sí misma, la intención de establecer semejante órgano puede parecer lógica, ya que podría llevar a un sistema de supervisión aún más eficaz y, además, garantizar la coherencia del nivel de protección de los organismos establecidos en el tercer pilar.

42. No obstante, en el momento actual no existe la necesidad inmediata de semejante nuevo órgano de control. El control propiamente dicho funciona de modo satisfactorio. Además, el presidente de Eurojust ha hecho algunas objeciones contra la aplicación de este sistema de control a Eurojust. Sin entrar en el fondo de dichas objeciones, está claro que incluir la cuestión del control de los organismos de la UE en la Decisión Marco del Consejo dificultaría aún más el proceso legislativo. Por otra parte, este enfoque no sería coherente con otras propuestas en este ámbito que son actualmente objeto de debate (31) o que se han adoptado recientemente (32).

43. En pocas palabras, el SEPD recomienda que no se incluyan disposiciones sobre tratamiento de datos por los órganos de la UE en el texto de la Decisión marco del Consejo. El SEPD da este consejo por razones de eficacia legislativa. Es importante que todos los esfuerzos que se realicen en el Consejo se concentren en la parte dispositiva de la protección de datos para dar al ciudadano la protección necesaria.

VI. CONCLUSIONES

44. El SEPD acoge con satisfacción el nuevo impulso dado por la Presidencia alemana. La adopción de un marco general para la protección de datos dentro del tercer pilar es esencial, como los SEPD y otros actores pertinentes han destacado ya en varias ocasiones, a fin de apoyar el desarrollo un espacio de libertad, seguridad y justicia en el que el derecho de los ciudadanos a la protección de los datos personales esté garantizado de modo uniforme y la cooperación entre las autoridades policiales pueda tener lugar sin tener en cuenta las fronteras nacionales.

45. Sin embargo, la propuesta revisada tampoco cumple ninguno de estos objetivos. Efectivamente, faltando un nivel elevado y aplicable a nivel general de protección de datos, la propuesta hace que los intercambios de información estén aún sujetos a diversas «normas de origen» y «dobles raseros» nacionales que afectan en grado importante a la eficacia de la cooperación policial sin que la protección de datos personales se vea mejorada.

46. Para dar un ejemplo concreto, esto significaría que un órgano policial a nivel nacional o de la UE, al tratar un expediente penal -consistente en información procedente de diversas autoridades, nacionales, de otros Estados miembros y de la UE- tendría que aplicar diversas normas de tratamiento a los diferentes elementos de información, en función de lo siguiente: si se han recabado al nivel nacional o no los datos personales; si cada uno de los organismos que transmiten los datos ha dado su consentimiento para la finalidad prevista; si el almacenamiento cumple los plazos establecidos por las leyes aplicables de cada uno de los organismos transmisores; si ulteriores restricciones al tratamiento pedidas por cada uno de los organismos transmisores no prohíben dicho tratamiento; en caso de solicitud de un tercer país, si de los organismos transmisores ha dado su consentimiento de acuerdo con su propia evaluación de la adecuación y/o de los compromisos internacionales. Además, la protección de los ciudadanos y sus derechos variarán enormemente y estarán sujetos a diversas excepciones generales dependiendo del Estado miembro en que tenga lugar el tratamiento.

47. Además, el SEPD lamenta que la calidad legislativa del texto no sea satisfactoria y que la propuesta añada nuevas complejidades al expediente, al ampliar la aplicabilidad de la Decisión marco a Europol, Eurojust y al Sistema de Información AduanerO del tercer pilar, y también al proponer la creación de un órgano común de control sobre la base de un instrumento jurídico inadecuado.

48. El SEPD expresa su preocupación por el hecho de que el texto actual hace desaparecer disposiciones esenciales para la protección de los datos personales contenidas en la propuesta de la Comisión. De esta manera, debilita perceptiblemente el nivel de protección de los ciudadanos. En primer lugar, no consigue aportar valor añadido al Convenio 108, lo que haría que sus disposiciones fueran apropiadas desde el punto de vista de la protección de los datos, como requiere el artículo 30.1 del TUE. En segundo lugar, tampoco consigue llegar en muchos aspectos al nivel de protección requerido por el Convenio 108. Por lo tanto, el SEPD cree que esta propuesta necesitaría mejoras sustanciales antes de poder servir de base para debatir un marco general adecuado en materia de protección de los datos dentro del tercer pilar. Estas mejoras deberían asegurar que este marco general:

– aporta valor añadido al Convenio 108, estableciendo las disposiciones apropiadas sobre protección de datos personales requeridas por el artículo 30.1 del TUE;

– es aplicable al tratamiento nacional de datos personales por las autoridades policiales;

– es coerente con los principios de protección de datos del primer pilar, al tiempo que tiene en cuenta, en caso necesario, las especificidades de las actividades policiales.

– coincide con los principios establecidos por el Convenio 108 y la Recomendación no R (87) 15, en especial por lo que se refiere a:

– la limitación de los fines adicionales para los cuales pueden tratarse los datos personales

– la calidad de datos, incluida la distinción entre diversas categorías de los afectados por los datos (delincuentes, sospechosos, víctimas, testigos, etc.), la evaluación del diverso grado de exactitud y la fiabilidad de los datos personales, los mecanismos para asegurar la verificación y la rectificación periódicas;

– las condiciones para las transferencias de datos personales a las autoridades no competentes y a los particulares, así como para el acceso y utilización ulterior de los datos personales controlados por particulares por parte de las autoridades policiales;

– asegura la protección adecuada en el intercambio de datos personales con terceros países, también por lo que se refiere a acuerdos internacionales;

– aborda los otros puntos mencionados en el presente dictamen, como en dictámenes anteriores del SEPD.

49. El SEPD es plenamente consciente de las dificultades para alcanzar la unanimidad en el Consejo. Sin embargo, el proceso de toma de decisiones no puede justificar un planteamiento basado en el mínimo común denominador, que pondría trabas a los derechos fundamentales de los ciudadanos de la UE y obstaculizaría la eficacia de la acción policial.

Hecho en Bruselas, el 27 de abril de 2007.

Peter Hustinx

Supervisor Europeo de Protección de Datos

————————————————————————————————

(1) DO L 281 de 23.11.1995, p. 31.

(2) DO L 8 de 12.1.2001, p. 1.

(3) El primero de ellos está en el JO C 47 du 25.2.2006, p. 27; el segundo, en el sitio internet del SEPD (www.edps.europa.eu).

(4) Convención para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, del Consejo de Europa, 28 de enero de 1981.

(5) Documento del Consejo 5435/07, de 18 de enero de 2007; puede consultarse en register.consilium.europa.eu.

(6) Documento del Consejo 7315/07, de 13 de marzo de 2007; puede consultarse en register.consilium.europa.eu.

(7) Acuerdo interinstitucional de 22 de diciembre de 1998 relativo a las directrices comunes sobre la calidad de la redacción de la legislación comunitaria (DO C 73 de 17.3.1999, p . 1). En el capítulo V del presente dictamen pueden encontrarse ejemplos de ello.

(8) Véase, por ejemplo, el artículo 14, relativo a las transferencias a autoridades competentes de terceros países o a organismos internacionales; el artículo 12.1.d), relativo al tratamiento posterior de datos personales; el artículo 10, relativo al respeto de los plazos de supresión y comprobación; y el artículo 13, relativo al cumplimiento de las restricciones nacionales de tratamiento.

(9) El Parlamento Europeo adoptó su primera resolución sobre la propuesta inicial de la Comisión el 27 de septiembre de 2006. Está prevista una segunda resolución, sobre la propuesta revisada, para junio.

(10) Véase asimismo el Plan de Acción del Consejo y de la Comisión por el que se aplica el Programa de La Haya sobre el refuerzo de la libertad, la seguridad y la justicia en la Unión Europea (DO C 198 de 12.8.2005, p. 1).

(11) El 24 de enero de 2006, la Conferencia de Primavera de las Autoridades Europeas de Protección de Datos emitió un dictamen, que puede consultarse en register.consilium.europa.eu con la signatura 6329/06. El Comité Consultivo del Consejo de Europa para el Convenio Europeo para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, adoptó el 20 de marzo de 2007 un documento en el que se exponen sus observaciones iniciales; este documento está en www.coe.int/dataprotection/.

(12) La más reciente de ellas, en el dictamen del SEPD de 4 de abril de 2007 sobre la Iniciativa de quince Estados miembros con vistas a la adopción de una Decisión del Consejo sobre la profundización de la cooperación transfronteriza, en particular en materia de lucha contra el terrorismo y la delincuencia transfronteriza, punto 60.

(13) Recomendación no R (87) 15 del Comité de Ministros a los Estados miembros, dirigida a regular la utilización de datos de carácter personal en el sector de la policía, adoptada el 17 de septiembre de 1987; puede consultarse en (www.coe.int/dataprotection/).

(14) Como, por ejemplo, los instrumentos jurídicos que regulan Europol, Eurojust y el Sistema de Información Aduanera del tercer pilar.

(15) Tales como las iniciativas recientes sobre Europol, el Tratado de Prüm y el acceso a la base de datos VIS por parte de las autoridades de aplicación de la ley.

(16) Véase la propuesta de Decisión del Consejo sobre el acceso para consultar el Sistema de Información de Visados (VIS) por las autoridades de los Estados miembros responsables de la seguridad interior y por Europol, con fines de prevención, detección e investigación de los delitos de terrorismo y otros delitos graves (COM (2005) 600 final).

(17) En este sentido, véase asimismo la exposición de motivos de la Recomendación no R (87) 15, punto 37.

(18) Véanse los documentos mencionados en la nota 9.

(19) Para un razonamiento más pormenorizado, véase el segundo dictamen del SEPD, puntos 11 a 13.

(20) Dentro de la jurisprudencia consolidada en este ámbito, el caso más explícito es el de Rotaru contra Rumanía.

(21) No basta con partir de la premisa de que la policía, en todas las circunstancias y en todos los casos, actúa dentro de los límites de las obligaciones que les marca la ley.

(22) Por lo que se refiere a este punto, cabe señalar que la Comisión ha declarado recientemente, en su Comunicación de la Comisión al Parlamento Europeo y al Consejo sobre el seguimiento del programa de trabajo para una mejor aplicación de la Directiva sobre protección de datos, que las normas establecidas por la Directiva 95/46/CE en relación con transferencias de datos personales a terceros países son sustancialmente apropiadas y no requieren modificación.

(23) Véanse las inquietudes expresadas en el primer dictamen, apartado IV.8, y en el segundo dictamen, puntos 22 y 23.

(24) El punto 52 de la exposición de motivos de la Recomendación estipula que se debe poder distinguir entre datos corroborados y no corroborados, incluidas las apreciaciones de comportamiento humano, entre hechos y opiniones, entre información fiable (y sus diversas vertientes) y conjetura, entre causa razonable para creer que la información es exacta y una convicción infundada de su exactitud. Véase también la segunda evaluación de la significación de la Recomendación no R (87) 15 que regula la utilización de datos personales en el ámbito policial (1998), punto 5.1.

(25) Véase, en particular, el punto 5.2 de la segunda evaluación antes mencionada y los puntos 24 a 27 de la tercera evaluación de la Recomendación no R (87) 15 que regula la utilización de datos personales en el ámbito policial (2002).

(26) Véase el principio 7 (período de conservación y actualización de datos) y la exposición de motivos, puntos 96 a 98.

(27) Exposición de motivos de la Recomendación no R (87) 15, punto 74.

(28) Directiva 2006/24/CE del Parlamento Europeo y del Consejo de 15 de marzo de 2006 sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE (DO L 105 de 13.4.2006, p. 54).

(29) Acuerdo entre la Unión Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros (PNR) por las compañías aéreas al Departamento de Seguridad del Territorio Nacional de los Estados Unidos (DO L 298 de 27.10.2006, p. 29).

(30) Véase el dictamen del Grupo del artículo 29 sobre el tratamiento de datos personales por parte de la Sociedad de Telecomunicaciones Financieras Interbancarias Mundiales (Society for Worldwide Interbank Financial Telecommunication — SWIFT), que se puede consultar en http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2006/wp128_en.pdf, y el dictamen del SEPD sobre el papel del Banco Central Europeo en el asunto SWIFT, disponible en el sitio web del SEPD.

(31) Como la reciente propuesta de Comisión sobre la creación de la Oficina Europea de Policía, COM(2006) 817 final.

(32) Reglamento (CE) no 1987/2006 del Parlamento Europeo y del Consejo de 20 de diciembre de 2006 relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen de segunda generación (SIS II) (DO L 381 de 28.12.2006, p. 4).

Protocolo adicional del Convenio nº 108 para la Protección de las personas con respecto al tratamiento automatizado de datos de carácter personal y relativo a transferencias de datos. Estrasburgo 8 de noviembre de 2001

Preámbulo

Las Partes de este Protocolo Adicional al Convenio para la Protección de las Personas con respecto al tratamiento automatizado de datos de carácter personal, abierto a la firma en Estrasburgo el 28 de enero de 1981 (en adelante «El Convenio»);

Seguros de que las Autoridades de control, ejerciendo sus funciones con completa independencia, constituyen un elemento de protección efectiva de las personas con respecto al tratamiento de sus datos personales;

Considerando la importancia del flujo de información entre los pueblos;

Considerando que, con el incremento del intercambio de datos personales a través de las fronteras, es necesario asegurar la afectiva protección de los derechos humanos y libertades fundamentales, y, en especial, el derecho a la privacidad, en relación con tales intercambios,

Han acordado lo siguiente:

Artículo 1. Autoridades de Control

Cada Parte preverá que una o más Autoridades sean responsables de asegurar la conformidad de las medidas oportunas que den cumplimiento en el Derecho interno a los principios contenidos en los Capítulos II y III del Convenio y en el presente Protocolo.

a) A tal fin, las mencionadas autoridades dispondrán, en particular, de poderes de investigación y de intervención, así como del poder de iniciar procedimientos legales o de dirigirse a las autoridades judiciales correspondientes en relación con violaciones del derecho interno, dando así cumplimiento a los principios mencionados en el párrafo 1 del Artículo 1 del presente Protocolo.

b) Cada Autoridad de Control conocerá de las reclamaciones presentadas por parte de cualquier persona relativas a sus derechos y libertades fundamentales con respecto al tratamiento de datos personales y dentro de sus respectivas competencias.

Las Autoridades de Control ejercerán sus funciones con completa independencia.

Las Decisiones de las Autoridades de Control que den lugar a reclamaciones, pueden ser recurridas judicialmente.

De conformidad con las disposiciones del Capítulo IV, y sin perjuicio de las disposiciones del Artículo 13 del Convenio, las Autoridades de Control cooperarán mutuamente en la medida necesaria para el cumplimiento de sus obligaciones, y en particular a través del intercambio de cualquier información que resulte de utilidad.

Artículo 2. Transferencia de datos personales a destinatarios no sometidos a la competencia de las Partes del Convenio.

Cada Parte preverá que la transferencia de datos personales a un destinatario sometido a la competencia de un Estado u organización que no es Parte del Convenio se lleve a cabo únicamente si dicho Estado u organización asegura un adecuado nivel de protección.

No será de aplicación el párrafo 1 del Artículo 2 del presente Protocolo, pudiendo las Partes autorizar la transferencia de datos personales:

Si el derecho interno así lo establece a causa de:

Intereses concretos del afectado, o

Intereses legítimos, especialmente los de carácter público, o si se prevén las suficientes garantías, que pueden resultar, en particular, de cláusulas contractuales, por parte del responsable del tratamiento responsable de la transferencia y dichas garantías se estiman adecuadas por las autoridades competentes de conformidad con el derecho interno.

Artículo 3. Disposiciones finales

1. Las disposiciones de los Artículos 1 y 2 del presente Protocolo serán contempladas por las Partes como artículos adicionales al Convenio, y en consecuencia todas las disposiciones del Convenio serán de aplicación.

El presente Protocolo se encuentra abierto a la firma de los Estados Signatarios del Convenio. Una vez adheridos al Convenio de conformidad con las condiciones establecidas en el mismo, las Comunidades Europeas podrán firmar este Protocolo. El presente Protocolo se encuentra sujeto a su ratificación, aceptación o aprobación. Un Signatario del presente Protocolo no podrá ratificar o aprobar el mismo salvo que haya ratificado o aprobado con carácter previo o simultáneo al Convenio o se haya adherido al mismo. Los Instrumentos de ratificación y aprobación del presente Protocolo se depositarán en la Secretaría General del Consejo de Europa.

a) El presente Protocolo entrará en vigor el primer día del mes siguiente al término de un período de tres meses una vez que cinco de sus Signatarios hayan expresado su consentimiento para quedar vinculados al mismo, de conformidad con las disposiciones del párrafo 2 del Artículo 3.

b) En relación con los Signatarios del presente Protocolo que expresen su consentimiento para quedar vinculado al mismo, el Protocolo entrará en vigor el primer día del mes siguiente al término del período de tres meses tras la fecha de depósito del Instrumento de Ratificación o aprobación.

a) Tras la entrada en vigor del presente Protocolo, cualquier Estado que haya suscrito el Convenio puede así mismo suscribir el Protocolo.

b) La adhesión será efectiva a través del depósito por parte del Secretario General del Consejo de Europa de un Instrumento de Adhesión, que surtirá efectos el primer día del mes siguiente al término del período de tres meses después de la fecha de su depósito.

a) Cualquier Parte podrá en cualquier momento denunciar el presente Protocolo mediante notificación dirigida al Secretario General del Consejo de Europa.

b) Tal denuncia será efectiva el primer día del mes siguiente al término del período de tres meses después de la fecha de recepción del tal notificación por parte del Secretario General.

El Secretario General del Consejo de Europa notificará a los Estados miembros del Consejo de Europa, las Comunidades Europeas y cualquier otro Estado signatario del presente Protocolo acerca de:

Cualquier firma;

Depósito de cualquier Instrumento de Ratificación o Aprobación;

Fecha de entrada en vigor del presente Protocolo de conformidad con el Artículo 3;

Cualquier otro acto, notificación o comunicación relativo/a el presente Protocolo,

En fe de lo cual los infrascritos, debidamente autorizados al efecto, firman el presente Protocolo,

Hecho en Estrasburgo el 8 de Noviembre de 2001, en inglés y en francés, los dos textos igualmente fehacientes en un ejemplar único que quedará depositado en los archivos del Consejo de Europa. El Secretario General del Consejo de Europa remitirá copia certificada conforme del mismo a cada uno de los Estados miembros del Consejo de Europa, de las Comunidades Europeas y cualquier Estado invitado a adherirse al presente Convenio

Määrus kehtestatakse «Avaliku teabe seaduse« § 43.9　lõike 1 punkti 5 alusel.

Vabariigi Valitsuse 24. aprilli 2008. a määruses nr 78 «Infosüsteemide andmevahetuskiht« (RT I 2008, 18, 129) tehakse järgmised muudatused:

1)　paragrahvi 18 lõige 2 sõnastatakse järgmiselt:

«(2) Füüsiline isik autenditakse Eesti või muu Euroopa Liidu liikmesriigi tunnustatud sertifikaadiga X-tee osalisest teenuse kasutaja või teenuse vahendaja infosüsteemis. Autentimiseks kasutatav sertifikaat peab vastama „Digitaalallkirja seaduses» sertifikaatidele ja sertifikaadiga seotud teenustele esitatud nõuetele«;

2)　paragrahvi 22 lõige 2 sõnastatakse järgmiselt:

«(2) Internetipankade autentimissüsteeme võib kasutada kuni „Isikut tõendavate dokumentide seaduse» § 201 lõike 2 kohaselt Vabariigi Valitsuse määratud isikutele digitaalse isikutunnistuse väljaandmise alustamise ajani.«

Andrus Ansip
Peaminister

Juhan Parts
Majandus- ja kommunikatsiooniminister

Heiki Loot
Riigisekretär

Lög um skráningu og meðferð persónuupplýsinga. (Ley nº 121, de 18 de diciembre de 1989 relativa al registro y tratamiento de datos personales, sustituyendo a la Ley de 25 de mayo de 1.981).

I. KAFLI. Gildissvið laganna.

1. gr.
Lög þessi taka til hvers konar kerfisbundinnar skráningar og annarrar meðferðar á persónuupplýsingum. Lögin eiga við hvort heldur sem skráning er vélræn eða handunnin. Lögin taka til skráningar af hálfu atvinnurekenda, fyrirtækja, félaga, stofnana og til skráningar á vegum opinberra aðila.
Með kerfisbundinni skráningu upplýsinga er átt við söfnun og skráningu ákveðinna og afmarkaðra upplýsinga í skipulagsbundna heild.
Með persónuupplýsingum er átt við upplýsingar sem varða einkamálefni, fjárhagsmálefni eða önnur málefni einstaklinga, stofnana, fyrirtækja eða annarra lögpersóna sem sanngjarnt er og eðlilegt að leynt fari.
Ákvæði laganna eiga við um upplýsingar um einkamálefni er varða tiltekinn aðila, þótt hann sé ekki nafngreindur, ef hann er sérgreindur með nafnnúmeri, kennitölu eða öðru skráningarauðkenni sem unnt er að persónugreina með eða án greiningarlykils.

2. gr.
Skráning samkvæmt lögum Nr. 30/1956 og skráning í þágu ættfræðirannsókna og æviskrárrita fellur utan marka laga þessara.

II. KAFLI. Almennar reglur um heimild til skráningar.

3. gr.
Kerfisbundin skráning persónuupplýsinga, er 1. gr. tekur til, er því aðeins heimil að skráningin sé eðlilegur þáttur í starfsemi viðkomandi aðila og taki einungis til þeirra er tengjast starfi hans eða verksviði, svo sem viðskiptamanna, starfsmanna eða félagsmanna.

4. gr.
Óheimilt er að skrá eftirtaldar upplýsingar er varða einkamálefni einstaklinga:
a. upplýsingar um litarhátt, kynþátt, stjórnmálaskoðanir og trúarbrögð,
b. upplýsingar um það hvort maður hafi verið grunaður, ákærður eða dæmdur fyrir refsiverðan verknað,
c. upplýsingar um kynlíf manna og heilsuhagi, lyfja-, áfengis- og vímuefnanotkun,
d. upplýsingar um veruleg félagsleg vandamál,
e. upplýsingar um svipuð einkalífsatriði og greinir í a–d.
Skráning upplýsinga þeirra, er greinir í 1. mgr., er heimil standi til þess sérstök heimild samkvæmt öðrum lögum. Þá er skráning upplýsinga skv. 1. mgr. og heimil ef hinn skráði hefur sjálfur látið upplýsingar í té eða upplýsinga er aflað með samþykki hans. Það er skilyrði slíkrar skráningar að upplýsinga sé aflað við þær aðstæður að hinum skráða geti eigi dulist að ætlunin er að skrá viðkomandi upplýsingar.
Þótt skilyrðum 2. mgr. sé eigi fullnægt getur tölvunefnd heimilað skráningu upplýsinga þeirra er greinir í 1. mgr. ef ótvírætt er að skráningaraðila sé brýn nauðsyn vegna starfsemi sinnar að skrá upplýsingarnar. Tölvunefnd bindur heimild til slíkrar skráningar þeim skilyrðum sem hún metur nauðsynleg hverju sinni.

III. KAFLI. Um aðgang að skráðum upplýsingum.

5. gr.
Án sérstakrar heimildar í öðrum lögum er eigi heimilt að skýra frá upplýsingum þeim sem nefndar eru í 1. mgr. 4. gr. nema með samþykki hins skráða eða einhvers er heimild hefur til að skuldbinda hann.
Þrátt fyrir ákvæði 1. mgr. þessarar greinar getur tölvunefnd þó heimilað að skýra megi frá upplýsingum þeim er greinir í 1. mgr. 4. gr. ef sýnt er fram á að brýnir almannahagsmunir eða hagsmunir einstaklinga, þar með taldir hagsmunir hins skráða, krefjist þess. Skal þá ótvírætt að þörfin á að fá upplýsingarnar vegi þyngra en tillitið til þess að þeim sé haldið leyndum.
Öðrum upplýsingum, sem falla undir ákvæði laga þessara en þeim sem nefndar eru í 1. mgr. 4. gr., er því aðeins heimilt að skýra frá án samþykkis hins skráða að slík upplýsingamiðlun sé eðlilegur þáttur í venjubundinni starfsemi skráningaraðilans.
Án sérstakrar lagaheimildar er eigi heimilt að skýra frá upplýsingum um atvik sem eldri eru en fjögurra ára nema sýnt sé fram á að aðgangur að upplýsingunum geti haft úrslitaþýðingu við mat á tilteknu atriði sem upplýsingarnar tengjast.
Heimilt er að skýra frá upplýsingum ef eigi er unnt að rekja þær til ákveðinna einstaklinga eða lögpersóna.

Samtenging skráa.
6. gr.
Eigi er heimilt að tengja saman skrár er falla undir ákvæði laga þessara nema um sé að ræða skrár sama skráningaraðila. Með sama aðila er hér átt við sama einstakling, fyrirtæki, félag eða stofnun hins opinbera. Með samtengingu skráa er jafnt átt við vélræna sem handunna færslu upplýsinga milli skráa.
Þrátt fyrir ákvæði 1. mgr. er heimilt að tengja við skrá upplýsingar um nafn, nafnnúmer, kennitölu, fyrirtækjanúmer, heimilisfang, aðsetur og póstnúmer enda þótt slíkar upplýsingar séu sóttar í skrár annars aðila.
Tölvunefnd getur veitt undanþágu frá samtengingarbanni 1. mgr. ef fullnægt er skilyrðum þeim, sem fram koma í 2.–4. mgr. 5. gr., um heimild tölvunefndar til að veita aðgang að skráðum upplýsingum. Skal þá ótvírætt að þeir hagsmunir, sem ætlunin er að vernda með samtengingunni, vegi þyngra en tillitið til hagsmuna hinna skráðu. Tölvunefnd getur bundið heimild til samtengingar nánari skilyrðum, þar með talið skilyrðum um það hvernig upplýsingarnar verði notaðar og að skýra beri hinum skráða frá því að samtenging kunni að fara fram.

7. gr.
Heimilt er að veita lækni eða tannlækni, er hefur mann til læknismeðferðar, upplýsingar úr sjúkraál sjúkrahúss eða öðrum sjúklingaskrám varðandi hinn skráða. Þá er og heimilt, þegar læknir á í hlut, að veita upplýsingar um aðra menn, einkum vandamenn hins skráða, þegar slíkt er talið skipta máli vegna læknismeðferðar á hinum skráða manni.

8. gr.
Nú sýnir tiltekinn aðili fram á að honum sé þörf á ákveðnum skráðum upplýsingum, er falla undir ákvæði laga þessara, vegna dómsmáls eða annarra slíkra laganauðsynja og getur tölvunefnd þá heimilað að þeim er slíka hagsmuni hefur verði látnar upplýsingarnar í té, enda sé þá ótvírætt að þörfin á því að fá upplýsingarnar vegi þyngra en tillitið til þess að upplýsingunum verði haldið leyndum. Þetta á þó ekki við um upplýsingar sem þagnarskylda ríkir um samkvæmt sérstökum lagaákvæðum.

IV. KAFLI. Um rétt skráðra aðila.

9. gr.
Telji aðili að persónuupplýsingar um hann séu færðar í tiltekna skrá getur hann óskað þess við skrárhaldara að honum sé skýrt frá því sem þar er skráð. Er skylt að verða við þeim tilmælum án ástæðulausrar tafar.
Ákvæði 1. mgr. gilda ekki ef hagsmunir hins skráða af því að fá vitneskju um efni upplýsinga þykja eiga að víkja að nokkru eða öllu fyrir ótvíræðum almannahagsmunum eða einkahagsmunum, þar með töldum hagsmunum hins skráða sjálfs. Ef svo er háttað um nokkurn hluta upplýsinga, en eigi aðra, skal beiðanda veitt vitneskja um þá hluta sem eigi þykir varhugavert að skýra frá.

10. gr.
Um skyldu læknis til þess að afhenda sjúkraskrá, alla eða að hluta, sjúklingi eða forráðamanni hans, fer eftir ákvæðum læknalaga Nr. 53 frá 19. maí 1988.

11. gr.
Ákvæði 9. gr. taka ekki til skrár eða skráningar sem einvörðungu er stofnað til í þágu tölfræðilegra útdrátta. Tölvunefnd getur einnig ákveðið að aðrar skrár séu undanþegnar ákvæðum þessum ef ætla má að ákvæði 2. mgr. 9. gr. muni hafa í för með sér að tilmælum um upplýsingar úr slíkum skrám verði almennt hafnað.

12. gr.
Upplýsingar skv. 9. gr. skulu veittar skriflega ef þess er óskað. Skrárhaldari skal verða við tilmælum skráðs aðila og skýra honum frá því sem um hann er skráð sem fyrst og eigi síðar en innan tveggja vikna frá því að krafa um slíkt kom fram, en skýra ella hinum skráða skriflega frá ástæðum þess að tilmælum hans hefur eigi verið sinnt.
Ef skrárhaldari hafnar kröfum aðila um að skýra frá efni skráðra upplýsinga, sbr. ákvæði 1. og 2. mgr. 9. gr., er skrárhaldara skylt að vekja athygli hins skráða á rétti hans til þess að bera ágreininginn undir úrlausn tölvunefndar, sbr. ákvæði 13. gr.

13. gr.
Heimilt er að bera ágreining um rétt til aðgangs að upplýsingum samkvæmt þessum kafla laganna undir tölvunefnd sem úrskurðar um ágreininginn.

14. gr.
Nú telur skráður aðili að upplýsingar um hann í skrám, er lög þessi taka til, séu rangar eða villandi. Getur hann þá krafist þess að sá er ábyrgur er fyrir skráningu færi þær í rétt horf, afmái þær eða bæti við þær, eftir því sem við á hverju sinni. Hið sama gildir ef aðili telur að á skrá séu upplýsingar sem eigi er heimilt að skrásetja eða upplýsingar sem eigi hafa lengur þýðingu.
Nú neitar sá sem ábyrgur er fyrir skrá að fallast á kröfu um leiðréttingu skv. 1. mgr. eða hefur eigi svarað slíkri kröfu innan fjögurra vikna frá því að hún sannanlega kom fram og getur hinn skráði þá óskað þess við tölvunefnd að nefndin kveði á um það hvort og að hvaða marki taka beri til greina kröfu hans um að leiðrétta upplýsingarnar eða afmá þær. Fallist tölvunefnd á kröfu manns um að afmá eða leiðrétta upplýsingar leggur hún fyrir skrárhaldara að afmá upplýsingarnar eða leiðrétta þær.
Í neitun skrárhaldara skv. 2. mgr. um leiðréttingu eða afmáun rangra eða villandi upplýsinga skal hinum skráða gerð grein fyrir því að ágreining í þeim efnum geti hann borið undir tölvunefnd.
Þegar um upplýsingar um fjárhagsmálefni og lánstraust skv. V. kafla er að ræða skal skrárhaldari senda án tafar öllum þeim, er fengið hafa slíkar upplýsingar frá honum síðustu sex mánuði, svo og hinum skráða, skriflega leiðréttingu. Hinn skráði skal og fá í hendur greinargerð frá skrárhaldara um hverjir hafi móttekið rangar upplýsingar og hverjum leiðréttingar hafi verið sendar. Tölvunefnd getur, þegar um aðrar upplýsingar er að ræða, lagt fyrir skrárhaldara að senda öllum þeim skriflega tilkynningu um leiðréttinguna er á síðustu sex mánuðum, áður en krafa um leiðréttingu kom fram, fengu rangar upplýsingar úr skrá. Skrárhaldari skal þá jafnframt upplýsa hinn skráða um það hverjir fengið hafa tilkynningu um slíka leiðréttingu.
Þegar sérstaklega stendur á getur tölvunefnd ákveðið að skylda skrárhaldara skv. 4. mgr. til þess að senda skriflega leiðréttingu er taki til lengri tíma en síðustu sex mánaða áður en krafa um leiðréttingu kom fram.

V. KAFLI. Skráning upplýsinga um fjárhagsmálefni og lánstraust.

15. gr.
Söfnun og skráning upplýsinga, sem varða fjárhagsmálefni og lánstraust einstaklinga og lögpersóna, í því skyni að miðla öðrum upplýsingum um það efni, er óheimil án starfsleyfis er tölvunefnd veitir. Þeim einum má veita starfsleyfi sem að mati tölvunefndar er líklegur til að geta uppfyllt skyldur skrárhaldara samkvæmt lögum þessum.

16. gr.
Starfsleyfishafa skv. 15. gr. er einungis heimilt að skrá upplýsingar sem eðli sínu samkvæmt geta haft þýðingu við mat á fjárhag og lánstrausti hins skráða. Aldrei er heimilt að taka í slíka skrá upplýsingar þær sem nefndar eru í 1. mgr. 4. gr. laganna.
Upplýsingar um fjárhagsmálefni og lánstraust, sem eldri eru en fjögurra ára, er óheimilt að skrá eða miðla nema ótvírætt sé að viðkomandi upplýsingar hafi verulega þýðingu við mat á fjárhag eða lánstrausti hins skráða. Áður en slíkar upplýsingar eru skráðar eða þeim miðlað skal það tilkynnt viðkomandi aðila og honum gefinn kostur á að gera athugasemdir innan tiltekins frests frá móttöku tilkynningar. Skal sá frestur að lágmarki vera ein vika frá móttöku tilkynningar. Beri aðili fram andmæli er skráning eða miðlun upplýsinga aðeins heimil að fengnu samþykki tölvunefndar.

17. gr.
Eigi er heimilt að færa í skrá samkvæmt kafla þessum aðrar upplýsingar en nafn manns eða fyrirtækis, heimilisfang, kennitölu, nafnnúmer, fyrirtækjanúmer, stöðu og atvinnu eða aðrar upplýsingar sem hægt er að fá úr opinberum skrám án þess að skýra hinum skráða frá því.
Ef önnur atriði en þau sem greind eru í 1. mgr. eru tekin á skrá ber starfsleyfishafa að skýra skráðum aðila, sem í fyrsta skipti er tekinn á skrá, frá því innan fjögurra vikna frá skráningu og greina honum frá heimild hans til þess að fá skýrslu um efni skráningar, sbr. 18. gr.

18. gr.
Nú telur aðili að upplýsingar um hann séu skráðar skv. 15. gr. og er starfsleyfishafa þá skylt að skýra aðila sem fyrst, og eigi síðar en innan tveggja vikna frá því krafa kom fram um slíkt, frá því sem þar er skráð og því mati sem starfsleyfishafinn hefur látið frá sér fara á síðustu sex mánuðum varðandi hagi beiðanda.
Ef starfsleyfishafi skv. 15. gr. hefur í vörslum sínum frekari upplýsingar um hinn skráða en þær sem beiðni skv. 1. mgr. lýtur að er honum skylt að gera beiðanda grein fyrir þeim og jafnframt fyrir rétti hins skráða aðila til þess að fá að kynna sér efni skrár af eigin raun.
Hinn skráði aðili getur gert kröfu til þess að fá skrifleg svör skv. 1. mgr. frá skrárhaldara, en skráður aðili á eigi kröfu til þess að honum sé skýrt frá hvaðan upplýsingar eru fengnar.

19. gr.
Upplýsingar um fjárhag og atriði, er varða mat á lánstrausti, má aðeins láta öðrum í té skriflega, sbr. þó 1. og 2. mgr. 18. gr. Þegar fastir viðskiptavinir eiga í hlut er þó heimilt að veita almennar upplýsingar munnlega eða á annan svipaðan hátt, en nafn og heimilisfang fyrirspyrjanda skal þá skráð og gögn um það varðveitt í a.m.k. sex mánuði.
Upplýsingarit um fjárhagsmálefni og lánstraust mega aðeins geyma almennar upplýsingar og þau má aðeins senda til áskrifenda. Áður en starfsleyfishafi birtir nafn tiltekins aðila í slíku upplýsingariti skal starfsleyfishafi að eigin frumkvæði tilkynna viðkomandi aðila skriflega um það að upplýsingar um hann muni birtast í næstu útgáfu ritsins.
Upplýsingar um skuldastöðu manna má því aðeins veita öðrum að um sé að ræða almennt aðgengilegar upplýsingar eða gjaldfallna skuld eða skuldir sama aðila við tiltekinn kröfuhafa sem eru a.m.k. 20.000,00 kr. eða hærri og skuldari hefur með aðfararhæfri sátt fallist á að greiða eða verið dæmdur til greiðslu hennar eða önnur réttargerð hafin til fullnustu hennar. Dómsmálaráðherra getur að fenginni umsögn tölvunefndar breytt með reglugerð framangreindri fjárhæð.
Upplýsingar um skuldastöðu aðila má ekki veita með þeim hætti að þær geti verið grundvöllur mats á fjárhagslegri stöðu annars en þess er upplýsingarnar varðar.

20. gr.
Um leiðréttingu eða afmáun rangra og villandi upplýsinga um fjárhagsmálefni og lánstraust gilda ákvæði 14. gr.

VI. KAFLI. Nafnalistar og nafnáritanir. Markaðs- og skoðanakannanir.

21. gr.
Sala eða önnur afhending úr skrám á nöfnum og heimilisföngum tiltekinna hópa einstaklinga, stofnana, fyrirtækja eða félaga er óheimil án starfsleyfis sem tölvunefnd veitir. Þá er og óheimilt án slíks starfsleyfis að annast um fyrir aðra áritanir nafna og heimilisfanga, svo sem með límmiðaáritun, eða aðra útsendingu tilkynninga til þeirra sem greinir í fyrri málslið þessarar málsgreinar.
Starfsleyfishafi skv. 1. mgr. má aðeins hafa á skrám sínum eftirtaldar upplýsingar:
1. nafn, heimilisfang, kennitölu, nafnnúmer, fyrirtækjanúmer og starf,
2. upplýsingar sem almennur aðgangur er að í opinberum skrám, svo sem fyrirtækjaskrám.
Dómsmálaráðherra getur, að fenginni umsögn tölvunefndar, í reglugerð reist frekari skorður við því hvað greina megi í skrám þessum.

22. gr.
Ef skrá skv. 21. gr. er notuð til áritunar og útsendingar bréfa, tilkynninga, dreifirita eða þess háttar er skylt að fram komi á áberandi stað á útsendu efni að því sé dreift eftir skrá í vörslu viðkomandi fyrirtækis eða stofnunar. Enn fremur að þeir sem kynnu að óska eftir því að losna undan slíkum sendingum framvegis geti skrifað eða hringt til þessa aðila og fengið nöfn sín afmáð af útsendingarskrá.
Skylt er skrárhaldara að verða tafarlaust við beiðnum um að nöfn einstaklinga eða fyrirtækja séu máð af útsendingarskrá, sbr. 1. mgr. Ef beiðni um að má nafn af útsendingarskrá berst sendanda ofangreinds pósts er honum skylt að koma slíkri kröfu á framfæri við skrárhaldara.
Tölvunefnd getur sett reglur um merkingar skv. 1. mgr.

23. gr.
Nú fær skrárhaldari skv. 21. gr. í hendur félagaskrár eða skrár yfir fasta viðskiptamenn eða svipaðar skrár og er honum þá óheimilt án samþykkis þess sem afhent hefur gögnin að láta þau af hendi við aðra eða skýra öðrum frá upplýsingum sem í skránum eða gögnunum felast.

24. gr.
Þeir sem í atvinnuskyni annast markaðs- og skoðanakannanir um atriði, sem falla undir ákvæði laga þessara, skulu hafa til þess starfsleyfi, sem tölvunefnd veitir. Starfsleyfishafi skal, a.m.k. sjö sólarhringum áður en könnun er framkvæmd, senda tölvunefnd lýsingu á fyrirhugaðri könnun ásamt spurningalista.
Öðrum en starfsleyfishöfum skv. 1. mgr. er óheimilt að annast kannanir þær, sem um ræðir í 1. mgr., án heimildar tölvunefndar.
Þeim sem annast markaðs- og skoðanakannanir skv. 1. og 2. mgr. ber við framkvæmd könnunar að gæta eftirtalinna atriða:
a. Gera skal þeim sem spurður er grein fyrir því að honum sé hvorki skylt að svara einstökum spurningum né spurningalistanum í heild.
b. Ef svör eru ekki eyðilögð að könnun lokinni skulu þau geymd þannig frágengin að ekki megi rekja þau til ákveðinna aðila.
c. Aldrei skal spyrja annarra spurninga en þeirra sem hafa greinilegan tilgang með hliðsjón af viðfangsefni því sem verið er að kanna.
d. Óheimilt er að nota upplýsingar þær, sem skráðar hafa verið, til annars en þess sem var tilgangur könnunar.
e. Óheimilt er að veita öðrum aðgang að upplýsingum þeim sem skráðar hafa verið.
Tölvunefnd setur frekari skilyrði um framkvæmd slíkra kannana, meðferð og varðveislu gagna ef hún telur það nauðsynlegt.

VII. KAFLI. Um tölvuþjónustu.

25. gr.
Þeim sem annast tölvuþjónustu fyrir aðra er óheimilt án starfsleyfis, sem tölvunefnd veitir, að varðveita eða vinna úr eftirtöldum upplýsingum um einkamálefni:
a. upplýsingum sem falla undir ákvæði 1. mgr. 4. gr.,
b. upplýsingum sem falla undir ákvæði V. kafla,
c. upplýsingum sem falla undir ákvæði 3. mgr. 6. gr.
Með tölvuþjónustu er átt við sérhvern starfsþátt í sjálfvirkri gagnavinnslu með tölvutækni.
Starfsleyfishafa skv. 1. mgr. er, án samþykkis frá skráreiganda, óheimilt að nota upplýsingar þær, sem hann hefur veitt viðtöku, til annars en að framkvæma þá þjónustu sem samningur hans og skráreiganda varðar eða afhenda öðrum upplýsingarnar til vinnslu eða geymslu. Þegar sérstaklega stendur á, svo sem vegna skyndilegrar bilunar í tölvubúnaði, er aðila þó heimilt að láta framkvæma tölvuvinnslu hjá öðrum enda þótt síðargreindi aðilinn hafi ekki starfsleyfi til slíkrar vinnslu. Gögnin og vinnslan skulu þó eftir sem áður vera á ábyrgð þess sem upphaflega tók að sér verkið að því er varðar ákvæði laga þessara.
Starfsleyfishafa er skylt að beita viðeigandi ráðstöfunum til þess að koma í veg fyrir að upplýsingar verði misnotaðar eða þær komist í hendur óviðkomandi. Dómsmálaráðherra getur í reglugerð sett nánari ákvæði um vörslu og meðferð tölvugagna hjá þeim sem annast tölvuþjónustu fyrir aðra.

26. gr.
Starfsmenn í þjónustu starfsleyfishafa skv. 25. gr. eru þagnarskyldir um atriði sem þeir komast að við störf sín og skulu þeir undirrita þagnarheit áður en þeir taka til starfa.
Nú vinnur tölvuþjónustufyrirtæki, sem ekki er rekið af opinberum aðila, að verkefnum fyrir slíkan aðila og eru starfsmenn þess þá þagnarskyldir um þau atriði, sem þeir komast að við framkvæmd verkefnisins, með sama hætti og þeir opinberu starfsmenn sem unnið hafa að því. Brot starfsmanns varðar, þegar svo stendur á, refsingu skv. 136. gr. almennra hegningarlaga.

VIII. KAFLI. Söfnun upplýsinga hér á landi til úrvinnslu erlendis.

27. gr.
Kerfisbundin söfnun og skráning persónuupplýsinga hér á landi til geymslu eða úrvinnslu erlendis er óheimil. Tölvunefnd getur þó heimilað hana ef sérstaklega stendur á.
Skrá eða frumgögn, sem geyma upplýsingar þær sem greinir í 1. mgr. 4. gr., má eigi láta af hendi til geymslu eða úrvinnslu erlendis nema samþykki tölvunefndar komi til.
Leyfi skv. 1. og 2. mgr. má því aðeins veita að tölvunefnd telji að afhending skráa eða gagna skerði ekki til muna þá vernd sem lög þessi búa skráðum mönnum eða lögpersónum.
Dómsmálaráðherra getur, að fenginni umsögn tölvunefndar, ákveðið í reglugerð að ákvæði 1. og 2. mgr. eigi ekki við um tilteknar skrár eða upplýsingasvið eða gagnvart tilteknum löndum ef slíkt er nauðsynlegt til efnda á þjóðréttarskuldbindingum eða tillit til alþjóðlegrar samvinnu á þessu sviði mælir með því.

IX. KAFLI. Skráning upplýsinga og varðveisla þeirra.

28. gr.
Beita skal virkum ráðstöfunum er komi í veg fyrir að upplýsingar séu misnotaðar eða komist til óviðkomandi manna.
Afmá skal skráðar upplýsingar sem vegna aldurs eða af öðrum ástæðum hafa glatað gildi sínu miðað við það hlutverk sem skrá er ætlað að gegna. Skrár, sem sífellt eru í notkun, skulu geyma upplýsingar sem á hverjum tíma eru réttar, en úreltar upplýsingar skal afmá.
Tölvunefnd getur leyft að afrit eða útskriftir úr skrám verði varðveittar í Þjóðskjalasafni eða öðrum skjalasöfnum með nánari ákveðnum skilmálum.

29. gr.
Nú geyma tilteknar skrár upplýsingar sem líklegt þykir að muni hafa notagildi fyrir erlend ríki og skal þá koma við öryggisráðstöfunum sem gera kleift að eyðileggja skrár án tafar ef styrjöld brýst út eða uggvænt þykir að til styrjaldarátaka komi.

X. KAFLI. Um eftirlit með lögum þessum.

30. gr.
Til þess að hafa eftirlit með framkvæmd laga þessara og reglum settum samkvæmt þeim skal dómsmálaráðherra skipa fimm manna nefnd sem kölluð er tölvunefnd í lögum þessum. Nefndina skal skipa til fjögurra ára í senn. Formaður nefndarinnar, varaformaður og einn nefndarmaður að auki skulu vera lögfræðingar. Formaður og varaformaður skulu fullnægja skilyrðum til að vera dómari. Einn nefndarmanna skal vera sérfróður um tölvu- og skráningarmálefni. Hann skal tilnefndur af Skýrslutæknifélagi Íslands. Varamenn skal skipa með sama hætti til fjögurra ára í senn og skulu þeir fullnægja sömu skilyrðum og aðalmenn.
Tölvunefnd er að höfðu samráði við dómsmálaráðherra heimilt að ráða nefndinni nauðsynlegt starfslið.

31. gr.
Tölvunefnd hefur eftirlit með framkvæmd laga þessara. Nefndin hefur að eigin frumkvæði, eða eftir ábendingum frá skráðum aðilum, eftirlit með því að til skráningar sé stofnað og skrár notaðar með þeim hætti sem fyrir er mælt í lögum þessum. Tölvunefnd veitir, eftir því sem nánar er kveðið á um í lögum þessum, starfsleyfi, heimildir eða samþykki til einstakra athafna. Þá úrskurðar nefndin í ágreiningsmálum sem upp kunna að koma.
Úrlausnir tölvunefndar samkvæmt lögum þessum verða eigi bornar undir aðrar stjórnvaldsstofnanir.

32. gr.
Tölvunefnd getur krafið skrárhaldara og þá er á hans vegum starfa allra þeirra upplýsinga sem nefndinni eru nauðsynlegar til þess að rækja hlutverk sitt, þar með taldar upplýsingar til ákvörðunar um það hvort tiltekin starfsemi falli undir ákvæði laganna.
Tölvunefnd og starfslið hennar hefur vegna eftirlitsstarfa sinna án dómsúrskurðar aðgang að húsnæði þar sem skráning fer fram eða þar sem skráningargögn eru varðveitt eða þau eru til vinnslu.

33. gr.
Tölvunefnd getur lagt fyrir aðila að hætta skráningu eða láta ekki öðrum í té upplýsingar úr skrám sínum eða gögnum, enda gangi skráning eða upplýsingagjöf í berhögg við ákvæði laga þessara að mati tölvunefndar. Þá getur tölvunefnd og, að sömu skilyrðum fullnægðum, mælt svo fyrir að upplýsingar í skrám verði afmáðar eða skrár í heild sinni eyðilagðar.
Tölvunefnd getur lagt fyrir skráningaraðila að afmá skráningu um einstök atriði eða leiðrétta hana, enda sé um atriði að ræða sem annaðhvort er óheimilt að taka á skrá eða tölvunefnd telur röng eða villandi.
Tölvunefnd getur lagt fyrir skráningaraðila að afmá eða leiðrétta upplýsingar sem skráðar hafa verið fyrir gildistöku laga þessara ef skráning þeirra gengur í berhögg við ákvæði laga þessara eða upplýsingarnar eru rangar eða villandi.
Tölvunefnd getur, ef sérstaklega stendur á, lagt fyrir skráningaraðila að afmá upplýsingar sem vegna aldurs eða af öðrum ástæðum hafa glatað gildi sínu.
Tölvunefnd getur bannað skráningaraðila að viðhafa tiltekna aðferð við söfnun og skráningu upplýsinga og miðlun þeirra, enda telji nefndin að sú aðferð, sem viðhöfð er, hafi í för með sér verulega hættu á að skráning eða upplýsingamiðlun verði röng eða villandi. Sömu heimild hefur tölvunefnd ef hún telur hættu á að teknar verði á skrá eða miðlað verði úr skrám upplýsingum sem óheimilt er að skrá eða miðla.
Tölvunefnd getur lagt fyrir skráningaraðila að koma við sérstökum úrræðum til tryggingar því að eigi verði tekin á skrá atriði sem óheimilt er að skrá eða miðlað verði upplýsingum um slík atriði. Hinu sama gegnir um atriði sem eru röng eða villandi. Með sama hætti getur tölvunefnd lagt fyrir skráningaraðila að koma við ráðstöfunum til tryggingar því að skráðar upplýsingar verði ekki misnotaðar eða komist til vitundar óviðkomandi aðila.
Ef aðili sinnir eigi fyrirmælum tölvunefndar skv. 1.–6. mgr. þessarar greinar getur tölvunefnd afturkallað starfsleyfi, samþykki eða heimild sem hún hefur veitt samkvæmt ákvæðum laga þessara þar til úr hefur verið bætt að hennar mati með fullnægjandi hætti.

34. gr.
Dómsmálaráðherra getur í reglugerð kveðið á um samstarf tölvunefndar við erlendar eftirlitsstofnanir um geymslu eða úrvinnslu hér á landi á gögnum er safnað hefur verið erlendis, þar á meðal um sérstaka tilkynningarskyldu á slíku.

35. gr.
Tölvunefnd getur sett reglur um form og efni tilkynninga og umsókna samkvæmt lögum þessum.
Nú er tölvunefnd ætlað að veita starfsleyfi samkvæmt lögum þessum eða samþykki til einstakra aðgerða og er henni þá heimilt að binda starfsleyfið eða samþykkið skilyrðum eða tímabinda það.
Dómsmálaráðherra getur ákveðið gjald er greiða skal fyrir veitingu starfsleyfa og einstakra heimilda.

36. gr.
Tölvunefnd skal árlega birta skýrslu um starfsemi sína. Í skýrslunni skal birta yfirlit yfir þau starfsleyfi, samþykki og heimildir sem nefndin hefur veitt, reglur sem hún hefur sett og úrskurði sem hún hefur kveðið upp. Í ársskýrslunni skal og greina frá þeirri starfsemi nefndarinnar annarri sem ætla má að almenningur láti sig varða eða hafi hagsmuni af að vita.

XI. KAFLI. Um refsingar og önnur viðurlög.

37. gr.
Brot á eftirtöldum ákvæðum laga þessara varða fésektum eða fangelsi allt að þremur árum nema þyngri refsing liggi við samkvæmt öðrum lögum:
a. brot á 3.–6. gr.,
b. brot á 9. og 12. gr.,
c. brot á 2. og 4. mgr. 14. gr.,
d. brot á 15.–20. gr.,
e. brot á 21.–24. gr.,
f. brot á 26., 27. og 1. mgr. 32. gr.
Sömu refsingu varðar að vanrækja að fara að fyrirmælum tölvunefndar skv. 33. gr.
Sömu refsingu varðar enn fremur að virða ekki skilyrði sem sett eru fyrir starfsleyfi, heimild eða samþykki samkvæmt lögum þessum eða stjórnvaldsreglum settum samkvæmt þeim, svo og að sinna ekki boði eða banni sem sett hefur verið samkvæmt lögunum eða stjórnvaldsreglum settum samkvæmt þeim.
Dæma má lögaðila jafnt sem einstaklinga til greiðslu sekta vegna brota á lögum þessum. Lögaðila má ákvarða sekt án tillits til þess hvort sök verður sönnuð á starfsmann lögaðilans. Hafi starfsmaður lögaðilans framið brot á lögum þessum eða reglum settum samkvæmt þeim má einnig gera lögaðila þessum sekt og sviptingu starfsréttinda skv. 38. gr., enda sé brot drýgt til hagsbóta fyrir lögðaðilann eða hann hefur notið hagnaðar af brotinu. Lögaðili ber ábyrgð á greiðslu sektar sem starfsmaður hans er dæmdur til að greiða vegna brota á lögum þessum, enda séu brot tengd starfi hans hjá lögðaðilanum.

38. gr.
Starfsleyfishafa skv. 15., 21., 24. og 25. gr. má auk refsingar skv. 37. gr. með dómi svipta starfsleyfi ef sök er mikil. Að öðru leyti eiga hér við ákvæði 1. og 2. mgr. 68. gr. almennra hegningarlaga Nr. 19/1940, með síðari breytingum.
Gera má upptæk með dómi tæki sem stórfelld brot á lögum þessum hafa verið framin með, svo og hagnað af broti, sbr. 69. gr. almennra hegningarlaga Nr. 19/1940.

39. gr.
Tilraun og hlutdeild í brotum á lögum þessum er refsiverð eftir því sem segir í III. kafla almennra hegningarlaga.

XII. KAFLI. Lagaframkvæmd og gildistaka.

40. gr.
Dómsmálaráðherra er heimilt að setja reglugerð um nánari framkvæmd laga þessara.
Lög þessi öðlast gildi 1. janúar 1990.

Samþykkt á Alþingi 18. desember 1989.

ZAKON O ELEKTRONSKEM POSLOVANJU IN ELEKTRONSKEM PODPISU (ZEPEP)

Prvo poglavje SPLOŠNE DOLOČBE

1. člen

(1) Ta zakon ureja elektronsko poslovanje, ki zajema poslovanje v elektronski obliki na daljavo z uporabo informacijske in komunikacijske tehnologije in uporabo elektronskega podpisa v pravnem prometu, kar vključuje tudi elektronsko poslovanje v sodnih, upravnih in drugih podobnih postopkih, če zakon ne določa drugače.

(2) Če ni dogovorjeno drugače, določbe tega zakona, z izjemo določb 4. in 14. člena, ne veljajo v zaprtih sistemih, ki so v celoti urejeni s pogodbami med znanim številom pogodbenih strank.

2. člen

Posamezni izrazi, uporabljeni v tem zakonu, imajo naslednji pomen:

1. podatki v elektronski obliki so podatki, ki so oblikovani ali shranjeni na elektronski način;
2. elektronsko sporočilo je niz podatkov, ki so poslani ali prejeti na elektronski način, kar vključuje predvsem elektronsko izmenjavo podatkov in elektronsko pošto;
3. elektronski podpis je niz podatkov v elektronski obliki, ki je vsebovan, dodan ali logično povezan z drugimi podatki, in je namenjen preverjanju pristnosti teh podatkov in identifikaciji podpisnika;　
4. varen elektronski podpis je elektronski podpis, ki izpolnjuje naslednje zahteve:
– da je povezan izključno s podpisnikom;
– da je iz njega mogoče zanesljivo ugotoviti podpisnika;
– da je ustvarjen s sredstvi za varno elektronsko podpisovanje, ki so izključno pod podpisnikovim nadzorom;
– da je povezan s podatki, na katere se nanaša, tako da je opazna vsaka kasnejša sprememba teh podatkov ali povezave z njimi;
5. časovni žig je elektronsko podpisano potrdilo overitelja, ki potrjuje vsebino podatkov, na katere se nanaša, v navedenem času;
6. pošiljatelj elektronskega sporočila je oseba, ki je sama poslala elektronsko sporočilo ali pa je bilo sporočilo poslano v njenem imenu in v skladu z njeno voljo; posrednik elektronskega sporočila se ne šteje za pošiljatelja tega elektronskega sporočila;
7. naslovnik elektronskega sporočila je oseba, ki ji je pošiljatelj namenil elektronsko sporočilo;
8. prejemnik elektronskega sporočila je oseba, ki je prejela elektronsko sporočilo; posrednik elektronskega sporočila se ne šteje za prejemnika tega elektronskega sporočila;
9. posrednik elektronskega sporočila je oseba, ki za drugo osebo pošlje, prejme, shrani elektronsko sporočilo ali nudi druge storitve v zvezi z elektronskim sporočilom;
10. podpisnik je oseba, ki ustvari ali je v njenem imenu in v skladu z njeno voljo ustvarjen elektronski podpis;
11. informacijski sistem je sistem za oblikovanje, pošiljanje, prejemanje, shranjevanje in druge obdelave podatkov v elektronski obliki;
12. podatki za elektronsko podpisovanje so edinstveni podatki, kot so šifre ali zasebni šifrirni ključi, ki jih podpisnik uporablja za oblikovanje elektronskega podpisa;
13. sredstvo za elektronsko podpisovanje je nastavljena programska ali strojna oprema, ki jo podpisnik uporablja za oblikovanje elektronskega podpisa;
14. sredstvo za varno elektronsko podpisovanje je sredstvo za elektronsko podpisovanje, ki izpolnjuje zahteve iz 37. člena tega zakona;
15. podatki za preverjanje elektronskega podpisa so edinstveni podatki, kot so šifre ali javni šifrirni ključi, ki se uporabljajo za preverjanje elektronskega podpisa;
16. sredstvo za preverjanje elektronskega podpisa je nastavljena programska ali strojna oprema, ki se uporablja za preverjanje elektronskega podpisa;
17. oprema za elektronsko podpisovanje je strojna ali programska oprema ali njune specifične sestavine, ki jih overitelj uporablja za storitve v zvezi z elektronskim podpisovanjem ali ki se uporabljajo za oblikovanje ali preverjanje elektronskih podpisov;
18. potrdilo je potrdilo v elektronski obliki, ki povezuje podatke za preverjanje elektronskega podpisa z določeno osebo (imetnikom potrdila) ter potrjuje njeno identiteto;
19. kvalificirano potrdilo je potrdilo, ki izpolnjuje zahteve iz 28. člena tega zakona in ki ga izda overitelj, ki deluje v skladu z zahtevami iz 29. do 36. člena tega zakona;
20. overitelj je fizična ali pravna oseba, ki izdaja potrdila ali opravlja druge storitve v zvezi z overjanjem ali elektronskimi podpisi.

3. člen

Osebe lahko uredijo svoja razmerja pri ustvarjanju, pošiljanju, prejemanju, shranjevanju ali drugi obdelavi elektronskih sporočil drugače, kot je določeno v tem zakonu, če iz posamezne določbe tega zakona ali iz njenega smisla　ne izhaja kaj drugega.

4. člen

Podatkom v elektronski obliki se ne sme odreči veljavnosti ali dokazne vrednosti samo zato, ker so v elektronski obliki.

Drugo poglavje ELEKTRONSKO POSLOVANJE

1. oddelek Elektronsko sporočilo

5. člen

(1) Velja, da　elektronsko sporočilo izvira od pošiljatelja:

– če ga pošlje pošiljatelj sam, ali
– če ga pošlje oseba, ki jo pooblasti pošiljatelj, ali
– če ga pošlje informacijski sistem, ki ga je programiral pošiljatelj sam, ali je bil sistem programiran po njegovem nalogu, da deluje samodejno, ali
– če je naslovnik za potrditev izvora sporočila uporabil med prejemnikom in pošiljateljem v ta namen vnaprej dogovorjeno tehnologijo in postopek.

(2) Določba prejšnjega odstavka ne velja za primere:

– če je pošiljatelj obvestil prejemnika, da elektronsko sporočilo ni njegovo in je prejemnik imel čas, da ustrezno ravna, ali
– če je prejemnik vedel ali bi bil moral vedeti, če bi ravnal kot skrben gospodar, ali če bi uporabil dogovorjeno tehnologijo in postopek, da elektronsko sporočilo ni pošiljateljevo.

6. člen

Prejemnik je upravičen šteti vsako prejeto elektronsko sporočilo kot posamično sporočilo in ravnati v skladu s tem, razen v primeru, če je bilo elektronsko sporočilo podvojeno in je prejemnik to vedel ali bi bil moral vedeti, če bi ravnal kot skrben gospodar ali če bi uporabil dogovorjeno tehnologijo in postopek.

7. člen

(1) Če je pošiljatelj ob ali pred pošiljanjem elektronskega sporočila ali v samem elektronskem sporočilu zahteval ali se s prejemnikom dogovoril, da se prejem sporočila potrdi, ter navedel, da elektronsko sporočilo pogojuje s potrdilom o prejemu, se šteje, kot da elektronsko sporočilo ni bilo poslano, dokler pošiljatelj ne prejme potrdila o prejemu.

(2) Če pošiljatelj ne navede, da elektronsko sporočilo pogojuje s potrdilom o prejemu in potrdila o prejemu ne prejme v določenem ali dogovorjenem roku ali če ta ni bil določen ali dogovorjen v razumnem roku, lahko pošiljatelj obvesti prejemnika, da ni prejel potrdila o prejemu, in določi razumen rok, v katerem mora prejeti potrdilo o prejemu. Če tudi v tem roku potrdila o prejemu ne prejme po predhodnem obvestilu prejemniku, se šteje elektronsko sporočilo za neposlano.

(3) Če se pošiljatelj s prejemnikom ni dogovoril o obliki potrdila o prejemu elektronskega sporočila, se za potrdilo šteje kakršnakoli samodejna ali druga potrditev prejemnika oziroma kakršnokoli ravnanje prejemnika, ki zadostuje, da pošiljatelj izve ali bi bil lahko izvedel, da je bilo elektronsko sporočilo prejeto.

8. člen

Če pošiljatelj od prejemnika prejme potrdilo o prejemu elektronskega sporočila, se šteje, da je naslovnik prejel to elektronsko sporočilo, ne šteje pa se, da je poslano elektronsko sporočilo enako prejetemu.

9. člen

Če ni drugače dogovorjeno, se šteje, da je elektronsko sporočilo odposlano, ko vstopi v informacijski sistem izven nadzora pošiljatelja ali osebe, ki je elektronsko sporočilo poslala v imenu pošiljatelja in v skladu z njegovo voljo.

10. člen

(1) Če ni drugače dogovorjeno, se šteje za čas prejema elektronskega sporočila tisti čas, ko elektronsko sporočilo vstopi v prejemnikov informacijski sistem.

(2) Če ni drugače dogovorjeno, se ne glede na določbo prejšnjega odstavka šteje za čas prejema elektronskega sporočila, če je prejemnik posebej določil informacijski sistem za prejem elektronskih sporočil, čas, ko elektronsko sporočilo vstopi v ta informacijski sistem, ali če je elektronsko sporočilo poslano drugemu informacijskemu sistemu, čas, ko je prejemnik elektronsko sporočilo prevzel.　

(3) Določbe prejšnjega odstavka veljajo tudi, če se informacijski sistem nahaja v drugem kraju, ki se po tem zakonu šteje za kraj prejema elektronskega sporočila.

11. člen

(1) Če ni drugače dogovorjeno, se za kraj, od koder je bilo elektronsko sporočilo poslano, šteje kraj, kjer ima pošiljatelj svoj sedež oziroma stalno prebivališče v času pošiljanja, za kraj prejema elektronskega sporočila pa kraj, kjer ima prejemnik sedež oziroma stalno prebivališče v času prejema.

(2) Če pošiljatelj oziroma prejemnik nima stalnega prebivališča, se za kraj, od koder je bilo elektronsko sporočilo poslano oziroma kjer je bilo prejeto, po prejšnjem odstavku šteje njegovo prebivališče v času pošiljanja oziroma prejema elektronskega sporočila.

2. oddelek Podatki v elektronski obliki

12. člen

(1) Kadar zakon ali drug predpis določa, da se določeni dokumenti, zapisi ali podatki hranijo, se lahko hranijo tudi v elektronski obliki:

– če so podatki, vsebovani v elektronskem dokumentu ali zapisu, dosegljivi in primerni za kasnejšo uporabo in
– če so podatki shranjeni v obliki, v kateri so bili oblikovani, poslani ali prejeti, ali v kakšni drugi obliki, ki verodostojno predstavlja oblikovane, poslane ali prejete podatke in
– če je iz shranjenega elektronskega sporočila mogoče ugotoviti, od kod izvira, komu je bilo poslano ter čas in kraj njegovega pošiljanja ali prejema in
– če uporabljena tehnologija in postopki v zadostni meri onemogočajo spremembo ali izbris podatkov, ki ju ne bi bilo mogoče enostavno ugotoviti, oziroma obstaja zanesljivo jamstvo glede nespremenljivosti sporočila.

(2) Obveznost hrambe dokumentov, zapisov ali podatkov iz prejšnjega odstavka se ne nanaša na podatke, katerih edini namen je omogočiti, da bo elektronsko sporočilo poslano ali prejeto (komunikacijski podatki).

(3) Kadar zakon ali drug predpis določa, da se določeni podatki predložijo ali shranijo v izvirni obliki, se šteje, da je elektronska oblika sporočila ustrezna, če ustreza pogojem iz prvega odstavka tega člena.

(4) Določbe tega člena ne veljajo za podatke, za katere ta zakon določa strožje ali posebne pogoje hrambe.

13. člen

(1) Kadar zakon ali drug predpis določa pisno obliko, se šteje, da je elektronska oblika enakovredna pisni obliki, če so podatki v elektronski obliki dosegljivi in primerni za kasnejšo uporabo.

(2) Določbe prejšnjega odstavka ne veljajo za:

1. pravne posle, s katerimi se prenaša lastninska pravica na nepremičnini ali s katerimi se ustanavlja druga stvarna pravica na nepremičnini;
2. oporočne posle;
3. pogodbe o urejanju premoženjskih razmerij med zakoncema;
4. pogodbe o razpolaganju s premoženjem oseb, ki jim je odvzeta poslovna sposobnost;
5. pogodbe o izročitvi in razdelitvi premoženja za življenja;
6. pogodbe o dosmrtnem preživljanju in sporazume o odpovedi neuvedenemu dedovanju;
7. darilne obljube in darilne pogodbe za primer smrti;
8. kupne pogodbe s pridržkom lastninske pravice;
9. druge pravne posle, za katere zakon določa, da morajo biti sklenjeni v obliki notarskega zapisa.

Tretje poglavje ELEKTRONSKI PODPIS

1. oddelek Splošne določbe

14. člen

Elektronskemu podpisu se ne sme odreči veljavnosti ali dokazne vrednosti samo zaradi elektronske oblike, ali ker ne temelji na kvalificiranem potrdilu ali potrdilu akreditiranega overitelja, ali ker ni oblikovan s sredstvom za varno elektronsko podpisovanje.

15. člen

Varen elektronski podpis, overjen s kvalificiranim potrdilom, je glede podatkov v elektronski obliki enakovreden lastnoročnemu podpisu ter ima zato enako veljavnost in dokazno vrednost.

16. člen

Osebe, ki hranijo dokumente, ki so elektronsko podpisani z uporabo podatkov in sredstev za podpisovanje, morajo hraniti komplementarne podatke in sredstva za preverjanje elektronskega podpisa enako dolgo, kot se hranijo dokumenti.

17. člen

Uporaba podatkov ali sredstev za elektronsko podpisovanje brez vednosti podpisnika ali imetnika potrdila, ki se nanaša na te podatke ali sredstva, je prepovedana.

2. oddelek Potrdila in overitelji, ki jih izdajajo

18. člen

(1) Overitelj za opravljanje svoje dejavnosti ne potrebuje posebnega dovoljenja.

(2) Overitelj mora začetek opravljanja dejavnosti prijaviti ministrstvu, pristojnemu za gospodarstvo (v nadaljnjem besedilu: ministrstvo), najmanj osem dni pred začetkom. Ob začetku opravljanja dejavnosti ali ob spremembi dejavnosti mora overitelj ministrstvo seznaniti s svojimi notranjimi pravili glede elektronskega podpisovanja in overjanja ter s svojimi postopki in infrastrukturo.

(3) Overitelj, ki opravlja storitve varnega elektronskega podpisovanja, mora v svojih notranjih　pravilih upoštevati varnostne zahteve, določene s tem zakonom in na njegovi podlagi izdanimi podzakonskimi predpisi.

(4) Overitelj mora izpolnjevati zahteve iz svojih notranjih pravil tako ob začetku kot tudi neprekinjeno ves čas izvajanja dejavnosti.

19. člen

(1) Overitelj mora nemudoma obvestiti ministrstvo o vseh okoliščinah, ki ga ovirajo ali mu onemogočajo izvajanje dejavnosti v skladu z veljavnimi predpisi ali njegovimi notranjimi pravili.

(2) Overitelj mora nemudoma obvestiti ministrstvo o možnem začetku stečaja ali prisilne poravnave.

20. člen

(1) Overitelj mora preklicati potrdilo iz 18. točke 2. člena tega zakona v času njegove veljavnosti v skladu s svojimi notranjimi pravili, ki urejajo preklice potrdil, vendar vedno nemudoma:

– če preklic potrdila zahteva imetnik potrdila ali njegov pooblaščenec, ali
– ko overitelj izve, da je imetnik potrdila izgubil poslovno sposobnost, umrl, prenehal obstajati ali da so se spremenile okoliščine, ki bistveno vplivajo na veljavnost potrdila, ali
– če je podatek v potrdilu napačen ali je bilo potrdilo izdano na podlagi napačnih podatkov, ali
– če so bili podatki za preverjanje elektronskega podpisa ali informacijski sistem overitelja ogroženi na način, ki vpliva na zanesljivost potrdila, ali
– če so bili podatki za elektronsko podpisovanje ali informacijski sistem imetnika potrdila ogroženi na način, ki vpliva na zanesljivost oblikovanja elektronskega podpisa, ali
– če overitelj preneha z delovanjem ali mu je delovanje prepovedano in njegove dejavnosti ni prevzel drug overitelj, ali
– če preklic odredi pristojno sodišče, sodnik za prekrške ali upravni organ.

(2) Overitelj mora v svojih notranjih pravilih določiti, kdaj in na kakšen način se obvešča o izdaji oziroma preklicu potrdila.

(3) Ne glede na notranja pravila mora overitelj vedno nemudoma obvestiti imetnika preklicanega potrdila. Podatke o preklicu mora posredovati vsaki osebi, ki jih zahteva, ali jih javno objaviti, če overitelj vodi register preklicanih potrdil.

21. člen

Ministrstvo mora nemudoma zagotoviti preklic potrdil overitelja, če overitelj preneha z delovanjem ali je njegovo delovanje prepovedano in njegove dejavnosti ni prevzel drug overitelj, če overitelj potrdila ne prekliče.

22. člen

(1) Imetnik potrdila mora podatke in sredstva za elektronsko podpisovanje hraniti s skrbnostjo dobrega gospodarja in jih uporabljati v skladu z zahtevami tega zakona in na njegovi podlagi izdanih podzakonskih predpisov ter preprečiti nepooblaščen dostop do teh podatkov in sredstev.

(2) Imetnik potrdila mora zahtevati preklic svojega potrdila, če so bili podatki za elektronsko podpisovanje ali informacijski sistem imetnika potrdila izgubljeni ali ogroženi na način, ki vpliva na zanesljivost oblikovanja elektronskega podpisa, ali če obstaja nevarnost zlorabe, ali če so se spremenili podatki, ki so navedeni v potrdilu.

23. člen

Če potrdilo vsebuje podatke o tretji osebi, ki ni imetnik potrdila, je tudi ta upravičena zahtevati preklic potrdila iz razlogov, določenih v drugem odstavku prejšnjega člena.

24. člen

(1) Preklic potrdila učinkuje med imetnikom potrdila in overiteljem od trenutka preklica. Preklic potrdila učinkuje med tretjimi osebami in overiteljem od trenutka objave ali, če preklic ni javno objavljen, od trenutka, ko tretje osebe zanj zvedo.

(2) V preklicu potrdila mora biti naveden čas preklica.

(3) Preklic vedno velja od trenutka preklica naprej. Preklic za nazaj ni dovoljen.

25. člen

Za časovni žig in storitve, povezane z njim, se smiselno uporabljajo določbe, ki　urejajo potrdilo in kvalificirano potrdilo.　

26. člen

Overitelj mora voditi dokumentacijo o varnostnih ukrepih v skladu s tem zakonom in predpisi, izdanimi na njegovi podlagi, ter o vseh izdanih in preklicanih potrdilih tako, da bodo podatki vedno dostopni ter njihova verodostojnost in nespremenljivost vedno preverljiva, in sicer najmanj pet let od posameznega dogodka ali dejanja.

27. člen

(1) Overitelj mora pred prenehanjem delovanja o tem nemudoma obvestiti ministrstvo in imetnike od njega izdanih potrdil, ter zagotoviti, da vse njegove pravice in obveznosti glede izdanih potrdil prevzame drug overitelj ali da prekliče veljavna potrdila.

(2) Vso dokumentacijo, ki jo je doslej vodil, mora predati drugemu overitelju, ki bo prevzel vse pravice in　obveznosti prejšnjega overitelja glede izdanih potrdil, oziroma ministrstvu, če takega overitelja ni.

3. oddelek Kvalificirana potrdila in overitelji, ki jih izdajajo

28. člen

(1) Iz kvalificiranega potrdila mora biti ugotovljivo:　

– navedba, da gre za kvalificirano potrdilo;
– ime ali firma in država stalnega prebivališča ali sedeža overitelja;
– ime oziroma psevdonim imetnika potrdila ali naziv oziroma psevdonim informacijskega sistema z navedbo imetnika potrdila, pod katerega nadzorom je, z obvezno navedbo, da gre za psevdonim;
– dodatni podatki o imetniku potrdila, ki so predpisani za namen, za katerega se bo potrdilo uporabljalo;
– podatki za preverjanje elektronskega podpisa, ki ustrezajo podatkom za elektronsko podpisovanje pod nadzorom imetnika potrdila;
– začetek in konec veljavnosti potrdila;
– identifikacijska oznaka potrdila;
– varen elektronski podpis overitelja, ki je potrdilo izdal;
– morebitne omejitve v zvezi z uporabo potrdila;
– morebitne omejitve transakcijskih vrednosti, za katere se potrdilo lahko uporablja.

(2) Če ni drugače dogovorjeno, potrdilo ne sme vsebovati drugih podatkov.

29. člen

Overitelj, ki izdaja kvalificirana potrdila, mora zagotavljati storitve v zvezi z elektronskim podpisovanjem s skrbnostjo dobrega strokovnjaka.

30. člen

(1) Overitelj, ki izdaja kvalificirana potrdila, mora zagotoviti vodenje registra preklicanih potrdil, ki mora vsebovati zlasti identifikacijsko oznako preklicanega potrdila, da se ga da natančno identificirati. Register ne sme vsebovati podatkov o vzrokih　za preklic ali kakršnih koli podatkov, ki niso vsebovani v potrdilu, razen datuma in časa preklica. Register mora biti varno elektronsko podpisan in podpis overjen s kvalificiranim potrdilom z najmanj enako zanesljivostjo kot potrdila, ki se preklicujejo　v registru.

(2) Overitelj mora zagotoviti možnost takojšnjega in varnega preklica kvalificiranega potrdila, kot tudi možnost natančne določitve trenutka izdaje in preklica kvalificiranega potrdila.

(3) Overitelj, ki izdaja kvalificirana potrdila in preneha z delovanjem, mora zagotoviti, da drug overitelj, ki izdaja kvalificirana potrdila, vodi preklicana kvalificirana potrdila v svojem registru.

(4) Če overitelj ne zagotovi nadaljevanja dejavnosti preklica, ministrstvo na njegove stroške zagotovi nadaljevanje te dejavnosti pri drugem overitelju.

31. člen

Overitelj, ki izdaja kvalificirana potrdila, mora s pomočjo uradnega osebnega dokumenta s fotografijo za fizične osebe ali z uradno potrjenimi dokumenti za pravne osebe zanesljivo ugotoviti identiteto in druge pomembne lastnosti osebe, ki zahteva potrdilo.

32. člen

(1) Overitelj, ki izdaja kvalificirana potrdila, mora zaposlovati osebje s potrebnim strokovnim znanjem, izkušnjami in usposobljenostjo na področju opravljanih storitev, še posebej na področju upravljanja ter poznavanja tehnologije elektronskega poslovanja in ustreznih varnostnih postopkov, da zagotovi izpolnjevanje vseh določb tega zakona.　

(2) Osebje se mora ravnati po administrativnih in upravljavskih postopkih, skladnih z uveljavljenimi pravili stroke.

(3) Vlada Republike Slovenije s podzakonskim predpisom določi vrsto in stopnjo zahtevane strokovne izobrazbe, leta izkušenj ter morebitna dodatna opravljena usposabljanja za izpolnjevanje zahtev iz prvega odstavka tega člena.

33. člen

(1) Overitelj mora uporabljati zanesljive sisteme in opremo, ki so zaščiteni pred spreminjanjem in ki zagotavljajo tehnično in kriptografsko varnost postopkov, v katerih se uporabljajo.

(2) Overitelj mora izvajati varnostne ukrepe zoper ponarejanje potrdil ter v primerih, ko overitelj oblikuje podatke za elektronsko podpisovanje, zagotavljati zaupnost podatkov ves čas postopka oblikovanja takih podatkov.

(3) Overitelj ne sme shranjevati podatkov za elektronsko podpisovanje imetnika potrdila.

(4) Overitelj mora za shranjevanje potrdil uporabljati zanesljive sisteme, ki omogočajo enostavno odkrivanje sprememb ter hkrati omogočajo, da:　

1. lahko samo pooblaščene osebe vnašajo nove podatke in spreminjajo obstoječe;
2. je omogočeno preverjanje pristnosti podatkov;
3. so potrdila javno dostopna samo, če je overitelj predhodno dobil dovoljenje imetnika potrdila;
4. uporabnik lahko enostavno opazi kakršnekoli tehnične spremembe, ki bi ogrozile izpolnjevanje teh varnostnih zahtev.　

(5) Vlada Republike Slovenije s podzakonskim predpisom predpiše podrobnejša merila za izpolnjevanje zahtev iz tega člena.

34. člen

Overitelj, ki izdaja kvalificirana potrdila, mora zavarovati svojo škodno odgovornost. Najnižji znesek zavarovalne vsote predpiše Vlada　Republike Slovenije z uredbo.

35. člen

(1) Overitelj, ki izdaja kvalificirana potrdila, mora shranjevati vse pomembne podatke o kvalificiranih potrdilih, še posebej zaradi dokazovanja overitev v sodnih, upravnih in drugih postopkih, vsaj toliko časa,　kot bodo hranjeni podatki, podpisani z elektronskim podpisom, na katerega se nanaša kvalificirano potrdilo, najmanj pa pet let od izdaje potrdila.

(2) Za pomembne podatke o kvalificiranih potrdilih se štejejo zlasti podatki o načinu ugotovitve istovetnosti imetnika potrdila, času in načinu izdaje potrdila, vzroku, času in načinu morebitnega preklica potrdila, roku veljavnosti potrdila ter vseh sporočilih, ki se nanašajo na veljavnost potrdila, izmenjanih med overiteljem in imetnikom.

(3) Podatki iz prvega in drugega odstavka tega člena se lahko shranjujejo v elektronski obliki.

36. člen

(1) Overitelj, ki izdaja kvalificirana potrdila, mora osebo, ki zahteva potrdilo, pred sklenitvijo pogodbe obvestiti o vseh pomembnih okoliščinah uporabe potrdila.

(2) Obvestilo mora vsebovati:

1. podroben povzetek vsebine veljavnih predpisov ter notranjih pravil in drugih pogojev, ki se nanašajo na uporabo potrdila;
2. podatke o morebitnih omejitvah uporabe potrdila;
3. podatke o obstoju prostovoljne akreditacije;　
4. podatke o postopkih za reševanje pritožb in mirno razreševanje sporov;　
5. podatke o ukrepih imetnika potrdila, potrebnih za varnost elektronskega podpisovanja in preverjanja elektronskih podpisov, ter o ustrezni tehnologiji;
6. opozorilo, da bo morda potrebno elektronsko podpisane podatke ponovno　elektronsko podpisati, in sicer preden bo varnost obstoječega elektronskega podpisa s časom zmanjšana.

(3) Obvestilo mora biti napisano v lahko razumljivem jeziku ter v pisni obliki na trajnem nosilcu podatkov.

(4) Ustrezni deli obvestila morajo biti na njihovo zahtevo dostopni tudi tretjim osebam, ki se zanašajo na potrdilo.

4. oddelek Tehnične zahteve za varno elektronsko podpisovanje

37. člen

(1) Sredstva za varno elektronsko podpisovanje morajo z uporabo ustreznih postopkov in infrastrukture zagotavljati naslednje:

1. podatki za elektronsko podpisovanje morajo biti edinstveni in njihova zaupnost zagotovljena;
2. podatkov za elektronsko podpisovanje ni mogoče v razumnem času ali z razumnimi sredstvi ugotoviti iz podatkov za preverjanje elektronskega podpisa, elektronski podpis pa je učinkovito zaščiten pred poneverjanjem z uporabo trenutno dostopne tehnologije;
3. podpisnik lahko zanesljivo varuje svoje podatke za elektronsko podpisovanje pred nepooblaščenim dostopom.

(2) Sredstvo za varno elektronsko podpisovanje ne sme spremeniti podpisanih podatkov ali preprečiti prikaza podatkov podpisniku pred podpisom.

(3) Vlada Republike Slovenije s podzakonskim predpisom predpiše podrobnejša merila za izpolnjevanje zahtev glede sredstev za varno elektronsko podpisovanje iz tega člena.

38. člen

(1) Med postopkom preverjanja varnega elektronskega podpisa mora biti z uporabo ustreznih postopkov in infrastrukture zagotovljeno naslednje:

1. podatki, ki se uporabljajo za preverjanje elektronskega podpisa, morajo biti enaki podatkom, ki so prikazani uporabniku;
2. podpis mora biti zanesljivo preverjen in rezultati preverjanja ter identiteta podpisnika pravilno prikazani uporabniku;
3. uporabnik lahko zanesljivo ugotovi vsebino podpisanih podatkov;
4. pristnost in veljavnost potrdila morata biti preverjeni v času preverjanja podpisa;
5. raba psevdonima mora biti jasno označena;
6. vse spremembe, ki kakorkoli vplivajo na varnost elektronskega podpisa, morajo biti ugotovljene.

(2) Vlada Republike Slovenije s podzakonskim predpisom predpiše podrobnejša merila za izpolnjevanje zahtev glede postopkov in infrastrukture iz prejšnjega odstavka.

5. oddelek Odgovornost overiteljev

39. člen

(1) Overitelj odgovarja vsaki osebi, ki se upravičeno zanaša na kvalificirano potrdilo, ki ga je overitelj izdal, za:

– točnost podatkov v potrdilu od trenutka izdaje potrdila ter da potrdilo vsebuje vse predpisane podatke za kvalificirano potrdilo;
– zagotovilo, da je imel imetnik potrdila, naveden v potrdilu, v času izdaje potrdila podatke za elektronsko podpisovanje ustrezne podatkom za preverjanje elektronskega podpisa, navedenim ali označenim v potrdilu;
– zagotovilo, da delujejo podatki za elektronsko podpisovanje in podatki za preverjanje elektronskega podpisa komplementarno v primeru, če overitelj oblikuje oboje　podatke;
– takojšen preklic potrdila in objavo preklica, če za preklic obstajajo razlogi;
– izpolnjevanje zahtev tega zakona in na njegovi podlagi izdanih podzakonskih predpisov glede varnih elektronskih podpisov in kvalificiranih potrdil.

(2) Overitelj lahko v kvalificiranem potrdilu označi meje uporabnosti ali najvišje transakcijske vrednosti določenega potrdila in ne odgovarja za posledice uporabe potrdila izven tako določenih meja, če so omejitve prepoznavne tretjim osebam.

(3) Overitelj je odgovoren, če ne dokaže, da je škoda nastala brez njegove krivde.

6. oddelek Nadzor

40. člen

(1) Inšpekcijsko nadzorstvo nad izvajanjem določb tega zakona opravlja ministrstvo.

(2) V okviru inšpekcijskega nadzorstva ministrstvo:

– preverja, ali so zahteve zakona in na njegovi podlagi izdanih podzakonskih predpisov ustrezno prenesene v notranja pravila overiteljev;
– preverja, ali overitelj ves čas izvajanja dejavnosti izpolnjuje zahteve iz tega zakona in na njegovi podlagi izdanih podzakonskih predpisov ter svojih notranjih pravil;
– v primeru zagotavljanja kvalificiranih potrdil nadzoruje uporabo ustreznih postopkov in potrebne infrastrukture;
– nadzoruje zakonitost izdajanja, hranjenja in preklica potrdil;
– nadzoruje zakonitost izvajanja drugih storitev overiteljev.

(3) Ministrstvo vodi elektronski javni register vseh overiteljev v Republiki Sloveniji. V register vseh overiteljev se na njihovo zahtevo vpišejo tudi tuji overitelji, če izpolnjujejo pogoje iz tega zakona za veljavnost njihovih potrdil v Republiki Sloveniji.　

(4) Register overiteljev varno elektronsko podpiše ministrstvo. Kvalificirano potrdilo ministrstva se objavi v Uradnem listu Republike Slovenije.

41. člen

(1) Pri opravljanju inšpekcijskega nadzorstva je inšpektor upravičen:　

– pregledovati dokumentacijo in akte, ki se nanašajo na poslovanje overiteljev;
– pregledovati prostore, v katerih se opravljajo storitve overjanja, ter informacijsko tehnologijo, infrastrukturo in drugo opremo ter tehnično dokumentacijo overiteljev;
– preverjati ukrepe in postopke overitelja.

(2) Inšpektor ima pravico za največ petnajst dni zaseči dokumentacijo, če je to potrebno za zavarovanje dokazov ali za natančno ugotovitev nepravilnosti. O tem mora izdati potrdilo.

(3) Podatke o potrdilih in osebne podatke, s katerimi se seznani inšpektor pri izvajanju inšpekcijskega nadzorstva, je dolžan varovati kot uradno tajnost.

(4) Inšpektor z odločbo:

– prepove uporabo neprimernih postopkov in infrastrukture;
– začasno prepove delovanje overitelja, delno ali v celoti;
– prepove delovanje overitelja, če overitelj ne izpolnjuje zahtev tega zakona in na njegovi podlagi izdanih predpisov in če milejši ukrepi niso ali ne bi bili uspešni;
– naloži preklic potrdil, če je verjetno, da so bila potrdila ponarejena.

(5) Zoper odločbo iz prejšnjega odstavka je dovoljena pritožba, o kateri odloči Vlada Republike Slovenije. Pritožba zoper odločbo iz druge alinee prejšnjega odstavka ne zadrži njene izvršitve.

(6) Prepoved delovanja ne vpliva na veljavnost pred tem izdanih potrdil.　

7. oddelek Prostovoljna akreditacija

42. člen

(1) Overitelji, ki dokažejo, da izpolnjujejo vse z zakonom in na njegovi podlagi izdanimi podzakonskimi predpisi predpisane pogoje za svoje delovanje, lahko zahtevajo, da jih akreditacijski organ vpiše v register akreditiranih overiteljev.

(2) V register akreditiranih overiteljev se na njihovo zahtevo vpišejo tudi tuji overitelji, če izpolnjujejo pogoje iz tega zakona za veljavnost njihovih potrdil v Republiki Sloveniji.

(3) Overitelji, ki so vpisani v register akreditiranih overiteljev (akreditirani overitelji), lahko poslujejo z navedbo svoje akreditiranosti.　

(4) Overitelji, ki so vpisani v register akreditiranih overiteljev, lahko označijo to dejstvo v izdanih potrdilih.　

43. člen

(1) Akreditacijski organ vodi javni elektronski register pri njem prostovoljno akreditiranih overiteljev.

(2) Register akreditiranih overiteljev varno elektronsko podpiše akreditacijski organ. Kvalificirano potrdilo akreditacijskega organa se objavi v Uradnem listu Republike Slovenije.　

44. člen

(1) Akreditacijski organ izvaja nadzor in ukrepe glede akreditiranih overiteljev.　

(2) Akreditacijski organ:

– izdaja splošna priporočila za delovanje overiteljev ter priporočila in standarde za delovanje akreditiranih overiteljev v skladu z　zakonom in na njegovi podlagi izdanimi podzakonskimi predpisi;
– preverja, ali so zahteve zakona in na njegovi podlagi izdanih podzakonskih predpisov ustrezno prenesene v notranja pravila akreditiranih overiteljev;
– preverja, ali overitelj ves čas izvajanja dejavnosti izpolnjuje zahteve tega zakona in na njegovi podlagi izdanih podzakonskih predpisov ter svojih notranjih pravil;
– nadzoruje uporabo ustreznih postopkov in infrastrukture pri akreditiranih overiteljih;
– nadzoruje zakonitost izdajanja, hranjenja in preklica potrdil akreditiranih overiteljev;
– nadzoruje zakonitost izvajanja drugih storitev akreditiranih overiteljev.

(3) Akreditacijski organ lahko priporoči:

– spremembo notranjih pravil akreditiranega overitelja;
– akreditiranemu overitelju prenehanje nadaljnje uporabe neprimernih postopkov in infrastrukture.

(4) Če overitelj ne upošteva priporočil akreditacijskega organa, ga akreditacijski organ z odločbo izbriše iz registra akreditiranih overiteljev.　

(5) Zoper odločbo iz prejšnjega odstavka je v petnajstih dneh po prejemu odločbe dovoljena pritožba, o kateri odloči minister, pristojen za gospodarske dejavnosti.　

(6) Odločbo o pritožbi je minister dolžen izdati v tridesetih dneh po prejemu pritožbe. Odločba o pritožbi je dokončna.

45. člen

Naloge akreditacijskega organa opravlja Agencija za telekomunikacije.

8. oddelek Veljavnost tujih potrdil

46. člen

(1) Kvalificirana potrdila overitelja s sedežem v Evropski uniji so enakovredna domačim kvalificiranim potrdilom.　

(2) Kvalificirana potrdila overiteljev s sedežem v tretjih državah so enakovredna domačim:

1. če overitelj izpolnjuje pogoje iz 29. do 36. člena tega zakona in je prostovoljno akreditiran v Republiki Sloveniji ali eni izmed držav članic Evropske unije;
2. če domači overitelj, ki izpolnjuje pogoje iz 29. do 36. člena tega zakona, jamči za taka potrdila enako, kot bi bila njegova;　
3. če tako določa dvostranski ali večstranski sporazum med Republiko Slovenijo in drugimi državami ali mednarodnimi organizacijami;
4. če tako določa dvostranski ali večstranski sporazum med Evropsko unijo in tretjimi državami ali mednarodnimi organizacijami.

Četrto poglavje KAZENSKE DOLOČBE

47. člen

(1) Z denarno kaznijo od 500.000 tolarjev do 5.000.000 tolarjev se za prekršek kaznuje overitelj, če:

1. ne ugotovi zanesljivo identitete ali drugih pomembnih lastnosti osebe, ki zaprosi za kvalificirano potrdilo (31. člen);
2. izda kvalificirano potrdilo, ki ne vsebuje vseh zahtevanih podatkov oziroma vsebuje podatke, ki jih ne bi smelo vsebovati (28. člen);
3. ne prekliče potrdila ali kvalificiranega potrdila v primerih, ko to zahteva zakon ali njegova notranja pravila (20. in 23. člen);
4. v preklicu ne navede časa preklica potrdila ali kvalificiranega potrdila ali če potrdilo ali kvalificirano potrdilo prekliče za nazaj (20. in 24. člen);
5. prosilca za potrdilo ali kvalificirano potrdilo ne obvesti o vseh predpisanih podatkih (36. člen);
6. pred prenehanjem delovanja ne obvesti ministrstva in ne zagotovi, da skrb za vsa veljavna potrdila ali kvalificirana potrdila prevzame drug overitelj ali jih ne prekliče (27. člen);
7. ne preda vse dokumentacije drugemu overitelju oziroma ministrstvu (27. člen);
8. ne obvesti ministrstva o možnem začetku stečaja ali prisilne poravnave ali o drugih okoliščinah, ki mu preprečujejo izpolnjevanje predpisanih zahtev (19. člen);
9. ne vodi predpisane dokumentacije (26. člen);
10. ne omogoči inšpektorju vpogleda ali zasega svoje dokumentacije ali ne posreduje potrebnih informacij in pojasnil (41. člen);
11. ne prijavi začetka opravljanja dejavnosti ali ne predloži notranjih pravil (18. člen);
12. izdaja kvalificirana potrdila in ne vodi ali pomanjkljivo vodi register preklicanih potrdil (30. člen);
13. izdaja kvalificirana potrdila in ne izvaja ustreznih varnostnih ukrepov za preprečitev nepooblaščenega zbiranja ali kopiranja podatkov za elektronsko podpisovanje s svoje strani ali s strani tretjega (33. člen);
14. navkljub prepovedi opravljanja dejavnosti s strani ministrstva dejavnost še naprej opravlja (41. člen);
15. neupravičeno uporablja označbo akreditiranega overitelja (42. člen).

(2) Če je overitelj pravna oseba, se z denarno kaznijo od 50.000 tolarjev do 100.000 tolarjev kaznuje za　prekršek tudi odgovorna oseba pravne osebe, ki stori prekršek iz prejšnjega odstavka.

48. člen

Z denarno kaznijo od 50.000 tolarjev do 150.000 tolarjev se kaznuje za prekršek imetnik potrdila oziroma njegova odgovorna oseba, če gre za pravno osebo, če:　

1. ne zahteva preklica potrdila ali kvalificiranega potrdila (22. člen);
2. uporablja podatke in sredstva za elektronsko podpisovanje v nasprotju z zahtevami tega zakona in na njegovi podlagi izdanih podzakonskih predpisov (22. člen).

49. člen

Z denarno kaznijo od 50.000 tolarjev do 150.000 tolarjev se kaznuje za prekršek posameznik, ki brez vednosti podpisnika ali imetnika potrdila uporabi njegove podatke ali sredstva za elektronsko podpisovanje (17. člen).

Peto poglavje PREHODNE IN KONČNE DOLOČBE

50. člen

(1) Vlada Republike Slovenije izda podzakonski predpis, s katerim podrobneje uredi:

1. merila za ugotavljanje zanesljivosti in za ugotavljanje izpolnjevanja tehničnih zahtev iz 33., 37. in 38. člena tega zakona;
2. strokovno izobrazbo, znanje in izkušnje iz 32. člena tega zakona;
3. minimalno zavarovalno vsoto, s katero mora razpolagati overitelj za kritje odgovornosti;
4. obliko, objavo in dostopnost notranjih pravil overiteljev;
5. časovno veljavnost kvalificiranih potrdil, rok za ponoven elektronski podpis že podpisanih elektronskih podatkov in postopek v zvezi s tem;
6. področje uporabe, zahteve in dopustna odstopanja pri opravljanju storitev v zvezi z varnimi časovnimi žigi;
7. vrsto in obliko označbe akreditiranega overitelja;
8. tehnične pogoje za elektronsko　poslovanje v javni upravi.

(2) Vlada Republike Slovenije izda podzakonske predpise iz prejšnjega odstavka najkasneje v šestdesetih dneh po objavi tega zakona v Uradnem listu Republike Slovenije.

51. člen

Minister, pristojen za gospodarske dejavnosti, lahko natančneje predpiše način izvajanja posameznih določb tega zakona.

52. člen

Do uveljavitve zakona, ki bo uredil pogoje za elektronsko poslovanje pri overjanju podpisa pred notarjem ali drugim pristojnim organom, se za te primere ne uporablja določba 15. člena tega zakona.

53. člen

4. točka drugega odstavka 46. člena tega zakona se začne uporabljati z dnem sprejema Republike Slovenije v članstvo Evropske unije.

54. člen

Dokler Agencija za telekomunikacije ne prevzame nalog po tem zakonu, opravlja naloge iz njene pristojnosti po tem zakonu Center vlade za informatiko.

55. člen

Ta zakon začne veljati šestdeseti dan po objavi v Uradnem listu Republike Slovenije.　

Številka: 043-03/00-2/1

Ljubljana, dne 13. junija 2000

Predsednik　
Državnega zbora
Republike Slovenije
Janez Podobnik, dr. med.

Landesdatenschutzgesetz Entwurf (LDSG-E). Entwurf eines Schleswig-Holsteinischen Gesetzes zum Schutz personenbezogener Informationen.

Inhaltsübersicht

Abschnitt I. Allgemeine Vorschriften

§ 1 Gesetzeszweck

Zweck dieses Gesetzes ist es, bei der Verarbeitung personenbezogener Daten durch öffentliche Stellen die Grundrechte, insbesondere das Recht auf informationelle Selbstbestimmung, zu wahren.

§ 2 Begriffsbestimmungen

(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffene oder Betroffener).

(2) Datenverarbeitung ist die Verwendung personenbezogener Daten. Dabei ist
1. Erheben das Beschaffen von Daten,
2. Speichern das Aufbewahren von Daten auf Datenträgern,
3. Übermitteln das Weitergeben von Daten an Dritte oder der Abruf von zum Abruf bereitgehaltenen Daten durch Dritte,
4. Löschen das Unkenntlichmachen gespeicherter Daten.

(3) Datenverarbeitende Stelle ist jede öffentliche Stelle im Sinne von § 3 Absatz 1, die personenbezogene Daten für sich selbst verarbeitet oder durch andere verarbeiten läßt.

(4) Anonymisieren ist das Verändern personenbezogener Daten derart, daß die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßigen Aufwand einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

(5) Pseudonymisieren ist das Verändern personenbezogener Daten derart, daß die Einzelangaben über persönliche oder sachliche Verhältnisse ohne Nutzung der Zuordnungsfunktion nicht oder nur mit einem unverhältnismäßigen Aufwand einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

(6) Verschlüsseln ist das Verändern von Daten derart, daß ohne Nutzung des Geheimnisses die Kenntnisnahme vom Inhalt der Daten nicht oder nur mit einem unverhältnismäßigen Aufwand möglich ist.

§ 3 Anwendungsbereich

(1) Dieses Gesetz gilt für öffentliche Stellen. Öffentliche Stellen im Sinne dieses Gesetzes sind
1. Behörden und sonstige öffentliche Stellen der im Landesverwaltungsgesetz genannten Träger der öffentlichen Verwaltung,
2. Vereinigungen des privaten Rechts, die Aufgaben der öffentlichen Verwaltung wahrnehmen und an denen einem oder mehreren der im Landesverwaltungsgesetz genannten Träger der öffentlichen Verwaltung die absolute Mehrheit der Anteile gehört oder die absolute Mehrheit der Stimmen zusteht.
Beteiligt sich eine Vereinigung des privaten Rechts, auf die dieses Gesetz nach Satz 2 Nr. 2 Anwendung findet, an weiteren Vereinigungen des privaten Rechts, so findet Satz 2 Nr. 2 entsprechende Anwendung.

(2) Für öffentlich-rechtliche, der Aufsicht des Landes unterstehende Unternehmen mit eigener Rechtspersönlichkeit, die am Wettbewerb teilnehmen und nicht Aufgaben der öffentlichen Verwaltung wahrnehmen, gelten von diesem Gesetz nur § 23 und Abschnitt VII. Im übrigen gelten für sie die Vorschriften des Bundesdatenschutzgesetzes für nichtöffentliche Stellen. Die Sätze 1 und 2 gelten nicht für die Datenzentrale Schleswig-Holstein.

(3) Soweit besondere Rechtsvorschriften den Umgang mit personenbezogenen Daten regeln, gehen sie den Vorschriften dieses Gesetzes vor.

Abschnitt II. Systemdatenschutz

§ 4 Datenvermeidung und Datensparsamkeit

Bei der Gestaltung von Verfahren und der Auswahl von informationstechnischen Produkten zum Einsatz in automatisierten Verfahren hat die datenverarbeitende Stelle den Grundsatz der Datensparsamkeit zu beachten. Produkte, deren Vereinbarkeit mit den Vorschriften über den Datenschutz und die Datensicherheit in einem förmlichen Verfahren festgestellt wurde, sollen vorrangig eingesetzt werden.

§ 5 Freigabe automatisierter Verfahren, Vorabkontrolle

(1) Der erstmalige Einsatz oder die Änderung von automatisierten Verfahren zur Verarbeitung personenbezogener Daten bedarf der Freigabe durch die Leiterin oder den Leiter der datenverarbeitenden Stelle oder eine Person, der diese Befugnis ausdrücklich übertragen worden ist. Die Verarbeitung personenbezogener Daten in automatisierten Verfahren ist erst zulässig, wenn die Freigabe erteilt worden ist. Die Freigabe ist zu dokumentieren.

(2) Die Freigabe darf nur erteilt werden, wenn
1. die rechtliche Zulässigkeit der Verarbeitung festgestellt wurde,
2. eine Dokumentation des Verfahrens vorliegt, die mindestens die in das Verzeichnis nach § 8 aufzunehmenden Angaben enthält,
3. die einzusetzenden Verfahren getestet worden sind und
4. in einem Sicherheitskonzept dargelegt ist, in welcher Weise die nach den §§ 6 und 7 erforderlichen technischen und organisatorischen Maßnahmen umgesetzt werden.

(3) Im Rahmen der Freigabe von automatisierten Verfahren hat die datenverarbeitende Stelle zu prüfen, ob von den Verfahren eine besondere Gefährdung für die Rechte der Betroffenen ausgehen kann. Ist dies der Fall, so darf das Verfahren nur eingeführt oder wesentlich geändert werden, wenn die Gefährdung durch technische oder organisatorische Maßnahmen wirksam beherrscht werden kann. Bei der Beurteilung dieser Frage ist die oder der Beauftragte für den Datenschutz nach § 9 oder die oder der Landesbeauftragte für den Datenschutz zu beteiligen.

(4) Die Landesregierung regelt durch Verordnung die Einzelheiten der Freigabe nach Absatz 2, insbesondere
1. die über Absatz 2 Nummer 2 hinausgehenden Anforderungen an die Dokumentation automatisierter Verfahren,
2. Kriterien für Verfahren, deren Freigabe unter vereinfachten Voraussetzungen erfolgen kann,
3. das Vorgehen beim Test von Programmen,
4. die Anforderungen an das Sicherheitskonzept und
5. die Einzelheiten einer ordnungsgemäßen Datenverarbeitung der öffentlichen Stellen.
Dabei sind die in den §§ 6 und 7 genannten Maßnahmen der Datensicherheit nach dem Stand der Technik fortzuschreiben. Die oder der Landesbeauftragte für den Datenschutz ist zu beteiligen.

§ 6 Allgemeine Maßnahmen zur Datensicherheit

(1) Die Ausführung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz ist durch technische und organisatorische Maßnahmen sicherzustellen. Dabei ist insbesondere
1. Unbefugten der Zugang zu Datenträgern, auf denen personenbezogene Daten gespeichert sind, zu verwehren,
2. zu verhindern, daß personenbezogene Daten unbefugt verarbeitet werden oder Unbefugten zur Kenntnis gelangen können,
3. zu gewährleisten, daß festgestellt werden kann, welche personenbezogenen Daten wann von wem verarbeitet worden sind.

(2) Es sind die technischen und organisatorischen Maßnahmen zu treffen, die nach dem Stand der Technik und der Schutzbedürftigkeit der Daten erforderlich und angemessen sind.

§ 7 Besondere Maßnahmen zur Datensicherheit bei Einsatz automatisierter Verfahren

(1) Automatisierte Verfahren sind so zu gestalten, daß eine Verarbeitung personenbezogener Daten erst möglich ist, nachdem die Berechtigung der Benutzerin oder des Benutzers festgestellt worden ist.

(2) Zugriffe, mit denen Änderungen an freigegebenen automatisierten Verfahren bewirkt werden können, dürfen nur den dazu ausdrücklich berechtigten Personen möglich sein. Die Zugriffe dieser Personen sind zu protokollieren und zu kontrollieren.

(3) Werden personenbezogene Daten mit Hilfe informationstechnischer Geräte von der datenverarbeitenden Stelle außerhalb ihrer Räumlichkeiten verarbeitet, sind die Datenbestände zu verschlüsseln. Die datenverarbeitende Stelle hat sicherzustellen, daß sie die Daten entschlüsseln kann.

(4) Werden bei gemeinsamen Verfahren nach § 17 personenbezogene Daten übermittelt, so sind die Empfänger, der Zeitpunkt der Übermittlung und die jeweils übermittelten Daten zu protokollieren. Die Protokolldatenbestände sind ein Jahr zu speichern.

(5) Sollen personenbezogene Daten ausschließlich automatisiert gespeichert werden, ist zu protokollieren, wann, durch wen und in welcher Weise die Daten gespeichert wurden. Entsprechendes gilt für die Veränderung und Übermittlung der Daten. Absatz 4 Satz 2 gilt entsprechend. Es ist sicherzustellen, daß die Verfahren und Geräte, mit denen die gespeicherten Daten lesbar gemacht werden können, verfügbar sind.

(6) Die datenverarbeitenden Stellen haben technische und organisatorische Maßnahmen zu treffen, um die Verarbeitung personenbezogener Daten in nicht freigegebenen automatisierten Verfahren zu unterbinden.

(7) Die datenverarbeitenden Stellen haben die ordnungsgemäße Anwendung der automatisierten Verfahren zu überwachen.

§ 8 Verfahrensverzeichnis

(1) Die datenverarbeitende Stelle erstellt für jedes von ihr betriebene automatisierte Verfahren eine Verfahrensbeschreibung. Diese enthält Angaben über
1. Zweckbestimmung und Rechtsgrundlage des Verfahrens,
2. den Kreis der Betroffenen,
3. die Kategorien der verarbeiteten Daten,
4. die Personen und Stellen, die Daten erhalten oder erhalten können einschließlich der Auftragnehmenden,
5. geplante Datenübermittlungen an Stellen außerhalb der Mitgliedstaaten der Europäischen Union,
6. die datenschutzrechtliche Beurteilung der oder des behördlichen Datenschutzbeauftragten, soweit eine solche vorliegt,
7. die eingesetzte Hard- und Software und
8. eine allgemeine Beschreibung der zur Einhaltung der Datensicherheit getroffenen Maßnahmen.

(2) Die Verfahrensbeschreibung nach Absatz 1 ist der oder dem Landesbeauftragten für den Datenschutz vor Beginn der Verarbeitung zu übersenden. Änderungen sind ihr oder ihm umgehend mitzuteilen.

(3) Die oder der Landesbeauftragte für den Datenschutz führt ein Verzeichnis der Meldungen nach Absatz 2. Das Verzeichnis kann von jeder Person eingesehen werden; dies gilt nicht für die Angaben nach Absatz 1 Nummern 7 und 8. Satz 2 gilt nicht für Verfahren, die
1. nach dem Landesverfassungsschutzgesetz geführt werden,
2. der Gefahrenabwehr oder der Strafverfolgung oder
3. der Steuerfahndung dienen,
soweit die datenverarbeitende Stelle eine Einsichtnahme im Einzelfall mit der Erfüllung ihrer Aufgaben für unvereinbar hält.

(4) Von der Meldung nach Absatz 2 kann abgesehen werden, wenn bei der datenverarbeitenden Stelle eine Beauftragte oder ein Beauftragter für den Datenschutz nach § 9 bestellt ist. In diesen Fällen führt die datenverarbeitende Stelle ein Verzeichnis der bei ihr betriebenen automatisierten Verfahren. Absatz 2 und Absatz 3 Satz 2 und 3 gelten entsprechend.

§ 9 Die oder der Beauftragte für den Datenschutz

(1) Die datenverarbeitende Stelle kann schriftlich eine Beauftragte oder einen Beauftragten für den Datenschutz bestellen. Mehrere datenverarbeitende Stellen können gemeinsam eine Beauftragte oder einen Beauftragten für den Datenschutz bestellen.

(2) Die oder der Beauftragte für den Datenschutz muß die erforderliche Sachkunde und Zuverlässigkeit besitzen. Sie oder er darf durch die Bestellung keinem Konflikt mit anderen dienstlichen Aufgaben ausgesetzt sein.

(3) Die oder der Beauftragte für den Datenschutz ist unmittelbar der Leiterin oder dem Leiter der datenverarbeitenden Stelle zu unterstellen. Sie oder er ist bei der Ausübung des Amtes weisungsfrei und darf wegen der Wahrnehmung des Amtes nicht benachteiligt werden. Sie oder er ist zur Erfüllung der Aufgaben des Amtes im erforderlichen Umfang freizustellen und mit den notwendigen Mitteln auszustatten. Beschäftigte und Betroffene können sich ohne Einhaltung des Dienstweges in allen Angelegenheiten des Datenschutzes an sie oder ihn wenden. Die oder der Beauftragte für den Datenschutz darf zur Aufgabenerfüllung Einsicht in personenbezogene Datenverarbeitungsvorgänge nehmen. § 32 Absatz 4 gilt entsprechend.

(4) Die oder der Beauftragte für den Datenschutz überwacht und unterstützt die Einhaltung der datenschutzrechtlichen Vorschriften bei der datenverarbeitenden Stelle. Sie oder er hat insbesondere
1. vor der Einführung oder Änderung automatisierter Verfahren ihre oder seine datenschutzrechtliche Beurteilung abzugeben,
2. zu überprüfen, ob die datenschutzrechtlichen Vorschriften eingehalten werden und ob der Einsatz automatisierter Verfahren im Rahmen der Freigabe erfolgt; Verstöße sind der Leiterin oder dem Leiter der datenverarbeitenden Stelle zu melden,
3. die datenverarbeitende Stelle bei der Gestaltung und Auswahl von Verfahren zur Verarbeitung personenbezogener Daten zu beraten und bei der Einführung neuer Verfahren oder der Änderung bestehender Verfahren auf die Einhaltung der einschlägigen Vorschriften hinzuwirken,
4. die Beschäftigten der datenverarbeitenden Stellen mit den Bestimmungen dieses Gesetzes sowie den sonstigen Vorschriften über den Datenschutz vertraut zu machen,
5. das Verzeichnis nach § 8 Absatz 4 Satz 2 zu führen und zur Einsicht bereitzuhalten.

Abschnitt III. Zulässigkeit der Datenverarbeitung

§10 Zulässigkeit der Datenverarbeitung

(1) Die Verarbeitung personenbezogener Daten ist nur zulässig, wenn
1. die oder der Betroffene eingewilligt hat,
2. eine diesem Gesetz vorgehende Rechtsvorschrift oder
3. dieses Gesetz sie erlaubt
und bei automatisierten Verfahren die Freigabe nach § 5 vorliegt.

(2) Die Verarbeitung personenbezogener Daten ist nach Maßgabe der nachfolgenden Vorschriften zulässig, soweit sie zur rechtmäßigen Erfüllung der durch Rechtsvorschrift zugewiesenen Aufgaben der datenverarbeitenden Stelle erforderlich ist.

(3) Die Verarbeitung personenbezogener Daten, die allgemein zugänglichen Quellen entnommen werden können, sowie von Daten, die die Betroffenen selbst zur Veröffentlichung bestimmt haben, ist über die Fälle von Absatz 2 hinaus zulässig, soweit nicht schutzwürdige Belange der Betroffenen beeinträchtigt sind.

(4) Die Verarbeitung personenbezogener Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, die Gesundheit oder das Sexualleben sowie von Daten, die einem besonderen Berufs- oder Amtsgeheimnis unterliegen, ist nur nach Rechtsvorschriften, die diesem Gesetz vorgehen, sowie nach § 16 Absatz 5 und den §§ 22 bis 24 dieses Gesetzes zulässig. Dasselbe gilt für Daten über strafbare Handlungen und Entscheidungen in Strafsachen. Die in den Sätzen 1 und 2 genannten Daten dürfen ausnahmsweise nach den Vorschriften dieses Abschnitts verarbeitet werden, wenn die oder der Betroffene eingewilligt hat oder soweit die Verarbeitung
1. ausschließlich im Interesse der oder des Betroffenen liegt,
2. sich auf Daten bezieht, die die oder der Betroffene selbst öffentlich gemacht hat,
3. zur Geltendmachung rechtlicher Ansprüche vor Gericht erforderlich ist oder
4. für die Abwehr von Gefahren für Leben, Gesundheit, persönliche Freiheit oder vergleichbare Rechtsgüter erforderlich ist.

(5) Die Datenverarbeitung soll so organisiert sein, daß bei der Verarbeitung, insbesondere der Übermittlung, der Kenntnisnahme im Rahmen der Aufgabenerfüllung und der Einsichtnahme, die Trennung der Daten nach den jeweils verfolgten Zwecken und nach unterschiedlichen Betroffenen möglich ist. Sind personenbezogene Daten in Akten derart verbunden, daß ihre Trennung nach erforderlichen und nicht erforderlichen Daten auch durch Vervielfältigung und Unkenntlichmachung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, so sind auch die Kenntnisnahme, die Weitergabe innerhalb der datenverarbeitenden Stelle und die Übermittlung der Daten, die nicht zur Erfüllung der jeweiligen Aufgabe erforderlich sind, zulässig, soweit nicht schutzwürdige Belange der oder des Betroffenen überwiegen. Die nicht erforderlichen Daten unterliegen insoweit einem Verwertungsverbot.

(6) Pseudonymisierte Daten dürfen von solchen Stellen verarbeitet werden, die keinen Zugriff auf die Zuordnungsfunktion haben. Die Übermittlung pseudonymisierter Daten ist zulässig, wenn die Zuordnungsfunktion im alleinigen Zugriff der übermittelnden Stelle verbleibt.

§ 11 Form der Einwilligung

(1) Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. In den Fällen des §10 Absatz 4 muß sich die Einwilligung ausdrücklich auf die dort aufgeführten Daten beziehen. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist die oder der Betroffene auf die Einwilligungserklärung schriftlich besonders hinzuweisen.

(2) Die oder der Betroffene ist in geeigneter Weise über die Bedeutung der Einwilligung aufzuklären. Dabei ist unter Darlegung der Rechtsfolgen darauf hinzuweisen, daß die Einwilligung verweigert und mit Wirkung für die Zukunft widerrufen werden kann.

(3) Die Einwilligung kann auch elektronisch erklärt werden, wenn sichergestellt ist, daß
1. sie nur durch eine eindeutige und bewußte Handlung der oder des Betroffenen erfolgen kann,
2. sie nicht unerkennbar verändert werden kann,
3. ihre Urheberin oder ihr Urheber erkannt werden kann und
4. die Einwilligung bei der verarbeitenden Stelle protokolliert wird.

§ 12 Erheben, Zweckbindung

(1) Personenbezogene Daten sind bei den Betroffenen mit ihrer Kenntnis zu erheben. Ohne Kenntnis der Betroffenen dürfen personenbezogene Daten nur erhoben werden, wenn die Voraussetzungen von Absatz 3 Nr. 1, 2 oder 4 vorliegen. Die Herkunft der Daten ist zu dokumentieren.

(2) Personenbezogene Daten dürfen nur für den Zweck weiterverarbeitet werden, für den sie rechtmäßig erhoben worden sind. Daten, von denen die öffentliche Stelle ohne Erhebung Kenntnis erlangt hat, dürfen nur für die Zwecke weiterverarbeitet werden, für die sie erstmals rechtmäßig gespeichert worden sind.

(3) Die Verarbeitung für andere Zwecke ist ohne Einwilligung der oder des Betroffenen nur zulässig, wenn
1. eine Rechtsvorschrift dies erlaubt,
2. die Abwehr erheblicher Nachteile für das Allgemeinwohl oder von Gefahren für Leben, Gesundheit, persönliche Freiheit oder sonstiger schwerwiegender Beeinträchtigungen der Rechtspositionen einzelner dies gebietet,
3. sich bei Gelegenheit der rechtmäßigen Aufgabenerfüllung Anhaltspunkte für Straftaten oder Ordnungswidrigkeiten ergeben oder
4. die Einholung der Einwilligung nicht oder nur mit unverhältnismäßigem Aufwand möglich wäre und offensichtlich ist, daß die Verarbeitung im Interesse der oder des Betroffenen liegt und sie oder er in Kenntnis des anderen Zwecks die Einwilligung erteilen würde.
Für Daten im Sinne von § 10 Absatz 4 findet Satz 1 Nummer 3 und 4 keine Anwendung.

(4) Die Verarbeitung der Daten zur Ausübung von Aufsichts- und Kontrollbefugnissen sowie zur Rechnungsprüfung gilt nicht als Verarbeitung für andere Zwecke. Die Verarbeitung zu Ausbildungs- und Prüfungszwecken hat in anonymisierter oder pseudonymisierter Form zu erfolgen. Lassen sich die in Satz 2 genannten Zwecke durch anonymisierte oder pseudonymisierte Datenverarbeitung nicht erreichen, so ist die Zweckänderung zulässig, soweit berechtigte Interessen der oder des Betroffenen an der Geheimhaltung der Daten nicht überwiegen.

(5) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherheit oder zur Sicherstellung des ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nicht für andere Zwecke verwendet werden.

(6) Werden Daten innerhalb einer datenverarbeitenden Stelle zu einem anderen Zweck als dem nach Absatz 2 weiterverarbeitet, so ist dies zu dokumentieren.

§ 13 Datenübermittlung innerhalb des öffentlichen Bereichs

(1) Bei der Übermittlung personenbezogener Daten an andere öffentliche Stellen sind die Voraussetzungen des § 10 Absatz 2 und des § 12 Absätze 2 bis 5 zu beachten.

(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Soll die Übermittlung auf Ersuchen einer Stelle erfolgen, so hat diese die hierfür erforderlichen Angaben zu machen, insbesondere die Rechtsgrundlage für die Übermittlung anzugeben. Die übermittelnde Stelle prüft die Schlüssigkeit der Anfrage. Bestehen im Einzelfall Zweifel, so prüft sie auch die Rechtmäßigkeit des Ersuchens. Die empfangende Stelle trägt im übrigen die Verantwortung für die Zulässigkeit der Übermittlung.

§ 14 Datenübermittlung an Stellen außerhalb des öffentlichen Bereichs

(1) Die Übermittlung personenbezogener Daten an Stellen außerhalb des öffentlichen Bereichs ist zulässig, wenn
1. von diesen ein rechtliches Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft gemacht wird und schutzwürdige Belange der oder des Betroffenen nicht beeinträchtigt sind oder
2. die Voraussetzungen des § 10 Absatz 2 vorliegen
und die Anforderungen des § 12 Absätze 2 bis 5 eingehalten werden.

(2) Die übermittelnde Stelle hat die empfangende Stelle zu verpflichten, die Daten nur zu dem Zweck zu verwenden, zu dem sie ihr übermittelt wurden.

§ 15 Datenübermittlung an ausländische Stellen

(1) Die Zulässigkeit der Übermittlung an öffentliche und nichtöffentliche Stellen außerhalb des Geltungsbereichs des Grundgesetzes richtet sich nach den §§ 13 und 14. Die Übermittlung an Stellen außerhalb der Mitgliedstaaten der Europäischen Union ist nur zulässig, wenn dort ein angemessenes Datenschutzniveau gewährleistet ist. Vor der Entscheidung über die Angemessenheit des Datenschutzniveaus ist die oder der Landesbeauftragte für den Datenschutz zu hören.

(2) Fehlt es an einem angemessenen Datenschutzniveau, so ist die Übermittlung nur zulässig, wenn
1. die oder der Betroffene in die Übermittlung eingewilligt hat,
2. die Übermittlung zur Wahrung eines überwiegenden öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung eines rechtlichen Interesses erforderlich ist,
3. die Übermittlung zur Wahrung lebenswichtiger Interessen der oder des Betroffenen erforderlich ist,
4. die Übermittlung aus einem für die Öffentlichkeit bestimmten Register erfolgt oder
5. die oder der Landesbeauftragte für den Datenschutz die Übermittlung genehmigt, nachdem sie oder er sich davon überzeugt hat, daß die empfangende Stelle ausreichende Garantien hinsichtlich des Schutzes der in § 1 genannten Rechte bietet.

(3) Die empfangende Stelle ist darauf hinzuweisen, daß die Daten nur zu den Zwecken verarbeitet werden dürfen, für die sie übermittelt wurden.

Abschnitt IV. Besondere Formen der Datenverarbeitung

§ 16 Verarbeitung personenbezogener Daten im Auftrag, Wartung

(1) Läßt eine datenverarbeitende Stelle personenbezogene Daten in ihrem Auftrag verarbeiten, bleibt sie für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Rechte der Betroffenen sind ihr gegenüber geltend zu machen. Die Weitergabe der Daten von der datenverarbeitenden Stelle an die Auftragnehmenden gilt nicht als Übermittlung im Sinne von § 2 Absatz 2 Nr. 3.

(2) Die datenverarbeitende Stelle hat dafür Sorge zu tragen, daß personenbezogene Daten nur im Rahmen ihrer Weisungen verarbeitet werden. Sie hat die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um dies sicherzustellen. Sie hat Auftragnehmende unter besonderer Berücksichtigung ihrer Eignung für die Gewährleistung der nach den §§ 6 und 7 notwendigen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Aufträge, ergänzende Weisungen zu technischen und organisatorischen Maßnahmen und die etwaige Zulässigkeit von Unterauftragsverhältnissen sind schriftlich festzulegen.

(3) Sofern die Vorschriften dieses Gesetzes auf Auftragnehmende keine Anwendung finden, hat die datenverarbeitende Stelle diese zu verpflichten, jederzeit von ihr veranlaßte Kontrollen zu ermöglichen.

(4) Die Erbringung von Wartungsarbeiten oder von vergleichbaren Unterstützungstätigkeiten bei der Datenverarbeitung durch Stellen oder Personen außerhalb der datenverarbeitenden Stelle gilt als Datenverarbeitung im Auftrag im Sinne von Absatz 1 Satz 1.

(5) Zur Durchführung von beratenden oder begutachtenden Tätigkeiten im Auftrag der datenverarbeitenden Stelle ist die Übermittlung personenbezogener Daten an solche Personen zulässig, die durch besondere Rechtsvorschriften zur Verschwiegenheit verpflichtet sind. Die übermittelnde Stelle hat diese Personen zu verpflichten,
1. die Daten nur zu dem Zweck zu verarbeiten, zu dem sie ihnen überlassen worden sind, sowie
2. nach Erledigung des Auftrags die ihr von der datenverarbeitenden Stelle überlassenen Datenträger zurückzugeben und die bei ihnen gespeicherten Daten zu löschen, soweit nicht besondere Rechtsvorschriften entgegenstehen.
Die Absätze 1 bis 3 gelten entsprechend.

§ 17 Gemeinsame Verfahren, automatisierte Übermittlungsverfahren

(1) Ein automatisiertes Verfahren, das mehreren datenverarbeitenden Stellen gemeinsam die Verarbeitung personenbezogener Daten ermöglicht, darf nur eingeführt werden, wenn dies unter Berücksichtigung der schutzwürdigen Belange der Betroffenen und der Aufgaben der beteiligten Stellen angemessen ist. Die gesetzlichen Anforderungen an die Zulässigkeit der Datenverarbeitung im Einzelfall bleiben unberührt.

(2) Die beteiligten Stellen haben gemeinsam die Dokumentation gemäß § 5 Absatz 2 Nr. 2 für das gesamte Verfahren aufzustellen. Dabei legen sie über die in dieser Vorschrift genannten Umstände hinaus auch fest
1. den Umfang der Pflichten, die jeder beteiligten Stelle in dem Verfahren zukommen,
2. für jede beteiligte Stelle den Bereich der Datenverarbeitung, für dessen Rechtmäßigkeit sie verantwortlich ist.
Die für das Verfahrensverzeichnis nach § 8 erforderlichen Angaben zu dem gemeinsamen Verfahren einschließlich der Informationen nach Satz 2 werden in die Verfahrensverzeichnisse aller beteiligten Stellen aufgenommen.

(3) Die Freigabe nach § 5 wird von den Leiterinnen oder Leitern der beteiligten Stellen gemeinsam erteilt. Ist den beteiligten Stellen dieselbe Stelle übergeordnet, so erteilt die Leiterin oder der Leiter dieser Stelle die Freigabe.

(4) Die Betroffenen können die ihnen nach dem § 25 Absatz 1 Nummern 1 bis 6 zustehenden Rechte gegenüber jeder der beteiligten Stellen geltend machen, unabhängig davon, welche Stelle im Einzelfall für die Datenverarbeitung verantwortlich ist. Die beteiligten Stellen leiten die Anliegen der Betroffenen an die zuständige Stelle weiter. Der Umfang der Auskunft nach § 27 erstreckt sich auch auf die Angaben nach Absatz 2 Satz 2.

(5) Die Absätze 1 bis 4 gelten entsprechend für automatisierte Verfahren, die eine Übermittlung personenbezogener Daten ohne vorherige Prüfung des Einzelfalles durch die übermittelnde Stelle ermöglichen (automatisierte Übermittlungsverfahren). Absatz 1, Absatz 2 Satz 1 und 2 und Absatz 3 Satz 1 gelten entsprechend, wenn innerhalb einer datenverarbeitenden Stelle ein gemeinsames automatisiertes Verfahren zur Verarbeitung personenbezogener Daten für verschiedene Zwecke eingerichtet wird.

§ 18 Mobile personenbezogene Datenverarbeitungssysteme

(1) Informationstechnische Systeme zum Einsatz in automatisierten Verfahren, die an die Betroffenen ausgegeben werden und die über eine von der ausgebenden Stelle oder Dritten bereitgestellte Schnittstelle Daten automatisiert austauschen können (mobile Datenverarbeitungssysteme, z.B. Chipkarten), dürfen nur mit der Einwilligung der oder des Betroffenen oder aufgrund einer Rechtsvorschrift eingesetzt werden.

(2) Für die Betroffenen muß jederzeit erkennbar sein,
1. ob Datenverarbeitungsvorgänge auf dem mobilen Datenverarbeitungssystem oder durch dieses veranlaßt stattfinden,
2. welche personenbezogenen Daten der oder des Betroffenen verarbeitet werden und
3. welcher Verarbeitungsvorgang im einzelnen abläuft oder angestoßen wird.
Den Betroffenen müssen die Informationen nach Nummer 2 und 3 auf ihren Wunsch auch schriftlich in Papierform mitgeteilt werden.

(3) Die Betroffenen sind bei der Ausgabe des mobilen Datenverarbeitungssystems über die ihnen nach § 25 zustehenden Rechte aufzuklären. Sofern zur Wahrnehmung der Informationsrechte besondere Geräte oder Einrichtungen erforderlich sind, hat die ausgebende Stelle dafür Sorge zu tragen, daß diese in angemessenem Umfang zur Verfügung stehen.

§ 19 Verbot automatisierter Einzelentscheidungen

Entscheidungen, die zu einer tatsächlichen oder rechtlichen Beschwer der Betroffenen führen, dürfen nicht ausschließlich auf die Ergebnisse automatisierter Verfahren, die einzelne Aspekte der Person der Betroffenen bewerten, gestützt werden. Ergebnisse automatisierter Verfahren dürfen abweichend von Satz 1 für Entscheidungen verwendet werden, wenn
1. ein Gesetz, das angemessene Garantien zur Wahrung der Rechte der Betroffenen enthält, dies vorsieht oder
2. der oder dem Betroffenen vor der Entscheidung ermöglicht wird, ihre oder seine besonderen persönlichen Interessen geltend zu machen.

§ 20 Video-Überwachung und -Aufzeichnung

(1) Öffentliche Stellen dürfen mit optisch-elektronischen Einrichtungen öffentlich zugängliche Räume beobachten (Video-Überwachung), soweit dies zur Erfüllung ihrer Aufgaben oder zur Wahrnehmung eines Hausrechts erforderlich ist und schutzwürdige Belange Betroffener nicht überwiegen.

(2) Das Bildmaterial darf gespeichert werden (Video-Aufzeichnung), wenn die Tatsache der Aufzeichnung für die Betroffenen durch geeignete Maßnahmen erkennbar gemacht ist. Die Aufzeichnungen sind spätestens nach sieben Tagen zu löschen, es sei denn, sie dokumentieren Vorkommnisse, zu deren Aufklärung die weitere Speicherung erforderlich ist.

§ 21 Fernmessen und Fernwirken

(1) Die Einrichtung von Fernmeß- und Fernwirkdiensten ist nur mit der Einwilligung der oder des Betroffenen zulässig. Die oder der Betroffene muß erkennen können, wann ein Dienst in Anspruch genommen wird und welcher Art dieser Dienst ist. Die Einwilligung kann jederzeit widerrufen werden, soweit dies mit der Zweckbestimmung des Dienstes vereinbar ist. Das Abschalten eines Dienstes gilt im Zweifel als Widerruf der Einwilligung.

(2) Eine Leistung, der Abschluß oder die Abwicklung eines Vertragsverhältnisses dürfen nicht von der Einwilligung der oder des Betroffenen nach Absatz 1 abhängig gemacht werden. Verweigert oder widerruft die oder der Betroffene ihre oder seine Einwilligung, so dürfen ihr oder ihm keine Nachteile entstehen, die über die unmittelbaren Folgekosten hinausgehen.

Abschnitt V. Besondere Zwecke der Datenverarbeitung

§ 22 Datenverarbeitung für wissenschaftliche Zwecke

(1) Die Verarbeitung personenbezogener Daten zu wissenschaftlichen Zwecken durch öffentliche Stellen und die Übermittlung personenbezogener Daten durch öffentliche Stellen an Dritte, die die Daten zu wissenschaftlichen Zwecken nutzen wollen, soll in anonymisierter Form erfolgen.

(2) Öffentliche Stellen dürfen personenbezogene Daten zu wissenschaftlichen Zwecken verarbeiten oder an Dritte, die die Daten zu wissenschaftlichen Zwecken nutzen wollen, übermitteln, wenn die Daten pseudonymisiert werden und der mit der Forschung befaßte Personenkreis oder bei Übermittlungen die empfangende Stelle keinen Zugriff auf die Zuordnungsfunktion hat. Steht zur Erfassung der Daten, zur Pseudonymisierung oder Anonymisierung bei der übermittelnden Stelle nicht ausreichend Personal zur Verfügung, so können die mit der Forschung befaßten Personen diese Aufgaben wahrnehmen, wenn sie zuvor nach dem Verpflichtungsgesetz zur Verschwiegenheit verpflichtet worden sind und unter der Aufsicht der übermittelnden Stelle stehen.

(3) Ist eine Anonymisierung oder Pseudonymisierung nicht möglich, so ist die Datenverarbeitung zu wissenschaftlichen Zwecken durch die öffentliche Stelle selbst zulässig, wenn
1. die oder der Betroffene in die Datenverarbeitung eingewilligt hat,
2. es sich nicht um Daten nach § 10 Absatz 4 handelt und schutzwürdige Belange der oder des Betroffenen wegen der Art der Daten oder wegen der Art der Verwendung für das jeweilige Forschungsvorhaben nicht beeinträchtigt sind oder
3. die Einwilligung der oder des Betroffenen nicht eingeholt werden kann und die Genehmigung der für die datenverarbeitende Stelle zuständigen obersten Aufsichtsbehörde vorliegt.
Unter den Voraussetzungen der Nummern 1 und 3 ist auch die Übermittlung personenbezogener Daten an Dritte, die die Daten zu wissenschaftlichen Zwecken nutzen wollen, zulässig.

(4) Die Genehmigung nach Absatz 3 Nr. 3 wird erteilt, wenn das öffentliche Interesse an der Durchführung des jeweiligen Forschungsvorhabens die schutzwürdigen Belange der oder des Betroffenen erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann. Die Genehmigung muß den Forschungszweck, die Art der zu verarbeitenden Daten, den Kreis der Betroffenen sowie bei Übermittlungen den Empfängerkreis bezeichnen und ist der oder dem Landesbeauftragten für den Datenschutz mitzuteilen.

(5) Sobald der Forschungszweck es gestattet, sind die Daten zu anonymisieren, hilfsweise zu pseudonymisieren. Im Fall des Absatz 3 Nr. 3 ist dies der obersten Aufsichtsbehörde zu melden. Die nach Absatz 3 Satz 2 übermittelten personenbezogenen Daten dürfen für einen anderen als den ursprünglichen Forschungszweck nur nach Maßgabe der Absätze 1 bis 3 weiterverarbeitet werden.

(6) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, wenn
1. die oder der Betroffene eingewilligt hat oder
2. dies für die Darstellung von Forschungsergebnissen über Personen der Zeitgeschichte unerläßlich ist.

(7) Die übermittelnde Stelle hat empfangende Stellen, auf die dieses Gesetz keine Anwendung findet, zu verpflichten, die Vorschriften der Absätze 5 und 6 einzuhalten und jederzeit Kontrollen durch die oder den Landesbeauftragten für den Datenschutz zu ermöglichen.

§ 23 Datenverarbeitung bei Dienst- und Arbeitsverhältnissen

(1) Öffentliche Stellen dürfen Daten der Beschäftigten vorbehaltlich besonderer gesetzlicher oder tarifrechtlicher Regelungen nur nach Maßgabe der Vorschriften des Landesbeamtengesetzes zu Personalakten verarbeiten.

(2) Daten von Beschäftigten, die im Rahmen der Durchführung der technischen und organisatorischen Maßnahmen nach den §§ 6 und 7 gespeichert oder in einem automatisierten Verfahren gewonnen werden, dürfen nicht zu Zwecken der Verhaltens- oder Leistungskontrolle ausgewertet werden.

§ 24 Besondere Dokumentationsstelle für Sekten

(1) Die Ministerpräsidentin oder der Ministerpräsident oder eine von ihr oder von ihm besonders beauftragte Stelle (Dokumentationsstelle) kann zum Zweck der Aufklärung oder Warnung die Betätigungen von Sekten oder sektenähnlichen Vereinigungen einschließlich der mit ihnen rechtlich, wirtschaftlich oder in ihrer religiösen oder weltanschaulichen Zielsetzungen verbundenen Organisationen oder Vereinigungen in Schleswig-Holstein dokumentieren und über sie informieren, sofern tatsächliche Anhaltspunkte den Verdacht begründen, daß von deren Wirken Gefahren für die Menschenwürde, die freie Entfaltung der Persönlichkeit, das Leben, die Gesundheit oder das Eigentum ausgehen, insbesondere daß Personen in ihrer Willensfreiheit eingeschränkt werden.

(2) Soweit ein begründeter Verdacht im Sinne des Absatz 1 besteht, kann die Dokumentationsstelle über Personen, die in einer derartigen Sekte, Vereinigung oder Organisation aktiv mitwirken, bei anderen öffentlichen Stellen vorhandene oder öffentlich zugängliche personenbezogene Daten erheben und weiterverarbeiten. Hiervon ausgenommen sind Daten, die besonderen Berufs- oder Amtsgeheimnissen unterliegen, sowie Daten, für die besondere Verwendungsvorschriften in anderen Gesetzen bestehen.

(3) Die Speicherung der erhobenen personenbezogenen Daten ist spätestens nach zwei Jahren auf ihre Erforderlichkeit zu prüfen. Spätestens fünf Jahre nach der letzten Tätigkeit im Sinne von Absatz 2 sind die personenbezogenen Daten zu löschen.

(4) An Stellen außerhalb des öffentlichen Bereichs dürfen personenbezogene Daten übermittelt werden, wenn
1. es zur Erfüllung der Aufgabe nach Absatz 1 erforderlich ist oder
2. ein Dritter ein rechtliches Interesse daran hat
und schutzwürdige Belange der oder des Betroffenen nicht beeinträchtigt sind.

Abschnitt VI. Rechte der Betroffenen

§ 25 Rechte der Betroffenen

(1) Betroffene haben nach Maßgabe dieses Gesetzes ein Recht auf
1. Einsicht in das Verfahrensverzeichnis (§ 8 Abs. 3 und 4),
2. Benachrichtigung bei der Erhebung, Speicherung oder Übermittlung der zu ihrer Person gespeicherten Daten (§ 26),
3. Auskunft über die zu ihrer Person gespeicherten Daten (§ 27),
4. Berichtigung, Sperrung oder Löschung der zu ihrer Person gespeicherten Daten (§ 28),
5. Einwand gegen die Datenverarbeitung aus besonderen persönlichen Gründen (§ 29),
6. Schadensersatz (§ 30) und
7. Anrufung der oder des Landesbeauftragten für den Datenschutz (§ 32 Absatz 3).

(2) Die in Absatz 1 genannten Rechte der Betroffenen können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden.

§ 26 Aufklärung, Benachrichtigung

(1) Werden personenbezogene Daten bei den Betroffenen mit ihrer Kenntnis erhoben, so sind sie in geeigneter Weise aufzuklären über
1. die Anschrift der datenverarbeitenden Stelle,
2. den Zweck der Datenerhebung,
3. die Rechtsvorschrift, die die Datenverarbeitung gestattet; liegt eine solche nicht vor, die Freiwilligkeit der Datenverarbeitung,
4. die Folgen einer Nichtbeantwortung, wenn die Angaben für die Gewährung einer Leistung erforderlich sind,
5. ihre Rechte nach § 25,
6. den Empfängerkreis bei beabsichtigten Übermittlungen sowie
7. die Auftragnehmenden bei beabsichtigter Datenverarbeitung im Auftrag.

(2) Werden die Daten ohne Kenntnis der Betroffenen erhoben, so sind diese in angemessener Weise über die verarbeiteten Daten und über die in Absatz 1 Satz 1 Nummern 1 bis 3 und 5 bis 7 genannten Umstände zu unterrichten. Sollen die Daten übermittelt werden, so hat die Benachrichtigung spätestens zeitgleich mit der Übermittlung zu erfolgen. Satz 1 und 2 finden keine Anwendung, wenn die Betroffenen auf andere Weise Kenntnis von der Verarbeitung ihrer Daten erlangt haben.

§ 27 Auskunft an Betroffene

(1) Den Betroffenen ist von der datenverarbeitenden Stelle auf Antrag gebührenfrei Auskunft zu erteilen über
1. die zu ihrer Person gespeicherten Daten,
2. den Zweck und die Rechtsgrundlage der Speicherung,
3. die Herkunft der Daten und den Empfängerkreis von Übermittlungen,
4. die Auftragnehmenden bei Datenverarbeitung im Auftrag sowie
5. die Funktionsweise von automatisierten Verfahren.
Die Betroffenen sollen die Art der personenbezogenen Daten, über die Auskunft verlangt wird, näher bezeichnen.

(2) Den Betroffenen ist nach ihrer Wahl statt der Auskunft die Einsicht in die zu ihrer Person gespeicherten Daten zu gewähren. Die Einsicht wird nicht gewährt, soweit diese mit personenbezogenen Daten Dritter oder geheimhaltungsbedürftigen nicht personenbezogenen Daten derart verbunden sind, daß ihre Trennung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist. Die Einsicht erstreckt sich nicht auf Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen und alsbald vernichtet werden. Rechtsvorschriften über die Akteneinsicht im Verwaltungsverfahren bleiben unberührt.

(3) Die Auskunftserteilung oder die Gewährung von Einsicht unterbleibt, soweit eine Prüfung ergibt, daß
1. dadurch die Erfüllung der Aufgaben der datenverarbeitenden Stelle, einer übermittelnden Stelle oder einer empfangenden Stelle gefährdet würde,
2. dadurch die öffentliche Sicherheit gefährdet oder sonst dem Wohle des Bundes oder eines Landes schwere Nachteile entstehen würden oder
3. die personenbezogenen Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder wegen der berechtigten Interessen einer dritten Person geheimgehalten werden müssen.

(4) In den Fällen des Absatzes 3 sind die Betroffenen unter Mitteilung der wesentlichen Gründe für die Auskunftsverweigerung darauf hinzuweisen, daß sie sich an die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz wenden können. Eine Begründung erfolgt nicht, soweit dadurch der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde. Die Gründe für die Entscheidung nach Satz 2 sind aufzuzeichnen.

§ 28 Berichtigung, Löschung, Sperrung

(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind.

(2) Personenbezogene Daten sind zu löschen, wenn
1. ihre Speicherung unzulässig ist oder
2. ihre Kenntnis für die datenverarbeitende Stelle zur Aufgabenerfüllung nicht mehr erforderlich ist.
Die datenverarbeitende Stelle legt in allgemeinen Regelungen über die Aufbewahrung von Daten den Zeitraum fest, innerhalb dessen die Daten als zur Aufgabenerfüllung erforderlich gelten. Sind personenbezogene Daten in Akten untrennbar im Sinn von § 10 Absatz 5 Satz 2 gespeichert, ist die Löschung nur durchzuführen, wenn die gesamte Akte zur Aufgabenerfüllung nicht mehr erforderlich ist.

(3) Personenbezogene Daten sind zu sperren, wenn
1. ihre Richtigkeit von der oder dem Betroffenen bestritten wird und sich weder Richtigkeit noch die Unrichtigkeit nachweisen läßt;
2. sie zur Aufgabenerfüllung nicht mehr erforderlich sind, Rechtsvorschriften jedoch die weitere Aufbewahrung anordnen,
3. die oder der Betroffene anstelle der Löschung die Sperrung verlangt,
4. die Löschung die Betroffene oder den Betroffenen in der Verfolgung ihrer oder seiner Rechte oder in sonstigen schutzwürdigen Belangen beeinträchtigen würde,
5. ein Fall von Absatz 2 Satz 3 vorliegt oder
6. bei automatisierten Verfahren die Freigabe nach § 5 nicht vorliegt.

(4) Gesperrte Daten dürfen über die Speicherung hinaus ohne Einwilligung der oder des Betroffenen nicht mehr weiterverarbeitet werden, es sei denn, daß Rechtsvorschriften die Verarbeitung zulassen oder die Nutzung durch die datenverarbeitende Stelle zur Behebung einer bestehenden Beweisnot oder aus sonstigen im überwiegenden Interesse der datenverarbeitenden Stelle oder von Dritten liegenden Gründen unerläßlich ist. Die Gründe für die Nutzung gesperrter Daten sind zu dokumentieren. Die datenverarbeitenden Stellen haben durch technische oder organisatorische Maßnahmen sicherzustellen, daß die gesperrten Daten nur nach Maßgabe der Sätze 1 und 2 verarbeitet werden.

(5) Von der Berichtigung, Sperrung oder Löschung nach Absatz 1 Nr. 1 sind unverzüglich die Stellen zu unterrichten, denen die Daten übermittelt wurden. Die Unterrichtung kann unterbleiben, wenn sie einen unverhältnismäßigen Aufwand erfordern würde und schutzwürdige Belange der oder des Betroffenen nicht beeinträchtigt werden.

§ 29 Einwand gegen die Verarbeitung

Die Betroffenen haben das Recht, schriftlich unter Hinweis auf besondere persönliche Gründe Einwand gegen die Verarbeitung ihrer Daten allgemein oder gegen bestimmte Formen der Verarbeitung zu erheben. Der Einwand ist begründet, wenn ein besonderes persönliches Interesse der oder des Betroffenen das öffentliche Interesse an der Verarbeitung der Daten im Einzelfall überwiegt. In diesem Fall ist die Datenverarbeitung insgesamt oder in bestimmten Formen unzulässig.

§ 30 Schadensersatz

(1) Entsteht der oder dem Betroffenen durch eine unzulässige oder unrichtige Verarbeitung ihrer oder seiner personenbezogenen Daten in einem automatisierten Verfahren ein Schaden, so ist ihr oder ihm der Träger jeder öffentlichen Stelle, die diese Daten für sich selbst verarbeitet oder verarbeiten läßt, unabhängig von einem Verschulden zum Schadensersatz verpflichtet.

(2) In Fällen einer schweren Verletzung des Persönlichkeitsrechts kann die oder der Betroffene auch wegen des Schadens, der nicht Vermögensschaden ist, eine billige Entschädigung in Geld verlangen.

(3) Die ersatzpflichtige Stelle haftet jeder oder jedem Betroffenen für jedes schädigende Ereignis bis zu einem Betrag von 250 000 Deutsche Mark. Mehrere Ersatzpflichtige haften gesamtschuldnerisch.

(4) Ist streitig, ob ein Schaden ursächliche Folge einer unzulässigen oder unrichtigen Verarbeitung der Daten in einem automatisierten Verfahren ist, so trifft die Beweislast die datenverarbeitende Stelle.

(5) Auf das Mitverschulden der oder des Betroffenen und die Verjährung des Entschädigungsanspruchs sind die §§ 254, 839 Abs. 3 und § 852 des Bürgerlichen Gesetzbuches entsprechend anzuwenden.

(6) Die Geltendmachung weitergehender Schadensersatzansprüche aufgrund anderer Vorschriften bleibt unberührt.

Abschnitt VII. Die oder der Landesbeauftragte für den Datenschutz

Die Vorschriften dieses Abschnitts sollen die Modalitäten bei der Bestellung der oder des Landesbeauftragten für den Datenschutz, ihre oder seine Rechtsstellung und die von ihr oder ihm wahrzunehmenden Aufgaben regeln. Im Hinblick auf den im Innenministerium geplanten Entwurf eines Gesetzes zur Neuorganisation des Datenschutzes in Schleswig-Holstein sind die folgenden Vorschriften als vorläufig zu betrachten; der Text muß noch mit dem Vorschlag des Innenministeriums abgestimmt werden. Daher greift dieser Entwurf zunächst auf die bisher geltenden Vorschriften zur Wahl und zur Rechtsstellung der oder des Landesbeauftragten für den Datenschutz zurück. Von materieller Bedeutung sind allerdings die Regelungen in diesem Abschnitt, die der oder dem Landesbeauftragten bestimmte, z.T. neue Aufgaben zuweisen. Diese Normen sind aus der Sicht des Landesbeauftragten unbedingt in ein geändertes LDSG aufzunehmen.

§ 31 Berufung und Rechtsstellung

(1) Das Amt der oder des Landesbeauftragten für den Datenschutz wird bei der Präsidentin oder dem Präsidenten des Schleswig-Holsteinischen Landtages eingerichtet.

(2) Der Landtag wählt ohne Aussprache die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz mit mehr als der Hälfte seiner Mitglieder für die Dauer von sechs Jahren. Die Wiederwahl ist nur einmal zulässig. Vorschlagsberechtigt sind die Fraktionen des Schleswig-Holsteinischen Landtages. Kommt vor Ablauf der Amtszeit eine Neuwahl nicht zustande, führt die oder der Landesbeauftragte für den Datenschutz das Amt bis zur Neuwahl weiter.

(3) Die Präsidentin oder der Präsident des Schleswig-Holsteinischen Landtages ernennt die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz zur Beamtin oder zum Beamten auf Zeit.

(4) Die oder der Landesbeauftragte für den Datenschutz bestellt eine Mitarbeiterin zur Stellvertreterin oder einen Mitarbeiter zum Stellvertreter. Die Stellvertreterin oder der Stellvertreter führt die Geschäfte, wenn die oder der Landesbeauftragte für den Datenschutz an der Ausübung des Amtes verhindert ist.

(5) Vor Ablauf der Amtszeit kann die oder der Landesbeauftragte für den Datenschutz nur mit einer Mehrheit von zwei Dritteln der Mitglieder des Landtages abberufen werden. Die oder der Landesbeauftragte für den Datenschutz kann jederzeit die Entlassung verlangen.

(6) Die oder der Landesbeauftragte für den Datenschutz ist in der Ausübung des Amtes unabhängig und nur dem Gesetz unterworfen. Sie oder er untersteht der Dienstaufsicht der Präsidentin oder des Präsidenten des Schleswig-Holsteinischen Landtages. Für die Erfüllung der Aufgabe ist die notwendige Personal- und Sachausstattung zur Verfügung zu stellen; die Mittel sind im Einzelplan des Landtages in einem gesonderten Kapitel auszuweisen.

(7) Die Mitarbeiterinnen und Mitarbeiter werden auf Vorschlag der oder des Landesbeauftragten für den Datenschutz ernannt. Sie können nur im Einvernehmen mit ihr oder ihm versetzt oder abgeordnet werden. Ihre Dienstvorgesetzte oder ihr Dienstvorgesetzter ist die oder der Landesbeauftragte für den Datenschutz, an deren oder dessen Weisungen sie ausschließlich gebunden sind.

(8) Die oder der Landesbeauftragte für den Datenschutz ist oberste Dienstbehörde im Sinne von § 96 Strafprozeßordnung. Sie oder er trifft die Entscheidungen über Aussagegenehmigungen für sich und die Mitarbeiterinnen und Mitarbeiter in eigener Verantwortung.

§ 32 Kontrollaufgaben

(1) Die oder der Landesbeauftragte für den Datenschutz überwacht die Einhaltung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz bei den öffentlichen Stellen, auf die dieses Gesetz Anwendung findet. Die Gerichte und der Landesrechnungshof unterliegen der Kontrolle, soweit sie nicht in richterlicher Unabhängigkeit tätig werden.

(2) Auf Anforderung des Landtages, des Eingabenausschusses des Landtages oder einer obersten Landesbehörde soll die oder der Landesbeauftragte für den Datenschutz ferner Hinweisen auf Angelegenheiten und Vorgänge, die ihren oder seinen Aufgabenbereich unmittelbar betreffen, nachgehen. Sie oder er legt dem Landtag jährlich einen Tätigkeitsbericht vor.

(3) Jede oder jeder hat das Recht, sich unmittelbar an die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz zu wenden, wenn sie oder er annimmt, daß bei der Verarbeitung personenbezogener Daten durch öffentliche Stellen datenschutzrechtliche Vorschriften verletzt wurden. Dies gilt auch für Beschäftigte der öffentlichen Stellen, ohne daß der Dienstweg einzuhalten ist.

(4) Die öffentlichen Stellen sind verpflichtet, die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und ihre oder seine Mitarbeiterinnen und Mitarbeiter bei der Erfüllung ihrer oder seiner Aufgaben zu unterstützen. Ihnen ist dabei insbesondere
1. Auskunft auf ihre Fragen zu erteilen sowie Einsicht in alle Unterlagen und Akten zu gewähren, die im Zusammenhang mit der Verarbeitung personenbezogener Daten stehen, namentlich in die gespeicherten Daten und in die Datenverarbeitungsprogramme; besondere Amts- und Berufsgeheimnisse stehen dem nicht entgegen,
2. jederzeit Zutritt zu allen Diensträumen zu gewähren.
Die oder der Landesbeauftragte für den Datenschutz darf im Rahmen von Kontrollen personenbezogene Daten auch ohne Kenntnis der Betroffenen erheben. Die Benachrichtigung der Betroffenen richtet sich nach § 33 Absatz 4.

(5) Stellt die jeweils zuständige oberste Landesbehörde im Einzelfall fest, daß durch eine mit der Einsicht verbundene Bekanntgabe personenbezogener Daten die Sicherheit des Bundes oder eines Landes gefährdet wird, dürfen die Rechte nach Absatz 1 nur von der oder dem Landesbeauftragten für den Datenschutz persönlich oder den von ihr oder ihm schriftlich besonders damit betrauten Beauftragten ausgeübt werden.

§ 33 Beanstandungen

(1) Stellt die oder der Landesbeauftragte für den Datenschutz Verstöße gegen die Vorschriften dieses Gesetzes oder gegen andere Datenschutzbestimmungen oder sonstige Mängel bei der Verarbeitung personenbezogener Daten bei öffentlichen Stellen fest, so fordert sie oder er diese zur Mängelbeseitigung auf.

(2) Bei erheblichen Verstößen oder sonstigen erheblichen Mängeln spricht die oder der Landesbeauftragte für den Datenschutz gegenüber der öffentlichen Stelle eine förmliche Beanstandung aus. Sie oder er kann die öffentliche Stelle zur Stellungnahme innerhalb einer von ihr oder ihm zu bestimmenden Frist auffordern und die zuständige Aufsichtsbehörde über die Beanstandung unterrichten.

(3) Mit der Feststellung von Mängeln und der Beanstandung sollen Vorschläge zur Beseitigung der Mängel und zur sonstigen Verbesserung des Datenschutzes verbunden werden.

(4) Die Betroffenen können mit Kenntnis der datenverarbeitenden Stelle nach pflichtgemäßem Ermessen von Verstößen gegen die Vorschriften dieses Gesetzes oder andere Datenschutzvorschriften unterrichtet werden.

§ 34 Serviceaufgaben

(1) Die oder der Landesbeauftragte für den Datenschutz berät die öffentlichen Stellen in Fragen des Datenschutzes, der Informationssicherheit und der damit zusammenhängenden Datenverarbeitungstechniken sowie deren Sozialverträglichkeit. Zu diesem Zweck können Empfehlungen zur Verbesserung des Datenschutzes gegeben werden. Auf Anforderung des Landtages, einzelner Fraktionen des Landtages oder der Landesregierung hat die oder der Landesbeauftragte für den Datenschutz Gutachten zu erstellen und Berichte zu erstatten.

(2) Die oder der Landesbeauftragte für den Datenschutz berät und informiert die Bürgerinnen und Bürger über alle Fragen des Datenschutzes und der Informationssicherheit, insbesondere über die ihnen bei der Verarbeitung ihrer Daten zustehenden Rechte sowie über geeignete technische Maßnahmen zum Selbstdatenschutz.

(3) Datenverarbeitende Stellen können ihr Datenschutzkonzept durch die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz prüfen und beurteilen lassen. Das Nähere regelt die Verordnung nach § 5 Absatz 4.

(4) Die oder der Landesbeauftragte für den Datenschutz führt Fortbildungsveranstaltungen zu den Themen Datenschutz und Datensicherheit durch. Sie oder er berät nichtöffentliche Stellen auf Anfrage in Fragen von Datenschutz und Datensicherheit.

(5) Die oder der Landesbeauftragte für den Datenschutz kann für die Wahrnehmung der Aufgaben nach den Absätzen 3 und 4 Entgelte erheben. Das Nähere darüber regelt die Verordnung nach § 5 Absatz 4.

Abschnitt VIII. Übergangs- und Schlußvorschriften

§ 35 Ordnungswidrigkeiten

(1) Ordnungswidrig handelt, wer entgegen den Vorschriften dieses Gesetzes personenbezogene Daten, die nicht offenkundig sind,
1. erhebt, speichert, zweckwidrig verwendet, verändert, weitergibt, zum Abruf bereithält oder löscht,
2. abruft, einsieht, sich verschafft oder durch Vortäuschung falscher Tatsachen ihre Weitergabe an sich oder andere veranlaßt.
Ordnungswidrig handelt auch, wer anonymisierte oder pseudonymisierte Daten mit anderen Informationen zusammenführt und dadurch die Betroffene oder den Betroffenen wieder bestimmbar macht oder wer sich bei pseudonymisierten Daten entgegen den Vorschriften dieses Gesetzes Zugriff auf die Zuordnungsfunktion verschafft.

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu 100 000 Deutsche Mark geahndet werden.

§ 36 Übergangsvorschriften

Soweit andere landesrechtliche Vorschriften den Dateibegriff verwenden, ist Datei
1. eine Sammlung von Daten, die durch automatisierte Verfahren ausgewertet werden kann (automatisierte Datei), oder
2. eine gleichartig aufgebaute Sammlung von Daten, die nach bestimmten Merkmalen geordnet und ausgewertet werden kann (nichtautomatisierte Datei).

§ 37 Inkrafttreten

(1) Dieses Gesetz tritt am 1. Januar 2000 in Kraft.

(2) Mit dem Inkrafttreten dieses Gesetzes tritt das Gesetz zum Schutz personenbezogener Informationen vom 30. Oktober 1991 (GVOBl. Schl.-H. S. 555), zuletzt geändert durch Gesetz vom 12. März 1996 (GVOBl. Schl.-H. S. 291), außer Kraft.

ORDEN HAC/2632/2002, de 16 de octubre, por la que se modifica la Orden de 21 de diciembre de 1999 que aprueba la relación de ficheros automatizados de datos de carácter personal de la Agencia Estatal de Administración Tributaria

El artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece que la creación, modificación o supresión de ficheros automatizados de las Administraciones Públicas sólo podrán hacerse por medio de disposición general publicada en el «Boletín Oficial del Estado» o en el diario oficial correspondiente.

Mediante la Orden de 27 de julio de 1994 se regularon los ficheros de datos personales de la Agencia Estatal de Administración Tributaria, conteniendo en dos anexos la relación y descripción de los distintos ficheros automatizados.

Con posterioridad dicha Orden fue parcialmente modificada por la Orden de 4 de agosto de 1995.

Por la Orden de 21 de diciembre de 1999 se sustituyeron los anexos de la Orden de 27 de julio de 1994.

Desde la publicación de la Orden de 21 de diciembre ha surgido la necesidad de recoger nuevos datos, siendo procedente la creación de nuevos ficheros o la modificación de los ya creados.

Asimismo al haberse cumplido las finalidades para las que se crearon determinados ficheros, procede la supresión del fichero correspondiente.

En su virtud, este Ministro ha tenido a bien disponer:

Primero.

Se amplía el anexo I de la Orden de 21 de diciembre de 1999, por la que se aprueba la relación de ficheros automatizados de datos de carácter personal de la Agencia Estatal de Administración Tributaria, incorporando al anexo I los ficheros números 80 a 94, cuya denominación y características se recogen en anexo a esta Orden.

Segundo.

1. Se modifican los ficheros del anexo I de la Orden de 21 de diciembre de 1999, por la que se aprueba la relación de ficheros automatizados de datos de carácter personal de la Agencia Estatal de Administración Tributaria, número 6, «Fondos de Inversión»; 44, «Impuesto sobre la Renta de las Personas Físicas» y 75, «Censo y gestión de infractores de gasóleo bonificado».

2. Se modifica el fichero del anexo II de la Orden de 21 de diciembre de 1999, por la que se aprueba la relación de ficheros automatizados de datos de carácter personal de la Agencia Estatal de Administración Tributaria, número 12, «Registro operadores de sustancias químicas catalogadas por la Ley 3/1996».

Tercero.

Se suprimen los siguientes ficheros del anexo I de la Orden de 21 de diciembre de 1999, por la que se aprueba la relación de ficheros automatizados de datos de carácter personal de la Agencia Estatal de Administración Tributaria:

a) Número 1, «Rentas del capital mobiliario». Los datos de este fichero se incorporan a los ficheros de nueva creación número 83, «Rentas del Capital Mobiliario Explícitas» y número 84, «Rentas del Capital Mobiliario Implícitas».

b) Número 76, «Registro especial de operadores de sustancias químicas catalogadas en importación, exportación y tránsito». Los datos de este fichero se incorporan al fichero número 12 del anexo II «Registro Operadores de sustancias químicas catalogadas por la Ley 3/1996».

Cuarto.

Los ficheros contenidos en el anexo I contienen datos relativos a la Hacienda Pública y están provistos, al menos, de las medidas de seguridad calificadas como de nivel medio en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, salvo que en el propio anexo se indique un nivel de seguridad más elevado.

Quinto.

Los ficheros contenidos en el anexo II están provistos, al menos, de las medidas de seguridad calificadas como de nivel medio en el Real Decreto 994/1999 de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, salvo que en el propio anexo se indique un nivel de seguridad más elevado.

Disposición adicional única.

Se autoriza al Director general de la Agencia Estatal de Administración Tributaria para que, mediante Resolución publicada en el «Boletín Oficial del Estado», acuerde la creación, modificación
o supresión de los ficheros titularidad de la Agencia Estatal de Administración Tributaria.

Disposición final única.

La presente Orden entrará en vigor al día siguiente de su publicación en el «Boletín Oficial del Estado».

Madrid, 16 de octubre de 2002.
MONTORO ROMERO
Ilmo. Sr. Director general e Ilmos. Sres. Directores de Departamento y de Servicio de la Agencia Estatal de Administración Tributaria.

Decreto 673/2001, de 18 de mayo de 2001

Créase la Secretaría para la Modernización del Estado. Transfiérese a ese ámbito la Oficina Nacional de Contrataciones, dependiente de la Subsecretaría de Presupuesto de la Secretaría de Hacienda del Ministerio de Economía.

VISTO los Decretos nº 20 del 13 de diciembre de 1999, sus modificatorios y complementarios; nº 1076 de fecha 20 de noviembre de 2000, y nº 103 del 25 de enero de 2001, y

CONSIDERANDO:

Que por el Decreto nº 20/99 y modificatorios se aprobó el organigrama de la Administración Nacional centralizada hasta el nivel de Subsecretaría, determinando además, que cada jurisdicción debía proponer las estructuras organizativas de las unidades de nivel inferior a Subsecretaría hasta el primer nivel operativo.

Que corresponde efectuar una reasignación de funciones dentro de la JEFATURA DE GABINETE DE MINISTROS tendiente a lograr mayor coherencia y efectividad en el funcionamiento de dicha jurisdicción.

Que en tal sentido, se ha procurado privilegiar la mayor relevancia otorgada a la gestión interjurisdiccional a cargo de la JEFATURA DE GABINETE DE MINISTROS y la necesidad de convertir al Estado en un instrumento eficiente para el desarrollo de las políticas públicas.

Que la JEFATURA DE GABINETE DE MINISTROS resulta el ámbito natural para el desempeño de las funciones atribuidas anteriormente a la ex SECRETARIA PARA LA MODERNIZACION DEL ESTADO, toda vez que el artículo 100 de la CONSTITUCION NACIONAL le encomienda a su titular la administración general del país.

Que en ese sentido, por el Decreto nº 103/01 se aprobó el PLAN NACIONAL DE MODERNIZACION de la Administración Pública Nacional, encomendándose a la JEFATURA DE GABINETE DE MINISTROS la coordinación de la ejecución de las acciones que se deriven de aquél.

Que con tal motivo y al efecto de simplificar el ejercicio de las responsabilidades encomendadas, resulta procedente restablecer la SECRETARIA PARA LA MODERNIZACION DEL ESTADO en el ámbito de la JEFATURA DE GABINETE DE MINISTROS.

Que en tal sentido y en la órbita de la SECRETARIA DE COORDINACION GENERAL dependiente de la JEFATURA DE GABINETE DE MINISTROS, se contempló la creación de la SUBSECRETARIA DE LA GESTION PUBLICA, como continuadora institucional de la ex SECRETARIA DE LA FUNCION PUBLICA.

Que la necesidad de contar con un organismo que conduzca técnicamente el proceso de modernización del Estado Nacional en el que la actual gestión gubernamental se halla embarcada, exige la concreción de un proceso de profunda reingeniería interna que permita asegurar una estructura institucional con la suficiente capacidad de acción como para garantizar la consecución de los objetivos pretendidos.

Que por las circunstancias descriptas, aquel proceso deberá desarrollarse en la órbita de la SECRETARIA PARA LA MODERNIZACION DEL ESTADO de la JEFATURA DE GABINETE DE MINISTROS.

Que en esta inteligencia corresponde replantear la dependencia actual de la SUBSECRETARIA DE LA GESTION PUBLICA, estableciendo su dependencia directa de la SECRETARIA PARA LA MODERNIZACION DEL ESTADO de la JEFATURA DE GABINETE DE MINISTROS.

Que la reforma del sistema de compras y contrataciones es una prioridad esencial del Plan de Modernización del Estado.

Que en dicho sentido, resulta necesario compatibilizar las políticas de administración de los recursos reales del estado, con las políticas de modernización.

Que para fortalecer dicho proceso es conveniente modificar la dependencia funcional de la OFICINA NACIONAL DE CONTRATACIONES dependiente de la SUBSECRETARIA DE PRESUPUESTO de la SECRETARIA DE HACIENDA del MINISTERIO DE ECONOMIA, transfiriéndola al ámbito de la SECRETARIA PARA LA MODERNIZACION DEL ESTADO de la JEFATURA DE GABINETE DE MINISTROS.

Que por otra parte, mediante el dictado del Decreto nº 1076 de fecha 20 de noviembre de 2000, se creó en el ámbito de la JEFATURA DE GABINETE DE MINISTROS la SUBSECRETARIA DE FOMENTO E INTEGRACION DE ECONOMIAS REGIONALES, a efectos de fomentar, entre otros aspectos, la difusión de oportunidades de inversión y, cuando correspondiera, coordinar y participar en acciones de promoción con las cámaras extranjeras de comercio, fundaciones y otras entidades del sector privado o público en el ámbito Nacional, Provincial y Municipal, a fin de maximizar la participación de sectores involucrados en el programa de inversiones extranjeras, así como servir de banco de datos para el inversor extranjero.

Que asimismo, dicha Subsecretaría debe colaborar en la elaboración de políticas y cursos de acción que tiendan al desarrollo de las economías locales y regionales, así como también al fomento de las exportaciones hacia mercados de integración regional.

Que en dicho marco, en atención a las competencias aludidas y, con el objetivo de fortalecer el desarrollo de las acciones públicas sectoriales, resulta conveniente transferir la citada Subsecretaría del ámbito de la JEFATURA DE GABINETE DE MINISTROS a la SECRETARIA DE COMERCIO del MINISTERIO DE ECONOMIA.

Que finalmente y para evitar confusiones acerca de la presunta subsistencia funcional de distintas dependencias de la Administración Pública Nacional, resulta conveniente disolver la UNIDAD DE REFORMA Y MODERNIZACION DEL ESTADO de la JEFATURA DE GABINETE DE MINISTROS creada por el Decreto nº 558 de fecha 24 de mayo de 1996.

Que el Servicio Jurídico Permanente competente ha tomado la intervención que le corresponde.

Que la presente medida se dicta en ejercicio de las facultades conferidas por el artículo 99, inciso 1 de la CONSTITUCION NACIONAL y los artículos 21 y 26 de la Ley nº 25.401.

Por ello,

EL PRESIDENTE DE LA NACION ARGENTINA

DECRETA:

Artículo 1° Créase la SECRETARIA PARA LA MODERNIZACION DEL ESTADO en el ámbito de la JEFATURA DE GABINETE DE MINISTROS.

La mencionada Secretaría será la autoridad de aplicación del Decreto nº 103/01, y ejercerá la Secretaría Técnica de las Comisiones creadas por los artículos 9°, 10 y 11 del aludido decreto.

Artículo 2° Transfiérese la SUBSECRETARIA DE FOMENTO E INTEGRACION DE ECONOMIAS REGIONALES dependiente de la JEFATURA DE GABINETE DE MINISTROS a la órbita de la SECRETARIA DE COMERCIO del MINISTERIO DE ECONOMIA.

Artículo 3° Sustitúyese del Anexo I al artículo 1° del Decreto nº 20 de fecha 13 de diciembre de 1999, sus modificatorios y complementarios —Organigrama de Aplicación— del apartado X, la parte correspondiente a la JEFATURA DE GABINETE DE MINISTROS, el que quedará conformado de acuerdo con el detalle que como planilla anexa al presente artículo, se acompaña.

Artículo 4° Modifícase del Apartado X, Anexo II, al artículo 2° del Decreto nº 20 de fecha 13 de diciembre de 1999, sus modificatorios y complementarios —Objetivos—, la parte correspondiente a las Secretarías de la JEFATURA DE GABINETE DE MINISTROS, los que quedarán redactados de conformidad con el detalle obrante en las planillas anexas al presente artículo, suprimiéndose, asimismo, los correspondientes a la SUBSECRETARIA DE FOMENTO E INTEGRACION DE ECONOMIAS REGIONALES.

Artículo 5° Modifícase del Apartado XIV, Anexo I, al artículo 1° del Decreto nº 20 de fecha 13 de diciembre de 1999, sus modificatorios y complementarios —Organigrama de Aplicación—, la parte correspondiente al MINISTERIO DE ECONOMIA – SECRETARIA DE COMERCIO, incorporando la SUBSECRETARIA DE FOMENTO E INTEGRACION DE ECONOMIAS REGIONALES.

Artículo 6° Modifícase del Apartado XIV, Anexo II, al artículo 2° del Decreto nº 20 de fecha 13 de diciembre de 1999, sus modificatorios y complementarios —Objetivos—, la parte correspondiente al MINISTERIO DE ECONOMIA – SECRETARIA DE COMERCIO, incorporando los correspondientes a la SUBSECRETARIA DE FOMENTO E INTEGRACION DE ECONOMIAS REGIONALES, los que quedarán redactados de conformidad con el detalle obrante en las planillas anexas al presente artículo.

Artículo 7° La transferencia establecida en el artículo 2°, comprende los objetivos, competencias y funciones, recursos humanos, materiales y financieros. El personal involucrado mantendrá sus niveles actuales y grados de revista, niveles de funciones ejecutivas, adicionales y suplementos asignados.

Artículo 8° Transfiérese al ámbito de la SECRETARIA PARA LA MODERNIZACION DEL ESTADO de la JEFATURA DE GABINETE DE MINISTROS la OFICINA NACIONAL DE CONTRATACIONES dependiente de la SUBSECRETARIA DE PRESUPUESTO de la SECRETARIA DE HACIENDA del MINISTERIO DE ECONOMIA.

Artículo 9° La transferencia dispuesta en el artículo precedente, comprende responsabilidad primaria y acciones, recursos humanos, materiales y financieros. El personal involucrado mantendrá sus niveles actuales y grados de revista, niveles de funciones ejecutivas, adicionales y suplementos asignados.

Las competencias asignadas al MINISTERIO DE ECONOMIA con relación a la OFICINA NACIONAL DE CONTRATACIONES, se transfieren a la JEFATURA DE GABINETE DE MINISTROS.

Artículo 10. Hasta tanto se efectúen las adecuaciones presupuestarias correspondientes con motivo de las transferencias dispuestas por los artículos 7° y 9°, la atención de las erogaciones de las áreas afectadas por la presente medida, serán atendidas con cargo a los créditos presupuestarios de origen de las mismas.

Artículo 11. Establécese que la JEFATURA DE GABINETE DE MINISTROS deberá elevar al PODER EJECUTIVO NACIONAL para su aprobación su estructura organizativa hasta del primer nivel operativo dentro de los CIENTO OCHENTA (180) días de publicado el presente.

Artículo 12. Establécese que para posibilitar la cobertura de los cargos correspondientes a los titulares de las dependencias de la JEFATURA DE GABINETE DE MINISTROS, ésta queda exceptuada de lo dispuesto por el artículo 21 de la Ley nº 25.401.

Artículo 13. Facúltase al titular de la JEFATURA DE GABINETE DE MINISTROS a efectuar designaciones de carácter transitorio en los cargos referidos en el artículo precedente, como excepción a lo dispuesto en el Título III, Capítulo III y en el artículo 71, primer párrafo, primera parte del Anexo I al Decreto nº 993/91 (t.o. 1995).

Los cargos involucrados deberán ser cubiertos conforme los sistemas de selección previstos por el Sistema Nacional de la Profesión Administrativa en el Decreto nº 993/91 (t.o.1995), en el término de CIENTO OCHENTA (180) días contados a partir de la respectiva designación.

Artículo 14. Las designaciones efectuadas de conformidad con la facultad otorgada por el artículo precedente, deberán ajustarse a los requisitos mínimos establecidos en el artículo 11 del Anexo I al Decreto nº 993/91 (t.o. 1995) para el acceso a los niveles escalafonarios correspondientes al Agrupamiento General.

Artículo 15. Disuélvese la UNIDAD DE REFORMA Y MODERNIZACiON DEL ESTADO de la JEFATURA DE GABINETE DE MINISTROS creada por el artículo 1° del Decreto nº 558 del 24 de mayo de 1996.

Artículo 16. El Jefe de Gabinete de Ministros efectuará las reasignaciones presupuestarias correspondientes que demande la aplicación del presente Decreto.

Artículo 17. Deróganse los artículos 12 —primer párrafo— y 13 del Decreto nº 103 del 25 de enero de 2001.

Artículo 18. — Comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese.

DE LA RUA.

Chrystian G. Colombo.

Domingo F. Cavallo.

PLANILLA ANEXA AL ARTICULO 3°

(SUSTITUYE EL APARTADO X DEL ANEXO I

AL ARTICULO 1° DEL DECRETO nº 20/99)

X – JEFATURA DE GABINETE DE MINISTROS

SECRETARIA DE COORDINACION GENERAL

SUBSECRETARIA DE RECAUDACION Y EJECUCION PRESUPUESTARIA

SUBSECRETARIA DE COORDINACION INTERMINISTERIAL

SUBSECRETARIA DE RELACIONES INSTITUCIONALES

SECRETARIA PARA LA MODERNIZACION DEL ESTADO

SUBSECRETARIA DE LA GESTION PUBLICA

PLANILLA ANEXA AL ARTICULO 4°

(MODIFICA EL APARTADO X DEL ANEXO II

AL ARTICULO 2° DEL DECRETO nº 20/99)

SECRETARIA DE COORDINACION GENERAL

OBJETIVOS:

1. Supervisar la gestión de la JEFATURA DE GABINETE DE MINISTROS en aquellas cuestiones que le sean encomendadas y coordinar la acción de los Subsecretarios del Area.

2. Intervenir en la elaboración del Proyecto de Ley de Presupuesto Nacional propiciado por el PODER EJECUTIVO NACIONAL, del Proyecto de Ley de Ministerios y de su envío a la HONORABLE CAMARA DE DIPUTADOS DE LA NACION.

3. Asistir al Jefe de Gabinete de Ministros en la evaluación de la oportunidad, mérito y conveniencia de los Proyectos de Ley, de mensajes al HONORABLE CONGRESO DE LA NACION y del decreto que dispone la prórroga de sesiones ordinarias o de la convocatoria a sesiones extraordinarias.

4. Coordinar las Delegaciones de la JEFATURA DE GABINETE DE MINISTROS en el HONORABLE CONGRESO DE LA NACION y preparar la concurrencia del Jefe de Gabinete de Ministros a las sesiones legislativas. Elaborar los informes que cualquiera de las Cámaras le solicite y los que deba brindar a la Comisión Bicameral Permanente atento lo normado por el Artículo 100 incisos 9 y 11 de la Constitución Nacional.

5. Coordinar las acciones necesarias para la concurrencia del Jefe de Gabinete de Ministros al HONORABLE CONGRESO DE LA NACION en cumplimiento de lo dispuesto en el artículo 101 de la Constitución Nacional.

6. Confeccionar y supervisar la elaboración de la memoria detallada de la marcha del Gobierno de la Nación, asistiendo al Jefe de Gabinete de Ministros en el cumplimiento de la obligación establecida en el Artículo 101 de la Constitución Nacional.

7. Entender en lo referente a las relaciones del PODER EJECUTIVO NACIONAL con ambas Cámaras del HONORABLE CONGRESO DE LA NACION, sus Comisiones e integrantes y, en especial, en lo relativo a la tramitación de los actos que deban ser remitidos a ese Poder en cumplimiento de lo establecido en el artículo 100, inciso 6 de la Constitución Nacional y de otras leyes.

8. Entender en la evaluación de la oportunidad, mérito y conveniencia de los proyectos de decreto referentes al ejercicio de facultades delegadas por el HONORABLE CONGRESO DE LA NACION, de los de necesidad y urgencia y de los que promulguen parcialmente leyes.

9. Coordinar juntamente con el Subsecretario de Relaciones Institucionales las políticas de la Administración vinculadas con el cumplimiento de los objetivos y de los planes de Gobierno.

10. Coordinar de manera conjunta con el Subsecretario de Coordinación Interministerial el planeamiento y seguimiento en materia interjurisdiccional, nacional y sectorial.

11. Requerir información de las áreas que integran la Administración Pública Nacional, central y descentralizada, en el cumplimiento de los distintos programas y actividades de su competencia y producir los informes a fin de recomendar las acciones correctivas pertinentes.

12. Supervisar la gestión económico financiera, patrimonial y contable y administrar la política de recursos humanos y de los sistemas de información de la Jurisdicción JEFATURA DE GABINETE DE MINISTROS.

SECRETARIA PARA LA MODERNIZACION DEL ESTADO

OBJETIVOS:

1. Asistir al Jefe de Gabinete de Ministros en todas aquellas actividades y tareas que le sean encomendadas.

2. Entender en la elaboración del Proyecto de Ley de Ministerios.

3. Determinar los lineamientos estratégicos de las políticas de modernización de la gestión pública y reforma del estado y dictar las normas reglamentarias en la materia.

4. Monitorear la ejecución del PLAN NACIONAL DE MODERNIZACION, proponer su eventual modificación y entender en su implementación.

5. Entender en la definición del marco normativo vinculado a la gestión de los recursos reales de la Administración Pública Nacional.

6. Interpretar las normas vinculadas con la relación de empleo público en sus distintos aspectos y con alcance general y obligatorio para el sector público nacional.

7. Entender en los aspectos vinculados a la capacitación, gestión y desarrollo de los recursos humanos, en procura del mejor desenvolvimiento del empleo público.

8. Representar al Estado Nacional en las Convenciones Colectivas de trabajo en las que éste sea parte.

9. Proponer diseños en los procedimientos administrativos que propicie su simplificación, transparencia y control social y elaborar los desarrollos informáticos correspondientes.

10. Entender en lo relativo a las políticas, normas y sistemas de contrataciones del Sector Público Nacional.

11. Entender en la administración y coordinación de la Red Telemática Nacional de Información Gubernamental en sus aspectos técnicos, económicos y presupuestarios.

12. Definir las estrategias sobre tecnología de información, comunicaciones asociadas y otros sistemas electrónicos de tratamiento de información en la Administración Pública Nacional.

13. Actuar como autoridad de aplicación del Régimen Normativo que establece la Infraestructura de Firma Digital para el Sector Público Nacional.

14. Entender en la implementación de los Acuerdos Programas instituidos por el inciso c) del artículo 5° de la Ley 25.152.

15. Entender en todos los aspectos referidos al desarrollo de la Escuela Superior de Gobierno.

16. Intervenir en las modificaciones presupuestarias que tengan impacto en el Plan de Modernización del Estado.

17. Participar en el Grupo de Apoyo a la elaboración del Presupuesto de la Administración Nacional.

18. Requerir información de las áreas que integran la Administración Central y descentralizada en el cumplimiento de los distintos programas y actividades de su competencia y producir los informes a fin de recomendar acciones correctivas pertinentes que aseguren el cumplimiento real de los objetivos.

19. Coordinar el proceso de transformación y reforma del Estado.

20. Coordinar el diseño de las políticas que permitan el perfeccionamiento de la organización y de los recursos humanos como así también de nuevas tecnologías en la Administración Pública Nacional.

PLANILLA ANEXA AL ARTICULO 6°

(MODIFICA EL APARTADO XIV DEL ANEXO II

AL ARTICULO 2° DEL DECRETO nº 20/99)

SUBSECRETARIA DE FOMENTO E INTEGRACION DE ECONOMIAS REGIONALES

OBJETIVOS

1. Asistir al Secretario de Comercio, en todas aquellas tareas y actividades que le sean encomendadas.

2. Colaborar en la formulación de políticas y cursos de acción que tiendan al desarrollo de las economías locales y regionales y al fomento de las exportaciones hacia mercados de integración regional.

3. Realizar publicaciones y organizar seminarios que permitan difundir oportunidades de inversión y, cuando corresponda, coordinar y participar en acciones de promoción con las cámaras extranjeras de comercio, fundaciones y otras entidades del sector privado o público en el ámbito Nacional, Provincial y Municipal, a fin de maximizar la participación de los distintos sectores en el programa de inversiones extranjeras y de servir de banco de datos para el inversor extranjero.

4. Colaborar en la formulación de políticas comerciales competitivas, que permitan canalizar el esfuerzo productivo nacional, regional, provincial y municipal hacia mercados no tradicionales.