Décret nº 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques.

Le Premier ministre,

Sur le rapport du ministre d'Etat, ministre de l'intérieur et de l'aménagement du territoire, et du ministre des affaires étrangères,

Vu la Convention du 19 juin 1990 d'application de l'accord signé à Schengen le 14 juin 1985 entre les gouvernements des Etats de l'Union économique du Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes, dont la ratification a été autorisée par la loi nº 91-737 du 30 juillet 1991, notamment ses articles 2 et 100 ;

Vu le règlement (CE) nº 2252/2004 du 13 décembre 2004 du Conseil ;

Vu la position commune 2005/69 JAI du Conseil du 24 janvier 2005 ;

Vu le code civil ;

Vu le code général des impôts, notamment son article 953 ;

Vu le décret de la Convention nationale du 7 décembre 1792 relatif aux passeports à accorder à ceux qui seraient dans le cas de sortir du territoire français pour leurs affaires ;

Vu la loi du 14 ventôse an IV qui détermine le mode de délivrance des passeports à l'étranger ;

Vu la loi nº 69-3 du 3 janvier 1969 modifiée relative à l'exercice des activités ambulantes et au régime applicable aux personnes circulant en France sans domicile ni résidence fixe ;

Vu la loi nº 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;

Vu l'arrêté des consuls de la République du 12 messidor an VIII qui détermine les fonctions du préfet de police à Paris, notamment son article 3 ;

Vu le décret nº 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité ;

Vu le décret nº 62-921 du 3 août 1962 modifié modifiant certaines règles relatives aux actes de l'état civil, et notamment son article 11 ;

Vu le décret nº 93-1362 du 30 décembre 1993 relatif aux déclarations de nationalité, aux décisions de naturalisation, de réintégration, de perte, de déchéance et de retrait de la nationalité française, modifié par les décrets nº 98-720 du 20 août 1998 et nº 2005-25 du 14 janvier 2005 ;

Vu le décret nº 97-1191 du 19 décembre 1997 pris pour l'application au ministre de l'intérieur du 1° de l'article 2 du décret nº 97-34 du 15 janvier 1997 relatif à la déconcentration des décisions administratives individuelles ;

Vu le décret nº 2001-847 du 11 septembre 2001 relatif à la durée des passeports délivrés en Nouvelle-Calédonie, en Polynésie française, dans les îles Wallis et Futuna, à Mayotte et à Saint-Pierre-et-Miquelon ;

Vu le décret nº 2003-1377 du 31 décembre 2003 relatif à l'inscription au registre des Français établis hors de France, modifié par le décret nº 2005-302 du 30 mars 2005 ;

Vu le décret nº 2004-1543 du 30 décembre 2004 relatif aux attributions des chefs de postes consulaires en matière de titres de voyage, modifié par le décret nº 2005-851 du 27 juillet 2005 ;

Vu l'avis de la Commission nationale de l'informatique et des libertés en date du 22 novembre 2005 ;

Le Conseil d'Etat (section de l'intérieur) entendu,

Décrète :

TITRE Ier. DISPOSITIONS GÉNÉRALES

Chapitre Ier. Dispositions communes au passeport électronique, au passeport électronique de service et au passeport électronique de mission

Article 1. Le passeport électronique, le passeport électronique de service et le passeport électronique de mission mentionnent :

– le nom de famille, les prénoms dans l'ordre de l'état civil, la date et le lieu de naissance, le sexe et, si l'intéressé le demande, le nom dont l'usage est autorisé par la loi ;

– la couleur des yeux, la taille ;

– la nationalité ;

– le domicile ou la résidence ou, le cas échéant, la commune de rattachement de l'intéressé ou l'adresse de l'organisme d'accueil auprès duquel il est domicilié ;

– la date de délivrance et la date d'expiration du document, ainsi que l'autorité qui l'a délivré ;

– le numéro du passeport.

Ils comportent également la signature manuscrite et l'image numérisée de leur titulaire.

Ils certifient l'identité de leur titulaire.

Article 2. Afin de faciliter l'authentification du détenteur des passeports mentionnés à l'article 1er, ces titres comportent un composant électronique contenant les données mentionnées au même article, à l'exception de la signature.

Ce composant électronique, qui est une puce sans contact, comporte des sécurités de nature à prémunir le titulaire du titre contre les risques d'intrusion, de détournement et de modification.

Article 3. Afin de faciliter l'identification du détenteur des passeports mentionnés à l'article 1er et l'authentification de ces titres, ces titres comportent une zone de lecture optique contenant les informations suivantes : le nom de famille, le ou les prénoms, le sexe, la date de naissance et la nationalité du titulaire, le type de document, l'Etat émetteur, le numéro du titre et sa date d'expiration.

Chapitre II. Conditions de délivrance et de renouvellement du passeport électronique

Article 4. Le passeport électronique est délivré, sans condition d'âge, à tout Français qui en fait la demande.

Il a une durée de validité de dix ans. Lorsqu'il est délivré à un mineur, sa durée de validité est de cinq ans.

Article 5. Le passeport électronique est délivré ou renouvelé sur production de la copie intégrale d'un des actes de l'état civil figurant sur une liste déterminée par arrêté du ministre de l'intérieur.

La preuve de la nationalité française du demandeur est établie à partir de l'un des actes de l'état civil visés à l'alinéa précédent, portant le cas échéant, en marge, l'une des mentions prévues à l'article 28 du code civil.

Lorsque les actes de l'état civil visés au deuxième alinéa ne suffisent pas à établir la qualité de Français du demandeur, celle-ci peut être établie par la production de l'une des pièces justificatives de la nationalité française mentionnées aux articles 34 et 52 du décret du 30 décembre 1993 susvisé ou d'un certificat de nationalité française.

Le demandeur fournit deux photographies d'identité de format 35 x 45 mm, identiques, récentes et parfaitement ressemblantes, le représentant de face et tête nue.

Le demandeur justifie s'être acquitté du droit de timbre prévu par la loi.

Article 6. Le demandeur justifie de son domicile ou de sa résidence par tous moyens, notamment par la production d'un titre de propriété, d'un certificat d'imposition ou de non-imposition, d'une quittance de loyer, de gaz, d'électricité, de téléphone ou d'une attestation d'assurance du logement.

Le demandeur auquel la loi a fixé une commune de rattachement produit un livret spécial de circulation, un livret de circulation ou un carnet de circulation en cours de validité.

Le demandeur qui n'a pas la possibilité d'apporter la preuve d'un domicile ou d'une résidence, ou auquel la loi n'a pas fixé une commune de rattachement, fournit une attestation établissant son lien avec un organisme d'accueil figurant sur une liste établie par le préfet et, à Paris, par le préfet de police.

Article 7. Lorsque le passeport est demandé pour remplacer un passeport perdu ou volé, le demandeur produit, en outre, une déclaration de perte ou de vol.

Article 8. La demande de passeport faite au nom d'un mineur est présentée par une personne exerçant l'autorité parentale.

La demande de passeport faite au nom d'un majeur placé sous tutelle est présentée par son tuteur.

Dans l'un et l'autre cas, le représentant légal doit justifier de sa qualité.

Article 9. Le passeport électronique est délivré ou renouvelé par le préfet ou le sous-préfet.

A Paris, il est délivré ou renouvelé par le préfet de police.

A l'étranger, il est délivré ou renouvelé par le chef de poste consulaire.

Article 10. Le passeport est remis au demandeur au lieu de dépôt de la demande. Le demandeur signe le passeport en présence de l'agent qui le lui remet.

Le passeport d'un mineur lui est remis en présence d'une personne exerçant l'autorité parentale.

Article 11. Lors du renouvellement, le nouveau passeport est remis après restitution de l'ancien passeport.

L'ancien passeport peut être conservé par le demandeur dans le cas où il comporte un visa en cours de validité pour la durée de validité de ce visa.

Article 12. Le demandeur est informé de la mise à disposition du passeport par tout moyen. Tout passeport non retiré par l'intéressé, dans le délai de trois mois suivant sa mise à disposition par l'autorité auprès de laquelle la demande a été déposée, est détruit.

Chapitre III. Conditions de délivrance et de renouvellement du passeport électronique de service

Article 13. Un passeport de service peut être délivré :

1° Aux agents civils et militaires de l'Etat qui effectuent à l'étranger des missions sur ordre, présentant un intérêt national, pour le compte exclusif d'une administration centrale, et qui ne sont pas titulaires d'un passeport diplomatique ;

2° Aux agents civils et militaires de l'Etat affectés à l'étranger, attachés à une mission diplomatique permanente ou à un poste consulaire, et qui ne sont pas titulaires d'un passeport diplomatique ;

3° Au conjoint ou partenaire auquel il est lié par un pacte civil de solidarité et aux enfants mineurs à charge des agents mentionnés au 2° lorsque les circonstances locales nécessitent la délivrance d'un tel titre.

Le passeport de service a une durée de validité de cinq ans.

Article 14. La demande de passeport de service est déposée auprès du ministre de l'intérieur.

Elle est accompagnée d'une note circonstanciée établie par l'administration dont relève l'agent justifiant la nécessité de délivrer un passeport de service.

En cas d'affectation à l'étranger de l'intéressé, la décision portant nomination de l'agent est produite à l'appui de la demande.

Le passeport de service est délivré par le ministre de l'intérieur.

Le passeport de service ne peut être utilisé qu'aux fins pour lesquelles il est délivré.

Il est restitué par l'administration dont relève le titulaire à l'expiration de sa validité ou dès lors que son utilisation n'est plus justifiée.

Chapitre IV. Conditions de délivrance et de renouvellement du passeport électronique de mission

Article 15. Un passeport de mission peut être délivré aux agents civils et militaires de l'Etat qui se rendent en mission à l'étranger ou sont affectés à l'étranger et ne sont pas titulaires d'un passeport diplomatique ou d'un passeport de service.

Le passeport de mission a une durée de validité de cinq ans.

Article 16. Le passeport de mission est délivré :

– par le préfet ou le sous-préfet ;

– à Paris, par le préfet de police ;

– à l'étranger, par le chef de poste consulaire.

Article 17. La demande de passeport de mission est accompagnée d'un ordre de mission signé par l'autorité exerçant le pouvoir hiérarchique à l'égard du demandeur.

Le passeport de mission ne peut être utilisé qu'aux fins pour lesquelles il a été délivré.

Le passeport de mission est restitué à l'autorité qui l'a délivré à l'expiration de sa validité ou dès lors que son utilisation n'est plus justifiée.

TITRE II. DISPOSITIONS RELATIVES AU TRAITEMENT AUTOMATISÉ DES DONNÉES À CARACTÈRE PERSONNEL RELATIF À LA DÉLIVRANCE DU PASSEPORT ÉLECTRONIQUE, DU PASSEPORT ÉLECTRONIQUE DE SERVICE ET DU PASSEPORT ÉLECTRONIQUE DE MISSION

Article 18. Afin de mettre en oeuvre les procédures d'établissement, de délivrance, de renouvellement, de remplacement et de retrait des passeports mentionnés à l'article 1er, ainsi que pour prévenir, détecter et réprimer leur falsification et leur contrefaçon, le ministre de l'intérieur est autorisé à créer un système de traitement automatisé de données à caractère personnel.

Article 19. Les données à caractère personnel enregistrées dans le système de traitement automatisé prévu à l'article 18 sont :

a) Les données relatives au titulaire du passeport :

– le nom de famille, les prénoms et, si le requérant le demande, le nom dont l'usage est autorisé par la loi, la date et le lieu de naissance, le sexe ;

– la couleur des yeux, la taille ;

– le domicile ou la résidence ou, le cas échéant, la commune de rattachement de l'intéressé ou l'adresse de l'organisme d'accueil auprès duquel il est domicilié ;

– le cas échéant la décision attestant la capacité juridique du demandeur ;

b) Les informations relatives au titre :

– numéro de demande et de série fiscale du passeport ;

– type de passeport ;

– tarif du droit de timbre ;

– date et lieu de délivrance ;

– autorité de délivrance ;

– date d'expiration ;

– mention, avec la date, de la perte, du vol, de la destruction, de l'annulation ou du retrait ;

– mentions des justificatifs présentés à l'appui de la demande de passeport ;

– informations à caractère technique relatives à l'établissement du titre ;

– informations relatives à la demande de passeport : numéro de demande, lieu de dépôt, date de réception de la demande, date de l'envoi du titre au guichet de dépôt, motif de non-délivrance ;

c) Les données relatives au fabricant du passeport et aux agents chargés de la délivrance du passeport :

– identifiant de l'agent qui enregistre la demande de passeport ;

– identifiant du fabricant du passeport ;

– références des agents mentionnés à l'article 20.

Article 20. Les destinataires des données à caractère personnel enregistrées dans le système de traitement automatisé prévu à l'article 18 et dans le composant électronique prévu à l'article 2 sont les fonctionnaires du ministère de l'intérieur spécialement affectés dans le service mettant en oeuvre ledit système, ainsi que les seuls agents et personnels spécialement affectés à l'instruction des demandes de délivrance des passeports, énumérés ci-après :

– les agents chargés de l'application de la réglementation relative au passeport au ministère de l'intérieur et au ministère des affaires étrangères, individuellement habilités par le ministre de l'intérieur ou le ministre des affaires étrangères ou par les fonctionnaires que ces ministres ont désignés à cet effet ;

– les agents des préfectures et des sous-préfectures chargés de la délivrance des titres visés aux articles 4 et 15, individuellement habilités par le préfet ou le sous-préfet ;

– les agents diplomatiques et consulaires chargés de la délivrance des titres visés aux articles 4 et 15, individuellement habilités par l'ambassadeur ou le consul ;

– les agents chargés de la délivrance des passeports de service au ministère de l'intérieur, individuellement habilités par le ministre de l'intérieur ou par les fonctionnaires désignés par le ministre à cet effet.

Article 21. Pour les besoins exclusifs de l'accomplissement de leurs missions, les personnels chargés des missions de recherche et de contrôle de l'identité des personnes, de vérification de la validité et de l'authenticité des passeports au sein des services de la police nationale, de la gendarmerie nationale et des douanes peuvent accéder aux données à caractère personnel contenues dans le composant électronique du passeport prévu à l'article 2 et enregistrées dans le système de traitement automatisé prévu à l'article 18.

Article 22. Pour l'instruction des demandes de passeport, il est vérifié, par la consultation du fichier des personnes recherchées, qu'aucune décision judiciaire ni aucune circonstance particulière ne s'oppose à sa délivrance.

Il est également procédé à une consultation du système de fabrication et de gestion informatisée des cartes nationales d'identité et du système de traitement automatisé prévu à l'article 18, afin de vérifier si des titres ont déjà été sollicités ou délivrés sous l'identité du demandeur.

Article 23. Le système de traitement automatisé prévu à l'article 18 fait l'objet d'une interconnexion avec les systèmes d'information Schengen et INTERPOL. Cette interconnexion porte sur les informations relatives aux numéros des passeports perdus ou volés ainsi que sur l'indication relative au pays émetteur, au type et au caractère vierge ou personnalisé du document.

Article 24. La durée de conservation des données à caractère personnel enregistrées dans le système de traitement automatisé prévu à l'article 18 est de quinze ans lorsque le titre est délivré à un majeur et de dix ans lorsqu'il est délivré à un mineur.

La durée de conservation de ces données à caractère personnel est de dix ans pour le passeport de service et le passeport de mission.

Article 25. La remise du passeport s'accompagne d'une copie sur papier des données nominatives enregistrées dans le composant électronique. Le titulaire exerce son droit de rectification pour ces données auprès de l'autorité de délivrance.

Article 26. Le droit d'accès et le droit de rectification s'exercent auprès de l'autorité de délivrance dans les conditions fixées aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée.

Article 27. Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas au présent traitement.

TITRE III. DISPOSITIONS FINALES ET TRANSITOIRES

Article 28. Un arrêté du ministre de l'intérieur fixe les dates à partir desquelles seront reçues les demandes de passeport électronique dans les départements en métropole.

Un arrêté conjoint du ministre de l'intérieur et du ministre de l'outre-mer fixe les dates à partir desquelles seront reçues les demandes de passeport électronique dans les départements d'outre-mer, les collectivités d'outre-mer et la Nouvelle-Calédonie.

Un arrêté conjoint du ministre de l'intérieur et du ministre des affaires étrangères fixe les dates à partir desquelles seront reçues les demandes de passeport électronique des Français établis hors de France.

Un arrêté du ministre de l'intérieur fixe la date à partir de laquelle seront reçues les demandes de passeport électronique de service.

Article 29. I. – Le présent décret est applicable à Mayotte, dans les îles Wallis et Futuna, en Polynésie française et en Nouvelle-Calédonie.

II. – Pour l'application du dernier alinéa de l'article 5, dans les collectivités d'outre-mer et en Nouvelle-Calédonie, les mots : » la loi » sont remplacés par les mots : » les dispositions applicables localement «.

III. – Pour son application à Mayotte, le mot : » préfet » est remplacé par les mots » représentant de l'Etat à Mayotte «.

Pour les demandeurs mineurs ayant conservé leur statut personnel, les mots : » exerçant l'autorité parentale « sont remplacés par les mots : » exerçant dans les faits l'autorité parentale «.

IV. – Pour son application dans les îles Wallis et Futuna, le mot : » commune » est remplacé par le mot : » circonscription territoriale «. Les mots : » préfet « et » sous-préfet « sont remplacés respectivement par les mots : » administrateur supérieur « et «délégué de l'administrateur supérieur «.

V. – Pour son application en Polynésie française, les mots : » préfet « et » sous-préfet « sont remplacés respectivement par les mots : » haut-commissaire de la République « et » chef de subdivision administrative «.

VI. – Pour son application en Nouvelle-Calédonie, les mots : » préfet « et » sous-préfet » sont remplacés respectivement par les mots : » haut-commissaire de la République « et » commissaire délégué «.

Article 30. Le décret nº 2001-185 du 26 février 2001 relatif aux conditions de délivrance et de renouvellement des passeports, le décret nº 2001-847 du 11 septembre 2001 relatif à la durée des passeports délivrés en Nouvelle-Calédonie, en Polynésie Française, dans les îles Wallis et Futuna, à Mayotte et à Saint-Pierre-et-Miquelon, à l'exception de son article 3, et le décret nº 2001-893 du 26 septembre 2001 relatif au passeport de service sont abrogés.

Toutefois, les autorités compétentes pourront délivrer des passeports en application des décrets mentionnés à l'alinéa précédent jusqu'aux dates fixées dans les conditions de l'article 28.

Article 31. Le ministre d'Etat, ministre de l'intérieur et de l'aménagement du territoire, le ministre des affaires étrangères, le ministre de l'économie, des finances et de l'industrie, le garde des sceaux, ministre de la justice, et le ministre de l'outre-mer sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.

Fait à Paris, le 30 décembre 2005.

Par le Premier ministre : Dominique de Villepin

Le ministre d'Etat, ministre de l'intérieur et de l'aménagement du territoire, Nicolas Sarkozy

Le ministre des affaires étrangères, Philippe Douste-Blazy

Le ministre de l'économie, des finances et de l'industrie, Thierry Breton

Le garde des sceaux, ministre de la justice, Pascal Clément

Le ministre de l'outre-mer, François Baroin

Ley publicada en el Suplemento nº 2 del Periódico Oficial del Estado de Colima, el sábado 30 de mayo de 2009.

DECRETO nº 556.- SE APRUEBA LA LEY SOBRE EL USO DE MEDIOS ELECTRÓNICOS Y FIRMAS ELECTRÓNICAS PARA EL ESTADO DE COLIMA.

LIC. JESÚS SILVERIO CAVAZOS CEBALLOS, Gobernador Constitucional del Estado Libre y Soberano de Colima, a sus habitantes sabed:

Que el H. Congreso del Estado me ha dirigido para su publicación el siguiente

DECRETO

EL HONORABLE CONGRESO CONSTITUCIONAL DEL ESTADO LIBRE Y SOBERANO DE COLIMA, EN EJERCICIO DE LAS FACULTADES QUE LE CONFIERE LOS ARTÍCULOS 33 FRACCIÓN II, Y 39 DE LA CONSTITUCIÓN POLÍTICA LOCAL, EN NOMBRE DEL PUEBLO, Y

CONSIDERANDO

PRIMERO.- Que mediante oficio número 824/07 de fecha 11 de septiembre de 2008, los Diputados Secretarios del H. Congreso del Estado, turnaron a las Comisiones de Estudios Legislativos y Puntos
Constitucionales y de Ciencia, Tecnología e Innovación Gubernamental, la Iniciativa de Ley con Proyecto de Decreto presentada por el Licenciado Jesús Silverio Cavazos Ceballos, Gobernador Constitucional del Estado Libre y Soberano de Colima, relativa a la Ley sobre el Uso de Medios Electrónicos y Firmas Electrónicas para el Estado de Colima, la cual dentro de su exposición de motivos señala que:

* Dentro del propio Plan de Desarrollo 2004-2009, se fijaron estrategias y líneas de acción para el cumplimiento del objetivo antes descrito, el fortalecimiento de la innovación gubernamental mediante el desarrollo telemático; así como las de consolidar el gobierno electrónico de Colima y los servicios electrónicos de gobierno; avanzar hacia una sociedad de la información ampliando la cobertura social en el acceso a las tecnologías de información en el Estado.

* Por otra parte en el Programa Sectorial de la Administración Pública 2004-2009, dentro del subprograma de innovación gubernamental se establece como meta de la administración pública estatal, la implementación de la firma electrónica en los trámites y procedimientos internos de las dependencias que auxilian al Titular del Ejecutivo, eficientando el ejercicio de la función pública.

* Ante la experiencia alcanzada en la instrumentación del gobierno electrónico y la actualización de la infraestructura tecnológica de información y de las telecomunicaciones, en las dependencias de Gobierno del Estado, facilitando con ello la comunicación interinstitucional, mediante el intercambio y acceso a la información vía internet; se hace necesario e inminente, la regulación de las modalidades de intercambio de información por medios electrónicos, y su plena validez mediante la utilización de la firma electrónica certificada, a partir de las cuales han de desarrollarse las nuevas modalidades de transmisión y recepción de información, a fin de
garantizar un marco jurídico mínimo indispensable que permita a los diversos agentes involucrados, desarrollarse y contribuir con el avance de las nuevas tecnologías.

* El presente ordenamiento tiene como objeto constituir una codificación legal que regule el uso de documentos electrónicos, medios electrónicos y la utilización en ellos de firma electrónica certificada por los órganos de estado y de los gobernados con los que se relaciona, con el objeto de garantizar su validez y el cumplimiento de las obligaciones y compromisos asumidos mediante dichos mecanismos y constituirse en un aporte necesario e indispensable que permita constituirse que permita constituir la base jurídica para el desarrollo de éstas tecnologías, estableciéndose como elementos principales la identificación de las partes y la integridad del
documento electrónico y el mensaje de datos.

SEGUNDO.- Que mediante oficio número 2345/08 de fecha 8 de abril de 2008, los Diputados Secretarios del H. Congreso del Estado, turnaron a la Comisión de Estudios Legislativos y Puntos Constitucionales, la Iniciativa de Ley con Proyecto de Decreto presentada por el Diputado Humberto Cabrera Dueñas y demás Integrantes del Grupo Parlamentario del Partido Acción Nacional, relativa a Ley de Firma Electrónica para el Estado de Colima, la que en su punto expositivo establece que:

* La sociedad moderna, ha experimentado en gran escala los desarrollos tecnológicos por los cuales atraviesan los sistemas electrónicos y de información, que cada vez ofrecen mayores aportaciones a la humanidad, facilitando las tareas diarias que desempeñan las personas con motivo de su trabajo, escuela o diversión.

* Uno de los desarrollos tecnológicos que ha impactado a nivel mundial es la implementación de los medios electrónicos y el uso de la firma electrónica.

* La firma electrónica se basa en el reconocimiento de las funciones que cumple una firma manuscrita en papel, por lo general, la firma manuscrita identifica a una persona, proporciona certidumbre en cuanto a su participación personal en el acto de la firma, y lo vincula al contenido del documento.

* Para que la firma electrónica pueda tener validez jurídica, ésta debe llenar ciertos requisitos que den seguridad y confianza tanto al usuario como a la parte con quien se lleva a cabo el negocio o trámite.

* El Estado de Colima, ha tenido a la fecha grandes avances a lo que refiere en Gobierno electrónico, y ha sido ejemplo de otros Gobiernos Estatales para implementar las medidas tecnológicas que se han venido utilizando en los últimos años, no obstante lo anterior, aún falta seguir legislando para la implementación de la firma electrónica en nuestro Estado.

* El uso de la firma electrónica genera rapidez en la información enviada o recibida, ahorro de espacio mediante los documentos electrónicos que actualmente ocupa el papel, economía en el uso de copias, toner, hojas, tinta, carpetas, costo de envío, gasolina, recurso humano, entre otros muchos beneficios.

* La iniciativa de Ley de Firma Electrónica para el Estado de Colima, que se presenta, prevé que la firma electrónica reconocida se equipare a la firma manuscrita, debido a que ésta se basa en un certificado electrónico reconocido y haya sido creada por un dispositivo seguro de creación.

TERCERO.- Que esta Comisión una vez llevado a cabo el análisis y estudio de la propuesta, considera que la aprobación de la ley de Firma Electrónica viene a actualizar el desarrollo de las modalidades de transmisión y recepción de información, lo cual quiere decir que con el uso de la tecnología por internet se están creando nuevas formar para eficientar el trabajo diario, lo que ha hecho que evolucione a pasos gigantescos el quehacer diario de los individuos en la tecnología, por lo que la actualización de los procedimientos y métodos para satisfacer el reclamo de la sociedad para la obtención de un mejor servicio gubernamental no es más que un paso a lo que en la actualidad se esta viviendo, provocando el fenómeno de modernización del Estado en materia de tecnología, con la implementación de la firma electrónica en los trámites y procedimientos internos de las dependencias que auxilian al Titular del Ejecutivo, eficientando el ejercicio de la función pública.

Por eso, con el fin de garantizar un marco jurídico mínimo indispensable que permita a los diversos agentes involucrados, desarrollarse y contribuir con el avance de las nuevas tecnologías, pues como el iniciador afirma, que ante la experiencia alcanzada en la instrumentación del gobierno electrónico y la actualización de la infraestructura tecnológica de información y de las telecomunicaciones, las dependencias de Gobierno del Estado se constituyen en facilitadores respecto de la comunicación interinstitucional, mediante el intercambio y acceso a la información vía internet; por ello se hace necesario e inminente la regulación de las modalidades de intercambio de información por medios electrónicos, y su plena validez mediante la utilización de la firma electrónica certificada, a partir de las cuales han de desarrollarse las nuevas modalidades de transmisión y recepción de información.

Efectivamente coincidimos con el iniciador en el sentido de que este nuevo ordenamiento tiene como objetivo constituir una codificación legal que regule el uso de documentos electrónicos, medios electrónicos y la utilización en ellos de firma electrónica certificada por los órganos de estado y de los gobernados con los que se relaciona, con el objeto de garantizar su validez y el cumplimiento de las obligaciones y compromisos asumidos mediante dichos mecanismos y constituirse en un aporte necesario e indispensable que permita constituir la base jurídica para el desarrollo de éstas tecnologías, estableciéndose como elementos principales la identificación de las partes y la integridad del documento electrónico y el mensaje de datos.

Por último, cabe destacar la plena disposición de los iniciadores de este nuevo proyecto de Ley de Firma Electrónica para el Estado de Colima, donde se unificaron los criterios, teniendo como resultado el proyecto que se presenta ante el Pleno de esta Soberanía, con la oportunidad de que en un plazo no mayor de ciento ochenta días, se lleven a cabo las reformas a las normas secundaria donde impactará la ley que se propone.

Por lo anteriormente expuesto se expide el siguiente

D E C R E T O nº 556

«Artículo ÚNICO.- Se aprueba la Ley sobre el Uso de Medios Electrónicos y Firmas Electrónicas para el Estado de Colima, para quedar en los siguientes términos:

LEY SOBRE EL USO DE MEDIOS ELECTRÓNICOS Y FIRMA ELECTRÓNICA PARA EL ESTADO DE COLIMA

TÍTULO PRIMERO.- DISPOSICIONES GENERALES

CAPÍTULO ÚNICO

Artículo 1°.- La presente Leyes de orden público e interés general y tiene por objeto regular en el Estado de Colima el uso de documentos electrónicos y sus efectos legales, los medios electrónicos, la utilización de la firma electrónica certificada en los documentos escritos o electrónicos expedidos por órganos del Gobierno del Estado; así como la utilización en ellos de firma electrónica certificada, su eficacia jurídica y la prestación de servicios de certificación, por los órganos de estado, las entidades dependientes o vinculadas al mismo, las relaciones que mantengan aquellas y éstos entre sí o con los particulares.

Las actividades reguladas por esta Ley se someterán a los principios de libertad de prestación de servicios, libre competencia, neutralidad tecnológica, compatibilidad internacional y equivalencia del soporte electrónico al soporte de papel.

Toda interpretación de los preceptos de esta Ley deberá guardar armonía con los principios señalados.

Artículo 2°.– Son sujetos de esta Ley:

I.- El Poder Ejecutivo, Legislativo y Judicial del Estado de Colima;

II.- Los Organismos Autónomos, dependencias y entidades de la Administración Pública Estatal;

III.- Los Ayuntamientos del Estado de Colima; y

IV.- Los particulares que decidan utilizar la firma electrónica certificada, por medios electrónicos, ante los órganos del Estado de Colima, en los términos de la presente Ley.

Artículo 3°.– Para los efectos de esta Ley se entenderá por:

I.- Autoridad certificadora.- Organismo público facultado para otorgar un certificado de firma electrónica certificada, o en su caso, autorizar la prestación de servicios de certificación, así como la prestación de otros servicios relacionados con la firma electrónica certificada;

II.- Certificación de un prestador de servicios de Certificación.- Es el procedimiento por el que la Autoridad Certificadora, emite una declaración facultando a una dependencia del sector público, para la prestación de servicios de certificación de firma electrónica certificada, que implica un reconocimiento del cumplimiento de requisitos específicos en la prestación de los servicios que se ofrecen al público;

III.- Certificado electrónico.- Es un documento firmado electrónicamente por un prestador de servicios de certificación mediante el cual se vincula los datos de verificación de firma a un firmante y permite confirmar la identidad del mismo;

IV.- Datos de creación de firma electrónica certificada.- Son los datos únicos, como códigos o claves criptográficas privadas, que el firmante utiliza para crear la firma electrónica certificada;

V.- Datos de verificación de firma electrónica certificada.- Son los datos, como códigos o claves criptográficas públicas, que se utilizan para verificar la firma electrónica certificada;

VI.- Dispositivo de creación de firma electrónica certificada.- Es un programa o sistema informático que sirve para aplicar los datos de creación de firma electrónica certificada;

VII.- Dispositivo de verificación de firma electrónica certificada.- Es un programa o sistema informático que sirve para aplicar los datos de verificación de firma electrónica certificada;

VIII.- Documento electrónico.- El redactado en soporte electrónico que incorpore datos que estén firmados electrónicamente;

IX.- Documento escrito.- Documentos en papel expedidos por los órganos de estado, sus organismos autónomos, los Ayuntamientos, y las Dependencias o Entidades de la Administración Pública Estatal o Municipal;

X.- Fecha electrónica.- El conjunto de datos en forma electrónica utilizados como medio para constatar el momento en que se ha efectuado una actuación sobre otros datos electrónicos a los que están asociados;

XI.- Firma electrónica certificada.- Aquélla que ha sido certificada por la autoridad certificadora o el prestador de servicios de certificación facultado para ello, en los términos que señale esta Ley, consistente en el conjunto de datos electrónicos integrados o asociados inequívocamente a un mensaje de datos que permite asegurar la integridad y autenticidad de ésta y la identidad del firmante;

XII.- Firmante.- Es la persona que posee un dispositivo de creación de firma y que actúa en nombre propio o en nombre de una persona física o jurídica a la que representa;

XIII.- Mensaje de Datos.- La información generada, enviada, recibida o archivada por medios electrónicos, ópticos o cualquier otra tecnología;

XIV.- Prestador de Servicios de Certificación.- El organismo público que expide certificados electrónicos o presta otros servicios en relación con la firma electrónica; y

XV.- Secretaria de Administración.- La Secretaría de Administración del Poder Ejecutivo Estatal.

Artículo 4°.– La firma electrónica certificada utilizada en documentos electrónicos o documentos escritos tendrá respecto de los datos consignados en forma electrónica el mismo valor que la firma manuscrita en relación con los consignados en papel; y no altera las normas relativas a la celebración, formalización, validez y eficacia de los contratos y cualesquiera otros actos jurídicos, ni las relativas a los documentos en que unos y otros consten.

Cuando la Ley requiera o las partes acuerden la existencia de una firma electrónica certificada en relación con un mensaje de datos, se entenderá satisfecho dicho requerimiento si se utiliza una firma electrónica que resulte apropiada para los fines para los cuales se generó o comunicó ese Mensaje de Datos.

Artículo 5°.- Cuando la Ley exija la forma escrita para los actos, convenios o contratos, este supuesto se tendrá por cumplido tratándose de documentos electrónicos y mensajes de datos, siempre que la información en él contenida se mantenga íntegra y sea accesible para su ulterior consulta, sin importar el formato en el que se encuentra o represente.

Cuando adicionalmente la ley exija la firma autógrafa de las partes, dicho requisito se tendrá por cumplido tratándose de mensaje de datos y documentos electrónicos, siempre que en éste se utilice la firma electrónica certificada y sea atribuible a dichas partes.

Artículo 6°.- El documento electrónico será soporte de:

I.- Documentos públicos, por estar firmados electrónicamente por funcionarios que tengan legalmente atribuida la facultad de dar fe pública, judicial, notarial o administrativa, siempre que actúen en el ámbito de sus competencias con los requisitos exigidos por la ley en cada caso;

II.- Documentos expedidos y firmados electrónicamente por funcionarios o empleados públicos en el ejercicio de sus funciones públicas, conforme a su legislación específica; y

III.- Documentos privados.

Los documentos electrónicos, tendrán el valor que corresponda a su respectiva naturaleza, de conformidad con la legislación que les resulte aplicable.

Artículo 7°.- Los actos y contratos otorgados o celebrados por personas naturales o jurídicas, públicas o privadas, suscritos por medio de firma electrónica, serán válidos de la misma manera y producirán los mismos efectos que los celebrados por escrito y en soporte de papel. Dichos actos y contratos se reputarán como escritos, en los casos en que la Ley así lo exija.

Lo dispuesto en el inciso anterior no será aplicable a los actos y contratos otorgados o celebrados en los casos siguientes:

a) Aquellos en que la Ley exige una solemnidad que no sea susceptible de cumplirse mediante documento electrónico; y

b) Aquellos en que la Ley requiera la concurrencia personal de alguna de las partes.

Artículo 8°.- Si se impugnare la autenticidad de la firma electrónica certificada, con la que se hayan firmado los datos incorporados al documento electrónico, se procederá a comprobar por los prestadores de servicio de certificación que expide los certificados electrónicos, cumplen todos los requisitos establecidos en la Ley en cuanto a la garantía de los servicios que presta en la comprobación de la eficacia de la firma electrónica certificada, y en especial, las obligaciones de garantizar la confidencialidad del proceso así como la autenticidad, conservación e integridad de la información generada y la identidad de los firmantes. Si se impugna la autenticidad de la firma electrónica certificada, con la que se hayan firmado los datos incorporados al documento electrónico, se estará a lo establecido en el Artículo 341 del Código de Procedimientos Civiles vigente para el Estado.

TÍTULO SEGUNDO.- USO DE FIRMAS ELECTRÓNICAS Y MEDIOS ELECTRÓNICOS POR LOS ÓRGANOS DEL ESTADO

CAPÍTULO ÚNICO

Artículo 9°.- Las dependencias o entidades de los Poderes Ejecutivo, Legislativo y Judicial, organismos autónomos y Ayuntamientos, podrán para hacer más accesibles, ágiles y sencillos los actos, convenios, comunicaciones, procedimientos administrativos, trámites, prestación de los servicios, contratos y expedición de cualquier documento, dentro de su ámbito de competencia, suscribirlos por medio de firma electrónica certificada.

Se exceptúan aquellas actuaciones para las cuales la Constitución Política de los Estados Unidos Mexicanos, la Constitución Política para el Estado de Colima o la Ley, exijan una solemnidad que no sea susceptible de cumplirse mediante documento electrónico, o requiera la concurrencia personal de la autoridad o funcionario que deba intervenir en ellas.

Artículo 10.- Las dependencias o entidades señaladas en el Artículo anterior, con el objeto de salvaguardar las garantías de cada procedimiento, podrán establecer condiciones adicionales a la utilización de la firma electrónica certificada en los procedimientos que ante ellos se desahoguen. Dichas condiciones podrán incluir, entre otras, la imposición de fechas electrónicas sobre los documentos electrónicos integrados en un expediente administrativo y la conservación de la información generada en los procedimientos tratándose de medios y documentos electrónicos por los períodos de tiempo que para tal efecto establezcan los reglamentos respectivos.

Los órganos del Estado deberán evitar, al hacer uso de firmas electrónicas certificadas, restringir injustificadamente el acceso a las prestaciones que brinden y a la publicidad y transparencia que rijan sus actuaciones y, en general, que se cause discriminaciones arbitrarias.

Artículo 11.- La certificación de las firmas electrónicas de los órganos de Estado, las entidades dependientes o vinculadas al mismo, y los particulares se realizará mediante la autoridad certificadora competente de acuerdo a lo establecido en el Capítulo Tercero de la Ley y los Reglamentos internos respectivos.

Dicha certificación deberá contener, además de las menciones que corresponda, la fecha y hora de la emisión del documento.

Artículo 12.– Los órganos del Estado podrán contratar los servicios de certificación de firmas electrónicas con entidades certificadoras acreditadas, si ello resultare más conveniente, técnica o económicamente, en las condiciones que señale el respectivo Reglamento.

Artículo 13.– Los reglamentos aplicables a los correspondientes órganos del Estado regularán la forma cómo se garantizará la publicidad, seguridad, integridad y eficacia en el uso de las firmas electrónicas, y las demás necesarias para la aplicación de las normas de este Título.

Los órganos de Estado, deberán verificar la firma electrónica certificada, la vigencia del certificado de firma electrónica y, en su caso, la fecha electrónica, en los actos, convenios, comunicaciones, procedimientos administrativos, trámites y la prestación de los servicios públicos que correspondan a éstos; así como en las solicitudes y promociones que en relación con los mismos realicen los particulares.

Artículo 14.– El uso de medios electrónicos a que se refiere esta Ley será optativo para los particulares.

Quienes opten por el uso de medios electrónicos en los actos, convenios, comunicaciones, procedimientos administrativos, trámites y la prestación de los servicios públicos que corresponden al Poder Ejecutivo, al Poder Legislativo, al Poder Judicial, a los Organismos Autónomos, a los Ayuntamientos y cualquier entidad o dependencia de la Administración Pública Estatal o Municipal, quedarán sujetos a las disposiciones de este Ordenamiento.

Artículo 15.– Para que surta efectos un mensaje de datos, se requiere de un acuse de recibo electrónico, entendiéndose como tal el generado por el sistema de información del destinatario.

Se considera que el mensaje de datos ha sido enviado y recibido, cuando se pruebe la existencia del acuse de recibo electrónico respectivo.

Artículo 16.– El contenido de los mensajes de datos que contengan firma electrónica certificada, relativos a los actos, convenios, comunicaciones, procedimientos administrativos, trámites, prestación de los servicios públicos y las solicitudes y promociones que se realicen utilizando medios electrónicos, deberán conservarse en archivos electrónicos y hacerse constar íntegramente en forma impresa, integrando expediente, cuando así lo soliciten expresamente los interesados o lo determine la autoridad competente.

Artículo 17.– Todo mensaje de datos se tendrá por expedido en el lugar donde el emisor tenga su domicilio legal y por recibido en el lugar donde el destinatario tenga el suyo, salvo prueba o acuerdo en contrario.

Artículo 18.- Los documentos presentados por los particulares por medios electrónicos que contengan la firma electrónica certificada, producirán en términos de esta Ley, los mismos efectos que los documentos firmados de manera autógrafa.

Las autoridades podrán expedir documentos por medios electrónicos que contengan la firma electrónica certificada cuando reúnan los requisitos señalados en esta Ley.

Artículo 19.- Se presumirá salvo prueba en contrario, que un mensaje de datos proviene de una persona determinada, cuando contenga su firma electrónica certificada.

Artículo 20.– El momento de recepción de un mensaje de datos se determinará de la forma siguiente:

I.- Al ingresar en el sistema de información designado por el destinatario; y

II.- De no haber un sistema de información designado, en el momento en que el destinatario se manifieste sabedor de dicha información.

Artículo 21.– Cuando los particulares realicen comunicaciones o soliciten la prestación de servicios públicos o promuevan cualquier trámite por medios electrónicos en hora o día inhábil, se tendrán por presentados en la primera hora hábil del siguiente día hábil.

Los documentos a que se refiere el párrafo anterior se tendrán por no presentados, cuando no contengan la firma electrónica certificada.

Artículo 22.- Cuando las leyes requieran que una información o documento sea presentado y conservado en su forma original, se tendrá por satisfecho este requisito, respecto a un mensaje de datos, si existe garantía confiable de que se ha conservado la integridad de la información, a partir del momento en que se generó por primera vez en su forma definitiva, como mensaje de datos o en alguna otra forma, y de requerirse la presentación de la información, si la misma puede mostrarse a la persona a la que se deba presentar. Lo anterior sin perjuicio de lo dispuesto por el Artículo 9°, párrafo segundo, de esta Ley.

TÍTULO TERCERO.- DE LAS AUTORIDADES CERTIFICADORAS

CAPÍTULO ÚNICO

Artículo 23.- Para los efectos de la presente Ley, serán autoridades certificadoras en su respectivo ámbito de competencia:

I.- El Poder Ejecutivo por Conducto de la Secretaría de Administración;

II.- El Poder Legislativo;

III.- El Poder Judicial;

IV.- Los Organismos Autónomos; y

V.- Los Ayuntamientos.

Artículo 24.- Las autoridades Certificadoras tendrán las siguientes atribuciones:

I.- Otorgar a las personas físicas o morales, organismos públicos o privados certificados de firma electrónica y prestar servicios relacionados con la certificación;

II.- Facultar a los organismos públicos, para que expidan certificados de firma electrónica y a prestar servicios relacionados con la certificación;

III.- Llevar el registro de certificados de firma electrónica, así como los organismos públicos, autorizados para expedir certificados de firma electrónica;

IV.- Celebrar los convenios de colaboración entre si, para la prestación de servicios de certificación, así como establecer los estándares tecnológicos y operativos de la infraestructura de la firma electrónica certificada y servicios electrónicos, aplicables en el ámbito de su competencia;

V.- Colaborar en el desarrollo de sistemas informáticos internos y externos para la prestación de servicios; y

VI.- Las demás que les otorgue esta Ley y su Reglamento.

Artículo 25.- Son prestadores de servicios de certificación los organismos públicos establecidos por la autoridad certificadora, para que otorguen certificados de firma electrónica, sin perjuicio de los demás servicios que puedan realizar.

La autorización para prestar servicios de certificación podrá ser solicitada por organismos públicos y será otorgada, por las autoridades certificadoras establecidas en el Artículo 23 de la presente Ley.

La autorización deberá publicarse en el Periódico Oficial del Gobierno del Estado, previamente al inicio de la prestación de los servicios.

Artículo 26.- El prestador de servicios de certificación, deberá informar al solicitante antes de la expedición del certificado de firma electrónica la siguiente información mínima, que deberá transmitirse de forma gratuita, por escrito o por vía electrónica:

I.- Las obligaciones del firmante, la forma en que han de custodiarse los datos de creación de firma electrónica certificada, el procedimiento que haya de seguirse para comunicar la pérdida o posible utilización indebida de dichos datos y determinados dispositivos de creación y de verificación de firma electrónica que sean compatibles con los datos de firma y con el certificado expedido;

II.- Los mecanismos para garantizar la fiabilidad de la firma electrónica de un documento a lo largo del tiempo;

III.- El método utilizado por el prestador de servicios de certificación para comprobar la identidad del firmante u otros datos que figuren en el certificado; y

IV.- Las condiciones precisas de utilización del certificado, sus posibles límites de uso y la forma en que el prestador garantiza su responsabilidad patrimonial.

El prestador de servicios de certificación deberá mantener un directorio actualizado de certificados en el que se indicarán los certificados expedidos y si están vigentes o si su vigencia ha sido suspendida o extinguida. La integridad del directorio se protegerá mediante la utilización de los mecanismos de seguridad adecuados.

Asimismo, deberá garantizar la disponibilidad de un servicio de consulta sobre la vigencia de los certificados rápido y seguro.

Artículo 27.– Requisitos para la autorización de prestación de servicios de certificación con la expedición de certificados reconocidos.

Los prestadores de servicios de certificación que expidan certificados de firma electrónica deberán cumplir las siguientes obligaciones:

I.- Demostrar la fiabilidad necesaria para prestar servicios de certificación;

II.- Garantizar que pueda determinarse con precisión la fecha y la hora en las que se expidió un certificado o se extinguió o suspendió su vigencia;

III.- Emplear personal con la cualificación, conocimientos y experiencia necesarios para la prestación de los servicios de certificación ofrecidos y los procedimientos de seguridad y de gestión adecuados en el ámbito de la firma electrónica;

IV.- Utilizar sistemas y productos fiables que estén protegidos contra toda alteración y que garanticen la seguridad técnica y, en su caso, criptográfica de los procesos de certificación a los que sirven de soporte;

V.- Tomar medidas contra la falsificación de certificados y, en el caso de que el prestador de servicios de certificación genere datos de creación de firma, garantizar su confidencialidad durante el proceso de generación y su entrega por un procedimiento seguro al firmante;

VI.- Conservar registrada por cualquier medio seguro toda la información y documentación relativa a un certificado de firma electrónica y las declaraciones de prácticas de certificación vigentes en cada momento, al menos durante 5 años contados desde el momento de su expedición, de manera que puedan verificarse las firmas efectuadas con el mismo; y

VII.- Utilizar sistemas fiables para almacenar certificados reconocidos que permitan comprobar su autenticidad e impedir que personas no autorizadas alteren los datos, restrinjan su accesibilidad en los supuestos o a las personas que el firmante haya indicado y permitan detectar cualquier cambio que afecte a estas condiciones de seguridad.

Los prestadores de servicios de certificación que expidan certificados de firma electrónica deberán constituir un seguro de responsabilidad civil para afrontar el riesgo de la responsabilidad por los daños y perjuicios que pueda ocasionar el uso de los certificados que expidan.

Artículo 28.- El prestador de servicios de certificación que vaya a cesar en su actividad deberá comunicarlo a los firmantes que utilicen los certificados electrónicos que haya expedido así como a los solicitantes de certificados expedidos a favor de personas jurídicas; y podrá transferir, con su consentimiento expreso, la gestión de los que sigan siendo válidos en la fecha en que el cese se produzca a otro prestador de servicios de certificación que los asuma o, en caso contrario, extinguir su vigencia. La citada comunicación se llevará a cabo con una antelación mínima de dos meses al cese efectivo de la actividad e informará, en su caso, sobre las características.

Artículo 29.- Los prestadores de servicios de certificación serán responsables de los daños y perjuicios que en el ejercicio de su actividad ocasionen por la certificación u homologación de certificados de firmas electrónicas. En todo caso, corresponderá al prestador de servicios demostrar que actuó con la debida diligencia.

Sin perjuicio de lo dispuesto en el inciso anterior, los prestadores no serán responsables de los daños que tengan su origen en el uso indebido o fraudulento de un certificado de firma electrónica.

Artículo 30.– El certificado de firma electrónica provisto por una entidad certificadora podrá establecer límites en cuanto a sus posibles usos, siempre y cuando los límites sean reconocibles por tercero. El proveedor de servicios de certificación quedará eximido de responsabilidad por los daños y perjuicios causados por el uso que exceda de los límites indicados en el certificado.

Artículo 31.– El prestador de servicios de certificación no será responsable de los daños y perjuicios ocasionados al firmante o terceros de buena fe, si el firmante incurre en alguno de los siguientes supuestos:

I.- No haber proporcionado al prestador de servicios de certificación información veraz, completa y exacta sobre los datos que deban constar en el certificado electrónico o que sean necesarios para su expedición o para la extinción o suspensión de su vigencia, cuando su inexactitud no haya podido ser detectada por el prestador de servicios de certificación;

II.- La falta de comunicación sin demora al prestador de servicios de certificación de cualquier modificación de las circunstancias reflejadas en el certificado electrónico;

III.- Negligencia en la conservación de sus datos de creación de firma, en el aseguramiento de su confidencialidad y en la protección de todo acceso o revelación;

IV.- No solicitar la suspensión o revocación del certificado electrónico en caso de duda en cuanto al mantenimiento de la confidencialidad de sus datos de creación de firma;

V.- Utilizar los datos de creación de firma cuando haya expirado el periodo de validez del certificado electrónico o el prestador de servicios de certificación le notifique la extinción o suspensión de su vigencia; y

VI.- Superar los límites que figuren en el certificado electrónico en cuanto a sus posibles usos y al importe individualizado de las transacciones que puedan realizarse con él o no utilizarlo conforme a las condiciones establecidas y comunicadas al firmante por el prestador de servicios de certificación.

En el caso de los certificados electrónicos que recojan un poder de representación del firmante, tanto éste como la persona o entidad representada, cuando ésta tenga conocimiento de la existencia del certificado, están obligados a solicitar la revocación o suspensión de la vigencia del certificado en los términos previstos en esta Ley.

Artículo 32.- El prestador de servicios de certificación tampoco será responsable por los daños y perjuicios ocasionados al firmante o a terceros de buena fe si el destinatario de los documentos firmados electrónicamente actúa de forma negligente. Se entenderá, en particular, que el destinatario actúa de forma negligente en los siguientes casos:

a) Cuando no compruebe y tenga en cuenta las restricciones que figuren en el certificado electrónico en cuanto a sus posibles usos y al importe individualizado de las transacciones que puedan realizarse con él; y

b) Cuando no tanga en cuenta la suspensión o pérdida de vigencia del certificado electrónico publicada en el servicio de consulta sobre la vigencia de los certificados o cuando no verifique la firma electrónica.

El prestador de servicios de certificación no será responsable de los daños y perjuicios ocasionados al firmante o terceros de buena fe por la inexactitud de los datos que consten en el certificado electrónico, si éstos le han sido acreditados mediante documento público. En caso de que dichos datos deban figurar inscritos en un Registro Público, el prestador de servicios de certificación deberá comprobarlos en el citado Registro en el momento inmediato anterior a la expedición del certificado, pudiendo emplear, en su caso, medios telemáticos.

TÍTULO CUARTO.- DE LA ACREDITACIÓN DE LOS PRESTADORES DE SERVICIOS DE CERTIFICACIÓN DE FIRMA ELECTRÓNICA CERTIFICADA

CAPÍTULO ÚNICO

Artículo 33.– La acreditación es el procedimiento en virtud del cual la autoridad certificadora autoriza a un organismo público como prestador de servicios de certificación verificando para ello que cuenta con las instalaciones, sistemas, programas informáticos y los recursos humanos necesarios para otorgar los certificados en los términos que se establecen en esta Ley y los Reglamentos respectivos, permitiendo su inscripción en el registro que se señala en el Artículo 27 de esta Ley.

Para ser acreditado, el prestador de servicios de certificación deberá cumplir, al menos, con las siguientes condiciones:

I.- Demostrar la fiabilidad necesaria de sus servicios, dispositivos de creación y certificación de firma electrónica;

II.- Garantizar la existencia de un servicio seguro de consulta del registro de certificados emitidos;

III.- Emplear personal calificado para la prestación de los servicios ofrecidos, en el ámbito de la firma electrónica y los procedimientos de seguridad y de gestión adecuados;

IV.- Utilizar sistemas y productos confiables que garanticen la seguridad de sus procesos de certificación;

V.- Haber contratado un seguro apropiado que respalde la responsabilidad en que pueda incurrir el prestador de servicios de certificación en los términos del Artículo 30 de la Ley; y

VI.- Contar con la capacidad tecnológica necesaria para el desarrollo de la actividad de certificación.

TÍTULO QUINTO.- DISPOSITIVOS DE CREACIÓN Y VERIFICACIÓN DE FIRMA ELECTRÓNICA CERTIFICADA

CAPÍTULO ÚNICO

Artículo 34. Los dispositivos de creación de firma deben ofrecer, al menos, las siguientes garantías:

I.- Que los datos utilizados para la generación de firma puedan producirse sólo una vez y asegure razonablemente su secreto;

II.- Que exista una seguridad razonable de que los datos utilizados para la generación de firma no pueden ser derivados de los de verificación de firma o de la propia firma y de que la firma esté protegida contra la falsificación con la tecnología existente en cada momento;

III.- Que los datos de creación de firma puedan ser protegidos de forma fiable por el firmante contra su utilización por terceros; y

IV.- Que el dispositivo utilizado no altere los datos o el documento que deba firmarse ni impida que éste se muestre al firmante antes del proceso de firma.

Artículo 35.– Los dispositivos de verificación de firma electrónica garantizarán, siempre que sea técnicamente posible, que el proceso de verificación de una firma electrónica satisfaga, al menos, los siguientes requisitos:

I.- Que los datos utilizados para verificar la firma correspondan a los datos mostrados a la persona que verifica la firma;

II.- Que la firma se verifique de forma fiable y el resultado de esa verificación se presente correctamente;

III.- Que la persona que verifica la firma electrónica pueda, en caso necesario, establecer de forma fiable el contenido de los datos firmados y detectar si han sido modificados;

IV.- Que se muestren correctamente tanto la identidad del firmante o, en su caso, conste claramente la utilización de un seudónimo, como el resultado de la verificación;

V.- Que se verifiquen de forma fiable la autenticidad y la validez del certificado electrónico correspondiente; y

VI.- Que pueda detectarse cualquier cambio relativo a su seguridad.

Asimismo, los datos referentes a la verificación de la firma, tales como el momento en que ésta se produce o una constatación de la validez del certificado electrónico en ese momento, podrán ser almacenados por la persona que verifica la firma electrónica o por terceros de confianza.

TÍTULO SEXTO.- DE LOS CERTIFICADOS DE FIRMA ELECTRÓNICA

CAPÍTULO ÚNICO

Artículo 36.- Los certificados de firma electrónica tendrán valor probatorio pleno, salvo lo que dispongan al respecto otras leyes en la materia que ellas regulen y surtirán efectos jurídicos, cuando estén firmados electrónicamente por la autoridad certificadora.

Artículo 37.- Los efectos del certificado de firma electrónica son los siguientes:

I.- Autentificar que la firma electrónica pertenece a determinada persona; y

II.- Verificar la vigencia de la firma electrónica.

Artículo 38.- Los certificados de firma electrónica, deberán contener, al menos, las siguientes menciones:

I.- La expresión de que tienen esa naturaleza;

II.- El código único de identificación;

III.- Los datos de autorización de la autoridad certificadora que lo expide;

IV.- La firma electrónica certificada de la autoridad certificadora que lo expide;

V.- El nombre y apellidos del firmante. Se podrá consignar en el certificado de firma electrónica cualquier otra circunstancia personal del titular, en caso de que sea significativa en función del fin propio del certificado y siempre que aquél otorgue su consentimiento;

VI.- En los supuestos de representación, la indicación del documento que acredite las facultades del firmante para actuar en nombre de la persona a la que represente;

VII.- Los datos de verificación de firma electrónica certificada que correspondan a los datos de creación de firma que se encuentren bajo el control del firmante;

VIII.- El periodo de validez del certificado de firma electrónica;

IX.- En su caso, los límites de uso del certificado de firma electrónica; y

X.- La referencia de la tecnología empleada para la creación de la firma electrónica.

Artículo 39.- Los certificados de firma electrónica quedarán sin efecto, en los siguientes casos:

I.- Expiración de su vigencia, que nunca será superior a dos años;

II.- Revocación por el firmante, su representante o autoridad competente;

III.- Pérdida, robo o inutilización por daños del soporte del certificado de firma electrónica;

IV.- Resolución judicial o administrativa;

V.- Fallecimiento del firmante o su representante, incapacidad superveniente, total o parcial, de cualquiera de ellos, terminación de la representación o extinción de la persona moral representada;

VI.- Inexactitudes en los datos aportados por el firmante para la obtención del certificado de firma electrónica;

VII.- Por haberse comprobado que al momento de su expedición, el certificado de firma electrónica no cumplió con los requisitos establecidos en esta Ley, situación que no afectará los derechos de terceros de buena fe; y

VIII.- Cancelación o suspensión del certificado a solicitud del interesado.

Artículo 40.- Cuando un servidor público deje de prestar sus servicios y cuente con un certificado de firma electrónica en virtud de sus funciones, el superior jerárquico ordenará la cancelación inmediata del mismo.

Artículo 41.- La pérdida de eficacia de los certificados de firma electrónica, en el supuesto de expiración de vigencia, tendrá lugar desde que esta circunstancia se produzca. En los demás casos, la extinción de un certificado de firma electrónica surtirá efectos desde la fecha en que la autoridad certificadora competente, tenga conocimiento cierto de la causa que la origina y así lo haga constar en el registro de certificados.

Artículo 42.– Las autoridades certificadoras podrán suspender temporalmente la eficacia de los certificados de firma electrónica expedidos, cuando así lo solicite el firmante o sus representados o lo ordene una autoridad competente.

Toda suspensión deberá inscribirse sin demora en el registro respectivo.

Artículo 43.- Todo certificado de firma electrónica expedido fuera del Estado de Colima, producirá los mismos efectos jurídicos que un certificado de firma electrónica expedido dentro de su territorio, si presenta un grado de fiabilidad equivalente a los contemplados por esta Ley. Lo anterior sin perjuicio de la obligación de registrar el certificado que se homologa en términos de esta Ley, en el registro de certificados de firma electrónica, que al efecto lleve la autoridad certificadora correspondiente.

TÍTULO SÉPTIMO.- DE LOS DERECHOS Y OBLIGACIONES DE LOS TITULARES DE CERTIFICADOS DE FIRMA ELECTRÓNICA

CAPÍTULO ÚNICO

Artículo 44.– Sin perjuicio de lo establecido por otras leyes, los titulares de certificados de firma electrónica tendrán, respecto de las autoridades certificadoras, los siguientes derechos:

I.- Solicitar se les expida constancia de la existencia y registro del certificado;

II.- Solicitar la variación de los datos y elementos de la firma cuando así convenga a su interés;

III.- A ser informados sobre:

a) Las características generales de los procedimientos de certificación y creación de firma electrónica, y de las demás reglas que la autoridad certificadora se comprometa a seguir en la prestación de sus servicios; y

b) El costo de los servicios, las características y condiciones precisas para la utilización del certificado y sus límites de uso;

IV.- A que se guarde confidencialidad sobre la información proporcionada;

V.- A conocer el domicilio físico y la dirección electrónica de la autoridad certificadora para solicitar aclaraciones, presentar quejas o reportes; y

VI.- A cancelar o suspender su registro cuando así lo consideren conveniente.

Artículo 45.- Son obligaciones de los titulares de certificados de firma electrónica:

I.- Proporcionar datos veraces, completos y exactos;

II.- Mantener el control exclusivo de sus datos de creación de firma electrónica, no compartirlos e impedir su divulgación;

III.- Solicitar la revocación de su certificado de firma electrónica cuando se presente cualquier circunstancia que pueda comprometer la privacidad de sus datos de creación de firma electrónica; y

IV.- Actualizar los datos contenidos en el certificado de firma electrónica.

TÍTULO OCTAVO.- PROTECCIÓN DE LOS DATOS PERSONALES

CAPÍTULO ÚNICO

Artículo 46.– El tratamiento de los datos personales que precisen los prestadores de servicios de certificación para el desarrollo de su actividad y los órganos administrativos para el ejercicio de las funciones atribuidas por esta Ley se sujetará a lo dispuesto en la Ley de Protección de Datos Personales del Estado de Colima.

Para la expedición de certificados electrónicos al público, los prestadores de servicios de certificación únicamente podrán recabar datos personales directamente de los firmantes o previo consentimiento expreso de éstos.

Los datos requeridos serán exclusivamente los necesarios para la expedición y el mantenimiento del certificado electrónico y la prestación de otros servicios en relación con la firma electrónica, no pudiendo tratarse con fines distintos sin el consentimiento expreso del firmante.

Los prestadores de servicios de certificación que consignen un seudónimo en el certificado electrónico a solicitud del firmante deberán constatar su verdadera identidad y conservar la documentación que la acredite.

Dichos prestadores de servicios de certificación estarán obligados a revelar la identidad de los firmantes cuando se encuentren en los supuestos previstos en el Artículo 6 de la Ley de Protección de Datos Personales del Estado de Colima.

TRANSITORIOS

PRIMERO.– La presente Ley entrará en vigor a partir del día siguiente de su publicación en el Periódico Oficial «El Estado de Colima».

SEGUNDO.– La Legislatura local, actualizará las leyes relacionadas con la presente reforma en un plazo de 180 días a partir del día siguiente al de su entrada en vigor.

El Gobernador del Estado dispondrá se publique, circule y observe.»

Dado en el Recinto Oficial del Poder Legislativo, a los veintisiete días del mes de mayo del año dos mil nueve.

C. MIRIAM YADIRA LARA ARTEAGA, DIPUTADA PRESIDENTA.

C. MARTIN ALCARAZ PARRA, DIPUTADO SECRETARIO.

C. FERNANDO RAMIREZ GONZÁLEZ. DIPUTADO SECRETARIO.

Por lo tanto mando se imprima, publique, circule y observe.

Dado en Palacio de Gobierno; al día 28 del mes de mayo del año dos mil nueve.

EL GOBERNADOR CONSTITUCIONAL DEL ESTADO, LIC. JESÚS SILVERIO CAVAZOS CEBALLOS.

LA SECRETARIA GENERAL DE GOBIERNO, LICDA. YOLANDA VERDUZCO GUZMÁN.

EL SECRETARIO DE ADMINISTRACIÓN, C.P. LUIS MARIO LEÓN LÓPEZ.

El régimen del movimiento internacional de datos de carácter personal ha sido, desde la aprobación de la derogada Ley Orgánica 5/1992, de 29 de octubre, de regulación del Tratamiento Automatizado de Datos de Carácter Personal (LORTAD), una de las cuestiones que ha suscitado un mayor número de dudas por parte de los responsables de los ficheros y la sociedad en general.

El motivo de estas dudas probablemente se encuentre en el hecho de que las normas reguladoras en esta materia contenidas en la Ley y sus normas de desarrollo hayan debido adaptarse a las incluidas en los artículos 25 y 26 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como por las Decisiones que, en cumplimiento de los citados preceptos se adopten por la Comisión de las Comunidades Europeas.

La actuación de la Agencia de Protección de Datos en sus casi siete años de existencia ha generado una abundante casuística relacionada con las transferencias internacionales de datos de carácter personal que hasta la fecha no venía recogida sistemáticamente en ningún texto.

Por otra parte, el artículo 37 e) de la Ley Orgánica 15/1999,de 13 de diciembre, de Protección de datos de Carácter Personal, consagra la competencia de la Agencia de Protección de Datos para «dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la presente Ley».

En uso de esta facultad, la presente Instrucción tiene por objeto señalar los criterios orientativos seguidos por la Agencia de Protección de Datos en relación con aquellos tratamientos que supongan una transferencia internacional de datos, poniendo de manifiesto el procedimiento que, en uso de las competencias que la Ley le atribuye, se sigue por la Agencia en cada caso concreto.

Por tanto no es finalidad de esta Instrucción efectuar innovación alguna dentro de la normativa reguladora de la protección de datos de carácter personal sino, simplemente, aclarar y facilitar a todos los interesados en un único texto, el procedimiento seguido por la Agencia para dar cumplimiento a las previsiones contenidas en la diversidad de normas que se refieren al movimiento internacional de datos.

Los artículos 33 y 34 de la Ley Orgánica 15/1999 establecen el régimen al que habrán de someterse los movimientos internacionales de datos. Estos preceptos, sin modificar el criterio general que habrá de regir las transferencias, esto es, la exigencia de autorización del Director de la Agencia de Protección de Datos, vienen a adecuar el régimen de excepciones a dicha autorización, añadiendo a los ya contemplados en la LORTAD otros deducidos de lo dispuesto en los artículos 25 y 26 de la Directiva 95/46/CE. En particular, el artículo 34 k) de la Ley Orgánica 15/1999 exceptúa del régimen general de autorización el supuesto en que «la transferencia tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado».

En este sentido, deben tenerse en cuenta las recientes Decisiones de la Comisión de las Comunidades Europeas, números 2000/518/CE, 2000/519/CE y 2000/520/CE, de 26 de julio (publicadas en el Diario Oficial de las Comunidades Europeas de 25 de agosto de 2000), que consideraron adecuado el nivel de protección de datos personales en Suiza, Hungría, así como «el conferido por los principios de Puerto Seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de los Estados Unidos».

El régimen regulador del movimiento internacional de datos se encuentra, en todo caso, gobernado por el principio general, contenido en el artículo 25.1 de la Directiva, de que la transferencia a empresas o Administraciones ubicadas en el territorio de terceros Estados deberá entenderse «sin perjuicio del cumplimiento de las disposiciones de derecho nacional adoptadas con arreglo a las disposiciones de la presente Directiva». En este mismo sentido se pronuncian las Decisiones de la Comisión de las Comunidades Europeas a las que acabamos de hacer referencia en su artículo 2.

A la vista de todo ello, la presente Instrucción se divide en dos Secciones:

La primera de ellas establece criterios predicables de la totalidad de las transferencias internacionales de datos, indicando los conceptos generales que han de ser tenidos en cuenta para el cumplimiento de lo indicado en la Ley. Se recuerda además en esta Sección el principio general referente al necesario cumplimiento de la Ley Orgánica 15/1999 por parte de aquellas personas o entidades que pretendan efectuar una transferencia internacional de datos. Por último, se señala el procedimiento que las normas vigentes prevén para la notificación de dicha transferencia a esta Agencia de Protección de Datos.

La segunda Sección se refiere a supuestos concretos de transferencias. En particular, se contemplan tres supuestos específicos, dos atendiendo al país al que los datos se destinen y uno en función de la finalidad última que motiva la transferencia.

Así, la norma cuarta se refiere a aquellos países no comunitarios respecto de los que se haya declarado la existencia de un nivel de protección adecuado, con especial referencia al supuesto contemplado por la Decisión 2000/520/CE, de la Comisión de las Comunidades Europeas, a la que ya se ha hecho referencia.

La norma quinta toma en consideración la solución contractual en el supuesto de transferencias que exijan la autorización del Director de la Agencia de Protección de Datos, conforme a lo dispuesto en el artículo 33 de la Ley Orgánica 15/1999, indicando aquellos extremos que la Agencia ha venido considerando necesarios para que se entienda que la transferencia ofrece un adecuado nivel de garantía. La solución contractual ha sido considerada por el Parlamento Europeo, en su informe de 11 de julio de 2000, el instrumento más eficaz para garantizar que la transferencia de datos ofrece las garantías adecuadas. También el Documento del Grupo de Trabajo de Protección de Datos, creado por el artículo 29 de la Directiva Comunitaria, referente a los criterios de interpretación del régimen de transferencias internacionales, de 24 de julio de 1998, contiene previsiones específicas referidas a esta solución contractual.

Por último, la norma sexta se refiere a aquellos casos en que, con independencia del Estado al que se destinen los datos, la transferencia trae causa de la contratación de un servicio de tratamiento de datos por cuenta del responsable del fichero, transmitiéndose los datos a quien la Ley 15/1999 define como «encargado del tratamiento». En este caso deberá existir, en virtud de lo dispuesto en el artículo 12 de la Ley, y sin perjuicio del cumplimiento de los demás requisitos a los que se refiere la presente Instrucción, un contrato entre las entidades transmitente y destinataria de los datos.

En su virtud, en uso de las facultades que le atribuye el artículo 37 e) de la Ley Orgánica 15/1999, esta Agencia ha dispuesto

SECCIÓN  I. DISPOSICIONES GENERALES 

Norma primera. Ámbito de aplicación

La presente Instrucción será de aplicación a cualquier supuesto de transferencia internacional de datos de carácter personal.

A tal efecto, se considera transferencia internacional de datos toda transmisión de los mismos fuera del territorio español. En particular, se consideran como tales las que constituyan una cesión o comunicación de datos y las que tengan por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero.

A los efectos de esta instrucción, se entiende por transmitente la persona física o jurídica, pública o privada, responsable del fichero o tratamiento de los datos de carácter personal que son objeto de transferencia internacional, y por destinatario la persona física o jurídica, pública o privada, situada fuera del territorio español que recibe los datos transferidos.

Norma segunda. Cumplimiento de las disposiciones de la Ley Orgánica 15/1999

La transferencia internacional de datos no excluye de la aplicación de las disposiciones contenidas en la Ley Orgánica 15/1999, conforme a su ámbito de aplicación, correspondiendo a la Agencia de Protección de Datos la competencia para verificar su cumplimiento.

En todo caso, de conformidad con lo establecido en el artículo 5 de la Ley Orgánica 15/1999, cualquier responsable de un fichero o tratamiento que se proponga transferir datos de carácter personal fuera del territorio español deberá haber informado a los afectados de quiénes serán destinatarios de los datos, así como de la finalidad que justifica la transferencia internacional y el uso de los datos que podrá hacer el destinatario.

El deber de información al que se refiere el párrafo anterior no será de aplicación cuando la transferencia tenga por objeto la prestación de un servicio al responsable del fichero, en los términos establecidos por el artículo 12 de la Ley Orgánica 15/1999.

Norma tercera. Notificación de las transferencias previstas al Registro General de Protección de Datos

1. De conformidad con el artículo 26.2 de la Ley Orgánica 15/1999 cualquier persona o entidad que pretenda efectuar una transferencia internacional de datos deberá hacerlo constar expresamente al proceder a la notificación del fichero al Registro General de Protección de Datos.

La notificación de la transferencia se efectuará en los términos que se contengan en el modelo normalizado aprobado a tal efecto por el Director de la Agencia de

Protección de Datos, con expresa indicación del país al que se pretende efectuar la transferencia y de los motivos que, en su caso, la habilitan, conforme a lo dispuesto en el artículo 34 de la citada Ley Orgánica, para no recabar la autorización expresa del Director de la Agencia de Protección de Datos.

En caso de que la transferencia internacional se refiera a datos contenidos en un fichero ya inscrito en el Registro General de Protección de Datos, no constando la transferencia en la inscripción, el responsable del fichero deberá solicitar una modificación de la misma, notificando los extremos a los que se refiere el párrafo anterior.

Si se tratara de ficheros de titularidad pública, la transferencia deberá estar prevista en la norma de creación o modificación del fichero.

2. Recibida la notificación, la Agencia de Protección de Datos podrá requerir al responsable del fichero para que en el plazo de diez días aporte la documentación necesaria para completar la información relativa a la trasferencia internacional contenida en aquélla, así como la identidad del receptor de la misma.

A tal efecto, podrá solicitarse del responsable del fichero o tratamiento que aporte la documentación que acredite el cumplimiento de la obligación a la que se refiere la norma segunda de esta Instrucción. En particular, si el responsable invocase la existencia de consentimiento del afectado a la transferencia, podrá solicitarse que acredite la prestación de ese consentimiento. Del mismo modo podrá exigirse que se acredite la existencia de una relación contractual con el afectado que motive la transferencia, si aquélla hubiera sido alegada.

Igualmente, se podrá solicitar del responsable del fichero que acredite los extremos a los que se refiere la Sección Segunda de la presente Instrucción.

Al requerirse la información a la que se refiere este apartado se indicará al responsable del fichero que, en caso de no ser aquélla aportada en el plazo de diez días, se le tendrá por desistido de su petición de inscripción o modificación, archivándose ésta.

3. Si con la documentación aportada no se acreditara el cumplimiento de los requisitos contenidos en la Ley Orgánica 15/1999, el Director de la Agencia de Protección de Datos, en ejercicio de las competencias que le atribuye dicha Ley Orgánica, denegará la Inscripción o su modificación.

4. Contra las resoluciones del Director de la Agencia de Protección de Datos relativas a la inscripción o, en su caso, a la modificación de un fichero, cabrá interponer potestativa mente recurso previo de reposición o recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

SECCIÓN  II. DISPOSICIONES APLICABLES A LAS TRANSFERENCIAS CONCRETAS

Norma cuarta. Transferencias al territorio de Estados que otorguen un nivel adecuado de protección

1. Cuando la transferencia internacional tenga por destinatario una persona o entidad, pública o privada, situada en el territorio de un Estado no miembro de la Unión Europea, respecto del que se haya declarado la existencia de un nivel adecuado de protección o que sea miembro del Espacio Económico Europeo, se podrá requerir al responsable del fichero la aportación de la documentación a la que se refiere el apartado segundo de la norma tercera de esta Instrucción.

2. Sin perjuicio de lo dispuesto en la norma segunda, el Director de la Agencia de Protección de Datos, en uso de la potestad que le otorga el artículo 37 f) de la Ley Orgánica 15/1999, podrá acordar, previa audiencia del transmitente, la suspensión temporal de la transferencia de datos hacia un receptor ubicado en un tercer Estado del que se haya declarado la existencia de un nivel adecuado de protección, cuando concurra alguna de las circunstancias siguientes, previstas en las Decisiones de la Comisión de las Comunidades Europeas:

a) Que las Autoridades de Protección de Datos del Estado destinatario o cualquier otra, en caso de no existir las primeras, resuelvan que el destinatario ha vulnerado las normas de protección de datos de su derecho interno.

b) Que existan indicios racionales de que se estén vulnerando las normas o, en su caso, los principios de protección de datos por la entidad destinataria de la transferencia y que las autoridades competentes en el Estado en que se encuentre el destinatario no han adoptado o no van a adoptar en el futuro las medidas oportunas para resolver el caso en cuestión, habiendo sido advertidas de la situación por la Agencia de Protección de Datos. En este caso se podrá suspender la transferencia cuando su continuación pudiera generar un riesgo inminente de grave perjuicio a los afectados.

En estos casos, la decisión del Director de la Agencia de Protección de Datos será notificada a la Comisión de las Comunidades Europeas.

3. Si la transferencia se funda en lo establecido en la Decisión 2000/520/CE de la Comisión de las Comunidades Europeas, «sobre la adecuación de la protección conferida por los principios de Puerto Seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de los Estados Unidos», quien pretenda efectuar la transferencia deberá acreditar que el destinatario se encuentra entre las entidades que se han adherido a los principios, así como que el mismo se encuentra sujeto a la jurisdicción de uno de los organismos públicos estadounidenses que figuran en el Anexo VH de la citada Decisión.

4. Lo indicado en el apartado anterior será de aplicación a todos los supuestos en que el nivel de protección adecuado se declare por la Comisión de las Comunidades Europeas en relación con un sistema de autorregulación o de condiciones similares a las contenidas en la Decisión 2000/520/CE.

5. Contra las resoluciones del Director de la Agencia de Protección de Datos a las que se refiere esta norma cabrá interponer potestativamente recurso previo de reposición o recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Norma quinta. Transferencias al territorio de otros Estados

1. Cuando la transferencia internacional tenga por destinatario una persona física o jurídica, pública o privada, situada en el territorio de un Estado no miembro de la Unión Europea, respecto del que no se haya declarado por la Comisión de las Comunidades Europeas la existencia de un nivel adecuado de protección o que no pertenezca al Espacio Económico Europeo y el transmitente se funde en alguno de los supuestos comprendidos en los apartados a) a j) del artículo 34 de la Ley Orgánica 15/1999, la Agencia de Protección de Datos podrá requerir al responsable del fichero para que aporte la documentación que justifique su alegación.

2. En caso de que la transferencia no se fundamente en alguno de los supuestos a los que se refiere el apartado anterior, o cuando esta circunstancia no haya quedado debidamente acreditada, será necesario recabar la autorización del Director de la Agencia de Protección de Datos, conforme a lo dispuesto en el artículo 33 de la Ley Orgánica 15/1999.

Sin perjuicio de lo establecido en el apartado 7 de esta norma, dicha autorización será otorgada en caso de que el responsable del fichero aporte un contrato escrito, celebrado entre el transmitente y el destinatario, en el que consten las necesarias garantías de respeto a la protección de la vida privada de los afectados y a sus derechos y libertades fundamentales y se garantice el ejercicio de sus respectivos derechos.

El citado contrato deberá contener, al menos, las siguientes menciones

a) La identificación del transmitente y el destinatario de los datos.

b) La indicación de la finalidad que justifica la transferencia internacional, así como de los datos que son objeto de la transferencia.

e) El compromiso del transmitente de que la recogida y tratamiento de los datos en territorio español respeta íntegramente las normas contenidas en la Ley Orgánica 15/1999 y que el fichero en que se encuentran los datos objeto de la transferencia está inscrito en el Registro General de Protección de Datos o se ha solicitado su inscripción.

d) El compromiso del destinatario de que los datos recibidos serán tratados exclusivamente para la finalidad que motiva la transferencia, así como que procederá a su tratamiento de acuerdo con las normas de protección de datos del derecho español. Asimismo, el destinatario deberá comprometerse a no comunicar los datos a ningún tercero en tanto no haya sido recabado el consentimiento del afectado para ello.

e) Que el destinatario adoptará las medidas de seguridad requeridas por la normativa de protección de datos de carácter personal vigente en España.

f) Que el transmitente y el destinatario responderán solidariamente frente a los particulares, a la Agencia de Protección de Datos y a los Órganos Jurisdiccionales españoles por los eventuales incumplimientos del contrato en que pudiera incurrir el receptor, cuando los mismos sean constitutivos de infracción de lo dispuesto en la Ley Orgánica 15/1999 o produzcan un perjuicio a los afectados.

g) Que se indemnizará al afectado que resulte perjudicado como consecuencia del tratamiento efectuado por el destinatario, según el régimen de responsabilidad al que se refiere el apartado anterior.

h) La garantía de que el afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición, tanto ante el transmitente como ante el destinatario de los datos. Asimismo, deberá indicarse que el interesado podrá recabar la tutela de la Agencia de Protección de Datos en los supuestos previstos en la Ley Orgánica 15/1999 en caso de que sus derechos no sean atendidos.

i) El compromiso del destinatario de los datos de autorizar el acceso al establecimiento donde se estén tratando los mismos, así como a la documentación y a los equipos físicos y lógicos, de representantes de la Agencia de Protección de Datos o de la entidad independiente en quien ésta delegue, cuando la Agencia lo requiera con el fin de verificar el cumplimiento de las obligaciones derivadas del contrato.

j) La obligación de que, una vez extinguida la relación contractual, los datos de carácter personal deberán ser destruidos o devueltos al transmitente, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto de la transferencia.

k) Que los afectados podrán exigir el cumplimiento de lo estipulado en el contrato en todas aquellas cuestiones en que el mismo les resulte beneficioso.

3. Remitido el contrato, la Agencia de Protección de Datos podrá solicitar que en el mismo se introduzcan las modificaciones necesarias para garantizar el cumplimiento de los requisitos a los que se refieren los dos apartados anteriores, concediendo a tal efecto un plazo de diez días.

4. Transcurrido ese plazo sin que el contrato cumpla los requisitos previstos en los apartados 2 y 3 de esta norma, el Director de la Agencia de Protección de Datos denegará la transferencia solicitada.

5. Cuando el Director de la Agencia de Protección de Datos autorice la transferencia ordenará su inscripción en el Registro General de Protección de Datos y procederá a su comunicación a la Comisión de las Comunidades Europeas.

6. Surtirán el mismo efecto jurídico los contratos que pudieran celebrarse en el futuro al amparo de lo que, en su caso, dispongan las Decisiones de la Comisión de las Comunidades Europeas que den cumplimiento a lo establecido en el artículo 26.4 de la Directiva 95/46/CE, siempre que se acredite su íntegro cumplimiento.

7. Sin perjuicio de lo dispuesto en los apartados anteriores de esta norma y en la norma segunda, el Director de la Agencia de Protección de Datos podrá denegar o, en uso de la potestad que le otorga el artículo 37 f) de la Ley Orgánica 15/1999, suspender temporalmente, previa audiencia del transmitente, la transferencia, cuando concurra alguna de las circunstancias siguientes

a) Que la situación de protección de los derechos fundamentales y libertades públicas en el país de destino o su legislación impidan garantizar el íntegro cumplimiento del contrato y el ejercicio por los afectados de los derechos que el contrato garantiza.

b) Que la entidad destinataria haya incumplido previamente las garantías establecidas en cláusulas contractuales de este tipo.

e) Que existan indicios racionales de que las garantías ofrecidas por el contrato no están siendo o no serán respetadas por el destinatario.

d) Que existan indicios racionales de que los mecanismos de aplicación del contrato no son o no serán efectivos.

e) Que la transferencia, o su continuación, en caso de haberse iniciado, pudiera crear una situación de riesgo de daño efectivo a los afectados.

Las resoluciones del Director de la Agencia de Protección de Datos por las que se deniegue o suspenda una transferencia internacional de datos en virtud de las causas a las que se refiere este apartado serán notificadas a la Comisión de las Comunidades Europeas cuando así sea exigible.

8. Contra las resoluciones del Director de la Agencia de Protección de Datos cabrá interponer potestativamente recurso previo de reposición o recurso contencioso-Administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Norma sexta. Especialidades en las transferencias que tengan por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero

1. Cuando la transferencia internacional de datos tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero, la realización del tratamiento deberá estar regulada en un contrato, en que deberá hacerse constar la responsabilidad directa de la transmitente como consecuencia de cualquier incumplimiento de la Ley en que incurriera el destinatario.

El contrato, que deberá constar por escrito, establecerá expresamente que el destinatario únicamente tratará los datos conforme a las instrucciones del transmitente, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato y que adoptará las medidas de seguridad exigibles al transmitente conforme a las normas de protección de datos del Derecho español.

Además, deberá indicarse que una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al transmitente, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto del tratamiento

2. La receptora no podrá comunicar los datos, ni siquiera para su conservación, a otras personas.

En consecuencia, si la transmitente deseara que por parte de varias entidades distintas, situadas fuera del territorio español, se presten servicios de tratamiento, en los términos a que se refiere el artículo 12 de la Ley Orgánica 15/1999, deberá contratar dichos servicios con cada una de las entidades, no siendo posible que la destinataria subcontrate esta segunda actividad con otra empresa, a menos que actúe en nombre y por cuenta del responsable del fichero.

3. En caso de que la transferencia se dirija a un destinatario situado en un Estado no miembro de la Unión Europea respecto del que no se haya declarado la existencia de un nivel adecuado de protección o que no pertenezca al Espacio Económico Europeo, en el contrato deberán constar cautelas semejantes a las indicadas en la norma quinta en lo referente al régimen sancionador y de indemnización a los interesados, así como en lo relativo a las potestades de la Agencia de Protección de Datos, para el caso en que la destinataria emplee los datos para otra finalidad distinta de la que motivó la transferencia, los comunique o los utilice incumpliendo las estipulaciones del contrato.

Madrid, 1 de diciembre de 2000.-El Director de la Agencia, Juan Manuel Fernández López

Act on the Protection and Processing of Personal Data, nº 77/2000 of May 10, 2000. As amended by Act nº. 90/2001, Act nº. 30/2002, Act nº. 81/2002 and Act nº. 46/2003.

CHAPTER I. Objective, definitions and scope.

Article 1. Objective.
Article 2. Definitions.
Article 3. Scope.
Article 4. Electronic surveillance.
Article 5. Connections with freedom of expression.
Article 6. Geographical application.

CHAPTER II. General rules on processing of personal data.

Article 7. Main principles relating to data quality and processing.
Article 8. General rules regarding permission for processing of personal data.
Article 9. Special conditions governing the processing of sensitive personal data.
Article 10. The usage of the national identification number.
Article 11. Risk assessment, security and integrity of personal data.
Article 12. Internal audit.
Article 13. The processor's obligation of confidentiality when processing personal data.
Article 14. Time limits for fulfilling requirements.
Article 15. Payment of costs

CHAPTER III. Right of access and duty to provide information. Duty to provide guidance and warning. Right to reasoning.

Article 16. The right to access general information on personal data processing.
Article 17. Public register of permits given and notifications received.
Article 18. The data subject's right of access.
Article 19. Restrictions of the data subject's right of access.
Article 20. Duty to inform in case of collection of personal data from the data subject.
Article 21. Duty to inform the data subject about a processing of personal data when they are obtained from
Article 22. Reasoning for individual decisions that are based on automated data processing.
Article 23. Warnings concerning use of personal profiles
Article 24. Warnings regarding electronic surveillance

CHAPTER IV. Rectification, erasure, blocking, etc.

Article 25. Rectification and deletion of incorrect and misleading personal data.
Article 26. Erasure, and prohibition of use, of personal data that are neither incorrect nor misleading.
Article 27. The right to a decision based on manual processing of data.
Article 28. The data subject's right to object and the Statistical Bureau of Iceland's restricted registry.

CHAPTER V. Transfer of personal data abroad.

Article 29. Transfer of personal data to a country that provides an adequate level of personal data protection.
Article 30. Transfer of personal data to a country that does not provide an adequate level of personal data protection.

CHAPTER VI. Obligation to notify, permit requirements, etc.

Article 31. Obligation to notify.
Article 32. Contents of notification.
Article 33. Processing which requires a permit.
Article 34. Prerequisites for the issue of permits, etc.
Article 35. Conditions set by the Data Protection Authority regarding the processing of personal data.

CHAPTER VII. Monitoring and sanctions.

Article 36. Organisation and administration of the Data Protection Authority.
Article 37. The task of the Data Protection Authority.
Article 38. The Data Protection Authority's access to information, etc.
Article 39. Exceptions from obligations of secrecy.
Article 40. Cessation of processing.
Article 41. Daily fines.
Article 42. Sanctions.
Article 43. Remedies.

CHAPTER VIII. Correlation with other acts of law, entry into force, etc.

Article 44. Correlation with other acts of law.
Article 45. Regulations regarding individual categories of activity.
Article 46. Entry into force.

ACT on the Protection and Processing of Personal Data, nº 77/2000
(with amendments)

CHAPTER I. Objective, definitions and scope.

Article 1. Objective.

The objective of this Act is to promote the practice of personal data processing in accordance with fundamental principles and rules regarding data protection and privacy, and to ensure the reliability and integrity of such data and their free flow within the internal market of the European Economic Area.

A specific institution, the Data Protection Authority, is responsible for monitoring the application of this Act and those administrative rules that are based on it, cf. further Article 36.

Article 2. Definitions.
For the purpose of this Act, words and terms shall have the following meaning:
1. Personal data: Any data relating to the data subject (identified or identifiable), i.e. information that can be traced directly or indirectly to a specific individual, deceased or living.
2. Processing: Any operation or set of operations, which is performed upon personal data, whether the processing is manual or automatic.
3. File: Any structured set of personal data where data on individual persons can be found.
4. Controller: The party that determines the purposes of the processing of personal data, the equipment that is used, the method of the processing and other usage of the data.
5. Processor: The party that processes personal data on behalf of the controller.
6. Electronic surveillance: Surveillance, which is constant or regularly repeated, and incorporates the monitoring of individuals, with the use of remote controlled or automatic equipment, and takes place in a public area or where a limited number of people normally traverses. The concept entails:
a. surveillance which leads to, shall or may lead to the processing of personal data, and
b. tv surveillance which is conducted by using cameras, web cams or other comparable equipment, without any collection of recorded material or any other actions equal to processing personal data. (1)
7. Consent: A specific, unambiguous declaration, which is given freely by an individual, signifying that he agrees to the processing of particular personal data relating to him, and that he is aware of the purpose of the processing, how it will be conducted, how data protection will be ensured, that the individual can withdraw his consent, etc.
8. Sensitive data:
a. Data on origin, skin colour, race, political opinions, religious beliefs and other life philosophies.
b. Data on whether a man has been suspected of, indicted for, prosecuted for or convicted of a punishable offence.
c. Health data, including genetic data and data on use of alcohol, medical drugs and narcotics.
d. Data concerning sex life (and sexual behaviour).
e. Data on trade-union membership.
9. Automated individual decision: A decision that defines legal rights and/or duties concerning one or more particular individuals.
(1) Act nº 46/2003, Art. 1.

Article 3. Scope.
The Act applies to any electronic processing of personal data. The Act also applies to manual processing of personal data that form, or are intended to form, a part of a filing system.

Articles 16, 18–21, 24, 26, 31 and 32 of the Act do not apply to processing of personal data that concern public security, national defence, State security and the activities of the State in areas of criminal law. The Act does not apply to the processing, by an individual, of personal data that only relates to the individual himself or is purely intended for personal use.

Article 4. Electronic surveillance.
Electronic surveillance must always be conducted for legitimate purposes. Electronic surveillance of premises where a limited number of people normally traverses, must also be necessary due to the nature of the activities conducted there.

The processing of personal data in connection with electronic surveillance must be in accordance with the provisions of this Act. Tv surveillance is, in addition to Para. 1, subject to the following provisions: Art. 7., 24., 40. and 41. gr., and, where applicable, Art. 31, 32 and 38. (2)
(2) Act. nº 46/2003, Art. 2.

Article 5. Connections with freedom of expression.
To the extent that it is necessary to reconcile the right to privacy on the one hand with the freedom of expression on the other, derogations can be made from provisions in the Act in the interest of journalism, art or literature. When personal data are solely processed in the interest of news coverage or a literary or artistic activity, only the provisions of Article 4, Article 7 (1) and (4), Articles 11 through 13 and Articles 24, 28, 42 and 43 shall apply.

Article 6. Geographical application.
[The Act applies to the processing of personal data that is conducted on behalf of a controller who is established in Iceland, if the processing of the personal data is carried out in the European Economic Area, [in a country listed as a member in the Convention establishing the European Free Trade Association](3)or in a country or a place that the Data Protection Authority lists in an advertisement in the Law and Ministerial Gazette.

The Act also applies to processing of personal data despite the controller being established in a country that is outside the European Economic Area or in a country listed as a member in the Convention establishing the European Free Trade Association (3), if he makes use of equipment and facilities situated in Iceland.

The Act also applies to the processing of financial and credit standing data concerning legal persons, cf. Article 45, even if the controller is not established in Iceland, if he makes use of equipment and facilities situated in Iceland.

Paragraphs 2 and 3 of this Article do not apply if the equipment in question is only used to transport personal data through the territory of Iceland.

In the circumstances referred to in Paragraphs 2 and 3, the controller must designate a representative established in Iceland, and the provisions of the Act relating to controllers shall then apply to that representative as fitting.](4)
(3) Act nº 72/2003, Art. 5.

(4) Act nº 90/2001, Art. 1.

CHAPTER II. General rules on processing of personal data.

Article 7. [Main principles relating to data quality and processing.](5)
When processing personal data, all of the following shall be observed:
1. that they are processed in a fair, apposite and lawful manner and that all their use is in accordance with good practices of personal data processing;
2. that they are obtained for specified, explicit, apposite purposes and not processed further for other and incompatible purposes, but further processing of data for historical, statistical or scientific purposes shall not be considered as incompatible provided that proper safeguards are adhered to;
3. that they are adequate, relevant and not excessive in relation to the purposes for the processing;
4. that they are reliable and kept up to date when necessary, personal data which are unreliable or incomplete, having regard to the purposes for their processing, shall be erased or rectified;
5. that they are preserved in a form which does not permit identification of data subjects for longer than is necessary for the purposes for the processing.

[It shall be for the controller to ensure that the processing of personal data is always in compliance with Paragraph 1.] (5) Act nº 90/2001, Art. 1.

Article 8. [General rules regarding permission for processing of personal data.](6)
Personal data may only be processed if one of the following criteria is met:
1. [the data subject has unambiguously agreed to the processing or given his consent, as it is defined in Article 2 (7)](6)
2. the processing is necessary to honour a contract, to which the data subject is a party, or to take measures at the request of the data subject before a contract is established;
3. the processing is necessary to fulfil a legal obligation of the controller;
4. the processing is necessary to protect vital interests of the data subject;
5. the processing is necessary for a task that is carried out in the public interest;
6. the processing is necessary in the exercise of official authority vested in the controller or in a third party to whom data are transferred;
7. the processing is necessary for the controller, or a third party, or parties to whom data are transferred, to be able to safeguard legitimate interests, except where overridden by fundamental rights and freedom of the data subject, which shall be protected by law.(7)

[The Data Protection Authority can authorize processing of personal data in other instances than those that are detailed in Paragraph 1, if it is apparently in the vital interests of the public or individuals, including the interests of the data subject. In that case, the need for the processing shall clearly outweigh the consideration for it not to take place. The Data Protection Authority can set conditions for the processing, as it deems necessary in each case, to protect the interests of the data subject.](6)
(6) Act nº 90/2001, Art. 3.

(7) Act nº 46/2003, Art. 3.

Article 9. [Special conditions governing the processing of sensitive personal data.](8)
[Processing of sensitive personal data is prohibited, unless at least one of the conditions in Article 8, Paragraph 1, has been met, and one or more of the following requirements has also been fulfilled:] 1. the data subject gives his consent to the processing;
2. the processing is specifically authorized in another Act of law;
3. the controller is required, by contracts between the Social Partners, to carry out the processing;
4. the processing is necessary to protect vital interests of the data subject or of another party who is incapable of giving his consent in accordance with (1);
5. the processing is carried out by an organization with a trade-union aim or by other non-profit organizations, such as cultural, humanitarian, social or ideological organizations, on condition that the processing is carried out in the course of the organization's legitimate activities and relates solely to the members of the body or to individuals who according to the organization's goals are, or have been, in regular contact with it; it is however prohibited to disclose such personal data to a third party without the data subject's consent.
6. the processing extends only to information that the data subject himself has made public;
7. the processing is necessary for a claim to be established, exercised or defended because of litigation or other such legal needs.
8. the processing is necessary because of a medical treatment or because of the routine management of health care services, provided that it is carried out by an employee of the health care services who is subject to an obligation of secrecy.
9. the processing is necessary for the purposes of statistical or scientific research, provided that the privacy of individuals is protected by means of specific and adequate safeguards.

The Data Protection Authority can permit the processing of sensitive personal data in other instances than those articulated in [Paragraphs 1 and 2] if it considers that to be of urgent public interest. The Authority issues such permits on any conditions that it deems necessary in each case in order to protect the interests of the data subjects.

The Data Protection Authority, having received the opinion of the Science Ethics Committee, issues rules on how individuals may be selected and approached for their participation in scientific research, and on what information shall be given to them before they are asked to give their consent.

The Data Protection Authority rules on whether particular personal data shall be considered to be sensitive or not.

(8) Act nº 90/2001, Art. 4.

(9) Act nº 81/2002, Art. 1.

Article 10.The usage of the national identification number.
The national identification number may be used if it is done for apposite purposes and it is necessary to ensure a correct identification of a person. The Authority can prohibit or order that the national identification number be used.

Article 11.[Risk analysis, security and integrity of personal data.
The controller shall implement appropriate technical and organizational measures to protect personal data against unlawful destruction, against accidental loss or alteration and against unauthorized access.

Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.

The controller is responsible for having risk analysis and security measures, that are implemented in the processing of personal data, conform with laws, rules (10) and instructions given by the Data Protection Authority on how to ensure information security, including standards that the Authority decides that shall be followed.

The controller is responsible for risk analysis being reviewed routinely and security measures upgraded to the extent necessary to fulfil the requirements of this article.

The controller shall document how he produces a security policy, conducts a risk analysis and decides on security measures to be implemented. The Data Protection Authority shall be granted access to information regarding these issues at any time.](11)
(10) Rules nº 299/2001.

(11) Act nº 90/2001, Art. 5.

Article 12.Internal audit.
[The controller shall conduct internal audits on the processing of personal information to ensure that they are processed in accordance with prevailing laws and regulations and the security measures that are to be implemented.

Internal audits shall be conducted routinely. The frequency and intensity of the audits shall be relative to danger associated with the processing, the nature of the data processed, the technology used to ensure the security of the data and the cost associated with conducting the audits. They shall none the less be conducted at least annually.

The controller shall see to it that a report is written on each of the measures that the internal audit is comprised of. In such a report, the results of each part of the audit shall be described. Internal audit reports shall be preserved in a secure manner. The Data Protection Authority has the right to review these reports at any time.

The Data Protection Authority may provide further instructions (12) on how to conduct internal audits, and give exemptions from the obligation to conduct such audits, or limit what parts of the processing shall be audited.](13)

(12) Rules nº 299/2001

(13) Act nº 90/2001, Art. 6.

Article 13. [The processor's obligation of confidentiality when processing personal data.
A controller is permitted to contract a third party to take care of the processing, in whole or in part, which the controller is responsible for according to this Act. This is contingent upon the controller having beforehand verified that the processor in question is able to carry out the required security measures and conduct internal audits in accordance with Article 12 of this Act.

A contract entered into under Paragraph 1 shall be in writing and at least in duplicate. The contract must in particular stipulate that the processor shall act only on instructions from the controller and that the obligations set out in this Act shall also be incumbent on data processing carried out by the processor. The data processor and data controller shall each keep a copy of the contract.

Anyone who acts in the name of the controller or the processor, including the processor himself, and has access to personal data, may only process personal data according to the instructions of the controller, unless legislative acts stipulate otherwise.

If the processor is established in another state within the European Economic Area than the controller, cf. Article 6, Paragraph 1, then it shall also be stipulated in a contract that the laws and regulations of the state in which the processor is established shall govern the security measures to be applied to the processing of personal data. The Data Protection Authority may require, e.g. in an advertisement in the Law and Ministerial Gazette, that such a contract shall contain certain standard contractual clauses, in accordance with a decision made by the European Union Commission. The same applies when the controller is established in a state within the European Economic Area but the processor is not, if the processing takes place in a country or at a physical place that is listed in an advertisement published by the Data Protection Authority.](14)

(15) Act nº 72/2003, Art. 6.

Article 14. Time limits for fulfilling requirements.
The controller shall process any request under Articles 16, 18, 22, 25, 26, 27 or 28 as soon as possible and no later than one month after receiving it.

If extraordinary circumstances make it impossible for the controller to process a request within a month, he may do so at a later date. In that case, the controller shall, within the one-month time limit, provide the person in question with a written explanation of the reasons for the delay, and information on when a reply is to be expected.

Article 15.Payment of costs.
Any request under Articles 16, 18, 22, 25, 26, 27 or 28 shall be processed free of charge. However, if high costs are involved, e.g. due to photocopying of documents, payment may be collected in accordance with a list of tariffs, according to a regulation issued by the Minister of Justice.

CHAPTER III. Right of access and duty to provide information.
Duty to provide guidance and warning.
Right to reasoning.

Article 16.The right to access general information on personal data processing.
The controller shall give general information, on any personal data processing conducted on his behalf, to any person that requests such information.

Any person who so requests shall also, as far as a particular kind of processing is concerned, be supplied with information on the following:
1. the name and address of the controller and, where relevant, his representative according to Article 6;
2. who bears the day-to-day responsibility of the controller's duties, under this Act, being fulfilled;
3. the purpose of the processing;
4. a definition and other characterization of the categories of personal data being processed;
5. where the data have been obtained;
6. the recipients of the data, including whether the data are intended to be exported and if so, to whom.

A request under Paragraph 1 shall be directed to the controller, or his representative according to Article 6, and a written explanation may be demanded regarding the issues on which information is requested.

Article 17. Public register of given permits and received notifications
The Data Protection Authority shall maintain a register of all the processing that it has been notified of in accordance with Article 31 and the processing that it permits in accordance with Article 33. The register shall at least include the items found in Paragraph 2 of Article 16.

The register shall be accessible to the public by a method determined by the Data Protection Authority.

Article 18. The data subject's right of access.
The data subject has a right to information from the controller on the following:
1. what data on him are being or have been processed:
2. the purpose of the processing;
3. who receives, has received or will receive data on him;
4. where the data have been obtained;
5. what security measures are applied to the processing, provided that this will not diminish the security of the processing;

A request for access under Paragraph 1 shall be directed to the controller, or his representative according to Article 6. The information shall be provided in writing, if requested.

Article 19. Restrictions of the data subject's right of access.
The data subject's right of access under Article 18 does not extend to data which are used solely for statistical processing or scientific research, provided that their processing can not have direct influence on his interests.

The provisions of Article 18 do not apply where the rights of the data subject, under that clause, are deemed secondary, in part or wholly, to the interests of others or of his own. In such cases, the considerations to be taken into account include the data subject's health and the interests of his family members. However, the information may be disclosed to a representative of the data subject there being no special arguments to the contrary.

The right of the data subject to access, under article 18, does not extend to data that are exempted from access under the Access to Information Act or the Administrative Procedures Act. When the data medium is in the possession of other processors than public authorities, the provisions of Article 18 do not extend to knowledge of the contents of preliminary documents or other comparable medium prepared by the controller himself or on his behalf, e.g. by specialized consultants or experts.

Even if data media are exempted from the data subject's right of access under Paragraph 3, he may still request an explanation of their material contents, an excerpt or other forms of description, unless he is able to acquaint himself with the facts of the matter by other means.

If the disclosure of information on certain data decreases the potential for concluding a case that is pending, the disclosure may be postponed until the matter has been prepared for resolution.

The Data Protection Authority may issue rules, which are confirmed by the Minister, containing conditions for the exercise of the data subject's right of access.

Article 20. [Duty to inform in case of collection of personal data from the data subject.
When a controller obtains personal data from the data subject, the controller must provide the following information to the data subject:
1. the name and address of the controller and, where relevant, his representative according to Article 6,
2. the purposes of the processing,
3. other information, in so far as such further information is necessary, having regard to the specific circumstances in which the data are processed, to enable the data subject to protect his interests, including information on:
a. the recipients or categories of recipients of the data,
b. whether he is obliged or not to provide the requested data, as well as the possible consequences of failure to reply,
c. the provisions of the Act regarding the data subject's right of access, as well as the data subject's right to rectification and deletion of wrong or misleading data on him.

The provisions of Paragraph 1 do not apply if the data subject has already received information on the items listed in Paragraph 1 (16) through (3).]

(16) Act nº 81/2002, Art. 2.

Article 21. [Duty to inform the data subject about the processing of personal data when they are obtained from someone else than the data subject himself.
When a controller collects personal data from someone other than the data subject, the controller shall concurrently inform the data subject about the collection and of the items listed in Paragraph 3. If, however, the intent of the controller is to disclose the data to a third party within a moderate time period from their collection, then he may postpone that until he discloses the data for the first time.

In spite of the second sentence of Paragraph 1, a controller who discloses financial and credit standing data shall notify the data subject 14 days before such data is disclosed for the first time.

A notice to the data subject shall contain information on the following:
1. the name and address of the controller and, where relevant, his representative according to Article 6,
2. the purposes of the processing,
3. other information, in so far as such further information is necessary, having regard to the specific circumstances in which the data are processed, to enable the data subject to protect his interests, including information on:
a. the types or categories of the data being processed,
b. where the data come from;
c. the recipients or categories of recipients of the data,
d. the provisions of the Act regarding the data subject's right of access, as well as the data subject's right to rectification and deletion of wrong or misleading data on him.

The provisions of Paragraph 1 do not apply if:
1. it is impossible to inform the data subject or if it would place a heavier burden upon the controller than can reasonably be demanded,
2. it may be assumed that the data subject is already aware of the processing,
3. recording or disclosure of the data is laid down by law or
4. the data subject's interests, of receiving notice of the data, are deemed secondary to vital public or private interests, including his own interests.]

(17) Act nº 81/2002, Art. 3.

Article 22. Reasoning for individual decisions that are based on automated data processing.
If an individual decision, which is solely based on automated processing of personal data, has been made, then the person to whom the decision relates may demand reasoning for the conclusion. In the reasoning, the controller shall articulate the principles, on which the electronic processing is based, and which make up the foundations for the decision.

Article 23. Warnings concerning use of personal profiles.
When a personal profile defining certain behaviour, taste, ability or need is used as a basis
1. of an individual decision as defined in Article 2 (9) or
2. for approaching the data subject, selecting a sample or a target group, etc.,
the Data Protection Authority can, when it has received a notification of such processing, decide that the controller shall notify the data subject and inform him who the controller of the processing is, what data he is using and where that data is obtained.

When making a decision in accordance with Paragraph 1, the Data Protection Authority shall, among other things, consider whether it is impossible to give warning or if it would place a heavier burden upon the controller than can reasonably be demanded.

Article 24. Warnings regarding electronic surveillance.
When electronic surveillance is conducted at a place of work or in public, a clear warning shall be given of that fact by a sign or in another noticeable way, stating also who the controller is.

CHAPTER IV. Rectification, erasure, deletion, blocking, etc.

Article 25. Rectification and deletion of incorrect and misleading personal data.
If incorrect, misleading or incomplete personal data have been registered, or if personal data have been registered without a proper authorization, then the controller shall see to it that the data be rectified, erased, deleted or improved upon, if the defect in question is liable to affect the interests of the data subject. If such data have been disclosed or used, then the controller shall, to the extent that he is possibly able to, prevent it from affecting the interests of the data subject.

If erasure, deletion or alteration, of the data referred to in Paragraph 1, is not allowed according to provisions of other acts, then the Data Protection Authority may prohibit the use of the data.

Article 26. Erasure, and prohibition of use, of personal data that are neither incorrect nor misleading.
When there is no longer an apposite reason to preserve personal data, the controller shall erase them. An apposite reason for preserving data may i.a. stem from a provision of law or from the fact that the controller is still processing the data in conformity with the original purpose of their collection.

If provisions of other acts do not preclude it, the data subject may still demand that data relating to him, under Paragraph 1, be erased or their usage prohibited, if that is considered justifiable, following a comprehensive assessment of the interests involved. In making such an assessment, the interests of others, general considerations of privacy, public interests, and the measures necessary for complying with the demand, shall be taken into account.

The Data Protection Authority may, in individual cases or by issuing a general ordinance, prohibit the use of such data or order that they be erased.

Article 27. The right to a decision based on manual processing of data.
If an automated individual decision, according to Article 2 (9), has been made and it is solely based on an automated processing of personal data, the individual to whom the decision relates, or is directly affected by the matter, may insist that the decision is made via manual means, provided that the decision in question concerns his personal situation or attributes and is of significant importance to him.

The right outlined in Paragraph 1, does not exist in situations where appropriate measures are applied in order to protect the privacy interests of the individual in question and the relevant decision is based on a legal provision or relates to the construction or honouring of a contract.

Article 28. The data subject's right to object.
The Statistical Bureau of Iceland's registry of restrictions.
The data subject may object, on compelling legitimate grounds relating to his particular situation, to the processing of personal data relating to him, save where otherwise provided by national legislation. Where there is a justified objection, the processing instigated by the controller may no longer involve those data.

The Statistical Bureau of Iceland shall maintain a registry of those individuals who object to their names being used for marketing purposes. The Statistical Bureau shall issue an ordinance dictating the assembly and usage of such registries and what information shall be registered there, in cooperation with the Data Protection Authority. Controllers engaged in direct marketing, and those who use a list of names, addresses, e-mail addresses, phone numbers and similar data, or disclose them to a third party in connection with a similar enterprise, shall, prior to using such a list for the described purposes, compare it with the Statistical Bureau's registry, in order to prevent direct mail from being sent to, or phone calls being made to, those who have objected to it. The Data Protection Authority can make exemptions from this duty in special cases.

All use of the restricted registry in Paragraph 2, for other purposes than those articulated there, is forbidden.

The controller's name shall be prominently displayed on sent target mail, with information on where those who object to receiving such target mail and phone calls can turn to. The recipient of target mail is entitled to know the origin of the data that is the basis for the mailing or phone call. This does not apply to the controller's marketing of his own products and services using his own customer list, provided that that it is stated, on the material which is sent out, where it is sent from. [If target mail is sent by electronic means, it shall be made clear as soon as it is received that it is of target mail nature.](18)

The controller may disclose registries of a fellowship's members, of employees or of customers for use in direct marketing, provided that:
1. the disclosure does not include any sensitive personal data,
2. each of the data subjects has, before the disclosure, been given an opportunity to object to data relating to him appearing on the disclosed registry,
3. it is not in violation of the rules or codes of the association in question,
4. the controller examines if any of the data subjects has registered their objection with the Statistical Bureau, cf. Paragraph 2, and erases data relating to the individual in question, before disclosing the registry.

The provisions of Paragraph 5 do not apply if the disclosure of a registry of a fellowship's members, of employees or of customers, for the purpose of distributing target mail, is based on the consent of the data subject, cf. Article 8, Paragraph 1 (1).

The provisions of Paragraphs 1 through 5 apply, where appropriate, also to market surveys, consumption surveys and opinion polls. The Data Protection Authority may exempt scientific research and comparable research from such restrictions, provided that it is considered obvious that they could seriously compromise the reliability of the outcome of the research.](19)

(18) Act nº 30/2002, Art. 23.

(19) Act nº 90/2001, Art. 8.

CHAPTER V. Transfer of personal data abroad.

Article 29. Transfer of personal data to a country that provides an adequate level of personal data protection.
The transfer of personal data to another country is permitted if the laws of that country provide an adequate level of personal data protection.

A country which complies with the European Union Directive 95/46/EC, on the protection of individuals with regard to the processing of personal data and on the free movement of such data, is considered having fulfilled the requirements of Paragraph 1. [The same applies to those countries or places which the Data Protection Authority lists in an advertisement in the Law and Ministerial Gazette, having considered the decisions of the Commission of the European Union.](20)

When considering whether a country, which does not comply with Directive 95/46/EC, fulfils the requirements of Paragraph 1, that country's rules on the processing of personal data and on good business practices, and the security measures taken by the recipient, shall be among the factors taken into account. Ratification by the respective country of the Council of Europe Convention nº 108 of 28 January 1981, for the Protection of Individuals with regard to Automatic Processing of Personal Data, shall also be taken into consideration.

(20) Act nº 90/2001, Art. 9.

Article 30.Transfer of personal data to a country that does not provide an adequate level of personal data protection.
The transfer of personal data to a country that does not provide an adequate level of personal data protection is prohibited, unless:
1. the data subject has consented to the transfer, or
2. it is necessary for the fulfilment of obligations under international law or as a result of Iceland's membership of an international organization, or
3. such a transfer is authorized in another legislative act, or
4. the delivery is necessary to establish or fulfil a contract between the data subject and the controller, or
5. the transfer is necessary to establish or fulfil a contract in the interest of the data subject, or
6. the delivery is necessary in order to protect vital interests of the data subject, or
[7. if dissemination is necessary or legally required on important public interest grounds, or for the establishment, exercise or defence of legal claims or
8. the data in question are accessible to the general public.

The Data Protection Authority can authorize the transfer of data to a country referred to in Paragraph 1, if it determines that special circumstances warrant it, even if the conditions of the provision are not met. In such cases the nature of the data, the planned purpose of the processing and its duration are among the factors that shall be taken into account. [The Data Protection Authority can authorize the transfer of data to third countries even if they have not been thought of as providing the citizens with an adequate level of privacy protection. This is contingent upon the controller having, in the opinion of the Authority, provided sufficient guarantees to meet these concerns. The Authority can for example require that the controller enter into a written contract with the recipient and that the contract contains certain standard contractual clauses in conformance with a decision which the Data Protection Authority has advertised in the Law and Ministerial Gazette, having considered the decisions of the Commission of the European Union, cf. Article 29, Paragraph 2 of this Act. The Data Protection Authority may issue further instructions regarding the transfer of personal data abroad.](21).

(21) Act nº 90/2001, Art. 10.

CHAPTER VI. Obligation to notify, permit requirements, etc.

Article 31. Obligation to notify.
Each controller, who uses electronic technology to process personal data, cf. Article 8 and Article 9, shall notify the Data Protection Authority of the processing, using a form intended for that purpose, in a timely manner before beginning the processing. Any changes that are made from the original notification shall also be notified.

The obligation to notify does not apply if the processing extends only to data that have been and are accessible to the public.

The Data Protection Authority may decide (22) that certain categories of processing of general information shall be exempt from notification, or that they shall be subject to simpler notification requirements. The Data Protection Authority can also decide (22) that certain categories of processing shall require a permit. The Data Protection Authority can issue instructions regarding processing which is exempt from notification, and these may, among other things, include the factors referred to in Article 35, Paragraph 2. The Data Protection Authority can also dictate measures to be taken in order to reduce the inconvenience that the data subject may suffer as a result from this type of personal data processing.
(22) Rules nº 90/2001, cf. nº 170/2001.

Article 32.Contents of notification.
A notification to the Data Protection Authority, according to Article 31, shall contain the following information:
1. the name and address of the controller and, where relevant, his representative according to Article 6;
2. who bears the day-to-day responsibility of fulfilling the controller's duties
3. the purpose of the processing;
4. a definition and other characterization of the categories of data that will be used for the processing;
5. where the data are obtained;
6. what sanctions the processing is based on;
7. to whom the data will be disclosed;
8. whether export of the personal data is planned;
9. whether publication of the personal data on the Internet is planned;
10. what security measures will be implemented in the processing;
11. whether and when personal data or personal identifiers will be deleted;
[12. how the conditions of Articles 20 and 21 are fulfilled.](23)

The Data Protection Authority can issue further instructions (24) regarding the form and contents of notifications and on other aspects of the obligation to notify.

The controller shall see to it that the Data Protection Authority has always up-to-date information regarding the processing. When three years have passed since a notification was sent to the Data Protection Authority, a new notification, containing updated information, shall be sent to the Authority, unless changes in the processing have already been notified. The Data Protection Authority can dictate measures to be taken, in order to ensure the quality and dependability of notifications, and decide on different notification time limits depending on the category and nature of the processing.

(23) Act nº 81/2002, Art. 4.

(24) Rules nº 90/2001.

Article 33.Processing which requires a permit.
If certain processing of general or sensitive personal data is likely to present specific risks to the rights and freedoms of data subjects, then the Data Protection Authority can decide (25) that the processing may not begin until it has been examined by the Authority and approved of, by the issuing of a special permit. The Data Protection Authority can decide (26) that such permits will no longer be required when general rules and security standards, to be observed in this kind of processing, have been issued.
(25) Rules nº 90/2001, cf. nº 170/2001.

(26) Rules nº 170/2001, cf. 157/2003.

Article 34. Prerequisites for the issue of permits, etc.
A controller may only be issued a permit in accordance with Article 33, or other provisions of this Act, if it is likely that he can fulfil his duties according to the Act, or the instructions of the Data Protection Authority.

The Data Protection Authority shall, when handling cases which concern the processing of sensitive personal data, determine, within the limits set in Chapter II of the Act, whether the processing is liable to cause the data subject so much inconvenience that it can not be redressed by way of conditions set in accordance with Article 35. If such inconvenience can occur, then the Data Protection Authority shall determine if interests recommending the processing outweigh the interests of the data subject.

Article 35.Conditions set by the Data Protection Authority regarding the processing of personal data.
When a controller is granted a permit in accordance with Article 33, the Data Protection Authority shall set conditions, e.g. the encryption of personal identities and other conditions which the Authority deems essential in each case, in order to reduce or prevent the data subject's potential inconvenience resulting from the processing. The same applies, where relevant, when the Data Protection Authority receives a notification about the processing of sensitive personal data that falls under Article 9, Paragraph 1.

When deciding on what conditions to set, the Data Protection Authority shall among other factors consider the following:
1. whether the data subject is guaranteed the exercise of his rights under the Act, including the right to discontinue his participation in a project, and, where applicable, to have registered personal data erased, and to receive information on his rights and their application;
2. whether personal data will be adequately secure, reliable and updated according to the purpose of the processing, cf. Article 7;
3. whether personal data will be handled with the care dictated by rules regarding obligations of secrecy and by the purpose of the processing;
4. whether it has been planned, how the data subject will be provided with information and instructions, within the boundaries of what is reasonable to expect, having regard to the extent of the processing and to other security measures which are implemented.
5. whether security measures, which are normal in relation to the purpose of the processing, have been established.

The Data Protection Authority can decide that the controller and the processor, and any employees working on their behalf, shall sign a declaration stating their promise to keep secret any sensitive personal data that they will gain knowledge of during the data processing. The controller or his deputy shall attest to the validity of the signature and date on such a declaration, and deliver it to the Data Protection Authority within a given time limit. A breach of this obligation of secrecy shall be punishable according to Article 136 of the General Penal Code. The obligation of secrecy shall continue to be maintained after the termination of employment.

The Data Protection Authority can handle a case regarding the processing of sensitive personal data by stipulating, that a special data protection official be appointed to oversee, on behalf of the Data Protection Authority, that the processing is in compliance with law, and that the controller pay all costs stemming from this arrangement.

CHAPTER VII. Monitoring and sanctions.

Article 36.Organization and administration of the Data Protection Authority.
The Data Protection Authority is an independent authority with a specific board of directors and is administratively subject to the Minister of Justice.

The Data Protection Authority acts with independence in exercising its functions and its decisions according to this Act cannot be referred to a higher administrative authority.

The Minister shall appoint five persons to the Data Protection Authority's board of directors and an equal number of alternative members, for a period of four years at a time. The chairman and vice-chairman of the board are appointed without nomination and they shall be lawyers and fulfil the job requirements of district court judges. The Supreme Court of Iceland nominates one board member and the Icelandic Society for Information Processing shall nominate another and he shall be an expert in the field of computers and technology. Alternative board members shall fulfil the same requirements as the principal members.

The Minister decides the remuneration of the board members.

When the board members do not agree, the matter in question shall be decided by majority vote. If votes are equal for and against, the vote of the chairman shall be decisive.

The Minister, having received the recommendations of the board of directors, appoints the Data Protection Commissioner for a period of five years at a time. The Commissioner attends the board meetings with the right to speak and make proposals.

The Commissioner is in charge of daily management and hires other employees of the Authority.

The Commissioner is responsible for the financial matters and personal management of the Data Protection Authority. The Data Protection Authority's board decides in other respects the division of duties between the board and its staff.

Article 37.The tasks of the Data Protection Authority.
The Data Protection Authority monitors the application of this Act and those administrative rules that are issued according to it.

The Data Protection Authority rules on cases of dispute concerning the processing of personal data [in Iceland, whether or not the laws governing the processing are Icelandic or not].(27)

The Data Protection Authority can consider individual cases on its own initiative or on the basis of a communication from someone who maintains that his or her personal data has not been processed in compliance with this Act, and those administrative rules which are issued according to it, or with individual instructions.

The tasks of the Data Protection Authority include the following:
1. to handle applications for permits, receive notifications and dictate, as needed, measures relating to technology, security and organization of the processing in order for it to comply with the provisions of the Act, (28)
2. to monitor the compliance with the Act, and other rules regarding the processing of personal data, and that flaws and mistakes are corrected,
3. to observe general trends in the field of personal data protection, domestically and abroad, and maintaining an overall view of, and providing an introduction to, the main issues connected with the processing of personal data,
4. to define and circumscribe where protection of personal data is at risk and provide advice on potential solutions,
5. to guide those who plan to process personal data, or to develop a system for such processing, on personal data protection issues by, among other things, assisting with the production of professional and ethical codes of conduct for individual associations, groups and professions, (29)
6. to express views, either by request or on its own initiative, on issues regarding the processing of personal data, and to provide opinions on bills of law and on other rules of significance for the protection of personal data.
7. to publish an annual report on its activities.

The Data Protection Authority can decide that the controller shall pay the cost resulting from monitoring that he complies with the conditions of this Act, and those administrative rules that are issued according to it, or with individual instructions. The Data Protection Authority can also decide that the controller pay the costs associated with an audit of an operation, when the issuance of a processing permit or other handling is being prepared.

(27) Act nº 90/2001, Art. 11.

(28) Rules nº 340/2003.

(29) Advertisement nº 1001/2001.

(30) Act nº 81/2002, Art. 5.

Article 38. The Data Protection Authority's access to information, etc.
The Data Protection Authority can demand from controllers, processors and from those working on their behalf, any information and written explanation that it needs to perform its role, including information that it needs in order to determine if a particular operation or processing is subject to the provisions of the Act. The Data Protection Authority can also summon controllers, processors and those working on their behalf, to provide verbal information and explanations regarding a certain processing of personal data.

The Data Protection Authority has, in its monitoring role, the right to access, without a court order, any premises where processing of personal data is conducted or data media are maintained, including premises where files, pictures, cf. Article 4, personal data which are subject to electronic processing, and equipment used to process them, are maintained. The Data Protection Authority can carry out any test or monitoring procedure that it deems necessary, and require the needed assistance of employees of such facilities in order to conduct evaluations or monitoring. The Data Protection Authority can request police assistance if anyone seeks to hinder it in its monitoring capacity.

The Data Protection Authority's right to request information or access to facilities and equipment will not be restricted on the grounds of rules regarding the obligation to maintain secrecy.

Article 39. Exceptions from obligations of secrecy.
Provisions dictating the obligation of secrecy shall not prevent the Data Protection Authority from disclosing information to foreign data protection supervisory authorities, when necessary for the Data Protection Authority or the foreign supervisory authorities to be able to decide upon or carry out actions to ensure the protection of personal data.

Article 40. Cessation of processing, etc.
The Data Protection Authority can order the cessation of processing of personal data, including collection, documenting or disclosure, order the erasure of personal data or the deletion of records, wholly or partially, prohibit further use of data or instruct the controller to implement measures that ensure the legitimacy of the processing. When deciding whether such measures are to be taken, and which ones are to be applied, the Data Protection Authority shall among other things take into consideration the factors listed in Article 35 Paragraph 2.

If a processing is discovered, which violates provisions of this Act, or those administrative rules which are issued according to it, the Data Protection Authority can assign to the Chief of Police the task of halting temporarily the operations of the party in question and seal its place of operation without delay.

If someone does not comply with the instructions of the Data Protection Authority according to Paragraph 1, then the Authority can revoke a permit that it has granted according to the provisions of this Act until it concludes that the necessary improvements have been made.

Article 41.Daily fines.
If the Data Protection Authority's instructions according to Articles 10, 25, 26 or 40 are not observed, the Authority can decide to impose daily fines upon the receiver of the instructions, until it concludes that the necessary improvements have been made. Fines can amount to ISK 100.000 per each day that passes or is passing without the Data Protection Authority's instructions being observed.

If a Data Protection Authority's decision to impose daily fines is referred to the courts, then the fines will not begin to accrue until a final judgement has been rendered. Daily fines are deposited to the State Treasury and may be collected by distress without prior judgement.

Article 42.Sanctions.
Infringements of the provisions of this Act, and of regulations issued according to it, are punishable by means of fines or a prison term of up to three years, unless more severe sanctions are provided for in other acts of law. The same punishment shall apply if instructions by the Data Protection Authority are not observed.

If an offence is committed as part of the operations of a legal person, then that legal person can be fined as provided for in Chapter II A of the General Penal Code.

Article 43.Remedies.
If a controller or a processor has processed personal data in violation of this Act, rules or instructions by the Data Protection Authority, then the controller shall compensate the data subject for the financial damage suffered by him as a result of this. A controller will, however, not be made to compensate for any detriment which he proves that can neither be traced to his mistake nor to any negligence on his or his processors' behalf.

CHAPTER VIII.Correlation with other acts of law, entry into force, etc.

Article 44.Correlation with other acts of law.
This Act applies to the processing and handling of personal data conducted according to other legislation, unless otherwise specifically stated in those laws.

This Act does not in any way limit the right of access to information prescribed by the Access to Information Act and the Administrative Procedures Act.

Article 45. Regulations regarding individual categories of activity.
The handling of personal data in a particular field of practice, and by individual professions, can be prescribed in a governmental regulation.

Permission to collect and register financial and credit standing data of companies, and other legal persons, for the purpose of disclosing such information to others, shall be governed by a regulation. (31) A permit issued by the Data Protection Authority is required for this activity and the following provisions of the Act apply to it: Article 11 on the security and integrity of personal data, Article 12 on internal audits, Article 13 on the handling of data by processors, Article 18 on the data subject's right of access, Article 21 on the duty to provide warning when data are collected from someone else than the data subject himself, Article 25 on rectification and deletion of incorrect and misleading personal data, Article 26 on erasure, deletion, and prohibition of use, of data which are neither incorrect nor misleading, Article 33 on processing which requires a permit, Article 34 on prerequisites for the issue of permits, Article 35 on conditions, Article 38 on the Data Protection Authority's access to information, etc., Article 40 on cessation of processing etc., Article 41 on daily fines, Article 42 on sanctions and Article 43 on remedies.

After receiving the opinion of the Data Protection Authority, the Minister shall in a regulation (32) prescribe the Data Protection Authority's role in the monitoring of electronic personal data processing conducted by the police. Among other things, the regulation shall prescribe the duty of the police to notify the Data Protection Authority on electronically processed files that it maintains and the contents of such notifications. It shall also dictate in which cases, and by what method, the data subject may access personal data on himself, which have been registered by the police, and the right of the police to disclose personal data in other instances. Finally, it shall address the security of personal data and internal audits by the police concerning legal compliance in personal data processing, and dictate how long registered data shall be preserved.

A regulation shall also address in more detail the practices of those who use lists of names, prepare name inscriptions, for uses that include marketing, and in conducting marketing surveys and opinion polls.

(31) Regulation nº 246/2001.

(32) Regulation nº 322/2001.

Article 46.Entry into force.
This Act will enter into force on January 1, 2001. When it enters into force, the Act nº 121/1989, on Registration and Processing of Personal Data, will be repealed.

When the Act enters into force, the following amendments to other acts of law will take place:
1. The words «Act Respecting Systematic Recording of Personal Data, nº 121/1989» in the last sentence of Article 20 of the Child Protection Act, nº 58/1992, will be replaced with: Act on Protection and Processing of Personal Data.
2. The words «the Data Protection Commission, cf. Act nº 121/1989, Respecting Systematic Recording of Personal Data,» will be replaced with: the Data Protection Authority, cf. Act on Protection and Processing of Personal Data.
3. The words «The Data Protection Commission» in Article 15, Paragraph 3 of the Act on the Rights of Patients, nº 74/1997, will be replaced with: the Data Protection Authority.
4. The words «The Data Protection Commission» in Article 14, Paragraph 2 of the Act on Electronic Ownership Registration of Securities, nº 131/1997, will be replaced with: the Data Protection Authority.
5. The words «the Data Protection Commission» in Article 4 of the Act on a Health Sector Database, nº 139/1998, and the same words in Articles 5, 6, 7, 10, 12 and 17, will be replaced with: the Data Protection Authority.
6. The words «the Data Protection Commission» in Articles 18 and 19 of the Act on the Schengen Information System in Iceland, nº 16/2000, shall be replaced with: the Data Protection Authority.

Temporary provision.
Immediately after the publishing of this Act, the Minister shall appoint the board of directors and advertise the office of the Data Protection Commissioner vacant. After the appointment of a Commissioner, he will hire other staff as needed to help prepare the Act's entry into force and handle administrative functions in accordance with Paragraph 2.

In spite of Article 46 Paragraph 1, the Data Protection Authority shall, immediately after the appointing of its board of directors, begin monitoring the compliance of the Schengen Information System in Iceland with Act nº 16/2000, on the Schengen Information System in Iceland.

Each controller, who uses electronic technology to process personal data when this Act enters into force, shall notify the Data Protection Authority of the processing, using a form intended for that purpose, in accordance with the provisions of Articles 31 and 32, within six months of their entry into force.

Mediante Autos del 24 de noviembre de 1993, la Jueza encargada del Registro Civil de Bilbao denegó la manifestación y examen de los libros de ese Registro Civil a los empleados del periódico «El Correo» y a los de «El Mundo» respectivamente.

Ambas empresas periodísticas apelaron ante la Dirección General de los Registros y del Notariado.

La Dirección General, con revocación parcial de los autos apelados y estimación parcial de los recursos, acuerda:

Primero

Que los empleados de los periódicos interesados tienen derecho a examinar diariamente los libros de defunciones en la hora más conveniente para el servicio y bajo la vigilancia del Encargado

Segundo

Que puede sustituirse este examen de los libros de defunciones por la expedición de una nota simple informativa, cuyo contenido y condiciones se fijarán de común acuerdo entre las empresas periodísticas y la Jueza Encargada.

Tercero

Que se deniega a dichos empleados el examen de los libros de nacimientos

Cuarto

Que se reconoce a las empresas periodísticas recurrentes el derecho a obtener nota simple informativa de los nacimientos inscritos cada día en los términos que se acuerden los recurrentes y la Jueza Encargada.

FUNDAMENTOS DE DERECHO

PRIMERO

Dada la íntima conexión entre los dos recursos entablados, que se refieren al mismo supuesto de hecho, y al ser esta Dirección General competente para resolver ambos, es procedente su acumulación de oficio, conforme permite el artículo 347 del Reglamento del registro Civil.

SEGUNDO

La cuestión planteada por los autos apelados hace referencia a si los empleados de determinadas empresa periodísticas tienen o no derecho, con vistas a la publicación sucinta y diaria de las relaciones de nacidos y de difuntos, a consultar los libros de nacimiento y de defunciones de un Registro Civil. La cuestión es de indudable importancia general ya que en muchos periódicos españoles, especialmente cuando se trata de prensa local, es muy frecuente la publicación de tales listas de nacidos y de difuntos.

TERCERO

Esta última observación de la pauta para resolver un problema previo cual es 3el de si las empresas periodísticas tienen interés de obtener información del Registro Civil. La respuesta afirmativa es obvia, porque hay, en efecto, un interés de los particulares de conocer en sus líneas generales el movimiento demográfico de la población en que residen, de tal modo que este interés tiene su amparo en el derecho «a comunicar o recibir libremente información veraz por cualquier medio de difusión», reconocido y protegido por la Constitución Española 

CUARTO

Consiguientemente y tratándose de la consulta de los libros de defunciones que no contienen datos de publicidad limitada, no hay inconveniente para que los empleados, debidamente acreditados, de un periódico consulten directamente tales libros. El examen requiere la autorización del Juez Encargado que puede ser sustituida en vía de recurso por la de este Centro Directivo, si bien la manifestación de los libros «tendrá lugar a la hora más conveniente para el servicio y bajo la vigilancia del Encargado», pudiendo, eso sí sustituirse tal examen directo de los libros, por la nota simple informativa a que alude el artículo 35 del Reglamento del Registro Civil, la cual comprenderá los datos esenciales y mínimos concretados por mutuo acuerdo entre la empresa periodística y la Jueza Encargada. Para evitar eventuales deterioros y manipulaciones de las inscripciones de defunción es evidentemente preferible este procedimiento de la nota simple informativa.

QUINTO

Conviene insistir en que para los Libros de defunciones rige el principio general de publicidad del Registro, plasmado en las reglas de que el Registro es público para quienes tengan interés en conocer los asientos y de que este interés se presume en quien solicita la información. No ha de importar que este Centro Directivo haya declarado en varias ocasiones que «el interés que legítima para obtener certificaciones ha de estar relacionado directamente con la prueba del estado civil de las personas, o del contenido del Registro» y que «si el interés se refiere a cuestiones distintas, el Encargado puede y debe denegar la certificación». Estas afirmaciones han de entenderse limitadas a aquellos casos, como los contemplados en las Resoluciones de 15 de junio 1972 y de 12 febrero y 25 mayo 1988, en las que los peticionarios deseaban obtener, por motivos fundamentalmente comerciales, listas indiscriminadas de los Registros Civiles que incluían a veces datos de publicidad restringida y en otras ocasiones los domicilios de los particulares afectados. Por el contrario está amparado en el derecho fundamental a recibir y difundir información veraz, reconocido y protegido por la Constitución. Además, en los libros de defunciones no hay, a diferencia de lo que inmediatamente se verá, ningún dato que, por afectar a la intimidad, sea objeto de publicidad limitada. La causa de la muerte ha de constar en el asiento simplemente por referencia a su causa inmediata y fundamental. y si en algún caso particular, con olvido de esta concreción, hubiera datos más explícitos de la causa de defunción, esta irregularidad no puede justificar una desviación de la conclusión expuesta.

SEXTO

La cuestión se presenta con otros matices cuando se trata de la consulta directa de los libros de nacimientos, porque en ellos hay datos de publicidad restringida, como los relativos a filiaciones desconocidas, no matrimoniales o adoptivas, en los que el conocimiento del Registro por parte de los terceros está subordinado a una autorización especial concedida por el Encargado sólo a quienes justifiquen interés legítimo y razón fundada para pedir la autorización. Se trata, pues, de un caso en el que el derecho a la difusión de la información tiene su propio límite especial en el derecho a la intimidad. Ahora bien, la copiosa jurisprudencia de los Tribunales Supremo y Constitucional sobre la colisión de ambos derechos no puede dar más que una pauta indirecta para resolver el problema registral apuntado, porque no se trata aquí de la reacción de un particular que estima que ha existido una intromisión ilegítima en su intimidad personal y familiar como consecuencia de la publicación de una noticia en un medio de comunicación, sino de la etapa anterior de obtención de la información por parte de la empresa periodística siempre sobre la base de que la información que va a ser difundida no hará referencia alguna a los datos de la filiación consignados en el Registro. Se trata, en definitiva, de una cuestión que ha de resolverse de acuerdo fundamentalmente con la legislación del Registro Civil, cuya preocupación es garantizar en su ámbito propio el derecho constitucional a la intimidad. Así viene a reconocerlo, por la vía de silencio sobre el problema expuesto, la Ley Orgánica 1/1982, de 5 mayo, y por una remisión expresa a dicha legislación la Ley Orgánica 5/1992, de 29 octubre.

SÉPTIMO

De acuerdo con estas consideraciones, aunque el derecho a publicar los nacimientos en los medios de comunicación no deba ser coartado, el mismo no alcanza a permitir que personas ajenas al Registro lleguen a conocer datos íntimos sobre otras personas, como así  ocurriría si se admitiera que aquéllas pudieran por sí mismas examinar los libros de nacimientos. En efecto, por más que tales datos íntimos no vayan a ser publicados en el periódico, el derecho ala intimidad exige que tales datos no sean conocidos más que por las personas directamente afectadas. Aquí sí que los terceros han de invocar y justificar un interés legítimo especial referido a la necesidad de probar un estado civil o el contenido del Registro, pero ha de impedirse que, so capa de la libertad de información, puedan producirse habladurías y rumores en determinados círculos ajenos al de la persona o familia afectadas. Aunque la discreción de los empleados de los periódicos que examinen los libros fuera máxima, no puede descartarse algún caso aislado de indiscreción que es preferible cortar de raíz pues así lo exige el derecho a la intimidad que prevalece constitucionalmente sobre el derecho a la difusión de información veraz.

OCTAVO

No obstante lo anterior, este último derecho puede verse satisfecho por un procedimiento menos drástico que el de la manifestación de los libros de nacimientos. No hay inconveniente alguno en que por el Registro Civil de Bilbao se faciliten al final del día a las empresa periodísticas recurrentes sendas notas simples informativas en las que consten, sin mención alguna sobre la filiación, los datos sobre los nacimientos inscritos cada día. El contenido de tales notas y la forma de expedirlas y de entregarlas son cuestiones que habrán de concretarse entre los recurrentes y la Jueza Encargada del Registro Civil de Bilbao.

Au nom du peuple,

La chambre des députés et la chambre des conseillers ayant adopté,

Le Président de la République promulgue la loi dont la teneur suit:

Article premier.-

Les dispositions de l'article 6 de la loi 2001-50 du 3 mai 2001, relative aux entreprises des pôles technologiques, sont abrogées et remplacées par les dispositions suivantes:

Article 6 (nouveau).–　

Le ministère concerné par l'activité principale du pôle technologique et le ministère chargé de la recherche scientifique et de la technologie assurent l'évaluation et le suivi de l'activité du pôle.

Article 2.–　

Il est ajouté à la loi n° 2001-50 du 3 mai 2001 relative aux entreprises des pôles technologiques, un chapitre 4 intitulé » groupements et entreprises de gestion des pôles technologiques crées sur le domaine de l'Etat» comportant les articles 13, 14, 15, 16, 17, 18 et 19 dont la teneur suit:

Article 13.–　

Les missions prévues à l'article 2 de la présente loi ou une partie d'entre elles peuvent être assurées par des groupements d'intérêt public économique dotés de la personnalité juridique et de l'autonomie financière.

L'organisation, les modes de fonctionnement et de gestion des groupements des pôles technologiques sont soumis à des statuts type approuvés par décret.

Le groupement est créé en vertu d'un contrat constitutif conclu entre les différents intervenants dans les composantes du pôle et fixant ses missions . Ce contrat est approuvé par arrêté conjoint du ministre chargé de l'activité principale du pôle et du ministre chargé de la recherche scientifique et de la technologie.

Les groupements des pôles technologiques sont créés sans capital et ne peuvent avoir un but lucratif. Ils sont soumis dans l'exercice de leur activité au code du commerce à l'exception des dispositions contraires à la présente loi. En outre, ils sont soumis à l'obligation d'inscription au registre du commerce.

Chaque groupement est dirigé par un conseil d'orientation constitué de sept à douze membres désignés par arrêté conjoint du ministre concerné par l'activité principale du pôle et du ministre chargé de la recherche scientifique et de la technologie parmi les représentants des parties au contrat constitutif et sur leur proposition. L'arrêté désigne, cri outre, l'un d'entre eux président du conseil.

Le conseil d'orientation du groupement fixe le programme de travail et le budget annuel du groupement.

Les comptes des groupements des pôles technologique sont soumis à un audit annuel effectué par un commissaire aux comptes désigné conformément à la législation en vigueur. Le rapport d'audit est transmis au ministre concerné par l'activité principale du pôle et au ministre chargé de la recherche scientifique et de la technologie.

Les ressources des groupements des pôles technologiques sont constituées des revenus provenant des prestations rendues, des subventions et revenus alloués par les personnes publiques ou privées ou par tout autre organismes ou organisations ainsi que les dons et legs et toutes autres ressources qui peuvent lui être allouées en vertu des lois et règlements en vigueur.

Les groupements des pôles technologiques sont régis par le régime fiscal applicable aux établissements publics à caractère administratif.

Les dispositions relatives à la faillite et aux procédures de redressement amiable et judiciaire ne s'appliquent pas aux groupements des pôles technologiques.

Les groupements des pôles technologiques sont dissous par arrêté conjoint du ministre concerné par l'activité principale du pôle et du ministre chargé de la recherche scientifique et de la technologie. Leurs droits et biens font retour à l'Etat qui assure l'exécution des engagements pris par ces groupements.

Article 14.-　

La gestion du pôle technologique créé sur le domaine de l'Etat ou la gestion d'une partie de celui ci peut être confiée, par une convention, à une entreprise régie par le droit commercial.

La convention est conclue entre l'entreprise et le ministre concerné par l'activité principale du pôle et est approuvée par décret.

Un cahier des charges comportant, notamment, les conditions prévues à l'article 5 de la présente loi est annexé à ladite convention.

L'entreprise est chargée conformément à la convention et au cahier des charges cités ci dessus notamment de:

– l'exécution des travaux relatifs à l'aménagement du pôle ou d'une partie de celui-ci selon le cas,

– contacter les investisseurs en vue de la promotion du pôle et du développement de l'investissement au sein de celui-ci,

– fournir toutes prestations nécessaires à la maintenance du pôle et au bon fonctionnement des espaces communs,

– la construction de locaux au sein du pôle ou d'une partie de celui-ci, ainsi que la location des terrains et de locaux au sein du pôle,

– percevoir le montant du loyer des biens immobiliers et les revenus provenant des prestations fournies.　

Article 15.-　

Les terrains appartenant à l'Etat et affectés à l'espace de production et des services, peuvent être attribués aux organismes cités aux articles 7, 13 et 14 de la présente loi, et ce, en vertu d'une convention de concession conclue entre l'organisme concerné, le ministre chargé de l'activité principale du pôle et le ministre chargé de la recherche scientifique et de la technologie, précisant notamment, la superficie de l'espace objet de la concession et les conditions de son exploitation. Cet espace est considéré comme faisant partie du domaine public de l'Etat.

Est annexé à chaque convention un cahier des charges fixant notamment, les conditions et les caractéristiques techniques et administratives de la concession.

Article 16.-　

Les organismes titulaires de concession, mentionnés aux articles 7, 13 et 14 de la présente loi, peuvent louer les terrains réservés à l'implantation des entreprises dans l'espace du pôle ou dans une partie de celui ci, conformément au cahier des charges prévu à l'article 5 de la présente loi.

Article 17.-　

Le concessionnaire ou le locataire des terrains situés à l'intérieur des espaces objet de la concession prévues à l'article 15 de la présente loi, bénéficie d'un droit réel sur les constructions, ouvrages et équipements fixes qu'il réalise pour l'exercice de l'activité du pôle.

Ce droit confère à son titulaire pour la durée de la convention de concession ou du contrat de location, les droits et obligations prévus dans la présente loi.

Les droits réels grevant les constructions, ouvrages et équipements fixes sont inscrits sur un registre spécial tenu par les services compétents du ministère chargé du domaine de l'Etat. Les modalités de la tenue de ce registre sont fixées par décret.

Les modalités et les procédures prévues par la législation en vigueur en matière des droits réels sont applicables à l'inscription du droit réel ainsi que les droits des créanciers le grevant.

Article 18.-　

Il est interdit, pendant la durée de la convention de concession ou du contrat de location mentionnés à l'article 17 de la présente loi et pour la période restante, de céder ou de transférer à quelque titre que ce soit, les droits réels, les constructions, les ouvrage et les équipements fixes y compris les sûretés portant sur lesdits droits sauf autorisation du ministre chargé du domaine de l'Etat.

Les droits réels, constructions, ouvrages et équipement fixes mentionnés à l'article 17 de la présente loi, ne peuvent être hypothéqués que pour garantir les emprunts contracté par le concessionnaire ou le locataire en vue de financer la réalisation, la modification ou l'extension des ouvrages et équipements réalisés.

Les créanciers chirographaires, autres que ceux dont la créance est née à l'occasion de l'exécution des travaux mentionnés au paragraphe précédent, ne peuvent prendre des mesures conservatoires ou exécutoires sur les droits et biens mentionnés au présent article.

Les hypothèques grevant les droits réels, constructions, ouvrages et équipements fixes, s'éteignent à l'expiration de la convention de concession ou du contrat de location.

Article 19.-　

A l'expiration de la durée de la convention de concession ou du contrat de location, le concessionnaire ou le locataire doit enlever, à ses frais, les constructions et ouvrages qu'il a réalisés, sauf disposition explicite contraire de la convention de concession ou du contrat de location mentionnés à l'article 17 de la présente loi.

Les constructions, ouvrages et équipements fixes dont le maintien a été accepté, deviennent propriété de l'Etat, libres de toutes charges ou hypothèques,

Article 3.-　

L'expression » locaux » mentionnée aux articles 3 et 5 de la loi n° 2001-50 relative aux entreprises des pôles technologiques est remplacée par l'expression » terrains et locaux «.

La présente loi sera publiée au Journal Officiel de la République Tunisienne et exécutée comme loi de l'Etat.
　

Tunis, le 12 juin 2006.

Zine El Abidine Ben Ali

B.O.E. 18 febrero 2.000

Presidente: Manuel Jiménez de Parga y Cabrera

RESUMEN
El TC estima parcialmente el recurso promovido por el demandante de amparo, contra auto que inadmitió el recurso de casación y contra sentencia que le condenó por un delito contra la salud pública, y en consecuencia declara vulnerado el derecho a la inviolabilidad del domicilio. Entiende la Sala que teniendo en cuenta el contenido de la información aportada reservadamente, la ausencia de investigación para acreditar la veracidad de la existencia del delito conocido confidencialmente y la total carencia de cualquier otro dato capaz de acreditar la propia objetividad de las noticias confidenciales, deben conducir a la conclusión de que la autorización judicial, ni por sí misma ni integrada con la solicitud policial, exteriorizó los extremos necesarios para considerar que existían sospechas y no meras conjeturas de la comisión de un delito y de la conexión de la persona investigada con el mismo. Pero, sin embargo las declaraciones del imputado prestadas con todas las garantías son jurídicamente independientes del acto lesivo de la inviolabilidad domiciliaria.

NORMATIVA APLICADA

o Constitución 27-12-78. Constitución Española :
art. 18.2
.

ANTECEDENTES DE HECHO

PRIMERO.- Mediante escrito presentado en el Registro General de este Tribunal el 27 de septiembre de 1996, D. José Miguel interpuso el recurso de amparo contra auto que inadmitió el recurso de casación y contra sentencia que le condenó por un delito contra la salud pública, y en consecuencia declara vulnerado el derecho a la inviolabilidad del domicilio. Los hechos en los que se basa la demanda son, sucintamente expuestos, los siguientes:

a) Como consecuencia de los seguimientos realizados a personas objeto de una investigación que culminó en otro procedimiento diferente, se pidió por la policía judicial autorización para entrar en el domicilio familiar del recurrente, así como en el de una mujer con la que de hecho éste convivía, según quedó acreditado en el proceso. Obtenidos los oportunos mandamientos, se realizaron los registros. En el de la primera vivienda no se encontró nada, pero en el de la mujer, que se llevó a cabo en presencia de dos testigos, se hallaron diversas cantidades de droga y de dinero.

b) Elevados los autos por el Juzgado de Instrucción núm. 11 de Sevilla a la Audiencia Provincial de esta misma capital, y seguido el oportuno procedimiento, se dictó Sentencia, el día 29 de diciembre de 1995, en la que se condenó al ahora demandante de amparo, como autor de un delito contra la salud pública, a la pena de ocho años y un día de prisión mayor y multa de ciento y un millones de pesetas.

c) El condenado interpuso recurso de casación por infracción de ley, que fue inadmitido por Auto de la Sala Segunda del Tribunal Supremo, de 17 de julio de 1996.

d) Tanto ante la Audiencia Provincial como ante el Tribunal Supremo, alegó el recurrente, entre otros extremos, la vulneración del derecho a la inviolabilidad del domicilio porque el Auto que autorizó la entrada carecía de fundamentación y porque el registro se realizó sin la presencia del Secretario judicial. Respecto de la primera cuestión, la Audiencia Provincial y el Tribunal Supremo consideran que, efectivamente, el Auto que autorizó la entrada en el domicilio carece de la motivación suficiente; señalan, sin embargo, que según la jurisprudencia más reciente, este tipo de Autos pueden integrarse en su fundamentación por vía de su remisión al oficio policial mediante el que se solicite la correspondiente autorización judicial, y que la nulidad del registro sólo puede decretarse cuando la decisión carece realmente de apoyo en sospechas fundadas. En el caso concreto, los órganos judiciales estiman que se han respetado la exigencias de motivación y proporcionalidad.

SEGUNDO.- Contra las mencionadas resoluciones se interpone recurso de amparo. Reitera el quejoso en su demanda la denuncia de la violación del derecho a la inviolabilidad del domicilio (art. 18.2 CE); critica la falta de motivación del Auto de entrada y registro, así como la doctrina según la cual es posible integrar éste con el oficio policial, señalando, además, que el Auto carece de argumentos que justifiquen la medida adoptada. Por ello, procede la anulación de las resoluciones judiciales impugnadas.

TERCERO.– Mediante providencia de 22 de enero de 1997, la Sección Segunda de este Tribunal acordó admitir a trámite la demanda de amparo, sin perjuicio de lo que resultara de los antecedentes. Asimismo, y de conformidad con lo dispuesto en el art. 51 LOTC, se acordó requerir a la Sala Segunda del Tribunal Supremo, a la Audiencia Provincial de Sevilla (Sección Séptima) y al Juzgado de Instrucción núm. 11 de esa capital para que remitieran, respectivamente, en el plazo de diez días, testimonio de las actuaciones relativas al recurso de casación núm. 543/96, rollo núm. 54/93 y sumario núm. 3/93, interesándose al propio tiempo que se emplazara a quienes hubieran sido parte en el procedimiento para que, en el plazo de diez días, pudieran comparecer en el recurso de amparo.

CUARTO.- El 6 de febrero de 1997 se registró un escrito de la Magistrada-Juez titular del Juzgado de Instrucción núm. 11 de Sevilla en el que comunica que el sumario requerido había sido remitido a la Audiencia Provincial para la ejecutoria 88/96. El siguiente día 7 se recibió el testimonio remitido por el Tribunal Supremo y el día 27, el escrito de la Audiencia Provincial, al que se acompaña el testimonio solicitado y en el que se significa que han sido emplazados tanto el Ministerio Fiscal como la que también fue acusada y resultó absuelta.

QUINTO.– Mediante providencia de 21 de abril de 1997, la Sección Segunda acordó tener por recibidos los testimonios de las referidas actuaciones y, a tenor de lo dispuesto en el art. 52 LOTC, dar vista de las mismas al Ministerio Fiscal y al solicitante de amparo para que, en el plazo común de veinte días, formulasen las alegaciones que estimaren pertinentes.

SEXTO.- El 20 de mayo de 1997 se recibió el escrito de alegaciones del Ministerio Fiscal. En él se llama la atención, en primer lugar, sobre el hecho de que el recurrente en amparo invoque su derecho a la inviolabilidad del domicilio (art. 18.2 CE) y no alegue nada sobre el derecho a la presunción de inocencia (art. 24.2 CE) ni a la tutela judicial efectiva (art. 24.1 CE), en lo que afecta al derecho de acceso a los recursos. Considera el Ministerio Público, en todo caso, que no asiste la razón al recurrente, pues si bien es cierto que la motivación del Auto que autorizó la entrada en el domicilio resulta en sí misma insuficiente, tal resolución debe considerarse complementada por la exposición que se contiene en el oficio de la policía judicial que solicitó del Instructor el mandamiento de entrada y registro. De acuerdo con ello, basta con la lectura de la Sentencia de instancia y del Auto del Tribunal Supremo para concluir que es acertado el criterio seguido por ambos órganos judiciales al considerar suplidas las deficiencias de la resolución judicial por la exposición de la policía respecto a las razones que fundaron la solicitud que motivó el subsiguiente Auto de entrada y registro. Se remite el Ministerio Fiscal, en concreto, a una providencia de este Tribunal, de 25 de mayo de 1995, dictada en el recurso de amparo 3981/94.

Por lo que a la proporcionalidad de la medida se refiere, considera el Fiscal que si la misma debe valorarse en función de la naturaleza de los hechos investigados y del resultado a que condujo la diligencia, resulta suficiente la lectura de los hechos probados de la Sentencia de condena para comprobar que la medida fue indispensable, eficaz y manifiestamente proporcionada. A la misma conclusión se llega si para valorar este extremo debe tenerse en cuenta la motivación que determinó a la policía judicial a solicitar la diligencia, pues se había recibido una llamada anónima que denunciaba el hecho, existiendo además coincidencia respecto del lugar y del suceso con el resultado de otras investigaciones previas y paralelas. Tras remitirse a la STC 207/1996, concluye el Fiscal que queda fuera de toda duda que el registro era medida rigurosamente idónea para el descubrimiento inmediato de los hechos denunciados; incontestable es también su necesidad, en cuanto que la diligencia se muestra como medio ineludible y, por otra parte, no puede tampoco dudarse de su ponderación y equilibrio, atendidas la naturaleza y gravedad del suceso a investigar. Por todo ello, solicita el Fiscal de este Tribunal que dicte Sentencia desestimatoria del recurso de amparo.

SEPTIMO.– En el plazo conferido no se recibió el escrito de alegaciones del recurrente en amparo.

Por diligencia de 3 de junio de 1997, se hace contar que mediante llamada telefónica al Procurador Sr. Cuevas Villamañán, manifiesta éste que no ha formulado alegaciones.

OCTAVO.- El siguiente 8 de julio se registró un escrito del Procurador don Manuel Infante Sánchez en el que manifiesta que, habiéndose jubilado el Procurador D. Tomás Cuevas Villamañán, que ostentaba la representación del recurrente en amparo, adjunto presenta escrito de designación por el que se le otorga la representación, señalándose que no ha procedido a otorgar poder por estar su representado cumpliendo condena en el centro penitenciario «S. 2».

NOVENO.- Mediante providencia de 21 de julio de 1997, la Sección tuvo por recibido el mencionado escrito y acordó no haber lugar a lo interesado porque el art. 81.1 LOTC exige la representación por Procurador, que debe ser acreditada notarialmente, ya que el apoderamiento apud acta que regula el art. 281.3 LOPJ sólo puede otorgarse ante el Secretario del Juzgado o Tribunal que haya de conocer el asunto. Por ello, se acuerda otorgar un plazo de diez días, que podrá ampliarse teniendo en cuenta la situación de internamiento del actor, para que se aporte poder notarial o, en caso de no disponer de medios económicos, instar la designación de Procurador de oficio a este Tribunal, acreditando haber gozado de asistencia jurídica gratuita en la instancia y la renuncia de su Letrado a percibir honorarios hecha ante su Colegio y debidamente sellada por éste. Se señalaba, asimismo, que de encontrarse en la situación de insolvencia sobrevenida con posterioridad, deberá instar el nombramiento directamente al Servicio de Orientación Jurídica del Colegio de Abogados de Madrid y acreditar ante este Tribunal haberlo verificado.

DECIMO.– Por nuevo proveído de 13 de octubre de 1997 la Sección acordó, dado el tiempo transcurrido sin que se hubiera cumplimentado el requerimiento anterior, conceder un último y definitivo plazo de diez días para proceder a ello.

DECIMOPRIMERO.- El día 23 siguiente, se recibió un escrito del Procurador D. Manuel Infante Sánchez, al que se une poder notarial que acredita la representación que ostenta de D. José Miguel.

DECIMOSEGUNDO.- Por providencia de 3 de noviembre de 1997 se tiene por recibido el anterior escrito del Procurador Sr. Infante Sánchez, a quien se tiene por personado en nombre y representación del recurrente en amparo.

DECIMOTERCERO.– Por diligencia de 6 de julio de 1998, se hace constar que mediante llamada telefónica, en el día de la fecha, al Procurador Sr. Infante Sánchez, el mismo ratifica que en el presente procedimiento no ha formulado las alegaciones del art. 52 LOTC dentro del plazo concedido al efecto.

DECIMOCUARTO.– Por providencia de 14 de enero de 2000, se señaló para deliberación de la presente Sentencia el día 17 del mismo mes y año, en que se inició el trámite, que ha finalizado en el día de la fecha.

FUNDAMENTOS DE DERECHO

PRIMERO.– La cuestión sometida a consideración de este Tribunal en el presente recurso de amparo reside en la posible violación del derecho fundamental a la inviolabilidad del domicilio (art. 18.2 CE) al haberse verificado el registro del domicilio del recurrente sin que el Auto de autorización judicial haya exteriorizado los elementos que podrían avalar la proporcionalidad de la medida, y sin que, por tanto, pueda considerarse el Auto motivado y la medida proporcionada. A partir de la afirmación de la concurrencia de esta lesión del derecho a la inviolabilidad del domicilio y sobre la base de lo dispuesto en el art. 11 LOPJ, fundamenta el recurrente no sólo la nulidad del registro, sino la de toda prueba que derive directa o indirectamente del mismo, solicitando, como consecuencia necesaria de todo ello, la nulidad de la Sentencia condenatoria dictada por la Audiencia Provincial de Sevilla y del Auto del Tribunal Supremo que inadmitió el recurso de casación.

Si bien, como señala el Ministerio Fiscal, la demanda de amparo no invoca formalmente la lesión del derecho a la presunción de inocencia (art. 24.2 CE), la concurrencia de esta lesión habrá de ser analizada por este Tribunal, en caso de concluirse la vulneración del derecho a la inviolabilidad del domicilio del recurrente, dado que la pretensión de infracción del derecho a la presunción de inocencia, de un lado, subyace a la solicitud de nulidad de las resoluciones dictadas por los Tribunales ordinarios, pues el efecto de nulidad pretendido sólo sería posible tras la afirmación de concurrencia de la lesión de este derecho, y, de otro, puede entenderse implícita en la afirmación de que la nulidad de la prueba obtenida en el registro arrastra «tanto a la realidad de las sustancias y efectos aprehendidos en dicho domicilio (prueba directamente obtenida en él) como a las declaraciones de los funcionarios que la practicaron, de la testigo que la presenciaron [sic], de los peritos que analizaron tales sustancias e incluso de las manifestaciones de los propios acusados que pudieran entenderse por el Tribunal como autoinculpatorias sobre dichos hallazgos», ya que con ello se afirma la nulidad de toda la prueba de cargo que sustentó la condena del demandante de amparo.

SEGUNDO.- Planteado así el tema, hay que comenzar señalando que el otorgamiento del amparo con el efecto de nulidad de las resoluciones solicitada, no es consecuencia necesaria y directa, como sostiene el quejoso, de la apreciación de la vulneración del derecho a la inviolabilidad del domicilio. Pues, como ha recordado este Tribunal recientemente (SSTC 166/1999, de 27 de septiembre, FJ 4, 171/1999, de 27 de septiembre, FJ 4), la declaración de lesión del derecho constitucional sustantivo no tiene como consecuencia automática la prohibición constitucional de valoración de toda prueba conectada de forma natural con las directamente obtenidas con vulneración de derechos constitucionales.

De un lado, ha de tenerse presente que efectivamente la valoración de pruebas obtenidas con vulneración de derechos fundamentales produce la lesión del derecho a un proceso con todas las garantías. Este Tribunal tiene afirmado que «la valoración procesal de las pruebas obtenidas con vulneración de derechos fundamentales `implica una ignorancia de las garantías propias del proceso (art. 24.2 de la Constitución)' (SSTC 114/1984, de 29 de noviembre, FJ 5, y 107/1985, de 7 de octubre, FJ 2) y en virtud de su contradicción con ese derecho fundamental y, en definitiva, con la idea de proceso justo (T.E.D.H., caso Schenk contra Suiza, Sentencia de 12 de julio de 1988, fundamento de Derecho I, A) debe considerarse prohibida por la Constitución» (STC 81/1998, de 2 de abril, FJ 2).

De otro lado, no puede olvidarse que «es lícita la valoración de pruebas que, aunque se encuentren conectadas desde una perspectiva natural con `el hecho constitutivo de la vulneración del derecho fundamental por derivar del conocimiento adquirido a partir del mismo', puedan considerarse jurídicamente independientes (SSTC 86/1995, de 6 de junio, FJ 4, 54/1996, de 26 de marzo, FJ 6, 81/1998, de 2 de abril, FJ 4)» (SSTC 166/1999, FJ 4, 171/1999, FJ 4). De manera que la prohibición de valoración de pruebas derivadas de las obtenidas inicialmente con vulneración de derechos fundamentales sustantivos sólo se produce si la ilegitimidad de las pruebas originales se transmite a las derivadas (SSTC 81/1998, FJ 4, 121/1998, de 15 de junio, FJ 6, 49/1999, de 5 de abril, 139/1999, de 22 de julio, 161/1999, de 27 de septiembre, y, como referencia última, la 239/1999, de 20 de diciembre), ya que las pruebas derivadas pueden ser constitucionalmente legítimas, si ellas no se han obtenido mediante la vulneración de un derecho fundamental; consecuencia de ello es que no pueda sostenerse que su incorporación al proceso implique lesión del derecho a un proceso con todas las garantías (STC 81/1998, FJ 4).

La transferencia del carácter ilícito, de las pruebas originales a las derivadas, se produce en virtud de la existencia de una conexión de antijuridicidad cuya presencia resulta del examen conjunto del acto lesivo del derecho y su resultado, tanto desde una perspectiva interna, es decir, en atención a la índole y características de la vulneración del derecho sustantivo, como desde una perspectiva externa, a saber, de las necesidades esenciales de tutela exigidas por la realidad y efectividad de este derecho (STC 81/1998, FJ 4, 121/1998, FJ 5, 49/1999, FJ 14, 94/1999, de 31 de mayo, FJ 6, 166/1999, FJ 4, 171/1999, FJ 4). De manera que es posible que la prohibición de valoración de las pruebas originales no afecte a las derivadas, si entre ambas, en primer lugar, no existe relación natural, o si, en segundo lugar, no se da la conexión de antijuridicidad (SSTC 81/1998, 121/1998, 151/1998, de 13 de julio, 49/1999, 166/1999, 171/1999).

TERCERO.– Esta doctrina, elaborada en el marco del derecho al secreto de comunicaciones y aplicada, en principio, respecto de pruebas obtenidas mediante intervenciones telefónicas, ha sido precisada y modalizada en su aplicación a las pruebas obtenidas en registros domiciliarios y, por tanto, en supuestos en los que el derecho sustantivo afectado es la inviolabilidad del domicilio. En este ámbito ha de partirse de que, al igual que el derecho al secreto de las comunicaciones, el derecho a la inviolabilidad del domicilio es de los que definen el estatuto procesal básico de la persona «su más propio entorno jurídico, al proteger de forma instrumental su vida privada, sin cuya vigencia efectiva podría, también, vaciarse de contenido el sistema entero de los derechos fundamentales» (STC 94/1999, FJ 7.a). En virtud de las esenciales necesidades de tutela de este derecho, ha declarado este Tribunal que, afirmada la lesión del derecho a la inviolabilidad del domicilio en el proceso de entrada y registro realizados, la ilicitud constitucional del registro impide valorar como prueba de cargo, en primer lugar, el acta donde se recoge el resultado del mismo y las declaraciones de los agentes de la autoridad que lo llevan a cabo, pues tales pruebas «no son sino la materialización directa e inmediata de la vulneración del derecho fundamental»; en segundo lugar, tampoco las declaraciones de los demás testigos que hubieran asistido al registro pueden servir para incorporar al proceso lo hallado, pues «aunque no pudiera afirmarse que la actuación de éstos haya vulnerado, por sí, el derecho fundamental a la inviolabilidad del domicilio, tampoco constituye una prueba derivada que, siquiera, desde una perspectiva intrínseca, pueda estimarse constitucionalmente lícita» ya que, en realidad, tales declaraciones no aportan al juicio un nuevo medio probatorio, obtenido a partir del conocimiento adquirido al llevar a cabo la entrada y registro, sino simplemente el conocimiento adquirido al practicar la prueba constitucionalmente ilícita, de forma que, «al estar indisolublemente unido a ésta, ha de seguir su misma suerte» (STC 94/1999, FJ 8, en sentido similar STC 139/1999, FJ 4, STC 161/1999, FJ 2).

Sin embargo, ello no significa que lo hallado en un registro verificado con vulneración del derecho a la inviolabilidad del domicilio haya de tenerse por inexistente en la realidad, ni tampoco que lo hallado no pueda ser incorporado de forma legítima al proceso por otros medios de prueba (STC 161/1999, FJ 2). En particular, la declaración del acusado, en la medida en que ni es en sí misma contraria al derecho a la inviolabilidad domiciliaria o al derecho al proceso con todas las garantías, ni es el resultado directo del registro practicado, «es una prueba independiente del acto lesivo de la inviolabilidad domiciliaria» (STC 161/1999, FJ 4). La independencia jurídica de esta prueba se sustenta, de un lado, en que las propias garantías constitucionales que rodean su práctica -derecho a no declarar contra uno mismo, a no confesarse culpable, y asistencia letrada- constituyen «un medio eficaz de protección frente a cualquier tipo de coerción o compulsión ilegítima»; de otro lado, en que el respeto de dichas garantías permite afirmar la «espontaneidad y voluntariedad de la declaración», de forma que la «libre decisión del acusado de declarar sobre los hechos que se le imputan permite, desde una perspectiva interna, dar por rota, jurídicamente, cualquier conexión causal con el inicial acto ilícito … [y] desde una perspectiva externa, esta separación entre el acto ilícito y la voluntaria declaración por efecto de la libre decisión del acusado, atenúa, hasta su desaparición, las necesidades de tutela del derecho fundamental material que justificarían su exclusión probatoria, ya que la admisión voluntaria de los hechos no puede ser considerada un aprovechamiento de la lesión del derecho fundamental» (STC 161/1999, FJ 4).

CUARTO.– De conformidad con lo expuesto, nuestro examen ha de iniciarse por el análisis de la posible vulneración del derecho a la inviolabilidad del domicilio y, sólo en caso de verificación de defectos con relevancia constitucional en el marco de la lesión del derecho constitucional sustantivo, procedería examinar qué pruebas sustentaron la convicción del Tribunal para declarar los hechos probados y fundamentar la condena del recurrente y si a ellas les afecta la prohibición de valoración de pruebas obtenidas directa o indirectamente con violación de derechos fundamentales.

A tal efecto ha de partirse de los defectos atribuidos en la demanda de amparo a la resolución judicial que autorizó la medida de injerencia en la intimidad domiciliaria, en particular, la ausencia de motivación y proporcionalidad de dicha resolución.

La carencia de motivación se habría materializado en que el Auto de 19 de diciembre de 1990 utilizó un modelo impreso que no satisfaría las exigencias mínimas de motivación y que, a pesar de lo argumentado en la Sentencia de instancia y en el Auto del Tribunal Supremo, ni podría ser integrado con la solicitud policial, ni, aunque pudiera serlo, supliría las carencias de la resolución judicial, dado que también adolecería de la misma falta de exteriorización de los indicios de criminalidad que afectaría a ésta y cuya concurrencia podrían justificarla dado el art. 550 en relación con el art. 546, ambos de la LECrim. Por tanto, ni el Auto judicial ni la solicitud policial exteriorizan la suficiente información que permite «realizar una ponderación de los intereses en juego y un juicio sobre el carácter proporcional de la medida». Pues la alusión a «noticias confidenciales», aunque se consideren fidedignas, no podría fundar en este caso una medida cautelar o investigadora que implique el sacrifico de derechos fundamentales. Por último, el Auto tampoco podría completarse con el «ulterior atestado policial», como hizo la Sentencia de primera instancia, pues, si bien, revela una mayor información, «no subsana la parquedad del oficio mismo que es lo único existente en el momento de dictar la resolución judicial habilitante de la entrada, y lo único … que podrá estar llamado a integrar la resolución judicial».

Estos defectos han de ser examinados a la luz del contenido del derecho a la inviolabilidad del domicilio en el art. 18.2 CE y de la jurisprudencia constitucional. Por consiguiente ha de partirse de que «[n]inguna entrada o registro podrá hacerse en él [domicilio] sin consentimiento del titular o resolución judicial, salvo en caso de flagrante delito». De manera que en ausencia de consentimiento del titular del domicilio y de flagrante delito, el registro sólo es constitucionalmente legítimo si es autorizado mediante resolución judicial. Esta resolución judicial de autorización de entrada y registro constituye un mecanismo de orden preventivo para la protección del derecho (STC 160/1991, de 18 de julio, FJ 8), que sólo puede cumplir su función en la medida en que esté motivada, constituyendo la motivación, entonces, parte esencial de la resolución judicial misma (STC 126/1995, de 25 de julio, FJ 2, 139/1999, de 22 de julio, FJ 2; en el mismo sentido SSTC 290/1994, de 27 de octubre, FJ 31, 50/1995, de 23 de febrero, FJ 5, 41/1998, de 24 de febrero, FJ 34, 171/1999, de 27 de septiembre, FJ 10).

A este respecto, ha de señalarse que «no se da garantía alguna cuando la resolución, aún de órgano judicial, se produce con un mero automatismo formal» (SSTC 22/1984, de 17 de febrero, FJ 31, 137/1985, de 17 de octubre, FJ 5, 126/1995, FJ 3, 139/1999, FJ 2), pues la autorización judicial «vista desde la perspectiva de quien ha de usarla, o … sufrir la intromisión, consiste en un acto de comprobación donde se ponderan las circunstancias concurrentes y los intereses en conflicto, público y privado, para decidir en definitiva si merece el sacrificio de éste, con la limitación consiguiente del derecho fundamental» (STC 50/1995, FJ 5). Por tanto, la exigencia de motivación de la autorización judicial constituye la vía de verificación de la existencia de la ponderación judicial requerida como «garantía de la excepcionalidad de la injerencia permitida por el art. 18.2 CE y, en todo caso, como garantía de la proporcionalidad de la restricción de todo derecho fundamental» (STC 171/1999, FJ 10).

Consecuencia de todo ello es que la autorización ha de expresar los extremos necesarios para comprobar que la medida de injerencia domiciliaria, de un lado, se funda en un fin constitucionalmente legítimo (STC 41/1998, FJ 34), de otro, está delimitada de forma espacial, temporal y subjetiva, y, por último, es necesaria y adecuada para alcanzar el fin para cuyo cumplimiento se autoriza (139/1999, FJ 10). Asimismo, y dado que la apreciación de conexión entre la causa justificativa de la medida -la investigación del delito- con las personas que pueden verse afectadas por la restricción del derecho fundamental constituye el presupuesto lógico de la proporcionalidad de la misma, resulta imprescindible que la resolución judicial haya dejado constancia también de las circunstancias que pueden sustentar la existencia de dicha conexión (SSTC 49/1999, FJ 8, 166/1999, FJ 8, 171/1999, FJ 10).

Como ha recordado recientemente este Tribunal recogiendo la doctrina de la STC 49/1999, «[l]a relación entre la persona investigada y el delito se manifiesta en las sospechas, que … no son tan sólo circunstancias meramente anímicas, sino que precisan, para que puedan entenderse fundadas, hallarse apoyadas en datos objetivos, que han de serlo en un doble sentido.

En primer lugar, en el de ser accesibles a terceros, sin lo que no serían susceptibles de control, y, en segundo lugar, en el de que han de proporcionar una base real de la que pueda inferirse que se ha cometido o se va a cometer el delito sin que puedan consistir en valoraciones acerca de la persona (STC 49/1999, FJ 8). Estas sospechas han de fundarse en datos fácticos o indicios, en buenas razones o fuertes presunciones (SSTEDH caso Klass, caso Ludi, Sentencia de 15 de junio de 1992), o en los términos en los que se expresa el actual art. 579 LECrim en indicios de obtener por estos medios el descubrimiento o la comprobación de algún hecho o circunstancia importante de la causa (art. 579.1), o `indicios de la responsabilidad criminal' (art. 579.2)» (STC 166/1999, FJ 8).

QUINTO.– Si bien, desde la perspectiva de la jurisprudencia constitucional que acaba de extractarse, el examen de la motivación de la resolución judicial que autoriza el registro puede tener mayor alcance, en el presente supuesto ha de ceñirse a la verificación de si dicha autorización judicial exteriorizó los extremos necesarios para entender que existía una conexión entre las personas afectadas por el registro y el delito investigado, dado que constituye el único defecto alegado. En dicho marco de análisis, se ha de comenzar por otorgar la razón al recurrente en cuanto a la relevancia constitucional del defecto de motivación alegado, por cuanto éste afectaría a un extremo esencial para la ponderación de la proporcionalidad de la medida. Ahora bien, la declaración de lesión del derecho a la inviolabilidad del domicilio, requiere la constatación fáctica de que dicho defecto se ha producido.

A tal propósito es procedente recordar, en primer término, que, aún en la repudiable forma del impreso, una resolución puede estar motivada si, integrada con la solicitud a la que se remite, contiene los elementos necesarios para considerar satisfechas las exigencias de ponderación de la restricción de derechos fundamentales que la proporcionalidad de la medida conlleva (STC 200/1997, de 24 de noviembre, FJ 4, 49/1999, FJ 10, 139/1999, FJ 2, 166/1999, FJ 7, 171/1999, FJ 6). De manera que el Auto que autoriza el registro, integrado con la solicitud policial, puede configurar una resolución ponderada e individualizada al caso. No cabe sostener que la exteriorización de los elementos necesarios, a los efectos del juicio de proporcionalidad de la medida, debe aparecer siempre en la resolución judicial aisladamente considerada.

Sin embargo, sí le asiste la razón al recurrente en cuanto a que sólo puede integrarse el Auto que autoriza la entrada y registro con los datos obrantes en la solicitud policial y no con las informaciones que aparezcan con posterioridad en el «ulterior atestado policial». En la ponderación de la proporcionalidad de la medida, el Juez que dicta la resolución sólo puede haber tenido en cuenta las informaciones conocidas, y a él transmitidas mediante el oficio policial u otros medios, en el momento en que la autorización judicial se le solicita y se acuerda (STC 49/1999, FJ 8); por tanto, en la revisión de la proporcionalidad de la medida este Tribunal no puede tomar en consideración ninguna circunstancia conocida con posterioridad al momento en que se adoptó la medida restrictiva del derecho fundamental.

SEXTO.– El examen de la exteriorización de las circunstancias que pudieran avalar la conexión de las personas afectadas por el registro y la causa justificativa de la proporcionalidad del mismo se efectúa con más claridad recordando el Auto y la solicitud policial, ambos de 19 de diciembre de 1990.

a) El tenor literal del Auto citado es el siguiente:

«Por recibido el anterior oficio, únase con antelación formando diligencias … y RESULTANDO que la Jefatura Superior de Policía de esta Capital ha solicitado mediante el anterior despacho, se autorice la entrada y registro en el domicilio de Dª Carmen sito en calle Avda. C., 33… Piso… de esta capital, por sospechar que en el mismo pueden hallarse elementos en relación con tráfico de estupefacientes lo que se llevaría a efecto por Inspectores de la Brigada de Investigación.

Considerando que de conformidad con lo prevenido en el Título VIII, Libro II de la Ley de Enjuiciamiento criminal y … S.Sª , por ante, el Secretario, dijo: Se decreta la entrada y registro en el domicilio de Dª Carmen sito en calle Avda. C., 33… Piso… de esta Capital, lo que se llevará a efecto en el día de hoy y con las prevenciones y requisitos de Ley por los funcionarios de la Brigada de Investigación que sean designados por la Jefatura Superior de Policía,…».

b) La solicitud policial por su parte contiene el siguiente texto: » Por noticias confidenciales recibidas en llamada telefónica anónima, en el día de la fecha, una voz femenina, ha comunicado, que en la Avda. C., en el núm. 33…, una mujer llamada Carmen, vendía droga.

Realizadas las pertinentes gestiones, dicha persona, ha sido identificada como Carmen nacida en Aroche (Huelva), el día 14 abril 1936 hija de José y Dolores, domiciliada en la Avenida C. núm. 33… Piso… de esta capital.

Por lo que se solicita de V.I., tenga a bien conceder el pertinente mandamiento de Entrada y Registro en el referido domicilio, a fin de comprobar el extremo referida en la mencionada llamada».

Pues bien, el examen de este Auto de 19 de diciembre de 1990 y de la solicitud policial de idéntica fecha, conjuntamente considerados, conduce a una conclusión negativa respecto de la motivación de la medida y, en consecuencia, respecto de su proporcionalidad. Una lectura global de ambos escritos solo aporta información sobre el fin que justifica la medida -la investigación de un posible delito de tráfico de estupefacientes-, sobre su alcance subjetivo – Carmen como investigada-, espacial -domicilio de esta persona- y temporal -en el día de la solicitud.

Los únicos datos aportados en la solicitud policial respecto de la relación entre la titular del domicilio y la investigación delictiva residen en las informaciones obtenidas de forma confidencial, respecto de las cuales el recurrente sostiene que su propio carácter confidencial las inhabilita para sustentar las sospechas. Sin embargo, la confidencialidad de las mismas, es decir, la falta de explicitación del origen de la fuente de información no tiene el efecto invalidante automático que el recurrente le atribuye, a los efectos del control de la existencia de exteriorización de datos objetivos o externos a la creencia subjetiva de quien solicita la medida, respecto de la conexión de la persona con el delito investigado. Pues, de un lado, la falta de especificación de la fuente de información puede deberse a razones de discreción que aconsejen proceder de modo no absolutamente explícito (SSTC 49/1999, FJ 10, 166/1999, FJ 8), y, de otro, pueden expresar de forma implícita que «el sustento de la sospecha en sí, tiene procedencia y existencia ajena a los propios policías» que solicitan la medida (STC 166/1999, FJ 8). Por ello, en el caso de la reciente STC 166/1999 la existencia de noticias confidenciales fue ponderada por este Tribunal, junto a otros extremos, para entender que la autorización judicial de la medida -en aquel supuesto una intervención telefónica- se había adoptado sobre la base de sospechas objetivas, que se sustentaban en un cúmulo de circunstancias de las que había constancia expresa en la resolución judicial integrada con la solicitud policial.

Ahora bien, el hecho de que el carácter confidencial de la fuente de información no invalide automáticamente la existencia objetiva de los hechos o circunstancias que constituyen el contenido de las informaciones que aportan, no significa paralelamente, que, en ausencia de cualquier otro dato, circunstancia o elemento de convicción que corrobore la existencia de la realización del delito investigado y la conexión de la persona investigada con el mismo, las «noticias confidenciales» puedan valorarse como elemento de convicción suficiente para sustentar las sospechas.

En el caso ahora examinado, las confidencias sólo aportaron la información de que «una mujer llamada CARMEN» vendía droga en la Avda. C. núm… de Sevilla.

De dicha información se deduce que no se trataba de una investigación prospectiva sobre la comisión de un genérico tráfico de drogas, pero de las circunstancias expresadas sobre su comisión tampoco se infiere la suficiente singularidad e individualidad para considerarlo indicio de que «la sospecha manifestada por la fuerza policial es algo más que una mera conjetura» (STC 166/1999, FJ 8).

Aunque parece deducirse que la fuerza policial solicitante realizó alguna investigación con carácter previo a la solicitud de autorización, no parece que tuviera por objeto corroborar la existencia del delito, puesto que sólo arrojó como resultado la completa identificación de la persona objeto de sospechas. Además, de su corta duración -el mismo día en que se recibe la llamada que aporta las confidencias, se solicitó la autorización judicial para el registro- no puede apreciarse un intento serio pero infructuoso de investigación de dicho extremo.

Por ello, en este caso, teniendo en cuenta el propio contenido de la información aportada confidencialmente, la ausencia de cualquier investigación para acreditar la veracidad de la existencia del delito conocido confidencialmente y la total carencia de cualquier otro dato capaz de acreditar la propia objetividad de las «noticias confidenciales», deben conducir a la conclusión de que la autorización judicial, ni por sí misma ni integrada con la solicitud policial, exteriorizó los extremos necesarios para considerar que existían sospechas y no meras conjeturas de la comisión de un delito y de la conexión de la persona investigada con el mismo.

Esta falta de motivación ocasiona la lesión del derecho a la inviolabilidad del domicilio debido a la ausencia de proporcionalidad del registro autorizado. La inexistencia de una previa investigación para cerciorarse de la verosimilitud de las imputaciones conocidas mediante las confidencias repercute en la falta de necesidad de la medida, dado que una previa investigación habría avalado la efectiva ponderación de la excepcionalidad de la medida restrictiva de derechos fundamentales y habría contribuido a sustentar, entonces, su carácter estrictamente necesario para alcanzar el fin pretendido.

SEPTIMO.- La afirmación de la lesión del derecho a la inviolabilidad del domicilio no conduce automáticamente a la anulación de las Sentencias impugnadas. Sin embargo, puede repercutir tanto en el derecho a un proceso con todas las garantías, si para dictar la Sentencia condenatoria se hubieran valorado pruebas aquejadas de la prohibición constitucional de valoración de toda la prueba obtenida con vulneración de derechos fundamentales, como en el derecho a la presunción de inocencia, en caso de que la necesaria exclusión de las pruebas afectadas por dicha prohibición constitucional condujera a negar que la condena se hubiera producido con base en prueba de cargo suficiente a los efectos de acreditar el hecho constitutivo de delito y la intervención del acusado en el mismo.

Para el examen de ambas cuestiones resulta necesario determinar si la Sentencia condenatoria utilizó como prueba de cargo la obtenida directamente mediante el registro, cuya ilicitud constitucional acaba de ser declarada, o aquéllas que, de conformidad con la jurisprudencia de este Tribunal, al constituir materialización directa de la lesión del derecho a la inviolabilidad del domicilio, también resultan afectadas por la prohibición constitucional de valoración.

En este marco, ha de señalarse que la Sentencia de la Audiencia Provincial de Sevilla, en primer término, considera probado el hallazgo durante el registro del paquete que contenía los cuatro cilindros con la droga y las papelinas con polvo blanco. Se prueba por medio de las declaraciones de uno de los testigos y uno de los policías presentes en el mismo, y mediante la propia declaración de los procesados que «aun negando que conociesen su contenido y convirtiéndolo en un paquete de dulces, reconocieron que el paquete encontrado por la policía había llegado a su casa y había sido guardado …» (fundamento jurídico 2).

En segundo lugar, el contenido del paquete y las papelinas -cocaína-, abierto ante la testigo del registro, se acreditó, según la Sentencia de la Audiencia, mediante «los análisis efectuados por el Servicio de Restricción de Estupefacientes del Ministerio de Sanidad y Consumo» (fundamento jurídico 3).

En tercer lugar, la disponibilidad de la droga por el recurrente se considera acreditada, de un lado, mediante las declaraciones de la coimputada Carmen que siempre declaró que el citado paquete lo había recibido el recurrente D. José Miguel estando en su casa de manos de una persona llamada Pilar; de otro, a través de las declaraciones de idéntico sentido del Sr. A. prestadas en el Juzgado de guardia, persona presente en la vivienda el día del registro y el día en que la persona llamada Pilar llevó el paquete; además, a través de la carta (folios 272 y 273 del sumario) interceptada en prisión dirigida por el recurrente a la coimputada en la que afirmaba que «la mercancía» hallada en la casa era suya y que Carmen quedaría en libertad tras el careo cuando el mismo dijera la verdad exculpándola; y, por último, en el reconocimiento de tales hechos por el propio recurrente durante el careo entre los dos coimputados (folio 87 del sumario) realizado en presencia del Juez de Instrucción (fundamento jurídico 4).

Consta en la propia Sentencia que todas las declaraciones que obraban en autos fueron leídas en los debates del juicio oral a petición de todas las partes y que, señalada la contradicción de sus declaraciones al recurrente ante el plenario, «se limitó a decir que era cierto su cambio de declaración … pero que no era verdad lo dicho». Asimismo la Sentencia condenatoria exteriorizó una extenso razonamiento sobre la falta de credibilidad de la versión exculpatoria dada por el acusado, finalizando con la declaración de que el «tribunal se ha convencido de que la droga pertenecía a José Miguel y que, dada la cantidad y que el mismo no es adicto a ella, el destino que pensaba darle no podía ser otro que su venta a terceros».

OCTAVO.- El contenido de esta Sentencia de la Audiencia Provincial de Sevilla pone de manifiesto que en ella se valoró como prueba de cargo, aunque no el acta del registro, sí las declaraciones de un policía y una testigo presentes en el registro, a los efectos de considerar probado el resultado directo del registro, esto es el hallazgo del paquete y las papelinas. Dicha valoración pudiera vulnerar el derecho a un proceso con todas las garantías, pues constituyen «la materialización directa e inmediata de la vulneración del derecho fundamental» (STC 94/1999, FJ 8) y han sido utilizadas frente a la víctima de dicha vulneración desequilibrando el proceso en su contra, (STC 94/1999, FJ 6). Aunque el recurrente no era el titular de la vivienda registrada, convivía en ella con quien sí lo era la coimputada Carmen.

Ahora bien, como se acaba de exponer, el hallazgo del paquete y las papelinas fue incorporado al proceso mediante las declaraciones, en el plenario y durante la instrucción, de la coimputada, que no varió su contenido en ningún momento, y a través de las propias declaraciones del acusado contenidas en la carta citada y expresadas ante el Juez de Instrucción durante la práctica del careo. Por tanto, haciendo abstracción de las declaraciones del testigo Sr. A., que no las reiteró en el juicio oral al encontrarse en paradero desconocido, ha de examinarse si la prohibición constitucional de valoración de las pruebas obtenidas mediante la vulneración del derecho a la inviolabilidad del domicilio ha de hacerse extensible a estas pruebas, que en sí mismas no parecen adolecer de ninguna ilicitud constitucional, por no existir entre las pruebas iniciales y estas pruebas derivadas la conexión de antijuridicidad requerida a tal efecto (SSTC 81/1998, 49/1999, 94/1999, 139/1999, 161/1999, 166/1999, 171/1999).

NOVENO.– Para abordar esta cuestión resulta pertinente recordar que este Tribunal ha declarado que «el nexo entre la prueba originaria y la derivada, no es en sí misma [sic] un hecho, sino un juicio de experiencia acerca del grado de conexión que determina la pertinencia o impertinencia de la prueba cuestionada. Por consiguiente, no se halla exento de nuestro control; pero dado que, en principio, corresponde a los Jueces y Tribunales ordinarios, el examen de este Tribunal ha de ceñirse a la comprobación de la razonabilidad del mismo (ATC 46/1989, de 30 de enero, FJ 6, y SSTC 51/1985, de 10 de abril,FJ 9; 174/1985, de 17 de diciembre, FJ 2; 63/1993, de 1 de marzo, FJ 5, y 244/1994, de 15 de septiembre, FJ 2, entre otras)» (STC 81/1998, FJ 5, en el mismo sentido SSTC 49/1999, FJ 14, 139/1999, FJ 5, 171/1999, FJ 15). Igualmente ha de señalarse que la apreciación de si el acervo probatorio restante, una vez efectuada la labor de depuración de las pruebas obtenidas con vulneración de derechos fundamentales, resulta suficiente para sustentar la condena, constituye también una tarea que corresponde en primer lugar a los Jueces y Tribunales ordinarios (STC 171/1999, FJ 15).

Consecuencia de esta doctrina es, como se ha proclamado en la STC 171/1999 (FJ 15), que «cuando los Tribunales ordinarios no han declarado la inexistencia de conexión de antijuridicidad (SSTC 49/1999, 139/1999 o por contraste con la 81/1998) o cuando han efectuado una valoración conjunta de toda la prueba (STC 49/1999) este Tribunal se ha limitado a declarar la vulneración del derecho sustantivo … y a anular las Sentencias condenatorias retrotrayendo las actuaciones para que fueran los órganos judiciales los que resolvieran acerca de la existencia o no de la conexión de antijuridicidad entre las pruebas ilícitamente obtenidas y las restantes y sobre la suficiencia de éstas últimas para sustentar la condena». Sin embargo, cuando los Tribunales ordinarios se han pronunciado acerca de la inexistencia de conexión de antijuridicidad (SSTC 81/1998, 161/1999) o cuando de la lectura de la Sentencia deriva una inequívoca valoración individualizada de las pruebas restantes (STC 171/1999), el Tribunal Constitucional ha entrado a considerar la existencia o no de conexión de antijuridicidad y si finalmente las pruebas de cargo restantes son suficientes para enervar la presunción de inocencia.

DECIMO.- Llegados a este punto la decisión sobre el camino a seguir en este caso no puede ser otra que la que condujo en la STC 171/1999 a la desestimación de la pretensión de la lesión del derecho a la presunción de inocencia, dadas las evidentes similitudes entre ambas. En efecto, ciertos datos evidencian las similitudes entre los dos casos.

Si bien los Tribunales ordinarios no se han pronunciado en el presente supuesto sobre la inexistencia de conexión de antijuridicidad entre las pruebas obtenidas en la práctica del registro constitucionalmente ilícito y las declaraciones de los imputados, es aplicable lo dicho en la STC 161/1999 afirmando la desconexión entre las declaraciones de los imputados prestadas con todas las garantías y el acto lesivo del derecho a la inviolabilidad del domicilio. Tenemos la existencia de una expresa, inequívoca y contundente valoración individualizada de las pruebas que sustentan la condena del demandante de amparo.

En la citada STC 161/1999 se establece que las declaraciones del imputado prestadas con todas las garantías son jurídicamente independientes del acto lesivo de la inviolabilidad domiciliaria. Como se ha expuesto con detalle en el fundamento jurídico tercero, las garantías con las que se prestan tanto durante la instrucción como en el juicio oral constituyen un eficaz medio de protección frente a cualquier tipo de coerción o compulsión ilegítima. Por ello, la libertad de decisión del acusado de declarar sobre los hechos que se le imputan permite romper desde una perspectiva interna «cualquier conexión causal» con el acto ilícito, y desde una perspectiva externa atenúa las necesidades de tutela del derecho sustantivo lesionado que podrían justificar su «exclusión probatoria, ya que la admisión voluntaria de los hechos no puede ser considerada un aprovechamiento de la lesión del derecho fundamental» (FJ 4).

Por consiguiente, ha de sostenerse que la existencia de una relación natural entre las declaraciones del acusado -efectuadas ante el Juez de Instrucción durante el careo con la coimputada- y el ilícito registro, no impide reconocer la inexistencia de la conexión de antijuridicidad entre ambos, dado que se efectuaron con todas las garantías y que la libertad de decisión del acusado al prestarlas permite la ruptura jurídica, tanto desde una perspectiva interna como externa, del enlace causal existente entre la confesión y el acto vulnerador del derecho a la inviolabilidad del domicilio.

Ello ha de hacerse extensible por idénticas razones a las declaraciones prestadas por la coimputada no sólo durante el juicio oral, sino ante el Juez de Instrucción en un primer momento y en el mencionado careo.

Estas pruebas son suficientes para contestar negativamente las pretensiones de la demanda de amparo, sin necesidad de entrar a analizar, siquiera desde la perspectiva constitucional, la validez de otras pruebas. Afirmada la licitud constitucional de las pruebas consistentes en las declaraciones de los coimputados, queda refutada la pretensión de nulidad de las sentencias condenatorias derivada de la pretendida nulidad de toda prueba conectada causalmente con el registro.

DECIMOPRIMERO.- En conclusión, sólo procede declarar la vulneración del derecho a la inviolabilidad del domicilio del recurrente al haberse constatado los defectos aducidos de la falta de motivación y proporcionalidad de la resolución judicial que autorizó la entrada y registro.

F A L L O

En atención a todo lo expuesto, el Tribunal Constitucional, POR LA AUTORIDAD QUE LE CONFIERE LA CONSTITUCION DE LA NACION ESPAÑOLA, Ha decidido otorgar parcialmente el amparo, con los siguientes pronunciamientos:

Primero.- Declarar vulnerado el derecho a la inviolabilidad del domicilio de D. José Miguel.

Segundo.- Desestimar la demanda de amparo en todo lo demás.

Publíquese esta Sentencia en el «Boletín Oficial del Estado».

Dada en Madrid, a diecisiete de enero de dos mil. Pedro Cruz Villalón, Presidente. Manuel Jiménez de Parga y Cabrera.- Pablo García Manzano.- Pablo Cachón Villar.- Fernando Garrido Falla.- María Emilia Casas Baamonde, Magistrados.

L'Assemblée nationale et le Sénat ont adopté,

Le Président de la République promulgue la loi dont la teneur suit :

Article 1er.-

Article 2.-

Fait à Paris, le 11 juillet 1991.

La Circular del Banco de España 11/1990, de 6 de noviembre , por la que se publica la Norma SNCE-004, que regula el subsistema, en su norma cuarta, tratamiento de los documentos en el subsistema, establece una línea significativa de separación entre documentos «truncables» y documentos «no truncables», denominada límite de truncamiento, cuya diferencia fundamental consiste en la existencia de una operativa específica a la que deben ser sometidos los originales de los documentos «no truncables» que se tramitan en el subsistema, complementaria de la transmisión electrónica de sus datos.

En la actualidad, esta operativa se apoya en las 51 cámaras de compensación interbancaria, ya que, por cada uno de dichos documentos, es la Cámara de la provincia librada correspondiente el lugar establecido para la entrega y recepción física del mismo, práctica esta compleja, que, con cierta frecuencia, es causa de problemas e incidencias.

Al objeto de solucionar algunos de estos problemas y de al menos paliar el resto de ellos, se ha diseñado un nuevo procedimiento para el tratamiento de los documentos «no truncables», que modifica la actual operativa y se basa en dos aspectos principales, el primero de los cuales es la posibilidad de entrega opcional de reproducciones facsímiles de los documentos originales, en lugar de éstos.

Con tal fin, junto al actual «límite de truncamiento» se define un segundo límite, denominado «límite en cuanto a la entrega de facsímil», que fija el importe máximo hasta el cual se permite entregar únicamente reproducciones facsímiles de los documentos no truncables, y por encima del cual, si se ha hecho uso de la nueva posibilidad, es preceptiva, además, la entrega posterior de los documentos originales correspondientes.

El segundo aspecto principal del nuevo procedimiento es que la entrega y recepción de documentos (originales y/o reproducciones facsímiles) hoy dispersa en 51 cámaras provinciales, se traslada a un punto único.

Con estas medidas, se da un paso adelante más en el perfeccionamiento del subsistema general de cheques y de pagarés de cuenta corriente del Sistema Nacional de Compensación Electrónica, en el sentido de reforzar su eficacia y dotar de mayor agilidad a la compensación de determinados documentos.

Por todo cuanto antecede, y en el uso de las facultades que en la materia tiene conferidas, el Banco de España ha dispuesto la aprobación y publicación de la presente Circular.

Norma primera.
Se da nueva redacción a la norma cuarta de la circular del Banco de España 11/1990, de 6 de noviembre, de acuerdo con el texto siguiente:

«Norma cuarta. Tratamiento de los documentos en el subsistema.

Este subsistema, como parte integrante que es del SNCE, tiene por objeto de intercambio no los propios documentos originales, sino los datos representativos de éstos, especificados en las instrucciones, que se transmiten electrónicamente y en base a los cuales se lleva a cabo la operativa del subsistema.

No obstante esta premisa básica de funcionamiento del subsistema, los documentos que hayan sido librados por importe superior al que en cada momento esté establecido como «límite de truncamiento» deben someterse a una operativa complementaria, que se define en la presente Norma.

1. Truncamiento de documentos: Se define como truncamiento la inmovilización física de los documentos originales por parte de la entidad tomadora.

2. Límite de truncamiento: Se denomina así a una cantidad expresada en pesetas, cuyo valor se establece por acuerdo entre las entidades participantes en el subsistema, comunicándose mediante instrucción del SNCE.

3. Límite en cuanto a la entrega de facsímil: Se denomina así a una cantidad expresada en pesetas, por encima del límite de truncamiento, cuyo valor se establece por acuerdo entre las entidades participantes en el subsistema, comunicándose mediante instrucción del SNCE.

Hasta este límite, la entrega, opcional, por parte de ha entidad presentadora, de reproducciones facsímiles (en adelante, facsímiles) de los documentos originales el día de la compensación, cierra el ciclo de la presentación. Por encima de dicho límite será necesaria la entrega posterior de los documentos originales a la entidad librada.

4. Tipos de documentos:

4.1. Documentos truncados: Reciben el calificativo de «truncados» los documentos, de entre los definidos en la norma tercera, que se libran por importe igual o inferior al denominado «límite de truncamiento», en virtud del cual la entidad tomadora los retiene en su poder, esto es, los trunca, tras capturar sus datos representativos. En este caso, los datos constituyen toda la información que la entidad tomadora hace llegar a la entidad librada, y en base a ellos se lleva a cabo toda la operativa del subsistema, sin que sea preciso recurrir a los documentos originales.

4.2. Documentos presentados mediante entrega de facsímil: Se encuentran comprendidos dentro de esta categoría los documentos, de entre los definidos en la norma tercera, que se libran por importe superior al denominado «límite de truncamiento», de los que la entidad tomadora entrega facsímiles a la entidad librada, en el día de la compensación tras haber capturado sus datos representativos, y que, en función del importe, se subdividen en:

a) Documentos de importe superior al citado límite y hasta el denominado «límite en cuanto a la entrega de facsímil», en los que, con la sola presentación de los facsímiles,queda completado el ciclo de su presentación.

b) Documentos de importe superior a este último límite, en los que es preceptiva, además, la entrega posterior de los documentos originales, de acuerdo con los plazos establecidos en las instrucciones, durante el período de tiempo que media entre ambas entregas.

A partir de la entrega de los originales, estos documentos pasan a considerarse como documentos no truncados.

4.3. Documentos no truncados: Se encuentran comprendidos dentro de esta categoría los documentos de entre los definidos en la norma tercera, que se libran por importe superior al denominado «límite de truncamiento», de los que la entidad tomadora hace entrega de los originales el día de su compensación.

En esta categoría de documentos se incluyen también los documentos comprendidos en el punto 4.2.b), una vez que la entidad tomadora, en el plazo establecido, entregue a la entidad librada los documentos originales.

Con independencia de lo expuesto, en el caso de los documentos truncados y en el de los documentos presentados mediante entrega de facsímil, los documentos originales deberán quedar, para los casos y en los términos previstos en el convenio, a disposición de la entidad librada, quien podrá reclamar la entrega de los documentos originales, de acuerdo con el procedimiento descrito en las instrucciones».

Norma segunda.
Se da nueva redacción al apartado B) del punto 2 de la norma novena de la Circular del Banco de España 11/1990, de 6 de noviembre, de acuerdo con el texto siguiente:

«Norma novena. Medios de comunicación.

B) Para el intercambio de los documentos: La preceptiva entrega física, el día de su compensación, de los originales y/o facsímiles de los documentos de importe superior al límite de truncamiento, así como la de los documentos truncados reclamados, se realizará,en ambos casos, por medios convencionales, de acuerdo con el procedimiento que se establece en las instrucciones».

Norma tercera.
Se da nueva redacción al apartado b) del punto 4 y al apartado b) del punto 5 de la normativa decimotercera de la Circular del Banco de España 11/1990, de 6 de noviembre, de acuerdo con el texto siguiente:

«Norma decimotercera. Entidades participantes.

4. Entidad presentadora:

b) Se responsabiliza de la entrega física de los documentos (originales y/o facsímiles) de importe superior al límite de truncamiento.

5. Entidad receptora:

b) Se responsabiliza de la recepción física de los documentos (originales y/o facsímiles) de importe superior al límite de truncamiento».

Entrada en vigor.
La presente Circular entrará en vigor el día 6 de mayo de 1996, fecha de intercambios; día 7, fecha de compensación.

VI MARGRETHE DEN ANDEN, af Guds Nåde Danmarks Dronning, gør vitterligt: Folketinget har vedtaget og Vi ved Vort samtykke stadfæstet følgende lov:

§ 1

I Lov Nr. 418 af 10. juni 1997 om Danmarks tiltrædelse af Schengenkonventionen, som ændret ved lov Nr. 227 af 2. april 2003, foretages følgende ændringer:

1.- I § 1 indsættes som stk. 4:

«Stk. 4.– Justitsministeren kan på Danmarks vegne i Rådet for Den Europæiske Union medvirke til vedtagelsen af en rådsafgørelse om indførelse af nye funktioner i Schengen-informationssystemet, herunder i forbindelse med terrorismebekæmpelse.«

2.- § 2, stk. 1, affattes således:

«Bestemmelserne i konventionens afsnit IV (Schengen-informationssystemet), som ændret ved rådsafgørelsen og forordningen om indførelse af nye funktioner i Schengen-informationssystemet, herunder i forbindelse med terrorismebekæmpelse, gælder her i landet.«

3.- I § 2, stk. 3, ændres «Registertilsynet« til: «Datatilsynet«.

§ 2

Stk. 1.– Lovens § 1, Nr. 1 og 3, træder i kraft dagen efter bekendtgørelsen i Lovtidende.

Stk. 2.– Justitsministeren fastsætter tidspunktet for ikrafttræden af lovens § 1, Nr. 2.

§ 3

Loven gælder ikke for Færøerne og Grønland, men kan ved kongelig anordning sættes i kraft også for disse landsdele.

Givet på Christiansborg Slot, den 9. juni 2004

Under Vor Kongelige Hånd og Segl

Margrethe R.

Lene Espersen

Circular 3/2002, de 25 de junio, a Entidades de Crédito, por la que se modifica la Circular del Banco de España 3/1995, de 25 de septiembre, sobre Central de Información de Riesgos. (B.O.E. 157/23966 del 2 de julio de 2002)

El Banco de España, en fechas próximas, procederá a una modernización de la Central de Información de Riesgos, incorporando nuevas técnicas y tratamientos, con el objeto de mejorar la calidad de la misma, tanto en lo que se refiere a cantidad y calidad de la información, cuanto a los tiempos y modos de acceder a ella.

Dentro de las modificaciones que están a la espera de la tramitación del proyecto de Ley de Reforma del Sistema Financiero, así como de la normativa complementaria correspondiente, hay dos modernizaciones de tipo técnico que deben abordarse de inmediato: El uso del medio telemático para todas las comunicaciones y la codificación de los titulares no residentes. La primera para que todas las entidades tengan un plazo razonable para adecuarse ala misma, y la segunda para corregir el deficiente funcionamiento de su actual codificación.

En consecuencia, el Banco de España, en uso de las facultades que tiene concedidas, ha dispuesto:

Norma única.
Se modifican las siguientes normas y anejos de la Circular 3/1995, de 25 de septiembre, en la forma que a continuación se indica:

Norma quinta.

Los párrafos segundo y tercero del apartado 1 quedan redactados así:

«Los datos se presentarán por transmisión telemática, de conformidad con las especificaciones técnicas que se comuniquen al efecto por el Banco de España.»

«Excepcionalmente, por causa puntual justificada, previa conformidad de la oficina de Documentación y Central de Riesgos, podrán remitirse en soporte magnético.»

Norma octava.

El apartado a) queda redactado así:

«a) Mensualmente, por vía telemática, remitirá a cada entidad declarante la información agregada de todo el sistema para sus acreditados, con todos los datos, exclusión hecha del origen de la operación y de los riesgos con clave J en la primera posición, que se informarán como crédito financiero a corto plazo, agrupándose, a estos efectos, las características descritas en la quinta posición de la clave de riesgos (según las instrucciones complementarias al anejo II) en cuatro conjuntos: Los que están en suspenso (clave J), los morosos (claves E, F, G, H, I), los procedentes de un convenio de acreedores (clave L) y el resto (claves A, B, C, D, K). Los riesgos solidarios por cada titular se agregarán entre sí, pero separadamente de los no solidarios.»

El tercer párrafo del apartado b) queda redactado

«Las solicitudes de las entidades se formularán con la declaración que recoge el anejo IV bis y deberán realizarse por transmisión telemática, de acuerdo con las especificaciones técnicas que se comuniquen al efecto por el Banco de España.»

Anejo V

El número 2 se sustituye por el que se indica a continuación:

» 2. A partir de la tercera posición contada desde la izquierda se recogerán los códigos que siguen, dejando en blanco las posiciones que resten.

Cuando el titular es residente en España o se trata de una sucursal en España de una empresa extranjera.-Para las personas físicas de nacionalidad española el número de identificación fiscal (Real Decreto 338/1990, de 9 de marzo).
Para las personas físicas que carezcan de la nacionalidad española el número personal de identificación de extranjero que se les asigne (Real Decreto 155/1996, de 2 de febrero) que coincide con el de identificación fiscal. Para las personas jurídicas y entidades, incluidas las sucursales en España de empresas extranjeras, su código de identificación fiscal (Decreto 2423/1975, de 25 de septiembre y Orden ministerial de 3 de julio de 1998).

Cuando el titular no es residente en España.-El código lo asignará el Banco de España. Las entidades comunicarán telemáticamente al Banco de España, de acuerdo con las instrucciones correspondientes los datos y características del titular, para que aquél, de inmediato, les comunique por la misma vía el código adjudicado. Los datos y características que las entidades deberán comunicar para la obtención del código serán las siguientes:

Denominación (persona jurídica) o nombre y apellidos (persona física).

Domicilio: País, ciudad, sigla de vía, nombre de vía, número o letra, código postal.

Fecha de nacimiento (sólo en el caso de personas físicas).

Forma legal (sólo en el caso de personas jurídicas).

Código ISIN (sólo en el caso de valores de renta fija).

Código SWIFT (sólo en aquellas empresas que lo tengan).»

Norma final. Entrada en vigor.
La presente Circular entrará en vigor el 1 de noviembre de 2002. La primera declaración a formular por las entidades de acuerdo con lo dispuesto en ella será la referida a los datos del 30 de noviembre del presente año.

Madrid, 25 de junio de 2002.-E1 Gobernador, Jaime Caruana Lacorte.

La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, creó el concepto de «sede electrónica», justificado por «la necesidad de definir claramente la «sede» administrativa electrónica con la que se establecen las relaciones, promoviendo un régimen de identificación, autenticación, contenido mínimo, protección jurídica, accesibilidad, disponibilidad y responsabilidad».

El artículo 10.1 de la misma Ley define la sede electrónica como «aquella dirección electrónica disponible para los ciudadanos a través de redes de telecomunicaciones cuya titularidad, gestión y administración corresponde a una Administración pública, órgano o entidad administrativa en el ejercicio de sus competencias».

El apartado 3 del mismo artículo establece que «cada Administración Pública determinará las condiciones e instrumentos de creación de las sedes electrónicas».

Por otra parte, el Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, además de regular esta figura en sus artículos 3 al 9, determina específicamente en su artículo 3.2 que «las sedes electrónicas se crearán mediante Orden del Ministro correspondiente o Resolución del titular del organismo público, que deberá publicarse en el «Boletín Oficial del Estado»», determinando el contenido mínimo de esta norma aprobatoria.

La Comisión Nacional de los Mercados y la Competencia, creada por la Ley 3/2013, de 4 de junio, en el artículo 1, apartado 2, indica que tiene por objeto garantizar, preservar y promover el correcto funcionamiento, la transparencia y la existencia de una competencia efectiva en todos los mercados y sectores productivos, en beneficio de los consumidores y usuarios.

Asimismo, en los artículos 5 al 11 de la citada Ley 3/2013, de 4 de junio, establece entre otras, las siguientes funciones:

Artículo 5: Funciones de carácter general y para preservar y promover la competencia efectiva en todos los mercados y sectores productivos.

Artículo 6: De supervisión y control del mercado de comunicaciones electrónicas.

Artículo 7: De supervisión y control en el sector eléctrico y en el sector del gas natural.

Artículo 8: De supervisión y control del mercado postal.

Artículo 9: De supervisión y control en materia de mercado de comunicación audiovisual.

Artículo 10: De supervisión y control en materia de tarifas aeroportuarias.

Artículo 11: De supervisión y control en el sector ferroviario

Igualmente, conforme a la Disposición adicional segunda del Real Decreto 657/2013, de 30 de agosto, por el que se aprueba el Estatuto Orgánico de la Comisión Nacional de los Mercados y la Competencia, de comunicación a través de medios electrónicos, con la presente resolución, se articula y se crea un punto de acceso electrónico a aquellos servicios que requieran la autenticación de los ciudadanos o de la administración, dotada de especiales condiciones de identificación, seguridad y responsabilidad y que garantice la autenticación, confidencialidad, integridad, disponibilidad y trazabilidad para que la información entregada cuente con plenas garantías técnicas y jurídicas.

Mediante esta resolución se crea y se regula la Sede Electrónica de la Comisión Nacional de los Mercados y la Competencia con el fin de facilitar el acceso a los servicios electrónicos que se ofrecen y dar cumplimiento a lo establecido en el artículo 3 del Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio.

En consecuencia resuelvo:

Artículo 1.- Objeto.- Creación de la Sede Electrónica de la Comisión Nacional de los Mercados y la Competencia con el fin de dar cumplimiento a lo establecido en el artículo 10 de la Ley 11/2007, de 22 de junio, y en los artículos 3 a 9 del Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos.

Artículo 2.- Sede Electrónica de la Comisión Nacional de los Mercados y la Competencia.- La Sede Electrónica de la Comisión Nacional de los Mercados y la Competencia se crea con las siguientes características:

a) En la Sede se realizarán las actuaciones, trámites, procedimientos y servicios a realizar por medios electrónicos en el marco de las funciones y competencias descritas en la Ley 3/2013, de 4 de junio, de creación de la Comisión Nacional de los Mercados y la Competencia y de sus relaciones con los ciudadanos, agentes y con otras administraciones públicas y organismos públicos, y que requieran la autenticación de la administración pública o de los ciudadanos por medios electrónicos, así como aquellos otros respecto a los que se decida su inclusión en la Sede por razones de eficacia y calidad en la prestación de servicios a los ciudadanos.

b) La dirección electrónica de referencia de la Sede será: https://sede.cnmc.gob.es y será accesible directamente, así como a través del portal de internet http://www.cnmc.es.

c) La identificación de la Sede Electrónica se llevará a cabo mediante certificado de sede, consistente en un certificado de servidor donde se aloja la información o cualquier otro certificado de dispositivo seguro o medio equivalente conforme a lo dispuesto en el Real Decreto 1671/2009, de 6 de noviembre.

d) El titular de la Sede Electrónica será la Comisión Nacional de los Mercados y la Competencia.

e) La gestión tecnológica de la Sede será competencia de la Secretaría General de la Comisión Nacional de los Mercados y la Competencia, que la ejercerá a través de la Subdirección de Sistemas de Tecnologías de la Información y las Comunicaciones.

f) Gestión de contenidos:

i) La gestión y coordinación de los contenidos, procedimientos y servicios que, en su caso, sean puestos a disposición de los ciudadanos a través de la Sede Electrónica, corresponderá al Gabinete del Presidente.

ii) Será responsable de la gestión de cada uno de los procedimientos el órgano de dirección o directivo titular del mismo.

g) La Sede incluirá como mínimo, los contenidos y servicios establecidos en el artículo 6 del Real Decreto 1671/2009, de 6 de noviembre, y en las condiciones técnicas y de seguridad, confidencialidad, integridad, disponibilidad y trazabilidad establecidas en la Ley 11/2007, de 22 de junio, en el citado Real Decreto 1671/2009, de 6 de noviembre y conforme a lo que, en su caso, establezcan los Esquemas Nacionales de Seguridad e Interoperabilidad y en la normativa concordante; así mismo, se podrán prestar servicios y contenidos adicionales que se establezcan mediante nuevas normas o que por su conveniencia puedan incorporarse mediante resolución del presidente de la Comisión Nacional de los Mercados y la Competencia.

h) El canal de acceso a los servicios disponibles en la Sede se realizará a través de Internet, con las características definidas en la presente resolución.

i) La información y los servicios incluidos en la Sede cumplirán los principios de accesibilidad y usabilidad establecidos en la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, en los términos dictados por la normativa vigente en esta materia en cada momento.

j) La creación de subsedes, modificación o supresión de las mismas, se publicará a través de la Sede.

Artículo 3.- Medios y procedimientos para la formulación de quejas y sugerencias.- La formulación de quejas y sugerencias en relación con el contenido, gestión y servicios ofrecidos en la Sede que se crea por la presente resolución, se realizarán por los medios y procedimientos que a continuación se dispone:

a) La presentación telemática, a través de la Sede Electrónica de la Comisión Nacional de los Mercados y la Competencia que se crea mediante la presente resolución.

b) La presentación presencial, o por correo postal, ante cualquier oficina de Registro de la Comisión Nacional de los Mercados y la Competencia, de acuerdo con las normas reguladoras de esta Comisión, o de cualquier otro Órgano Administrativo, de acuerdo con lo dispuesto en el artículo 38 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, a la vista de lo establecido en el artículo 15 del Real Decreto 951/2005, de 29 de julio, por el que se establece el marco general para la mejora de la calidad de la Administración General del Estado.

c) No se considerarán medios para la formulación de quejas y sugerencias los servicios de asesoramiento electrónico que se pongan a disposición de los ciudadanos para resolver dudas o incidencias de la utilización de las aplicaciones y sistemas que sustenta la Sede, sin perjuicio de su obligación, cuando existan, de atender los problemas que susciten los ciudadanos.

DISPOSICIÓN TRANSITORIA

Disposición transitoria única.- Puesta en funcionamiento de la Sede.- La Sede electrónica que se crea en la presente resolución, comenzará a operar el día de entrada en vigor de la misma.

DISPOSICIÓN FINAL

Entrada en vigor.- La presente resolución entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado». 

(B.O.E. 313/46086 del 31.12.2002)

Disposición adicional decimoséptima. Modificación de la Ley 66/1997 de 30 de diciembre, de Medidas fiscales, administrativas y del orden social.

Se adiciona un nuevo apartado once al artículo 81 de la Ley 66/1997, de 30 de diciembre, de Medidas fiscales, administrativas y del orden social, según la redacción dada al mismo por el artículo 51 de la Ley 55/1999, de 29 de diciembre, de Medidas fiscales, administrativas y del orden social, con el siguiente contenido:

«Once. Sin perjuicio de lo establecido en los apartados anteriores, la Fabrica Nacional de Moneda y Timbre-Real Casa de la Moneda podrá, en régimen de libre competencia, prestar servicios de certificación en el uso de la firma electrónica en las relaciones que mantengan los particulares, así como realizar la prestación de servicios técnicos para garantizar la seguridad, validez y eficacia de los servicios de la sociedad de la información y de la contratación por vía electrónica con arreglo a lo dispuesto en la legislación reguladora del uso de firma electrónica, y de servicios de la sociedad de la información y comercio electrónico y demás normas complementarias.»

Disposición adicional decimoctava. Modificación de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero.

Se da nueva redacción al apartado primero del artículo 64 de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, que queda como sigue:

«Primero. Los datos registrados en la C.I.R. se conservarán durante diez años contados desde la fecha a la que se refieran, cancelándose una vez transcurrido dicho plazo. No obstante, podrán conservarse indefinidamente mediante procedimientos que no permitan la identificación del afectado, atendiendo a sus valores históricos, estadísticos o científicos. También podrán conservarse indefinidamente los datos que identifiquen a las personas jurídicas para permitir el ejercicio de las finalidades contempladas en los guiones segundo y tercero del apartado primero del artículo 59 de la presente Ley.»

Lima, domingo 11 de diciembre de 2005

Que, mediante Resolución Ministerial nº 381 -2005 PCM, de 20 de octubre de 2005 , se modifico el articulo 2 º de la Resolución Ministerial nº 318 -2005 -PCM, incorporando a un representante del Ministerio de Relaciones Exteriores para que forme parte de la Comisión Multisectorial de Seguimiento y Evaluación del Plan de Desarrollo de la Sociedad de la Información – La Agenda Digital Peruana ;

Que, es necesario nombrar al representante Titular y Alterno del Ministerio de Relaciones Exteriores ante la mencionada Comisión Multisectorial;

Que, la oficina encargada del seguimiento del tema de la Sociedad de la Información en el Ministerio de Relaciones Exteriores es la Subsecretaria de Política Cultural Exterior;

De conformidad con el inciso l) del articulo 21 º del Decreto Supremo nº 130 -2003 -RE, Reglamento de la Ley del Servicio Diplomático de la Republica; y el numeral 1 º de la Resolución Ministerial nº 0370 -RE, de 31 de agosto de 1983 ; y,

Estando a lo acordado;

SE RESUELVE:

Articulo Primero.- Nombrar Representante Titular del Ministerio de Relaciones Exteriores ante la Comisión Multisectorial de Seguimiento y Evaluación del Plan de Desarrollo de la Sociedad de la Información – La Agenda Digital Peruana , al Embajador en el Servicio Diplomático de la Republica, José Alberto Carrión Tejada, Subsecretario de Política Cultural Exterior.

Articulo Segundo.- Nombrar Representante Alterno del Ministerio de Relaciones Exteriores ante la Comisión Multisectorial de Seguimiento y Evaluación del Plan de Desarrollo de la Sociedad de la Información – La Agenda Digital Peruana , al Ministro Consejero en el Servicio Diplomático de la Republica, Carlos Germán Augusto Amezaga Rodríguez, funcionario de la Subsecretaria de Política Cultural Exterior.

Regístrese, comuníquese y publíquese.

OSCAR MAURTUA DE ROMAÑA, Ministro de Relaciones Exteriores 

WP 16 Grupo de Trabajo sobre protección de las personas en lo que respecta al tratamiento de datos personales

Aprobada por el Grupo de Trabajo el 23 de febrero de 1999

Documento de Trabajo: Tratamiento de datos personales en Internet

1. Introducción

Cada nueva fase de desarrollo tecnológico plantea un desafío para la protección de los datos personales y el derecho a la vida privada. Las experiencias anteriores que se vivieron con ocasión de la difusión de los ordenadores personales, el comienzo de las aplicaciones telemáticas, etc. lo demuestran. Internet forma parte de estos desafíos al menos por las siguientes razones:

La utilización de la infraestructura suele estar directamente basada en el tratamiento de datos personales, como ocurre con determinadas direcciones de protocolo Internet.

Los servicios proporcionados a través de esa infraestructura ofrecen nuevas posibilidades especialmente las relativas a la distribución de información que incluya datos personales (por ej. Listas de direcciones, grupos de discusión, acceso a bases de datos, etc.).

Los instrumentos técnicos son nuevos, por ejemplo el software de navegación, y evolucionan a un ritmo muy rápido.

Muchos actores son también nuevos para las nuevas actividades comerciales en línea que implican el tratamiento de datos personales y los límites tradicionales entre las diferentes profesiones se encuentran en un proceso de redefinición igualmente rápido.

Uno de los usos de Internet que plantea mayores desafíos es hacer negocios en línea: el comercio electrónico consiste en vender directamente y de forma privada de las empresas a los consumidores sin ningún tipo de intermediario, utilizando nuevos métodos de selección y nuevos medios de pago.

La dimensión global está inmediatamente presente.

En este contexto complejo y, desde el punto de vista de la protección de datos, controvertido las autoridades nacionales de protección de datos han trabajado de manera pragmática durante unos tres años y su experiencia se va consolidando gradualmente (véanse, por ejemplo, sus informes anuales).

De forma similar, el Grupo de Trabajo(1) ha comenzado a estudiar las cuestiones relativas a la aplicación de los principios de la protección de datos al tratamiento de datos personales en Internet de manera pragmática y de acuerdo con la urgencia que el asunto empieza a adquirir a nivel europeo o internacional.

(1) Creado en virtud del artículo 29 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, DO L 281, 23 de noviembre de 1995, p. 31. Se puede consultar en http://www.europa.eu.int/comm/dg15/en/media/dataprot/index.htm

Podemos poner los siguientes ejemplos:

Anonimato en Internet(2)

Apoyo al «Memorando de Berlín – Budapest» del Grupo Internacional de Trabajo sobre protección de datos en el ámbito de las telecomunicaciones(3)

Un primer dictamen sobre el proyecto P3P del Consorcio World Wide Web(4)

Recomendación 1/99 sobre «el tratamiento invisible y automático de datos personales en Internet efectuado por software y hardware», aprobada el 23 de febrero de 1999(5).

El tema de la protección de datos y de la vida privada en Internet se está debatiendo asimismo en foros internacionales como el Consejo de Europa(6) y la OCDE(7). En relación con la propuesta de la Unión Europea en el sentido de adoptar soluciones globales en el marco de la OMC, esta última ha aceptado incluir la protección de datos en su programa de trabajo sobre los aspectos comerciales del comercio electrónico. Este asunto lo debatirá el Consejo del Comercio de Servicios, que se reúne periódicamente con objeto de presentar un informe antes de junio de 1999. El objetivo es alcanzar un acuerdo sobre los principios obligatorios básicos que permitan un libre flujo de datos personales en el comercio electrónico mundial a la vez que se respeta el derecho de las personas a la intimidad y, por consiguiente, se garantiza la confianza en el comercio electrónico.

La Conferencia Europea de Comisarios sobre Protección de Datos, celebrada en Dublín los días 23 y 24 de abril de 1998, expresó el deseo de que el Grupo de Trabajo pueda abordar el asunto de una forma más sistemática para clarificar las cuestiones en juego y buscar soluciones encaminadas a contribuir a un desarrollo de Internet y sus servicios conexos que respete el derecho del usuario a la intimidad y, por ello, dé confianza tanto a las aplicaciones comerciales como a las privadas. Los Comisarios recordaron que las reglas derivadas de la legislación comunitaria de protección de datos se aplican en su integridad, de acuerdo con sus correspondientes modalidades, al tratamiento de datos personales en Internet, con independencia de los instrumentos técnicos utilizados.

(2) Véase la Recomendación 3/97 del Grupo de Trabajo «Anonimato en Internet», adoptada el 3.12.1997, se puede consultar en: véase la nota 1.

(3) Véase la Recomendación 2/97 del Grupo de Trabajo «Informe y orientaciones elaborados por el Grupo Internacional de Trabajo sobre protección de datos en el ámbito de las telecomunicaciones («Memorando de Budapest – Berlín sobre protección de datos e intimidad en Internet»), aprobada el 3.12.1997, que se puede consultar en: véase la nota 1.

(4) Véase el Dictamen 1/98 del Grupo de Trabajo «Plataforma de Preferencias de Privacidad (P3P) y Norma de Perfiles Abierta (OPS)», adoptado el 16 de junio de 1998, que se puede consultar en: véase la nota 1.

(5) Se puede consultar en: véase la nota 1.

(6) El Consejo de Europa está a punto de adoptar unas orientaciones sobre protección de la vida privada en las autopistas de la información.

(7) Véanse los resultados de la Conferencia de Ottawa en octubre de 1998: se pueden consultar en http://www.oecd.org .

2. La importancia de las directivas sobre protección de datos

El Grupo de Trabajo comparte la opinión de la Conferencia Europea de Comisarios sobre Protección de Datos. Internet no es un vacío jurídico. El tratamiento de los datos personales en Internet debe respetar los principios de protección de datos al igual que en el mundo normal (off-line)(8). Esto no constituye una limitación de la utilización de Internet, sino que, por el contrario, forma parte de los requisitos fundamentales destinados a garantizar la confianza de los usuarios en el funcionamiento de Internet y los servicios que se facilitan mediante esa red. La protección de datos en Internet es, por tanto, una condición indispensable par el desarrollo del comercio electrónico.

La Directiva 95/46/CE, de carácter general sobre la protección de datos hace referencia a cualquier tipo de tratamiento de datos personales dentro de su campo de acción, con independencia de los medios técnicos utilizados. Por consiguiente, el tratamiento de datos personales en Internet debe considerarse a la luz de la directiva.

La Directiva específica 97/66/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones(9) complementa la directiva general 95/46/CE mediante la fijación de disposiciones jurídicas y técnicas específicas.(10) Internet es una red de ordenadores abierta a todo el mundo y, por ello, forma parte del sector público de telecomunicaciones. Las disposiciones de la Directiva 97/66/CE, por tanto, afectan al tratamiento de los datos personales en relación con la prestación de servicios públicos de telecomunicación en las redes públicas de telecomunicación en la Comunidad(11).

3. El Grupo Operativo Internet

El Grupo de Trabajo es consciente de que la aplicación homogénea de las directivas sobre protección de datos al tratamiento de datos personales en Internet requiere un análisis que tenga en cuenta en particular tanto los aspectos técnicos como los jurídicos. El Grupo de Trabajo tiene la intención de contribuir además a dar respuesta a las numerosas y detalladas cuestiones que pueden plantearse en este contexto.

Con objeto de garantizar un planteamiento coherente y homogéneo sobre el tratamiento de datos en Internet, el Grupo de Trabajo ha creado el Grupo Operativo (Task Force) interdisciplinario Internet, cuya tarea consiste en identificar las cuestiones relacionadas con Internet que necesitan tratarse y preparar los puntos de vista del Grupo de Trabajo sobre el particular.

(8) Véase también la Declaración Ministerial de la Conferencia de Bonn sobre redes mundiales, junio de 1997, que se puede consultar en: http://www2.echo.lu/bonn/conference.html.

(9) El apartado 3 del artículo 14 de la Directiva 97/66/CE encarga al Grupo de Trabajo establecido con arreglo a la Directiva 95/46/CE a ejercer sus funciones también por lo que se refiere a la protección de los derechos y libertades fundamentales y de los intereses legítimos en el sector de las telecomunicaciones, que son objeto de la Directiva 97/66/CE.

(10) Para todas las cuestiones que no están cubiertas de forma específica por la Directiva 97/66/CE, incluidas las obligaciones del controlador y los derechos de las personas o los servicios de telecomunicaciones que no están disponibles para el público, se aplica la Directiva 95/46/CE (véase el considerando 11 de la Directiva 97/66/CE).

(11) Véase el apartado 1 del artículo 3 de la Directiva 97/66/CE.

El Grupo Operativo Internet ya ha preparado la Recomendación 1/99 Grupo de Trabajo sobre el tratamiento invisible y automático de datos personales en Internet efectuados por software y hardware(12).

El Grupo Operativo Internet va a seguir trabajando de manera más general sobre la aplicación de las dos directivas al tratamiento de datos personales en Internet y presentará propuestas sobre la forma de llevar a la práctica sus disposiciones de manera homogénea, por ejemplo en relación con los servicios de correo electrónico (e-mail) y los datos sobre el tráfico en Internet.

Bruselas, 23 de febrero de 1999

Por el Grupo de Trabajo

El Presidente Peter HUSTINX

(12) Aprobada el 23 de febrero de 1999. Se puede consultar en: véase la nota 1

Määrus kehtestatakse «Avaliku teabe seaduse» § 43³ lõike 5, § 43⁷ lõike 1 ning § 43⁹ lõike 1 punkti 6 alusel.

1. peatükk ÜLDSÄTTED　

§ 1.　Reguleerimisala

Käesoleva määrusega kehtestatakse:
1) riigi infosüsteemi haldussüsteem;
2) andmekogu registreerimise kord riigi infosüsteemi halduse infosüsteemis;
3) andmekogu tehnilise dokumentatsiooni (edaspidi andmekogu dokumentatsioon) kooskõlastamise tingimused ja kord;
4) andmekogu asutamise korralduslikud nõuded;
5) riigi infosüsteemi halduse infosüsteemi pidamise kord.

§ 2.　Riigi infosüsteemi haldussüsteem

Riigi infosüsteemi haldussüsteemi moodustavad riigi infosüsteemi halduse infosüsteem (edaspidi RIHA) ning riigi infosüsteemi haldamise põhimõtted.

§ 3.　Riigi infosüsteemi haldussüsteemi eesmärk

Riigi infosüsteemi haldussüsteemi eesmärk on riigi infosüsteemi haldamise läbipaistvuse tagamine, riigi infohalduse planeerimine ning riigi, kohaliku omavalitsuse ja avalikke ülesandeid täitvate eraõiguslike isikute andmekogude koosvõime toetamine.

§ 4.　Mõisted

(1) Andmed on isikuandmed «Isikuandmete kaitse seaduse» tähenduses või muud andmed, mida töödeldakse andmekogus riigi, kohaliku omavalitsuse või avalikke ülesandeid täitva eraõigusliku isiku ülesannete täitmiseks.

(2) Andmete koosseis on riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku avalike ülesannete täitmiseks töödeldavate korrastatud andmete loetelu.

(3) Andmekogu on riigi, kohaliku omavalitsuse või muu avalik-õigusliku juriidilise isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks.

(4) Andmeobjekt on isik, ese, sündmus või nendevaheline seos, mille kohta infosüsteemis andmeid töödeldakse.

§ 5.　Riigi infosüsteemi haldamise põhimõtted

(1) Riigi infosüsteemi haldamine lähtub järgmistest riigi infosüsteemi koosvõime tagamisele suunatud põhimõtetest:
1) seaduslikkuse põhimõte – riigi infosüsteemi kuuluvas andmekogus töödeldakse andmeid avaliku ülesande täitmise käigus seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus ettenähtud kohustuse täitmiseks;
2) ühtsuse põhimõte – riigi infosüsteemi kuuluvad andmekogud peavad olema omavahel ühildatavad ning olema võimelised koostoimimiseks, andmevahetuseks ja andmete kontrolliks;
3) põhiandmete kasutamise põhimõte – andmed kogutakse võimalikult autentsest allikast ning koondatakse andmekogusse, mis on vastavate andmete suhtes ühtseks allikaks kõikidele riigi infosüsteemi kuuluvatele andmekogudele nende seadusekohaste ülesannete täitmisel;
4) jälgitavuse põhimõte – kõik pöördumised andmekogu poole ja vastused kasutajale talletatakse (infosüsteemide andmevahetuskihiga liitunud infosüsteemide korral turvaserverite turvalogides). Andmete olemasolu andmekogus ja nende töötlemise fakti peab olema võimalik tuvastada ja taastada;
5) kaasaegse infotehnoloogia kasutamise põhimõte – riigi infosüsteemi kuuluva andmekogu haldamisel kasutatakse maksimaalselt ära kaasaegse infotehnoloogia võimalused. Andmeid töödeldakse digitaalselt;
6) andmevahetuse teenusekesksuse põhimõte – andmevahetus (ristkasutus) erinevate andmekogude ja töötlejate vahel realiseeritakse andmeteenuste põhjal;
7) tehnilise ja organisatsioonilise optimaalsuse põhimõte – andmekogu asutatakse ja selle muutmine toimub, pidades silmas riigi infosüsteemi haldamise põhimõtteid ja lähtudes valdkonna heast tavast ning majandus- ja kommunikatsiooniministri poolt kehtestatud, riigi IT koosvõime raamistikest.

(2) Lisaks lõikes 1 sätestatud põhimõtetele kohaldatakse isikuandmete töötlemisele riigi infosüsteemis «Isikuandmete kaitse seaduse» §-s 6 sätestatud isikuandmete töötlemise põhimõtteid.

2. peatükk ANDMEKOGU DOKUMENTATSIOON　

§ 6.　Andmekogu dokumentatsiooni koostamine

(1) Enne andmekogu asutamist või andmekogus kogutavate andmete koosseisu muutmist kontrollib andmekogu asutaja või vastutav töötleja, kas vajalikke andmeid juba kogutakse mõnes olemasolevas andmekogus.

(2) Kui kontrolli tulemusel selgub, et vajalike andmete kogumiseks või töötlemiseks on otstarbekas asutada uus andmekogu või muuta olemasolevas andmekogus kogutavate andmete koosseisu, koostab andmekogu asutaja või vastutav töötleja andmekogu dokumentatsiooni.

(3) Andmekogu dokumentatsioon koosneb § 18 lõike 2 punktides 1–22, 24 ja 26–28, lõigetes 3 ja 4, § 19 lõikes 2, § 20 lõikes 2, § 22 lõikes 2 ning §-s 26 viidatud õigusaktis loetletud andmete koosseisule vastavatest andmetest.

(4) Kui kontrolli tulemusel selgub, et vajalikke andmeid kogutakse juba mõne asutatud andmekogu koosseisus, esitab uue andmekogu asutaja RIHA kaudu selle andmekogu vastutavale töötlejale taotluse andmete kättesaadavaks tegemiseks riigi infosüsteemis.

§ 7.　Andmekogu dokumentatsiooni kooskõlastamine

(1) Andmekogu asutaja või andmekogus kogutavate andmete koosseisu muutmisel esitab andmekogu vastutav või volitatud töötleja andmekogu dokumentatsiooni RIHA kaudu üheaegselt kooskõlastamiseks Majandus- ja Kommunikatsiooniministeeriumile, Andmekaitse Inspektsioonile ning Statistikaametile, arvestades lõigetes 2–4 toodud erisusi.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(2) Andmekogu puhul, mis asutatakse ainult organisatsiooni sisemise töökorralduse vajadusteks, asutustevaheliseks dokumentide menetlemiseks, või andmekogu puhul, mida ei liidestata X-teega, ei pea andmekogu dokumentatsiooni Majandus- ja Kommunikatsiooniministeeriumiga kooskõlastama. Organisatsiooni sisemise töökorralduse vajadusteks peetav andmekogu on andmekogu, mida peetakse organisatsiooni õigusaktidest tulenevate või põhikirjaliste töökorralduslike ülesannete täitmisel, kui sellest ei väljastata andmeid muudeks vajadusteks. Asutustevaheliseks dokumentide menetlemiseks peetav andmekogu on «Avaliku teabe seaduse» §-s 11 nimetatud asutuse dokumendiregister.

(3) Andmekaitse Inspektsiooniga ei pea kooskõlastama sellise andmekogu dokumentatsiooni, mis asutatakse ainult organisatsiooni sisemise töökorralduse vajadusteks või asutustevaheliseks dokumentide menetlemiseks.

(4) Statistikaametiga kooskõlastatakse kõikide andmekogude dokumentatsioon vastavalt «Riikliku statistika seaduse» § 5 lõikele 1¹.

(5) Majandus- ja Kommunikatsiooniministeerium hindab andmekogu dokumentatsiooni kooskõlastamisel andmekogu tehnilist vastavust, kogutavate andmete koosseisu ja allikate vastavust seaduse või selle alusel antud õigusaktiga kehtestatud nõuetele ning teeb kindlaks, kas ja milliseid põhiandmeid andmekogus kogutakse.

(6) Andmekaitse Inspektsioon hindab ja kontrollib andmekogu dokumentatsiooni kooskõlastamisel andmekogu korralduslike ja infotehnoloogiliste nõuete, sealhulgas kogutavate andmete koosseisu ja allikate vastavust «Avaliku teabe seaduse» nõuetele, eelkõige andmekogu andmetele juurdepääsupiirangute kehtestamise vajadust või andmekogu andmete võimaliku avalikustamise kohustuse täitmist, ning «Isikuandmete kaitse seaduse» nõuetele, eelkõige vastavust isikuandmete töötlemise põhimõtetele ning andmekogu turvaklasside ja -meetmete piisavust.

(7) Lõikes 1 nimetatud asutused kiidavad dokumentatsiooni heaks või keelduvad motiveeritult dokumentatsiooni heakskiitmisest 20 tööpäeva jooksul, arvates andmekogu dokumentatsiooni esitamisest kooskõlastamiseks.

(8) Andmekogu dokumentatsioon loetakse kooskõlastatuks, kui selle on kooskõlastanud kõik lõikes 1 loetletud asutused, kellele andmekogu dokumentatsioon kooskõlastamiseks esitati. Kooskõlastus võib olla tingimuslik.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(9) Kui pärast andmekogu dokumentatsiooni kooskõlastamist ning enne andmekogu või andmekogus kogutavate andmete koosseisu muutmise registreerimist tehakse andmekogu dokumentatsioonis muudatusi, tuleb see esitada käesolevas paragrahvis sätestatud korras uuesti kooskõlastamiseks lõikes 1 nimetatud asutustele.

(10) Andmekogu asutaja asutab andmekogu või andmekogu vastutav või volitatud töötleja muudab andmekogu andmete koosseisu vastavuses kooskõlastatud dokumentatsiooniga.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(11) Kui andmekogu kasutusele võtmiseks või andmekogu andmete koosseisu muutmiseks on vajalik riigihanke läbiviimine, esitatakse andmekogu dokumentatsioon kooskõlastamiseks enne riigihanke väljakuulutamist ning riigihanke dokumentatsioon peab lähtuma kooskõlastatud andmekogu dokumentatsioonist.

§ 8.　Andmekogu dokumentatsiooni kooskõlastamisest keeldumine

(1) Andmekogu dokumentatsiooni kooskõlastamisest keeldumise korral tuuakse välja kooskõlastamisest keeldumise põhjused, mille kõrvaldamise järel tuleb parandatud dokumentatsioon esitada uuesti kooskõlastamiseks.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(2) Paragrahvi 7 lõikes 1 sätestatud kooskõlastuseta ei või andmekogu asutada ega andmekogu andmete koosseisu muuta.

3. peatükk ANDMEKOGU REGISTREERIMINE RIIGI INFOSÜSTEEMI HALDUSE INFOSÜSTEEMIS　

§ 9.　RIHA-s registreeritav andmekogu

(1) RIHA-s registreeritakse kõik riigi, kohaliku omavalitsuse või muu avalik-õigusliku juriidilise isiku või avalikke ülesandeid täitvate eraõiguslike isikute andmekogud.

(2) RIHA-s ei registreerita andmekogusid, millele juurdepääs on piiratud tulenevalt «Riigisaladuse ja salastatud välisteabe seadusest».

(3) RIHA-s registreeritud andmekogud jagunevad riigi infosüsteemi kuuluvateks andmekogudeks ja riigi infosüsteemi mittekuuluvateks andmekogudeks.

(4) Riigi infosüsteemi kuulub RIHA-s registreeritud andmekogu, mis on liidestatud infosüsteemide andmevahetuskihiga (edaspidi X-tee).

§ 10.　Andmekogu registreerimine ning andmekogus kogutavate andmete koosseisu muutmise registreerimine RIHA-s

(1) Andmekogu registreerimist ja andmekogus kogutavate andmete koosseisu muutmise registreerimist RIHA-s korraldab majandus- ja kommunikatsiooniministri volitatud teenistuja või ministeeriumi valitsemisalasse kuuluva asutuse töötaja (edaspidi RIHA haldur).

(2) Andmekogu vastutav või volitatud töötleja esitab andmekogu ja andmekogus kogutavate andmete koosseisu muutmise registreerimiseks RIHA-s pärast andmekogu asutamise või andmekogus kogutavate andmete koosseisu muutmise aluseks oleva õigusakti vastuvõtmist, kuid mitte hiljem kui 10 tööpäeva jooksul pärast vastava õigusakti jõustumist.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(3) Andmekogu registreerimisel ja andmekogus kogutavate andmete koosseisu muutmise registreerimisel tuleb andmekogu vastutaval või volitatud töötlejal aktualiseerida kõik § 18 lõike 2 punktides 1–22, 24 ja 26–28, lõigetes 3 ja 4, § 19 lõikes 2, § 20 lõikes 2, § 22 lõikes 2 ning §-s 26 viidatud õigusaktis loetletud andmete koosseisule vastavad andmed.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(4) Enne andmekogu registreerimist ja andmekogus kogutavate andmete koosseisu muutmise registreerimist kontrollib RIHA haldur andmekogu vastavust §-des 7 ja 8 sätestatud korra kohaselt kooskõlastatud andmekogu dokumentatsioonis esitatule 20 tööpäeva jooksul.

(5) Andmekogu registreerimisel, mis asutatakse ainult organisatsiooni sisemise töökorralduse vajadusteks või asutustevaheliseks dokumentide menetlemiseks ja mida X-teega ei liidestata, kontrollib RIHA haldur andmekogu tehnilist vastavust ning kogutavate andmete koosseisu ja allikate vastavust seaduse või selle alusel antud õigusaktiga kehtestatud nõuetele.

(6) Pärast kontrollimist registreerib RIHA haldur andmekogu või andmekogus kogutavate andmete koosseisu muutmise RIHA-s.

(7) Riigi infosüsteemi kuuluvas andmekogus hallatavate põhiandmete koosseisu muudatustest teavitab RIHA haldur selle andmekogu registreeritud kasutajaid RIHA teenuse kaudu.

§ 11.　Andmekogu muude muudatuste registreerimine RIHA-s

Kui andmekogu muudatused ei ole seotud andmekogusse kogutavate andmete koosseisuga, ei ole vaja neid muudatusi §-s 7 sätestatud korras kooskõlastada. Sellised muudatused registreerib andmekogu vastutav või volitatud töötleja RIHA-s.

§ 12.　Andmekogu tegevuse lõpetamise registreerimine

(1) Andmekogu tegevuse lõpetamisel otsustatakse andmete üleandmine teise andmekogusse, arhiivi või nende kuulumine hävitamisele ning üleandmise või hävitamise tähtaeg. Andmete üleandmisel või hävitamisel koostatakse vastav akt, mis kantakse andmekogu tegevuse lõpetamise registreerimisel RIHA-sse.

(2) Andmekogu tegevuse lõpetamise kooskõlastab andmekogu vastutav töötleja RIHA kaudu Majandus- ja Kommunikatsiooniministeeriumi, Andmekaitse Inspektsiooni ning Statistikaametiga. Majandus- ja Kommunikatsiooniministeeriumil ja Andmekaitse Inspektsioonil on õigus nõuda andmete üleandmise või hävitamise teostamist nende volitatud ametiisikute juuresolekul.

(3) Andmekogu tegevuse lõpetamisel teeb RIHA haldur RIHA-s märke «andmekogu tegevus lõpetatud».

§ 13.　Andmekogu registreerimisest keeldumine

(1) RIHA haldur keeldub põhjendatult andmekogu või andmete koosseisu muutmise registreerimisest RIHA-s, kui andmekogu või andmekogu andmete koosseisu muudatus ei vasta seaduse või selle alusel kehtestatud õigusaktide nõuetele või ei ole vastavuses kooskõlastatud andmekogu dokumentatsiooniga.

(2) Andmekogu asutaja või vastutav või volitatud töötleja kõrvaldab keeldumise aluseks olnud asjaolud ning esitab andmekogu uueks registreerimiseks RIHA-s.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(3) RIHA-s registreerimata andmekogu kasutusele võtmine on keelatud.

4. peatükk RIHA PIDAMISE KORD　

§ 14.　RIHA eesmärk

RIHA eesmärk on toetada riigi infosüsteemi haldamist.

§ 15.　RIHA vastutav töötleja

RIHA vastutav töötleja on Riigi Infosüsteemide Arenduskeskus.

§ 16.　RIHA vastutava töötleja kohustused

(1) Riigi Infosüsteemide Arenduskeskus riigi infosüsteemi halduse infosüsteemi vastutava töötlejana:
1) vastutab RIHA haldamise ja arendamise eest;
2) tagab RIHA funktsioonidest tulenevate andmeteenuste avamise;
3) tagab vaba ligipääsu RIHA andmetele, millele ei ole kehtestatud juurdepääsupiiranguid;
4) nõustab andmekogude asutajaid ja vastutavaid töötlejaid andmekogu asutamisel ja registreerimisel RIHA-s;
5) tagab RIHA kasutajatoe teenuse toimimise;
6) korraldab RIHA majutamise;
7) tagab RIHA turvalisuse;
8) pakub kvaliteetset RIHA kasutajatuge;
9) täidab muid talle õigusaktidega pandud ülesandeid.

(2) RIHA-s hallatavate semantiliste valdkondade sõnastike haldamise allsüsteemi koosseisu juhise ning andmekogude ja andmekogude poolt osutatavate teenuste semantilise kirjeldamise juhise kehtestab RIHA vastutav töötleja, kooskõlastades need eelnevalt Majandus- ja Kommunikatsiooniministeeriumiga, ning avaldab need oma veebilehel.

(3) RIHA vastutav töötleja kooskõlastab eelnevalt Majandus- ja Kommunikatsiooniministeeriumiga:
1) juhised, mis täpsustavad, määratlevad või muudavad RIHA andmete koosseisus olevate andmete tähendust või vormi;
2) RIHA arendustööd, mis täpsustavad, määratlevad või muudavad RIHA andmete koosseisus olevate andmete tähendust või vormi.

§ 17.　RIHA struktuur

(1) RIHA sisesed komponendid on RIHA kasutajaliides, RIHA teenusliides ning RIHA andmekogu.

(2) RIHA välised komponendid on kasutajatoe süsteem, mis hõlmab intsidendi- ja probleemihaldust, muudatuste halduse süsteem ning monitooringusüsteem.

(3) RIHA andmekogu koosseisu kuuluvad järgmised RIHA alamregistrid:
1) andmekogude alamregister;
2) asutuste alamregister;
3) kontaktisikute alamregister;
4) kooskõlastamiste alamregister;
5) X-teega liitumiste alamregister;
6) taotluste alamregister;
7) teadete alamregister;
8) teenuste alamregister;
9) klassifikaatorite alamregister;
10) semantiliste valdkondade alamregister.

§ 18.　RIHA andmekogude alamregister

(1) RIHA andmekogude alamregistrisse kantakse käesoleva paragrahvi lõigetes 2–4 loetletud andmed järgmiste andmekogude kohta:
1) andmekogu, mis vahetab X-tee kaudu andmeid mis tahes teise andmekoguga;
2) andmekogu, mida peetakse organisatsiooni sisemise töökorralduse vajadusteks või asutustevaheliseks dokumentide menetlemiseks.

(2) RIHA andmekogude alamregistrisse kantavate andmekogu üldandmete koosseis:
1) andmekogu nimi, lühinimi ja nimi inglise keeles (selle olemasolul);
2) andmekogu kasutusoleku tunnus;
3) andmekogu asutamise õiguslik alus;
4) andmekogu eesmärk ja ülesanne;
5) andmekogu tehnilise kirjelduse dokumendid, kus sisalduvad andmekogu arhitektuuri, talitlusprotsessi, koosvõime nõuetele vastavuse, haldamise reeglite kirjeldused ja muud olulised andmekogu kohta käivad tehnilised kirjeldused ning andmekogu põhimäärus või selle kavand;
6) andmekogu vastutava ja volitatud töötleja nimi;
7) andmekogu vastutava ja volitatud töötleja registrikood;
8) andmekogu asutamise kuupäev;
9) andmekogu kasutusele võtmise kuupäev;
10) andmekogu X-teega liitumise kuupäev;
11) andmekogus isikuandmete ja delikaatsete isikuandmete töötlemise fakt;
12) andmekogu andmete arhiveerimise viis;
13) andmekogu kõige vanemate andmete kogumise aeg;
14) andmekogu andmete ja alusdokumentide säilitustähtaeg (säilitamise aeg märgitakse aastates);
15) andmekogu andmete uuendamise regulaarsus;
16) andmekogu turvaklassid;
17) andmekogu turbeaste;
18) infosüsteemide turvameetmete süsteemi rakendamise staatus;
19) andmekogus kasutatavad standardid;
20) andmekogus kasutatavad ja hallatavad klassifikaatorid;
21) andmekogu riigi infosüsteemi kuuluvuse tunnus;
22) andmekogude institutsionaalse grupi nimetus;
23) andmekogu monitooringu andmed ja kasutamisstatistika;
24) andmekogu teenustaseme parameetrid;
25) andmekogu pidamise käigus tekkinud intsidentide ja probleemide loetelu;
26) andmete koosseisu muudatuse õiguslik alus või viide sellele;
27) andmete koosseisu muudatuse algus;
28) andmete koosseisuga kaasnevad teised muudatused.

(3) RIHA andmekogude alamregistrisse kantavate andmekogus töödeldavate andmete koosseis:
1) andmeobjekti nimetus ja andmeobjekti semantiline kirjeldus viitena valdkonna terminile;
2) detailandmete loetelu andmeobjekti kohta ja detailandmete semantiline kirjeldus;
3) andmete isikuandmeteks ja delikaatseteks isikuandmeteks oleku tunnus;
4) põhiandmete loetelu;
5) viide põhiandmeteks mitteolevate andmete algallikale;
6) arhiiviväärtuslike andmete loetelu.

(4) RIHA andmekogude alamregistrisse kantavate andmekogu asutamise ja andmete töötlemise aluseks olevate õigusaktide andmete koosseis:
1) õigusakti nimi;
2) õigusakti väljaandja ja liik;
3) õigusakti number, kuupäev, avaldamisviide, URL viide dokumendile või dokument ise;
4) õigusakti kehtivus.

§ 19.　RIHA asutuste alamregister

(1) RIHA asutuste alamregistrisse kantakse RIHA-s registreeritud andmekogu vastutava ja volitatud töötleja ning andmekogu teenuseid kasutava asutuse andmed.

(2) RIHA asutuste alamregistrisse kantavate asutuste üldandmete koosseis:
1) asutuse nimi;
2) asutuse registrikood;
3) asutuse aadress;
4) asutuse veebiaadress;
5) asutuse grupp.

§ 20.　RIHA kontaktisikute alamregister

(1) RIHA kontaktisikute alamregistrisse kantakse RIHA-s registreeritud andmekogu ja teenuste kontaktisikute andmed.

(2) RIHA kontaktisikute alamregistrisse kantavate kontaktisikute üldandmete koosseis:
1) kontaktisiku ametikoha nimi;
2) kontaktisiku ees- ja perekonnanimi;
3) kontaktisiku kirjeldus;
4) kontaktisiku õigused RIHA-s;
5) kontaktisiku õiguste kehtivuse aeg, õiguste kehtivuse olek;
6) kontaktisiku rolli nimetus asutuses;
7) kontaktisiku vastutustaset iseloomustav tunnus;
8) kontaktisiku e-posti aadress ja telefoninumber.

§ 21.　RIHA kooskõlastamiste alamregister

(1) RIHA kooskõlastamiste alamregistrisse kantakse RIHA kaudu teostatavate kooskõlastamiste andmed.

(2) RIHA kooskõlastamiste alamregistrisse kantavate kooskõlastamise üldandmete koosseis:
1) kooskõlastaja asutuse nimi;
2) kooskõlastatava andmekogu nimi;
3) kooskõlastamise otsus;
4) kooskõlastamise otsuse kuupäev;
5) täienduste või paranduste esitamise tähtaeg;
6) kooskõlastaja asutuse kommentaar ja kommenteerimise kuupäev;
7) kooskõlastamise kommentaar või kooskõlastamata jätmise põhjendus;
8) kooskõlastamise liik.

§ 22.　RIHA X-teega liitumiste alamregister

(1) RIHA X-teega liitumiste alamregistrisse kantakse X-teega liitumiste andmed.

(2) RIHA X-teega liitumiste alamregistrisse kantavate X-teega liitumise üldandmete koosseis:
1) X-teega ja X-tee testkeskkonnaga liitumise andmed;
2) X-teega ja X-tee testkeskkonnaga liitumise liik;
3) asutuse, tema turvaserveri, andmekogu X-teega ja X-tee testkeskkonnaga liitumise kuupäev.

§ 23.　RIHA taotluste alamregister

(1) RIHA taotluste alamregistrisse kantakse RIHA kaudu esitatavate taotluste andmed.

(2) RIHA taotluste alamregistrisse kantavate taotluste üldandmete koosseis:
1) taotluse liik;
2) taotluse staatus;
3) taotluse esitamise kuupäev;
4) taotluse esitaja andmed;
5) taotluse sisu.

§ 24.　RIHA teadete alamregister

(1) RIHA teadete alamregistrisse kantakse andmed RIHA-st väljastatavate ja RIHA-sse saadetud teadete ning nende saatmise reeglite kohta.

(2) RIHA teadete alamregistrisse kantavate teadete üldandmete koosseis:
1) teate liik;
2) teate saaja;
3) teate saatja;
4) teate edastamise aeg;
5) teate sisu.

§ 25.　RIHA teenuste alamregister

(1) RIHA teenuste alamregistrisse kantakse RIHA-s registreeritud andmekogu osutatavate teenuste, sealhulgas X-tee teenuste ja muude andmekogu poolt osutatavate veebiteenuste andmed.

(2) RIHA teenuste alamregistrisse kantavate teenuse andmete koosseis:
1) teenuse nimi;
2) teenuse kood;
3) teenuse semantiline kirjeldus;
4) andmed teenuse osutamise põhimõtete kohta, mis sisaldavad andmeid vaikimisi avatud teenuste kohta erinevatele teenusegruppidele, teenustaseme parameetreid teenuse tööaja, kliendipöördumise reageerimisaja, kuu keskmise käideldavuse, maksimaalse ühekordse katkestuse kestuse, usaldusväärsuse ja maksimaalse koormuse kohta;
5) teenuse olek;
6) teenuse liik;
7) teenuse kasutaja grupp;
8) isikuandmete töötlemise fakt;
9) delikaatsete isikuandmete töötlemise fakt;
10) teenuse turvaklass;
11) teenuse turbeaste;
12) teenuse kasutajad;
13) teenuse seosed teiste teenuste ja infosüsteemidega;
14) teenuse seos valdkondadega;
15) teenuse sisendite ja väljundite semantiline kirjeldus (viitena valdkonna terminile);
16) teenuse nimeruumi andmed;
17) teenuse intsidentide, monitooringu ja kasutamise statistika andmed.

§ 26.　RIHA klassifikaatorite alamregister

RIHA klassifikaatorite alamregistrisse kantakse «Avaliku teabe seaduse» § 43⁹　lõike 1 punktis 1 sätestatud määruse alusel kehtestatud klassifikaatorite andmed.

§ 27.　RIHA semantiliste valdkondade alamregister

(1) RIHA semantiliste valdkondade alamregistrisse kantakse andmed riigi infosüsteemis kasutatavate semantiliste valdkondade kohta.

(2) RIHA semantiliste valdkondade alamregistrisse kantavate valdkonna üldandmete koosseis:
1) semantilise valdkonna nimetus;
2) semantilise valdkonna kirjeldus.

(3) RIHA semantiliste valdkondade alamregistrisse kantavate semantilise valdkonna sõnastiku andmete koosseis:
1) sõnastiku versioon;
2) sõnastiku eelnev versioon;
3) sõnastiku masinloetav formaat (OWL).

(4) RIHA semantiliste valdkondade alamregistrisse kantavate semantilise valdkonna sõnastiku terminite andmete koosseis:
1) termini identifikaator (URL);
2) termini nimetus;
3) termini kirjeldus;
4) termini seosed teiste terminitega.

§ 28.　RIHA andmete õigsus

(1) RIHA-sse esitatud andmete õigsuse ja tervikluse eest vastutab andmed esitanud andmekogu vastutav töötleja.

(2) RIHA-sse puudulike või ebaõigete andmete esitamisel ja nende puuduste avastamisel on andmete esitaja kohustatud esitama parandused kolme tööpäeva jooksul hetkest, kui ta puudustest teada sai või pidi teada saama.

§ 29.　RIHA andmetele juurdepääs

RIHA andmed on avalikult kättesaadavad RIHA veebiliidese kaudu, kui neile ei ole seadusega või selle alusel kehtestatud juurdepääsupiirangut.

§ 30.　RIHA turvaklass ja turbeaste

(1) RIHA turvaklassid on:
1) andmete konfidentsiaalsuse osas – S1;
2) andmete tervikluse osas – T2;
3) andmete käideldavuse osas – K2.

(2) RIHA turvatase on keskmine (M).

§ 31.　RIHA-sse andmete esitamise nõuded

(1) RIHA-sse esitatakse andmed elektroonselt läbi järgmiste menetlusprotsesside:
1) X-teega liitumistaotluse menetlemine ning liitumistoimingute teostamine;
2) andmekogu dokumentatsiooni kooskõlastamine;
3) andmekogu kohta RIHA-sse kantud andmete koosseisu muutmine;
4) andmekogu registreerimine;
5) klassifikaatori ja selle muudatuste kooskõlastamine;
6) klassifikaatori kehtestamine;
7) andmekogude teenuste arendamis- ja kasutamistaotluste menetlemine.

(2) Iga menetlusprotsessi käigus nõutavate andmete koosseis näidatakse ära RIHA-sse andmete sisestamisel andmete esitamise keskkonnas.

(3) Andmekogu kohta käivate andmete esitamiseks ja muutmiseks RIHA-s juurdepääsuõiguste andmise eest vastutab andmete esitaja.

(4) Pärast andmete esitaja liitumist X-teega toimuvad edasised RIHA menetlusprotsessid X-tee esitlusteenuse vahendusel.

§ 32.　RIHA andmete arhiveerimine

RIHA andmed arhiveeritakse vastavalt «Arhiiviseadusele».

5. peatükk RAKENDUSSÄTTED　

§ 33.　«Andmekogude riiklikus registris» registreeritud andmekogu kooskõlla viimine

(1) «Andmekogude riiklikus registris» registreeritud andmekogu andmed loetakse ülekantuks RIHA-sse 1. jaanuarist 2008. a.

(2) Lõikes 1 nimetatud andmekogude vastutavad töötlejad aktualiseerivad «Andmekogude riiklikust registrist» RIHA-sse ülekantud andmete koosseisu 1. juuliks 2008. a.

(3) Andmekogu vastutav töötleja peab koostama andmekogu dokumentatsiooni 1. juuliks 2008. a. Semantilisi kirjeldusi puudutavad andmed ning §-s 27 nimetatud andmed tuleb RIHA-sse kanda hiljemalt 1. juuliks 2010. a. Andmekogu dokumentatsioon kooskõlastatakse §-des 6–8 sätestatud korras.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(4) Kui andmekogu vastutaval töötlejal ei ole põhjendatult võimalik koostada ja esitada andmekogu dokumentatsiooni RIHA-sse 1. juuliks 2008. a, esitab vastutav töötleja Majandus- ja Kommunikatsiooniministeeriumile hiljemalt 1. juuniks sellekohase taotluse ja andmekogu dokumentatsiooni koostamise ajakava.

§ 34.　«Andmekogude riiklikus registris» registreerimata andmekogu registreerimine RIHA-s

(1) Enne käesoleva määruse jõustumist asutatud ja «Andmekogude riiklikus registris» registreerimata andmekogu vastutav töötleja peab koostama andmekogu dokumentatsiooni ning registreerima andmekogu RIHA-s 1. juuliks 2008. a. Semantilisi kirjeldusi puudutavad andmed ning §-s 27 nimetatud andmed tuleb RIHA-sse kanda hiljemalt 1. juuliks 2010. a. Andmekogu dokumentatsioon kooskõlastatakse ning andmekogu registreeritakse §-des 6–13 sätestatud korras.
[RT I 2009, 11, 68- jõust. 16.02.2009]

(2) Kui andmekogu vastutaval töötlejal ei ole põhjendatult võimalik koostada ja esitada andmekogu dokumentatsiooni RIHA-sse 1. juuliks 2008. a, esitab vastutav töötleja Majandus- ja Kommunikatsiooniministeeriumile hiljemalt 1. juuniks sellekohase taotluse ja andmekogu dokumentatsiooni koostamise ajakava.

(3) Andmekogu dokumentatsiooni koostamise pikendamist võib taotleda ka andmekogu suhtes, mis asutati pärast käesoleva määruse jõustumist, kuid mille arendamist alustati vähemalt üks aasta enne käesoleva määruse jõustumist.
[RT I 2009, 11, 68- jõust. 16.02.2009]

§ 35.　RIHA komponentide rakendamine

RIHA kasutajatoe süsteemi, mis hõlmab intsidendi- ja probleemihaldust, muudatuste halduse süsteemi ning monitooringusüsteemi, rakendatakse hiljemalt 1. juulil 2009. a. 

C-131/12. Gran Sala. Sobre el caso «Google vs AEPF» y el derecho al olvido.

EL TRIBUNAL DE JUSTICIA (Gran Sala),integrado por el Sr. V. Skouris, Presidente, el Sr. K. Lenaerts, Vicepresidente, los Sres. M. Ileaic (Ponente), L. Bay Larsen, T. von Danwitz y M. Safjan, Presidentes de Sala, y los Sres. J. Malenovský, E. Levits, A. Ó Caoimh y A. Arabadjiev y las Sras. M. Berger y A. Prechal y el Sr. E. Jaraaiunas, Jueces;

Abogado General: Sr. N. Jssskinen;

Secretaria: Sra. M. Ferreira, administradora principal;

habiendo considerado los escritos obrantes en autos y celebrada la vista el 26 de febrero de 2013;

consideradas las observaciones presentadas:

– en nombre de Google Spain, S.L., y Google Inc., por los Sres. F. González Díaz, J. Baño Fos y B. Holles, abogados;

– en nombre del Sr. Costeja González, por el Sr. J. Muñoz Rodríguez, abogado;

– en nombre del Gobierno español, por el Sr. A. Rubio González, en calidad de agente;

– en nombre del Gobierno helénico, por la Sra. E.-M. Mamouna y el Sr. K. Boskovits, en calidad de agentes;

– en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por el Sr. P. Gentili, avvocato dello Stato;

– en nombre del Gobierno austriaco, por el Sr. G. Kunnert y la Sra. C. Pesendorfer, en calidad de agentes;

– en nombre del Gobierno polaco, por los Sres. B. Majczyna y M. Szpunar, en calidad de agentes;

– en nombre de la Comisión Europea, por la Sra. I. Martínez del Peral y Sr. B. Martenczuk, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 25 de junio de 2013;

dicta la siguiente

Sentencia

1.- La petición de decisión prejudicial versa sobre la interpretación de los artículos 2, letras b) y d), 4, apartado 1, letras a) y c), 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31), y del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

2.- Esta petición se presentó en el marco de un litigio entre Google Spain, S.L. (en lo sucesivo, «Google Spain»), y Google Inc., por un lado, y la Agencia Española de Protección de Datos (en lo sucesivo, «AEPD») y el Sr. Costeja González, por otro, en relación con una resolución de dicha Agencia por la que se estimó la reclamación del Sr. Costeja González contra ambas sociedades y se ordenaba a Google Inc. que adoptara las medidas necesarias para retirar los datos personales del Sr. Costeja González de su índice e imposibilitara el acceso futuro a los mismos.

Marco jurídico

Derecho de la Unión

3.- La Directiva 95/46, que, según su artículo 1, tiene por objeto la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales y la eliminación de los obstáculos a la libre circulación de estos datos, enuncia lo siguiente en sus considerandos 2, 10, 18 a 20 y 25:

«(2) Considerando que los sistemas de tratamiento de datos están al servicio del hombre; que deben, cualquiera que sea la nacionalidad o la residencia de las personas físicas, respetar las libertades y derechos fundamentales de las personas físicas y, en particular, la intimidad, y contribuir […] al bienestar de los individuos;

[…]

(10) Considerando que las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales[,firmado en Roma el 4 de noviembre de 1950], así como en los principios generales del Derecho comunitario; que, por lo tanto, la aproximación de dichas legislaciones no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad;

[…]

(18) Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;

(19) Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;

(20) Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adoptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;

[…]

(25) Considerando que los principios de la protección tienen su expresión, por una parte, en las distintas obligaciones que incumben a las personas […] que efectúen tratamientos- obligaciones relativas, en particular, a la calidad de los datos, la seguridad técnica, la notificación a las autoridades de control y las circunstancias en las que se puede efectuar el tratamiento- y, por otra parte, en los derechos otorgados a las personas cuyos datos sean objeto de tratamiento de ser informadas acerca de dicho tratamiento, de poder acceder a los datos, de poder solicitar su rectificación o incluso de oponerse a su tratamiento en determinadas circunstancias».

4.- El artículo 2 de la Directiva 95/46 establece que «a efectos de [ésta], se entenderá por:

a) «datos personales»: toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social;

b) «tratamiento de datos personales» («tratamiento»): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;

[…]

d) «responsable del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario;

[…]»

5.- El artículo 3 de dicha Directiva, titulado «Ámbito de aplicación», precisa en su apartado 1:

«Las disposiciones de la presente Directiva se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.»

6.- El artículo 4 de la misma Directiva, titulado «Derecho nacional aplicable», dispone:

«1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:

a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;

b) el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;

c) el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea.

2. En el caso mencionado en la letra c) del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.»

7.- El artículo 6 de la Directiva 95/46, titulado «Principios relativos a la calidad de los datos», incluido en el capítulo II, sección I, de dicha Directiva, tiene el siguiente tenor:

«1. Los Estados miembros dispondrán que los datos personales sean:

a) tratados de manera leal y lícita;

b) recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines; no se considerará incompatible el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando los Estados miembros establezcan las garantías oportunas;

c) adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente;

d) exactos y, cuando sea necesario, actualizados; deberán tomarse todas las medidas razonables para que los datos inexactos o incompletos, con respecto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados;

e) conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente. Los Estados miembros establecerán las garantías apropiadas para los datos personales archivados por un período más largo del mencionado, con fines históricos, estadísticos o científicos.

2. Corresponderá a los responsables del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado 1.»

8.- El artículo 7 de la Directiva 95/46, titulado «Principios relativos a la legitimación del tratamiento de datos», incluido en el capítulo I, sección II, de esta Directiva, establece:

«Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

[…]

f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.»

9.- El artículo 9 de la mencionada Directiva, titulado «Tratamiento de datos personales y libertad de expresión», dispone:

«En lo referente al tratamiento de datos personales con fines exclusivamente periodísticos o de expresión artística o literaria, los Estados miembros establecerán, respecto de las disposiciones del presente capítulo, del capítulo IV y del capítulo VI, exenciones y excepciones sólo en la medida en que resulten necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión.»

10.- El artículo 12 de la misma Directiva, titulado «Derecho de acceso», establece:

«Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:

[…]

b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos;[…]»

11.- El artículo 14 de la Directiva 95/46, titulado «Derecho de oposición del interesado», dispone:

«Los Estados miembros reconocerán al interesado el derecho a:

a) oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos;

[…]»

12.- El artículo 28 de dicha Directiva, rubricado «Autoridad de control», tiene el siguiente tenor:

«1. Los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.

[…]

3. La autoridad de control dispondrá, en particular, de:

– poderes de investigación, como el derecho de acceder a los datos que sean objeto de un tratamiento y el de recabar toda la información necesaria para el cumplimiento de su misión de control;- poderes efectivos de intervención, como, por ejemplo, el de […] ordenar el bloqueo, la supresión o la destrucción de datos, o incluso prohibir provisional o definitivamente un tratamiento

[…]

– […]

Las decisiones de la autoridad de control lesivas de derechos podrán ser objeto de recurso jurisdiccional.

4. Toda autoridad de control entenderá de las solicitudes que cualquier persona, o cualquier asociación que la represente, le presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales. Esa persona será informada del curso dado a su solicitud.

[…]

6. Toda autoridad de control será competente, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado 3 del presente artículo. Dicha autoridad podrá ser instada a ejercer sus poderes por una autoridad de otro Estado miembro.

Las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones, en particular mediante el intercambio de información que estimen útil.

[…]»

Derecho español

13.- La Directiva 95/46 ha sido transpuesta en Derecho español por la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (BOE nº 298, de 14 de diciembre de 1999, p. 43088).

FUNDAMENTOS DE DERECHO　

Litigio principal y cuestiones prejudiciales

14.- El 5 de marzo de 2010, el Sr. Costeja González, de nacionalidad española y domiciliado en España, presentó ante la AEPD una reclamación contra La Vanguardia Ediciones, S.L., que publica un periódico de gran difusión, concretamente en Cataluña (en lo sucesivo, «La Vanguardia»), y contra Google Spain y Google Inc. Esta reclamación se basaba en que, cuando un internauta introducía el nombre del Sr. Costeja González en el motor de búsqueda de Google (en lo sucesivo, «Google Search»), obtenía como resultado vínculos hacia dos páginas del periódico La Vanguardia, del 19 de enero y del 9 de marzo de 1998, respectivamente, en las que figuraba un anuncio de una subasta de inmuebles relacionada con un embargo por deudas a la Seguridad Social, que mencionaba el nombre del Sr. Costeja González.

15.- Mediante esta reclamación, el Sr. Costeja González solicitaba, por un lado, que se exigiese a La Vanguardia eliminar o modificar la publicación para que no apareciesen sus datos personales, o utilizar las herramientas facilitadas por los motores de búsqueda para proteger estos datos. Por otro lado, solicitaba que se exigiese a Google Spain o a Google Inc. que eliminaran u ocultaran sus datos personales para que dejaran de incluirse en sus resultados de búsqueda y dejaran de estar ligados a los enlaces de La Vanguardia. En este marco, el Sr. Costeja González afirmaba que el embargo al que se vio sometido en su día estaba totalmente solucionado y resuelto desde hace años y carecía de relevancia actualmente.

16.- Mediante resolución de 30 de julio de 2010, la AEPD desestimó la reclamación en la medida en que se refería a La Vanguardia, al considerar que la publicación que ésta había llevado a cabo estaba legalmente justificada, dado que había tenido lugar por orden del Ministerio de Trabajo y Asuntos Sociales y tenía por objeto dar la máxima publicidad a la subasta para conseguir la mayor concurrencia de licitadores.

17.- En cambio, se estimó la misma reclamación en la medida en que se dirigía contra Google Spain y Google Inc. A este respecto, la AEPD consideró que quienes gestionan motores de búsqueda están sometidos a la normativa en materia de protección de datos, dado que llevan a cabo un tratamiento de datos del que son responsables y actúan como intermediarios de la sociedad de la información. La AEPD consideró que estaba facultada para ordenar la retirada e imposibilitar el acceso a determinados datos por parte de los gestores de motores de búsqueda cuando considere que su localización y difusión puede lesionar el derecho fundamental a la protección de datos y a la dignidad de la persona entendida en un sentido amplio, lo que incluye la mera voluntad del particular afectado cuando quiere que tales datos no sean conocidos por terceros. La AEPD estimó que este requerimiento puede dirigirse directamente a los explotadores de motores de búsqueda, sin suprimir los datos o la información de la página donde inicialmente está alojada e, incluso, cuando el mantenimiento de esta información en dicha página esté justificado por una norma legal.

18.- Google Spain y Google Inc. interpusieron sendos recursos contra dicha resolución ante la Audiencia Nacional, que decidió acumularlos.

19.- El mencionado tribunal expone en el auto de remisión que estos recursos plantean la cuestión de cuáles son las obligaciones que tienen los gestores de motores de búsqueda en la protección de datos personales de aquellos interesados que no desean que determinada información, publicada en páginas web de terceros, que contiene sus datos personales y permite relacionarles con la misma, sea localizada, indexada y sea puesta a disposición de los internautas de forma indefinida. Considera que la respuesta a esta cuestión depende del modo en que debe interpretarse la Directiva 95/46 en el marco de estas tecnologías, que han surgido después de su publicación.

20.- En estas circunstancias, la Audiencia Nacional decidió suspender el procedimiento y plantear al Tribunal de Justicia las cuestiones prejudiciales siguientes:

«1) ¿Por lo que respecta a la aplicación territorial de la Directiva [95/46] y, consiguientemente de la normativa española de protección de datos:

a) Debe interpretarse que existe un «establecimiento», en los términos descritos en el art. 4.1.a) de la [Directiva 95/46], cuando concurra alguno o algunos de los siguientes supuestos:

– cuando la empresa proveedora del motor de búsqueda crea en un Estado miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del buscador, que dirige su actividad a los habitantes del Estado, o

– cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa, o

– cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión Europea, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto al derecho de protección de datos, aun cuando dicha colaboración se realice de forma voluntaria?

b) ¿Debe interpretarse el art. 4.1.c de la [Directiva 95/46] en el sentido de que existe un «recurso a medios situados en el territorio de dicho Estado miembro»:

– cuando un buscador utilice arañas o robots para localizar e indexar la información contenida en páginas web ubicadas en servidores de ese Estado miembro o

– cuando utilice un nombre de dominio propio de un Estado miembro y dirija las búsquedas y los resultados en función del idioma de ese Estado miembro?

c) ¿Puede considerarse como un recurso a medios, en los términos del art. 4.1.c de la [Directiva 95/46], el almacenamiento temporal de la información indexada por los buscadores en internet?

Si la respuesta a esta última cuestión fuera afirmativa, ¿puede entenderse que este criterio de conexión concurre cuando la empresa se niega a revelar el lugar donde almacena estos índices alegando razones competitivas?

d) Con independencia de la respuesta a las preguntas anteriores y especialmente en el caso en que se considerase por el Tribunal de Justicia de la Unión que no concurren los criterios de conexión previstos en el art. 4 de la [Directiva 95/46]:

¿Debe aplicarse la [Directiva 95/46], a la luz del art. 8 de la [Carta], en el país miembro donde se localice el centro de gravedad del conflicto y sea posible una tutela más eficaz de los derechos de los ciudadanos de la Unión

[…]?

2) Por lo que respecta a la actividad de los buscadores como proveedor de contenidos en relación con la [Directiva 95/46]:

a) En relación con la actividad [de Google Search], como proveedor de contenidos, consistente en localizar la información publicada o incluida en la red por terceros, indexarla de forma automática, almacenarla temporalmente y finalmente ponerla a disposición de los internautas con un cierto orden de preferencia, cuando dicha información contenga datos personales de terceras personas, ¿Debe interpretarse una actividad como la descrita comprendida en el concepto de «tratamiento de datos», contenido en el art. 2.b de la [Directiva 95/46]?

b) En caso de que la respuesta anterior fuera afirmativa y siempre en relación con una actividad como la ya descrita:

¿Debe interpretarse el artículo 2.d) de la [Directiva 95/46], en el sentido de considerar que la empresa que gestiona [Google Search] es «responsable del tratamiento» de los datos personales contenidos en las páginas web que indexa?

c) En el caso de que la respuesta anterior fuera afirmativa:

¿Puede la [AEPD], tutelando los derechos contenidos en el art. 12.b) y 14.a) de la [Directiva 95/46], requerir directamente [a Google Search] para exigirle la retirada de sus índices de una información publicada por terceros, sin dirigirse previa o simultáneamente al titular de la página web en la que se ubica dicha información?

d) En el caso de que la respuesta a esta última pregunta fuera afirmativa:

¿Se excluiría la obligación de los buscadores de tutelar estos derechos cuando la información que contiene esos datos se haya publicado lícitamente por terceros y se mantenga en la página web de origen?

3) Respecto al alcance del derecho de cancelación y/oposición en relación con el derecho al olvido se plantea la siguiente pregunta:

¿Debe interpretarse que los derechos de supresión y bloqueo de los datos, regulados en el art. 12.b) y el de oposición, regulado en el art. 14.a) de la [Directiva 95/46] comprenden que el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona, publicada en páginas web de terceros, amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros?»

Sobre las cuestiones prejudiciales

Sobre la segunda cuestión prejudicial, letras a) y b), relativa al ámbito de aplicación material de la Directiva 95/46

21.- Mediante su segunda cuestión prejudicial, letras a) y b), que procede examinar en primer lugar, el tribunal remitente desea saber, en esencia, si el artículo 2, letra b), de la Directiva 95/46 debe examinarse en el sentido de que la actividad de un motor de búsqueda como proveedor de contenidos, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicha disposición, cuando esa información contiene datos personales. En el supuesto de que se responda afirmativamente a esa cuestión, el tribunal remitente desea saber, además, si la letra d) del mencionado artículo 2 debe interpretarse en el sentido de que el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento de datos personales, en el sentido de esa disposición.

22.- Según Google Spain y Google Inc., la actividad de los motores de búsqueda no puede considerarse tratamiento de los datos que se muestran en las páginas web de terceros que presenta la lista de resultados de la búsqueda, dado que estos motores tratan la información accesible en Internet globalmente sin seleccionar entre datos personales y el resto de información. En su opinión, además, aun suponiendo que esta actividad deba ser calificada de «tratamiento de datos», el gestor de un motor de búsqueda no puede considerarse «responsable» de ese tratamiento, ya que no conoce dichos datos y no ejerce control sobre ellos.

23.- En cambio, el Sr. Costeja González, los Gobiernos español, italiano austriaco y polaco y la Comisión Europea sostienen que dicha actividad implica claramente un «tratamiento de datos», en el sentido de la Directiva 95/46, que es distinto del tratamiento de datos realizado por los editores de los sitios de Internet y persigue objetivos distintos al de éste. A su juicio, el gestor de un motor de búsqueda es «responsable» del tratamiento de datos efectuado por él desde el momento en que es él quien determina la finalidad y los medios de dicho tratamiento.

24.- Según el Gobierno helénico, la actividad controvertida constituye tal «tratamiento», pero, en la medida en que los motores de búsqueda sirven de simples intermediarios, las empresas que los gestionan no pueden considerarse «responsables», salvo en los casos en los que almacenan datos en una «memoria intermedia» o una «memoria oculta» por un período de tiempo que supere lo técnicamente necesario.

25.- A este respecto, ha de señalarse que el artículo 2, letra b), de la Directiva 95/46 define el «tratamiento de datos personales» como «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción».

26.- En lo que atañe, en particular, a Internet, el Tribunal de Justicia ya ha tenido ocasión de declarar que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un «tratamiento» de esta índole, en el sentido del artículo 2, letra b), de la Directiva 95/46 (véase la sentencia Lindqvist, C-101/01, EU:C:2003:596, apartado 25).

27.- En cuanto a la actividad controvertida en el litigio principal, no se discute que entre los datos hallados, indexados, almacenados por los motores de búsqueda y puestos a disposición de sus usuarios figura también información relativa a personas físicas identificadas o identificables y, por tanto, «datos personales» en el sentido del artículo 2, letra a), de dicha Directiva.

28.- Por consiguiente, debe declararse que, al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en el marco de sus programas de indexación, «conserva» en sus servidores y, en su caso, «comunica» y «facilita el acceso» a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46, deben calificarse de «tratamiento» en el sentido de dicha disposición, sin que sea relevante que el gestor del motor de búsqueda también realice las mismas operaciones con otros tipos de información y no distinga entre éstos y los datos personales.

29.- Tampoco contradice la apreciación anterior el hecho de que estos datos hayan sido ya objeto de publicación en Internet y dicho motor de búsqueda no los modifique.

30.- De este modo, el Tribunal de Justicia ya ha declarado que las operaciones a las que se refiere el artículo 2, letra b), de la Directiva 95/46 deben calificarse de tal tratamiento también en el supuesto de que se refieran únicamente a información ya publicada tal cual en los medios de comunicación. En efecto, señaló a este respecto que una excepción general a la aplicación de la Directiva 95/46 en tal supuesto dejaría esta última en gran medida vacía de contenido (véase, en este sentido, la sentencia Satakunnan Markkinapörssi y Satamedia, C-73/07, EU:C:2008:727, apartados 48 y 49).

31.- Además, se desprende de la definición contenida en el artículo 2, letra b), de la Directiva 95/46 que, aunque la modificación de datos personales constituye, ciertamente, un tratamiento, en el sentido de ésta, en cambio el resto de operaciones que se mencionan en ella no precisan en modo alguno de que estos datos se modifiquen.

32.- En cuanto a si el gestor de un motor de búsqueda debe o no considerarse «responsable del tratamiento» de los datos personales efectuado por dicho motor en el marco de una actividad como la controvertida en el litigio principal, debe recordarse que el artículo 2, letra d), de la Directiva 95/46 define al responsable como «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales».

33.- Ahora bien, el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa él mismo en el marco de ésta y, por consiguiente, debe considerarse «responsable» de dicho tratamiento en virtud del mencionado artículo 2, letra d).

34.- Por otro lado, es necesario declarar que sería contrario, no sólo al claro tenor de esta disposición sino también a su objetivo, consistente en garantizar, mediante una definición amplia del concepto de «responsable», una protección eficaz y completa de los interesados, excluir de esta disposición al gestor de un motor de búsqueda debido a que no ejerce control sobre los datos personales publicados en las páginas web de terceros.

35.- Sobre este particular, procede poner de manifiesto que el tratamiento de datos personales llevado a cabo en el marco de la actividad de un motor de búsqueda se distingue del efectuado por los editores de sitios de Internet, que consiste en hacer figurar esos datos en una página en Internet, y se añade a él.

36.- Además, es pacífico que esta actividad de los motores de búsqueda desempeña un papel decisivo en la difusión global de dichos datos en la medida en que facilita su acceso a todo internauta que lleva a cabo una búsqueda a partir del nombre del interesado, incluidos los internautas que, de no ser así, no habrían encontrado la página web en la que se publican estos mismos datos.

37.- Además, la organización y la agregación de la información publicada en Internet efectuada por los motores de búsqueda para facilitar a sus usuarios el acceso a ella puede conducir, cuando la búsqueda de los usuarios se lleva a cabo a partir del nombre de una persona física, a que éstos obtengan mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet que les permita establecer un perfil más o menos detallado del interesado.

38.- En consecuencia, en la medida en que la actividad de un motor de búsqueda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet, a los derechos fundamentales de respeto de la vida privada y de protección de datos personales, el gestor de este motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada.

39.- Por último, el que los editores de sitios de Internet tengan la facultad de indicar a los gestores de los motores de búsqueda, con la ayuda, concretamente, de protocolos de exclusión como «robot.txt», o de códigos como «noindex» o «noarchive», que desean que una información determinada, publicada en su sitio, sea excluida total o parcialmente de los índices automáticos de los motores, no significa que la falta de tal indicación por parte de estos editores libere al gestor de un motor de búsqueda de su responsabilidad por el tratamiento de datos personales que lleva a cabo en el marco de la actividad de dicho motor.

40.- En efecto, esta circunstancia no modifica el hecho de que el gestor determina los fines y los medios de este tratamiento. Además, aun suponiendo que dicha facultad de los editores de sitios de Internet signifique que éstos determinen conjuntamente con dicho gestor los medios del mencionado tratamiento, tal afirmación no elimina en modo alguno la responsabilidad del gestor, ya que el artículo 2, letra d), de la Directiva 95/46 prevé expresamente que esta determinación puede realizarse «sólo o conjuntamente con otros».

41.- Del conjunto de las consideraciones precedentes se desprende que procede responder a la segunda cuestión prejudicial, letras a) y b), que el artículo 2, letras b) y d), de la Directiva 95/46 debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).Sobre la primera cuestión prejudicial, letras a) a d), relativas al ámbito de aplicación territorial de la Directiva 95/46.

42.- Mediante su primera cuestión prejudicial, letras a) a d), el tribunal remitente desea que se aclare si es posible aplicar la norma nacional que traspone la Directiva 95/46 en circunstancias como las controvertidas en el litigio principal.

43.- En este marco, el tribunal remitente considera acreditados los siguientes antecedentes:

– Google Search se presta a nivel mundial a través del sitio de Internet «www.google.com». En muchos países existen versiones locales adaptadas al idioma nacional. La versión española de Google Search se presta a través del sitio www.google.es, dominio que tiene registrado desde el 16 de septiembre de 2003. Google Search es uno de los motores de búsqueda más utilizados en España.

– Google Inc. (empresa matriz del grupo Google), con domicilio en los Estados Unidos, gestiona Google Search.- Google Search indexa páginas web de todo el mundo, incluyendo páginas web ubicadas en España. La información indexada por sus «arañas» o robots de indexación, es decir, programas informáticos utilizados para rastrear y realizar un barrido del contenido de páginas web de manera metódica y automatizada, se almacena temporalmente en servidores cuyo Estado de ubicación se desconoce, ya que este dato es secreto por razones competitivas.

– Google Search no sólo facilita el acceso a los contenidos alojados en las páginas web indexadas, sino que también aprovecha esta actividad para incluir publicidad asociada a los patrones de búsqueda introducidos por los internautas, contratada, a cambio de un precio, por las empresas que desean utilizar esta herramienta para ofrecer sus bienes o servicios a éstos.

– El grupo Google utiliza una empresa filial, Google Spain, como agente promotor de venta de los espacios publicitarios que se generan en el sitio de Internet «www.google.com». Google Spain tiene personalidad jurídica propia y domicilio social en Madrid, y fue creada el 3 de septiembre de 2003. Dicha empresa dirige su actividad fundamentalmente a las empresas radicadas en España, actuando como agente comercial del grupo en dicho Estado miembro. Tiene como objeto social promocionar, facilitar y procurar la venta de productos y servicios de publicidad «on line» a través de Internet para terceros, así como la comercialización de esta publicidad.

– Google Inc. designó a Google Spain como responsable del tratamiento en España de dos ficheros inscritos por Google Inc. ante la AEPD; el objeto de tales ficheros era almacenar los datos de las personas relacionadas con los clientes de servicios publicitarios que en su día contrataron con Google Inc.

44.- Concretamente, el tribunal remitente se pregunta, con carácter principal, sobre el concepto de «establecimiento», en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46, y sobre el de «recurso a medios situados en el territorio de dicho Estado miembro», en el sentido del mencionado artículo 4, apartado 1, letra c).Primera cuestión prejudicial, letra a)

45.- Mediante su primera cuestión prejudicial, letra a), el tribunal remitente desea saber, en esencia, si el artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando se cumplen uno o varios de los tres requisitos siguientes:

– cuando la empresa proveedora del motor de búsqueda crea en un Estado miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del motor, que dirige su actividad a los habitantes de ese Estado, o

– cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa, o

– cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto al derecho de protección de datos personales, aun cuando dicha colaboración se realice de forma voluntaria.

46.- Por lo que respecta al primer requisito, el tribunal remitente señala que Google Inc. gestiona técnica y administrativamente Google Search y que no está probado que Google Spain realice en España una actividad directamente vinculada a la indexación o al almacenamiento de información o de datos contenidos en los sitios de Internet de terceros. Sin embargo, la actividad de promoción y venta de espacios publicitarios, de la que Google Spain es responsable para España, constituye la parte esencial de la actividad comercial del grupo Google y puede considerarse que está estrechamente vinculada a Google Search.

47.- El Sr. Costeja González, los Gobiernos español, italiano, austriaco y polaco y la Comisión consideran que, habida cuenta del vínculo indisociable entre la actividad del motor de búsqueda gestionado por Google Inc. y la de Google Spain, ésta debe considerarse un establecimiento de aquélla, en el marco de cuyas actividades se lleva a cabo el tratamiento de datos personales. En cambio, según Google Spain, Google Inc. y el Gobierno helénico, el artículo 4, apartado 1, letra a), de la Directiva 95/46 no se aplica en el supuesto de que se esté ante el primero de los tres requisitos enumerados por el tribunal remitente.

48.- Sobre este particular, procede recordar, en primer lugar, que el considerando 19 de la Directiva aclara que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», y «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante».

49.-  Pues bien, no se discute que Google Spain se dedica al ejercicio efectivo y real de una actividad mediante una instalación estable en España. Además, al estar dotada de personalidad jurídica propia, es de este modo una filial de Google Inc. en territorio español, y, por lo tanto, un «establecimiento», en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46.

50.- Para cumplir el requisito establecido en dicha disposición, es necesario además que el tratamiento de datos personales por parte del responsable del tratamiento se «lleve a cabo en el marco de las actividades» de un establecimiento de dicho responsable situado en territorio de un Estado miembro.

51.- Google Spain y Google Inc. niegan que éste sea el caso, dado que el tratamiento de datos personales controvertido en el litigio principal lo lleva a cabo exclusivamente Google Inc., que gestiona Google Search sin ninguna intervención por parte de Google Spain, cuya actividad se limita a prestar apoyo a la actividad publicitaria del grupo Google, que es distinta de su servicio de motor de búsqueda.

52.- No obstante, como subrayaron, en particular, el Gobierno español y la Comisión, el artículo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las actividades» de éste.

53.- Además, visto el objetivo de la Directiva 95/46 de garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, ésta expresión no puede ser objeto de una interpretación restrictiva (véase, por analogía, la sentencia L’Oréal y otros, C-324/09, EU:C:2011:474, apartados 62 y 63).

54.- En este marco, cabe señalar que se desprende, concretamente de los considerandos 18 a 20 y del artículo 4 de la Directiva 95/46, que el legislador de la Unión pretendió evitar que una persona se viera excluida de la protección garantizada por ella y que se eludiera esta protección, estableciendo un ámbito de aplicación territorial particularmente extenso.

55.- Habida cuenta de este objetivo de la Directiva 95/46 y del tenor de su artículo 4, apartado 1, letra a), procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa «en el marco de las actividades» de dicho establecimiento si éste está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor.

56.- En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades.

57.- Sobre este particular, es necesario recordar que, como se ha precisado en los apartados 26 a 28 de la presente sentencia, la propia presentación de datos personales en una página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español.

58.- En tales circunstancias, no se puede aceptar que el tratamiento de datos personales llevado a cabo para el funcionamiento del mencionado motor de búsqueda se sustraiga a las obligaciones y a las garantías previstas por la Directiva 95/46, lo que menoscabaría su efecto útil y la protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas que tiene por objeto garantizar (véase, por analogía, la sentencia L’Oréal y otros, EU:C:2011:474, apartados 62 y 63), en particular, el respeto de su vida privada en lo que respecta al tratamiento de datos personales, al que esta Directiva concede una importancia especial, como confirman, concretamente, su artículo 1, apartado 1, y sus considerandos 2 y 10 (véanse, en este sentido, las sentencias Österreichischer Rundfunk y otros, C-465/00, C-138/01 y C-139/01, EU:C:2003:294, apartado 70; Rijkeboer, C-553/07, EU:C:2009:293, apartado 47, e IPI, C-473/12, EU:C:2013:715, apartado 28 y jurisprudencia citada).

59.- En la medida en que el primero de los tres requisitos enumerados por el tribunal remitente basta por sí mismo para concluir que un establecimiento como Google Spain cumple el criterio recogido en el artículo 4, apartado 1, letra a), de la Directiva 95/46, no es necesario examinar los otros dos requisitos.

60.- De lo anterior se deduce que procede responder a la primera cuestión prejudicial, letra a), que el artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.

Primera cuestión prejudicial, letras b) a d).

61.- En vista de la respuesta dada a la primera cuestión prejudicial, letra a), no es preciso contestar a la primera cuestión, letras b) a d).Sobre la segunda cuestión prejudicial, letras c) y d), relativa al alcance de la responsabilidad del gestor de un motor de búsqueda en virtud de la Directiva 95/46.

62.- Mediante su segunda cuestión prejudicial, letras c) y d), el tribunal remitente desea saber, en esencia, si los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en sí misma en dichas páginas sea lícita.

63.- Google Spain y Google Inc. consideran que, en virtud del principio de proporcionalidad, cualquier solicitud que tenga por objeto que se elimine información debe dirigirse al editor del sitio de Internet de que se trate, ya que éste es quien asume la responsabilidad de publicar la información, quien puede examinar la licitud de esta publicación y quien dispone de los medios más eficaces y menos restrictivos para hacer que esa información sea inaccesible. Además, consideran que imponer al gestor de un motor de búsqueda que retire de sus índices información publicada en Internet no tiene suficientemente en cuenta los derechos fundamentales de los editores de sitios de Internet, del resto de los internautas y del propio gestor.

64.- Según el gobierno austriaco, una autoridad de control nacional únicamente puede ordenar a tal gestor que borre de sus ficheros información publicada por terceros si anteriormente se ha declarado la ilegalidad o la inexactitud de los datos controvertidos o si el interesado ha ejercido con éxito su derecho de oposición ante el editor del sitio de Internet en el que se ha publicado la información.

65.- El Sr. Costeja González, los Gobiernos español, italiano y polaco y la Comisión consideran que la autoridad nacional puede ordenar directamente al gestor de un motor de búsqueda que retire de sus índices y de su memoria intermedia información que contiene datos personales publicada por terceros, sin dirigirse previa o simultáneamente al editor de la página web en la que se ubica dicha información. Además, a juicio del Sr. Costeja González, de los Gobiernos español e italiano y de la Comisión, el que dicha información se publicara de forma lícita y que siga figurando en la página web de origen carece de relevancia sobre las obligaciones de dicho gestor con arreglo a la Directiva 95/46. En cambio, para el Gobierno polaco, este hecho le libera de sus obligaciones.

66.- Con carácter previo, procede recordar que, como se desprende de su artículo 1 y de su considerando 10, la Directiva 95/46 tiene por objeto garantizar un nivel elevado de protección de las libertades y los derechos fundamentales de las personas físicas, sobre todo de su vida privada, en relación con el tratamiento de datos personales (véase, en este sentido, la sentencia IPI, EU:C:2013:715, apartado 28).

67.- Según el considerando 25 de la Directiva 95/46, los principios de la protección que ésta establece tienen su expresión, por una parte, en las distintas obligaciones que incumben a las personas que efectúen tratamientos -obligaciones relativas, en particular, a la calidad de los datos, la seguridad técnica, la notificación a las autoridades de control y las circunstancias en las que se puede efectuar el tratamiento-, y, por otra parte, en los derechos otorgados a las personas cuyos datos sean objeto de tratamiento de ser informadas acerca de dicho tratamiento, de poder acceder a los datos, de poder solicitar su rectificación o incluso de oponerse a su tratamiento en determinadas circunstancias.

68.- El Tribunal de Justicia ya ha declarado que las disposiciones de la Directiva 95/46, en la medida en que regulan el tratamiento de datos personales que pueden atentar contra las libertades fundamentales y, en particular, contra el derecho a la intimidad, deben ser interpretadas a la luz de los derechos fundamentales que, según reiterada jurisprudencia, forman parte de los principios generales del Derecho cuyo respeto garantiza el Tribunal de Justicia y que están actualmente recogidos en la Carta (véanse, en particular, las sentencias Connolly/Comisión, C-274/99 P, EU:C:2001:127, apartado 37, y Österreichischer Rundfunk y otros, EU:C:2003:294, apartado 68).

69.- De este modo, el artículo 7 de la Carta garantiza el respecto de la vida privada, mientras que el artículo 8 de la Carta proclama expresamente el derecho a la protección de los datos personales. Los apartados 2 y 3 de este último precisan que estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley, que toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación y que el respeto de estas normas estará sujeto al control de una autoridad independiente. Aplican estos requisitos, en particular, los artículos 6, 7, 12, 14 y 28 de la Directiva 95/46.

70.- En relación con el artículo 12, letra b), de la Directiva 95/46, éste dispone que los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento, en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos. Esta última aclaración, relativa al supuesto del incumplimiento de algunos requisitos recogidos en el artículo 6, apartado 1, letra d), de la Directiva 95/46, tiene carácter de ejemplo y no es taxativa, de lo que se desprende que la falta de conformidad del tratamiento, que puede ofrecer al interesado el derecho garantizado por el artículo 12, letra b), de dicha Directiva, puede también derivarse del incumplimiento de otros requisitos de legalidad impuestos por ésta al tratamiento de datos personales.

71.- Sobre este particular, procede recordar que, no obstante las excepciones admitidas al amparo del artículo 13 de la Directiva 95/46, todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos a la calidad de los datos, enunciados en el artículo 6 de dicha Directiva, y, por otra, con alguno de los principios relativos a la legitimación del tratamiento de datos, enumerados en el artículo 7 de la Directiva (véanse las sentencias Österreichischer Rundfunk y otros, EU:C:2003:294, apartado 65; ASNEF y FECEMD, C-468/10 y C-469/10, EU:C:2011:777, apartado 26, y Worten, C-342/12, EU:C:2013:355, apartado 33).

72.- A tenor de este artículo 6 y sin perjuicio de las disposiciones específicas que los Estados miembros puedan establecer para el tratamiento con fines históricos, estadísticos o científicos, incumbe al responsable del tratamiento garantizar que los datos personales sean «tratados de manera leal y lícita», que sean «recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines», que sean «adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente», que sean «exactos y, cuando sea necesario, actualizados», y, por último, que sean «conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente». En este marco, el mencionado responsable debe adoptar todas las medidas razonables para que los datos que no responden a los requisitos de esta disposición sean suprimidos o rectificados.

73.- En cuanto a la legitimación, en virtud del artículo 7 de la Directiva 95/46, de un tratamiento como el controvertido en el litigio principal efectuado por el gestor de un motor de búsqueda, éste puede estar incluido en la razón recogida en dicho artículo 7, letra f).

74.- Esta disposición permite el tratamiento de datos personales cuando es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado, en particular, su derecho al respeto de su vida privada, en lo que respecta al tratamiento de datos personales, que requieran protección con arreglo al apartado 1 del artículo 1 de la Directiva. De este modo, la aplicación del mencionado artículo 7, letra f), precisa de una ponderación de los derechos e intereses en liza de que se trate, en cuyo marco debe tenerse en cuenta la importancia de los derechos del interesado, que resulta de los artículos 7 y 8 de la Carta (véase la sentencia ASNEF y FECEMD, EU:C:2011:777, apartados 38 y 40).

75.- Aunque la conformidad del tratamiento con los artículos 6 y 7, letra f), de la Directiva 95/46 puede comprobarse en el marco de una solicitud, en el sentido del artículo 12, letra b), de esta Directiva, el interesado puede además invocar en determinados supuestos el derecho de oposición previsto en el artículo 14, párrafo primero, letra a), de ésta.

76.- Según dicho artículo 14, párrafo primero, letra a), los Estados miembros reconocerán al interesado el derecho a oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7 de la Directiva 95/46, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. La ponderación que ha de efectuarse en el marco de dicho artículo 14, párrafo primero, letra a), permite así tener en cuenta de modo más específico todas las circunstancias que rodean a la situación concreta del interesado. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos.

77.- El interesado puede dirigir las solicitudes con arreglo a los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 directamente al responsable del tratamiento, que debe entonces examinar debidamente su fundamento y, en su caso, poner fin al tratamiento de los datos controvertidos. Cuando el responsable del tratamiento no accede a las solicitudes, el interesado puede acudir a la autoridad de control o a los tribunales para que éstos lleven a cabo las comprobaciones necesarias y ordenen a dicho gestor las medidas precisas en consecuencia.

78.- A este respecto, procede recordar que se deriva del artículo 28, apartados 3 y 4, de la Directiva 95/46 que toda autoridad de control entenderá de las solicitudes de cualquier persona relativas a la protección de sus derechos y libertades en relación con el tratamiento de datos personales y que dispone de poderes de investigación y de poderes efectivos de intervención, que le permiten, en particular, ordenar el bloqueo, la supresión o la destrucción de datos, o prohibir provisional o definitivamente un tratamiento.

79.- Deben interpretarse y aplicarse a la luz de estas consideraciones las disposiciones de la Directiva 95/46 que regulan los derechos del interesado cuando la autoridad de control o los tribunales conocen de una solicitud como la controvertida en el litigio principal.

80.- A este respecto, debe señalarse, en primer lugar, que, como se ha afirmado en los apartados 36 a 38 de la presente sentencia, un tratamiento de datos personales como el controvertido en el litigio principal, efectuado por el gestor de un motor de búsqueda, puede afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección de datos personales cuando la búsqueda realizada sirviéndose de ese motor de búsqueda se lleva a cabo a partir del nombre de una persona física, toda vez que dicho tratamiento permite a cualquier internauta obtener mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet, que afecta potencialmente a una multitud de aspectos de su vida privada, que, sin dicho motor, no se habrían interconectado o sólo podrían haberlo sido muy difícilmente y que le permite de este modo establecer un perfil más o menos detallado de la persona de que se trate. Además, el efecto de la injerencia en dichos derechos del interesado se multiplica debido al importante papel que desempeñan Internet y los motores de búsqueda en la sociedad moderna, que confieren a la información contenida en tal lista de resultados carácter ubicuo (véase, en este sentido, la sentencia eDate Advertising y otros, C-509/09 y C-161/10, EU:C:2011:685, apartado 45).

81.- Vista la gravedad potencial de esta injerencia, es obligado declarar que el mero interés económico del gestor de tal motor en este tratamiento no la justifica. Sin embargo, en la medida en que la supresión de vínculos de la lista de resultados podría, en función de la información de que se trate, tener repercusiones en el interés legítimo de los internautas potencialmente interesados en tener acceso a la información en cuestión, es preciso buscar, en situaciones como las del litigio principal, un justo equilibrio, en particular entre este interés y los derechos fundamentales de la persona afectada con arreglo a los artículos 7 y 8 de la Carta. Aunque, ciertamente, los derechos de esa persona protegidos por dichos artículos prevalecen igualmente, con carácter general, sobre el mencionado interés de los internautas, no obstante este equilibrio puede depender, en supuestos específicos, de la naturaleza de la información de que se trate y del carácter sensible para la vida privada de la persona afectada y del interés del público en disponer de esta información, que puede variar, en particular, en función del papel que esta persona desempeñe en la vida pública.

82.- Como resultado del examen de los requisitos de aplicación de los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46, que se ha de realizar cuando conocen de una solicitud como la controvertida en el litigio principal, la autoridad de control o el órgano jurisdiccional pueden ordenar a dicho gestor eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, sin que una orden en dicho sentido presuponga que ese nombre o esa información sean, con la conformidad plena del editor o por orden de una de estas autoridades, eliminados con carácter previo o simultáneamente de la página web en la que han sido publicados.

83.- En efecto, como se ha afirmado en los puntos 35 a 38 de la presente sentencia, en la medida en que el tratamiento de datos personales llevado a cabo en la actividad de un motor de búsqueda se distingue del efectuado por los editores de sitios de Internet y se añade a éste y afecta de modo adicional a los derechos fundamentales del interesado, el gestor de este motor, como responsable del tratamiento, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicho tratamiento cumple los requisitos de la Directiva 95/46, para que las garantías que ella establece puedan tener pleno efecto.

84.- A este respecto, cabe señalar que, habida cuenta de la facilidad con que la información publicada en un sitio de Internet puede ser copiada en otros sitios y de que los responsables de su publicación no están siempre sujetos al Derecho de la Unión, no podría llevarse a cabo una protección eficaz y completa de los interesados si éstos debieran obtener con carácter previo o en paralelo la eliminación de la información que les afecta de los editores de sitios de Internet.

85.- Además, el tratamiento por parte del editor de una página web, que consiste en la publicación de información relativa a una persona física, puede, en su caso, efectuarse «con fines exclusivamente periodísticos» y beneficiarse, de este modo, en virtud del artículo 9 de la Directiva 95/46, de las excepciones a los requisitos que ésta establece, mientras que ése no es el caso en el supuesto del tratamiento que lleva a cabo el gestor de un motor de búsqueda. De este modo, no puede excluirse que el interesado pueda en determinadas circunstancias ejercer los derechos recogidos en los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 contra el gestor, pero no contra el editor de dicha página web.

86.- Por último, debe observarse que no sólo la razón que justifica, en virtud del artículo 7 de la Directiva 95/46, la publicación de un dato personal en un sitio de Internet no coincide forzosamente con la que se aplica a la actividad de los motores de búsqueda, sino que, aun cuando éste sea el caso, el resultado de la ponderación de los intereses en conflicto que ha de llevarse a cabo en virtud de los artículos 7, letra f), y 14, párrafo primero, letra a), de la mencionada Directiva puede divergir en función de que se trate de un tratamiento llevado a cabo por un gestor de un motor de búsqueda o por el editor de esta página web, dado que, por un lado, los intereses legítimos que justifican estos tratamientos pueden ser diferentes, y, por otro, las consecuencias de estos tratamientos sobre el interesado, y, en particular, sobre su vida privada, no son necesariamente las mismas.

87.- En efecto, en la medida en que la inclusión, en la lista de resultados obtenida tras una búsqueda llevada a cabo a partir del nombre de una persona, de una página web y de información contenida en ella relativa a esta persona facilita sensiblemente la accesibilidad de dicha información a cualquier internauta que lleve a cabo una búsqueda sobre el interesado y puede desempeñar un papel decisivo para la difusión de esta información, puede constituir una injerencia mayor en el derecho fundamental al respeto de la vida privada del interesado que la publicación por el editor de esta página web.

88.- A la luz del conjunto de consideraciones precedentes procede responder a la segunda cuestión prejudicial, letras c) y d), que los artículos 12, letra b) y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.

Sobre la tercera cuestión prejudicial, relativa al alcance de los derechos del interesado garantizados por la Directiva 95/46.

89.- Mediante su tercera cuestión prejudicial, el tribunal remitente desea saber, en esencia, si los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que permiten al interesado exigir al gestor de un motor de búsqueda eliminar de la lista de resultados obtenida como consecuencia de una búsqueda efectuada a partir de su nombre vínculos a páginas web, publicadas legalmente por terceros y que contienen datos e información verídicos relativos a su persona, debido a que estos datos e información pueden perjudicarle o que desee que estos datos e información se «olviden» tras un determinado lapso de tiempo.

90.- Google Spain, Google Inc., los Gobiernos helénico, austriaco y polaco y la Comisión consideran que debe darse una respuesta negativa a esta cuestión. Google Spain, Google Inc., el Gobierno polaco y la Comisión alegan a este respecto que los artículos 12, letra b) y 14, párrafo primero, letra a), de la Directiva 95/46 confieren derechos a los interesados únicamente a condición de que el tratamiento controvertido sea incompatible con dicha Directiva o por razones legítimas propias de su situación particular, y no por la mera razón de que consideren que este tratamiento puede perjudicarles o deseen que los datos objeto de ese tratamiento caigan en el olvido. Los Gobiernos helénico y austriaco consideran que el interesado debe dirigirse al editor del sitio de Internet de que se trate.

91.- El Sr. Costeja González y los Gobiernos español e italiano son de la opinión de que el interesado puede oponerse a la indexación de sus datos personales por un motor de búsqueda cuando la difusión de estos datos por la intermediación de éste le perjudica y de que sus derechos fundamentales a la protección de dichos datos y de respeto a la vida privada, que engloban el «derecho al olvido», prevalecen sobre los intereses legítimos del gestor de dicho motor y el interés general en la libertad de información.

92.- En relación con el artículo 12, letra b), de la Directiva 95/46, cuya aplicación está sometida al requisito de que el tratamiento de datos personales sea incompatible con dicha Directiva, es necesario recordar que, como se ha señalado en el apartado 72 de la presente sentencia, tal incompatibilidad puede resultar no sólo de que los datos sean inexactos, sino en particular, de que sean inadecuados, no pertinentes y excesivos en relación con los fines del tratamiento, de que no estén actualizados o de que se conserven durante un período superior al necesario, a menos que se imponga su conservación por fines históricos, estadísticos o científicos.

93.- Se deduce de estos requisitos, establecidos en el artículo 6, apartado 1, letras c) a e), de la Directiva 95/46, que incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Éste es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido.

94.- Por consiguiente, en el supuesto en el que se aprecie, tras una solicitud del interesado en virtud del artículo 12, letra b), de la Directiva 95/46, que la inclusión en la lista de resultados obtenida como consecuencia de una búsqueda efectuada a partir de su nombre, de vínculos a páginas web, publicadas legalmente por terceros y que contienen datos e información verídicos relativos a su persona, es, en la situación actual, incompatible con dicho artículo 6, apartado 1, letras c) a e), debido a que esta información, habida cuenta del conjunto de las circunstancias que caracterizan el caso de autos, es inadecuada, no es pertinente, o ya no lo es, o es excesiva en relación con los fines del tratamiento en cuestión realizado por el motor de búsqueda, la información y los vínculos de dicha lista de que se trate deben eliminarse.

95.- En lo que atañe a las solicitudes en el sentido de este artículo 12, letra b), basadas en el supuesto incumplimiento de los requisitos establecidos en el artículo 7, letra f), de la Directiva 95/46 y con arreglo al artículo 14, párrafo primero, letra a), de dicha Directiva, ha de señalarse que cada tratamiento de datos personales debe ser legítimo, en virtud del artículo 7, durante todo el período en el que se efectúa.

96.- Visto lo que antecede, al apreciar tales solicitudes presentadas contra un tratamiento como el controvertido en el litigio principal, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre. A este respecto, cabe señalar que la apreciación de la existencia de tal derecho no presupone que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado.

97.- Ya que el interesado puede, habida cuenta de sus derechos con arreglo a los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, es necesario considerar, como se desprende, en particular, del apartado 81 de la presente sentencia, que estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en encontrar la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el mencionado interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.

98.- En relación con una situación como la del litigio principal, que se refiere a la presentación, en la lista de resultados que el internauta obtiene al efectuar una búsqueda a partir del nombre del interesado con ayuda de Google Search, de vínculos a dos páginas de archivos en línea de un periódico que contienen anuncios que mencionan el nombre de esta persona y relativos a una subasta inmobiliaria vinculada a un embargo por deudas a la Seguridad Social, es preciso considerar que, teniendo en cuenta el carácter sensible de la información contenida en dichos anuncios para la vida privada de esta persona y de que su publicación inicial se remonta a 16 años atrás, el interesado justifica que tiene derecho a que esta información ya no se vincule a su nombre mediante esa lista. Por tanto, en la medida en que en el caso de autos no parece existir razones concretas que justifiquen un interés preponderante del público en tener acceso a esta información en el marco de tal búsqueda, lo que no obstante incumbe comprobar al órgano jurisdiccional remitente, el interesado puede, en virtud de los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46, exigir que se eliminen estos vínculos de la lista de resultados.

99.- De las consideraciones anteriores se desprende que procede responder a la tercera cuestión prejudicial que los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados, obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.

Costas

100.- Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados al presentar observaciones ante el Tribunal de Justicia, distintos de aquellos en que hayan incurrido dichas partes, no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) declara:

FALLAMOS　

1) El artículo 2, letras b) y d), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).

2) El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.

3) Los artículos 12, letra b) y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.

4) Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.

Firmas

ACÓRDÃO

Vistos, relatados e discutidos os autos.

Acordam os Desembargadores integrantes da Nona Câmara Cível do Tribunal de Justiça do Estado, à unanimidade, em negar provimento ao recurso.

Custas na forma da lei.

Participaram do julgamento, além da signatária, os eminentes Senhores Des.ª Iris Helena Medeiros Nogueira (Presidente) e Des. Tasso Caubi Soares Delabary.

Porto Alegre, 10 de outubro de 2012.

DESA. MARILENE BONZANINI,

Relatora.

RELATÓRIO

Desa. Marilene Bonzanini (RELATORA)

Adoto, de saída, o relatório da sentença:

O dispositivo da decisão foi lançado nos seguintes termos:

Inconformada, a parte autora interpôs recurso de apelação, requerendo a reforma integral da decisão de primeiro grau, com julgamento de total procedência do pedido. Afirmou que o computador fazia parte do instrumento de trabalho dos funcionários da ré, e que a mesma confessou que não tinha nenhum tipo de controle sobre os acessos realizados. Asseverou se aplicar ao caso as disposições do CDC. Teceu considerações acerca dos profundos danos morais sofridos. Pediu provimento.

A parte ré apresentou contrarrazões pugnando fosse negado provimento ao recurso interposto contra si.

Subiram os autos a este Tribunal.

Após distribuição por sorteio, vieram conclusos.

É o relatório.

VOTOS

Desa. Marilene Bonzanini (RELATORA)

Nego provimento ao recurso.

A sentença está muito bem posta e não merece qualquer reparo.

Não é caso de aplicar o Código de Defesa do Consumidor.

As partes desta demanda em nenhum momento figuraram juntas em relação de consumo. Também não se amoldam aos conceitos de consumidor e fornecedor criados pelo CDC.

Senão vejamos:

A autora não relata ter feito uso de qualquer serviço ou adquirido qualquer produto vendido pela ré. Também não alega ter sido atingida de forma indireta, o que poderia lhe garantir o reconhecimento como consumidora por equiparação.

Os mesmo fatos afastam a possibilidade da ré, no caso, ser considerada fornecedora.

Não há como aplicar, portanto, a teoria do risco do empreendimento, uma vez que a atividade da demandada foge completamente dos fatos que teriam gerado danos à demandante.

Aplica-se ao caso, portanto, a teoria da responsabilidade subjetiva, na qual a configuração do dever de indenizar exige a prova do ato ilícito (neste caso omissão), culpa, danos e nexo de causalidade que os una:

Os danos são presumíveis, sendo natural que qualquer pessoa sinta extremo constrangimento ao ver expostas fotografias de momentos íntimos em página da internet mantida por rede social de alto fluxo de usuários.

No entanto, conquanto a autora tenha obtido a informação de que o acesso à página foi criado por pessoa que acessava a internet por meio do serviço de conexão mantido pela ré com a Brasil Telecom, não há como responsabilizar a empresa, mesmo que se reconheça, por exemplo, que algum funcionário ou representante seu fez uso indevido da conexão à internet.

Isto porque a responsabilidade do empregador, consoante os arts. 932, inciso II, e 933 do Código Civil, por atos de seus empregados, só pode ser reconhecida se estes se encontravam no exercício do trabalho ou em razão dele.

Assim, não há falar em responsabilidade do empregador quando o preposto age sem nenhuma relação com o seu trabalho.

Nesse sentido:

Também não existe nenhuma norma que determine que os assinantes de conexões à internet mantenham controle sobre todo o tráfego de dados transmitidos.

O Direito Eletrônico ainda engatinha, mas, de qualquer forma, pode-se fazer breve analogia, imaginando que se tratasse de uma linha telefônica e os atos não tivessem gerado a criação de uma página eletrônica, mas que fossem engodos, trotes, certamente a ré também não poderia ser responsabilizada.

Mormente quando os atos de quem realizou a exposição das fotos são de cunho eminentemente pessoal, existindo, inclusive, informações nos autos, decorrentes do processo criminal movido pela autora contra os sócios da ré, que dão conta de que existem diversas evidências que apontam para o verdadeiro responsável pela publicação das fotografias.

Por todos estes motivos, somados aos fundamentos da bem posta sentença, estou negando provimento ao recurso, mantendo o julgamento de improcedência da demanda.

É como voto.

Des. Tasso Caubi Soares Delabary (REVISOR) – De acordo com o(a) Relator(a).

Des.ª Iris Helena Medeiros Nogueira (PRESIDENTE) – De acordo com o(a) Relator(a).

DES.ª IRIS HELENA MEDEIROS NOGUEIRA – Presidente – Apelação Cível nº 70049400419, Comarca de Frederico Westphalen: «DESPROVERAM. UNÂNIME»

IL PRESIDENTE DELLA REPUBBLICA

Visti gli articoli 76 e 87 della Costituzione;

Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni;

Vista la legge 31 dicembre 1996, n. 676, recante delega al Governo in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali, e le raccomandazioni del Consiglio d'Europa ivi citate;

Vista la legge 6 ottobre 1998, n. 344;

Sentito il Garante per la protezione dei dati personali;

Visto l'articolo 14 della legge 23 agosto 1988, n. 400;

Vista la preliminare deliberazione del Consiglio dei Ministri, adottata nella riunione del 30 ottobre 1998;

Acquisito il parere delle competenti commissioni della Camera dei deputati e del Senato della Repubblica;

Vista la deliberazione del Consiglio dei Ministri, adottata nella riunione del 5 novembre 1998;

Sulla proposta del Presidente del Consiglio dei Ministri, di concerto con il Ministro di grazia e giustizia;

EMANA

il seguente decreto legislativo:

Artícolo 1. Disposizione transitoria

1. Nell'articolo 41, comma 5, della legge 31 dicembre 1996, n. 675, come modificato dal decreto legislativo 8 maggio 1998, n. 135, le parole: «diciotto mesi» sono sostituite dalle seguenti: «ventiquattro mesi».

2. La disposizione di cui al comma 1 entra in vigore il giorno stesso della sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.

Il presente decreto, munito del sigillo dello Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. E' fatto obbligo a chiunque spetti di osservarlo e di farlo osservare.

Dato a Roma, addi 6 novembre 1998

SCALFARO

D'ALEMA, Presidente del Consiglio dei Ministri    
DILIBERTO,Ministro di grazia e giustizia           

Visto,il Guardasigilli: DILIBERTO

Auf Grund des § 10 Abs. 3 des Informationsfreiheitsgesetzes vom 5. September 2005 (BGBl. I S. 2722) in Verbindung mit dem 2. Abschnitt des Verwaltungskostengesetzes vom 23. Juni 1970 (BGBl. I S. 821) verordnet das Bundesministerium des Innern:

§ 1.- Gebühren und Auslagen

(1) Die Gebühren und Auslagen für Amtshandlungen nach dem Informationsfreiheitsgesetz bestimmen sich nach dem anliegenden Gebühren- und Auslagenverzeichnis.

(2) Auslagen werden zusätzlich zu den Gebühren und auch dann erhoben, wenn die Amtshandlung gebührenfrei erfolgt.

Dies gilt nicht in Fällen eines Tatbestandes nach Teil A Nummer 1.1 des Gebühren- und Auslagenverzeichnisses.

§ 2.- Befreiung und Ermäßigung

Aus Gründen der Billigkeit oder des öffentlichen Interesses kann die Gebühr um bis zu 50 Prozent ermäßigt werden. Aus den genannten Gründen kann in besonderen Fällen von der Erhebung der Gebühr abgesehen werden.

§ 3.- Inkrafttreten

Diese Verordnung tritt mit Wirkung vom 1. Januar 2006 in Kraft.

Berlin, den 2. Januar 2006

Der Bundesminister des Innern

In Vertretung

Hanning 

Informe complementario de la Comisión de Hacienda sobre proyecto que modifica la Ley Nº 19.628, sobre protección de la vida privada, para favorecer la reinserción laboral de las personas desempleadas.(1 de agosto de 2001) (boletín Nº 2735-05)

«Honorable Cámara:

La Comisión de Hacienda pasa a emitir este informe complementario del proyecto de ley
mencionado en el epígrafe que fue informado por esta Comisión, con fecha 6 de julio de 2001,
en cumplimiento de lo acordado por la honorable Cámara de Diputados, en sesión de 11 de julio
pasado.

CONSTANCIAS

1. Trámite especial.

Esta Comisión sometió a discusión y votación en particular el proyecto, dejando sin efecto la
votación particular que consta en el informe primitivo, en consideración a la presentación de
indicaciones y a las opiniones y antecedentes entregados por los invitados señores Alfonso
Muga, en representación del Consejo de Rectores de las Universidades chilenas; Francisco del
Río, asesor del Ministerio del Trabajo y Previsión Social; Juan Carlos Sc apini, asesor del
Ministerio de Economía, Fomento y Reconstrucción; Claudio Ortiz, Francisco Argüello y
Cristián García-Huidobro, gerente general, gerente de Sucursales y asesor Jurídico de la Cámara
de Comercio de Santiago, respectivamente, y la señora Pilar Armanet, jefa del Departamento de
Educación Superior del Ministerio de Educación.

2. Disposiciones aprobadas por unanimidad.
Ninguna.

3. Disposiciones rechazadas.
El número 1 del artículo único.

En el debate de la Comisión intervino el señor Claudio Ortiz, quien señaló que entiende como
objetivo de la iniciativa favorecer a las personas naturales que han incurrido en incumplimientos
comerciales producto de problemas relacionados con la crítica situación económica que ha
enfrentado el país y, por tanto, esta normativa sería de carácter transitorio. Sin embargo,
puntualizó que su redacción favorece especialmente a quienes tuvieron incumplimientos
comerciales en un período de auge de la economía nacional, en el cual existía una situación de
pleno empleo. Aún más, lleva a la contradicción de que las personas que se esforzaron y
aclararon sus deudas se mantienen por un año y, quienes nunca pagaron (entre 3 y 7 años), se
borran automáticamente, con lo cual estos últimos resultan más beneficiados que los primeros.
Planteó como alternativa que se acogieran las ideas siguientes para conciliar el texto propuesto
con los objetivos de la iniciativa:
a) En lugar de que exista un histórico de 1 año, limitar a cero la comunicación de
incumplimientos que hayan sido pagados o se hubiesen extinguido por otras causas legales.
b) Piensa que 3 años es poco tiempo para aquellas personas que nunca han pagado sus
obligaciones y dado que, por esta iniciativa, serán beneficiadas tanto las personas que registran
antecedentes por situaciones puntuales como quienes tienen una conducta fraudulenta, sugiere
que el plazo sea de 5 años en estos casos.
c) Cree conveniente considerar como condiciones necesarias para acceder a los beneficios de la
moción, las siguientes: que las anotaciones hayan estado vigentes a la fecha de presentación de
esta iniciativa; que la sumatoria de los incumplimientos vigentes no debe exceder las 120 UF
por persona, y que las anotaciones comprendidas por esta iniciativa, tengan una antigüedad no
mayor a 36 meses.
Respecto a la indicación que incorpora los créditos universitarios, afirmó que se debilitarán las
bases del sistema de financiamiento de la educación superior, al carecer las universidades de
una herramienta efectiva de recuperación de sus créditos.

Finalmente, informó que para perfeccionar el sistema, la Cámara de Comercio de Santiago está
realizando una serie de iniciativas de autorregulación, como son:
a) El desarrollo del servicio «Tarjeta Amarilla Boletín», a través del cual, las personas, naturales
y jurídicas, pueden verificar semanalmente -vía Internet, en forma gratuita y confidencial- la
información personal que será publicada en el boletín de informaciones comerciales. De esta
forma, este nuevo servicio ayuda a prevenir la publicación de protestos o morosidades,
pudiéndose tomar las medidas necesarias para evitarla a tiempo.
b) El funcionamiento de un sistema de calificación de la conducta comercial, que permita
aumentar y matizar los criterios de evaluación de los antecedentes comerciales de las personas.
Actualmente, a pesar de que la información del boletín de información comercial reflejada,
principalmente, en el «certificado oficial de antecedentes comerciales», contiene una descripción
detallada de las anotaciones, existe en el mer cado, especialmente en los procesos de selección
de personal, una simplificación en la evaluación de los antecedentes al interpretar los datos
como «blanco o negro». Es decir, se tiene o no anotaciones en el Boletín, sin considerar factores
como la cantidad de documentos, el monto de los mismos, el tipo de documentos, la antigüedad,
la cantidad de acreedores, etcétera. Agrega que este trabajo se está desarrollando con el apoyo
de la P.U.C.
c) Sugiere que el Ministerio del Trabajo debiera incorporar en el «certificado oficial de
antecedentes comerciales», la información que dé cuenta de los períodos de cesantía de las
personas, a petición del interesado. De esta manera, se podría demostrar que las anotaciones
pueden haber sido producto de la pérdida del trabajo.

El diputado Montes, don Carlos, argumentó que en Chile no existe un sistema apropiado de
calificación de riesgos, como el de Estados Unidos que pondera varias variable para hacer tal
calificación. Cree que se debe avanzar en esta materia.

Preguntó si al reprogramar una deuda se sigue en Dicom.

El señor García-Huidobro explicó que se debe distinguir si con un nuevo crédito se cancela el
anterior, se produce un pago por novación y la deuda primitiva se extingue, pero, si la
reprogramación se hace mediante una prórroga, se elimina la información de la cuota morosa,
en tanto el interesado acredite que su acreedor le concedió un nuevo plazo para el pago.

El señor Ortiz afirmó que si se desea avanzar en el desarrollo del sistema de calificación de
riesgos, la información es indispensable.

El diputado Montes, don Carlos, explicó que se debe distinguir entre el almacenamiento de la
información, que es indispensable para perfeccionar el sistema de calificación de riesgos y la
entrega de tal información a ter ceros. Añadió que en el sistema norteamericano tal información
permite ponderar un factor de riesgo que es entregado a quien lo solicite.

El diputado García, don José, consulta cuál es la experiencia de la Cámara respecto a la deuda
universitaria.

El señor Ortiz contestó que la información de los créditos universitarios morosos se entrega por
las universidades directamente a Dicom a través de Sicom, pero esta información forma parte
del boletín de información comercial una vez que las letras o pagarés han sido protestados.
El diputado García, don José, manifestó que ello es injusto, porque aun cuando no se proteste el
documento que respalda la deuda, a esta información negativa de la persona también acceden
otras entidades, lo que constituye un obstáculo para acceder a fuentes laborales.

El diputado Dittborn, don Julio, opinó que una alternativa para no perjudicar a los deudores de
créditos universitarios sería contemplar la incorporación al boletín de información comercial de
las deudas que superen un determinado monto.

El señor Claudio Ortiz concluyó que si la intención de la moción en estudio es ayudar a la
reinserción laboral sería útil establecer una medida transitoria, pero si se pretende el acceso a
nuevos créditos, no va a tener efecto real, pues no se puede obligar a las empresas o bancos a
borrar los archivos que dan cuenta del comportamiento comercial de sus clientes.

El señor Alfonso Muga expuso que la indicación sobre deudas por créditos universitarios genera
consecuencias serias sobre la rec uperación de los fondos destinados al crédito universitario.
Explicó que dicho fondo se financia mediante tres fuentes: a) el Estado, mediante la ley de
Presupuestos; b) la recuperación de las carteras del crédito universitario, y c) recursos de las
propias universidades. Agregó que, de cada $ 100 provenientes del Estado para financiar el
fondo solidario que administra la Universidad Católica de Valparaíso, $ 85 son recuperados.
Señaló que en promedio la tasa de recuperación de las deudas de crédito universitario alcanza a
40% ó 50%.
Sostuvo, además, que esta iniciativa afectará la recuperación de los créditos universitarios,
debilitando una de las pocas herramientas de cobranza que poseen y que, entre otras, consiste en
la publicación de las nóminas de los morosos a través de Sicom. Consideró que las herramientas
utilizadas para la cobranza son «suaves», pues no es habitual el protesto de letras y pagarés.
Manifestó que quien paga es retirado inmediatamente de los registros de morosos que manejan
las universidades.
Informó que la leyes Nºs 18.053 y 19.287 otorgaron la posibilidad a los deudores de créditos
universitarios de acordar las cuotas a pagar, abonando 5% de sus ingresos o, quedando exentos
de pago, en caso de no haber percibido ingresos o de haber sido éstos inferiores a $ 200.000.-
Concluyó, que cualquiera modificación a la legislación que regula la información de los
registros comerciales, generará un incentivo al no pago que tendrá impacto fiscal, pues la
cantidad de recursos asignados a las universidades mediante la ley de Presupuestos tendría que
aumentar.

El diputado Álvarez, don Rodrigo, consideró que al eliminarse las herramientas «suaves», se
obligará a utilizar medidas más drásticas para lograr el pago.

El diputado Tuma, don Eugenio, acotó que, aun cuando no se protesten las letras y pagarés, la
nómina del Sicom se filtra, lo que termina por «cerrar las puertas» a quienes pretenden
reinsertarse laboralmente.

El diputado Dittborn, don Julio, opinó que se debe ser cuidadoso frente a este tipo de iniciativas,
pues las buenas intenciones pueden acarrear grandes problemas. Postuló que esta medida
significará mayor morosidad, lo que implicará distintas consecuencias dependiendo si se trata de
una universidad pública o privada. Agregó que al no disponer estas últimas de aporte fiscal,
implicará el rechazo de postulantes o la exigencia de mayores garantías económicas en el
proceso de admisión.

El señor Alfonso Muga reiteró las fuentes de financiamiento del fondo solidario y aseveró que
la tasa de 45% referida es sobre el recupero, sin que incluya a quienes no pagan producto de su
cesantía. Explicó que durante los años de estudio la deuda se acumula, y luego de transcurridos
dos años, desde el egreso del deudor, se hace exigible. Señaló que lo pagado no es una cuota de
la deuda, sino que una cuota correspondiente al 5% de los ingresos del deudor y que el saldo
insoluto prescribe, por regla general, a los 12 años. Agregó que la única obligación del deudor
es concurrir a la oficina de la universidad y exhibir su liquidación, o acreditar su cesantía.

El señor Francisco del Río sostuvo que el Ministerio del Trabajo y Previsión Social está de
acuerdo con esta iniciativa, por cuanto existe una especie de discriminación respecto a las
personas que buscan trabajo y que tienen antecedentes comerciales negativos, sin considerar que
muchos han dejado de cumplir sus obligaciones producto de la crisis económica que ha vivido
el país.
Precisó que la Cámara de Comercio es la única autorizada para administrar el sistema de
informaciones comerciales. Sin embargo, esta información la compran algunas empresas que
administran datos de terceros, como Dicom. Informó que la Dirección del Trabajo tiene un
convenio con el boletín de información comercial para publicar las morosidades por deudas
previsionales, en que se mantienen sólo las deudas previsionales vigentes, por lo que el deudor
que cancela sale de este boletín sin tener que incurrir en gastos.

El señor Juan Carlos Scapini explicó que el manejo de la información del boletín de
información comercial permite que funcione el sistema financiero, al permitir valorar los riesgos
de sus deudores. Manifestó, sin embargo, su acuerdo con la iniciativa, ya que al favorecer
solamente a personas naturales logrará la deseada reinserción laboral.

La señora Pilar Armanet hizo presente que, si bien comparte los objetivos de la moción en
estudio, es necesario tener presente la situación especial de los créditos universitarios. Destacó
que dichos créditos se otorgan mediante la celebración de un convenio entre cada universidad y
el alumno de que se trata. La tasa de interés es de sólo 2% anual, el plazo de pago es de 15 años
y, además, cada cuota no puede superar el 5% de los ingresos del deudor.
Planteó que si un deudor acredita que está sufriendo una situación de desempleo, se le libera de
la obligación de pagar el préstamo.
Informó que, actualmente, la tasa media de recuperación de los créditos universitarios es de
46%; no obstante lo cual, algunas instituciones presentan tasas menores, cercanas al 16% y
otras, mayores, con tasas de 70%. En consideración a lo anterior, estimó que una señal en el
sentido de flexibilizar más las normas de pago de esta clase de créditos podría ser muy
perniciosa, rompiendo el precario equilibrio de recuperación del sistema. Agregó que si bajara
la tasa media de recuperación de los créditos, se verían gravemente afectados los futuros
estudiantes universitarios que soliciten préstamos, ya que no se contaría con recursos necesarios
para otorgarlos. A su juicio, es posible perfeccionar el sistema de contingencia del ingreso, a
objeto de que los deudores no entren en mora. Hizo notar que algunas universidades han
manifestado que si los préstamos resultan difíciles de cobrar, optarán por no seguir
otorgándolos.
Finalmente, indicó que, entre los años 1990 y 2001, se pasó de un universo de alumnos acogidos
a crédito universitario de 220 mil personas a uno de 430 mil personas. En razón de ello, enfatizó
que es muy importante seguir manteniendo una tasa de recuperación de créditos que sea
adecuada.

El diputado García, don José, planteó que, en la práctica, quienes han perdido su fuente laboral
y no han informado de su situación a la universidad, aparecen en mora.

El diputado Álvarez, don Rodrigo, preguntó cuántos deudores de aquéllos que no pagan
acreditan su contingencia.

La señora Armanet respondió que no conoce la información, pues cada universidad administra
sus créditos. Agregó que se desconoce qué porcentaje de quienes no pagan lo hacen por
oportunismo, por no contar con un ingreso o por ineficacia del sistema.

El diputado Álvarez, don Rodrigo, consultó si las universidades protestan los instrumentos
dados en garantía.

La señora Armanet dijo que las universidades prefieren mantener una relación cordial con sus
ex alumnos, por lo que optan por publicar la mora de cada cuota, sin emplear la cláusula de
aceleración.

En relación con la votación particular de la iniciativa, se tuvo en consideración la indicación
sustitutiva siguiente:

«Artículo único.– Introdúzcanse las siguientes modificaciones a la ley Nº 19.628, sobre
protección de la vida privada.
1. Reemplázase en el inciso 1º del Artículo 18, el guarismo «siete» por «cinco«.
2. Reemplázase el inciso 2º del Artículo 18 por el siguiente:
«No se podrá continuar comunicando los datos relativos a dicha obligación después de haber sido pagada o de haberse extinguido por otro modo legal.».
3. Agréguese el siguiente artículo 4º transitorio:
«Las entidades que administren datos de terceros, no podrán comunicar los datos e información a que se refiere el artículo 17 de la presente ley, de personas naturales, que no hubieren pagado sus obligaciones cuando haya transcurrido al menos 3 años desde que éstas se hicieron exigibles.
Esta prohibición regirá respecto de las personas que, al 20 de junio de 2001, tengan anotaciones de incumplimientos comerciales vigentes y, siempre y cuando el monto total de sus anotaciones, no supere un valor de 120 unidades de fomento. Para el cálculo de este monto se considerará el valor nominal del capital, excluido intereses y reajustes y otros costos anexos que las obligaciones tenían al momentos de hacerse exigibles.
Tampoco podrán informarse las deudas derivadas del crédito universitario u otro sistema de financiamiento de estudios de educación superior de pregrado, cualquiera sea su monto, que se hayan hecho exigibles con anterioridad al 20 de junio de 2001.».
La indicación antes transcrita fue objeto de observaciones de los miembros de la Comisión en
orden a recoger, básicamente, el carácter transitorio de su propuesta para hacer posible la
reinserción laboral de personas que hayan tenido anotaciones por incumplimientos comerciales
vigentes y dar una solución más permanente, mediante otra iniciativa legal, a las debilidades del
sistema que registra los incumplimientos comerciales en el país, luego de contar con aportes al
debate de las entidades más directamente involucradas. También fue objeto de modificaciones
de técnica legislativa las que se consignan en el texto del proyecto de ley propuesto más
adelante.

Sometido a votación el numeral 1.- de la indicación precedente, se rechazó por 4 votos a favor y
5 votos en contra.

Sometido a votación el numeral 2. – de la indicación precedente, que pasa a ser numeral 1.-, se
aprobó por 5 votos a favor y 4 votos en contra.

Los diputados señores Alvarado, Dittborn y Tuma, presentaron una indicación para agregar un
número 3 al artículo único de la indicación sustitutiva, que pasa a ser número 2, por la que se
agrega el siguiente nuevo inciso al artículo 18, después del inciso segundo, pasando el último a
ser inciso cuarto:
«No se podrá publicar la morosidad de obligaciones comerciales antes de un plazo de 30 días contado desde la fecha de vencimiento de la obligación.«.

Sometida a votación la indicación precedente, se aprobó por 3 votos a favor y 2 abstenciones.
Solicitada votación separada del último inciso del artículo 4º transitorio incorporado por el
numeral 3, se someten a votación los inciso primero y segundo, siendo aprobados por 9 votos a
favor y 1 voto en contra.

Los diputados señores Álvarez, Dittborn, García, don José, y Ortiz, don José Miguel,
formularon una indicación para reemplazar el inciso tercero del artículo 4º transitorio, por el
siguiente, de modo que las deudas del crédito universitario y otros sistemas de financiamiento
similares mantengan el actual sistema.

«Esta disposición no se aplicará a las deudas derivadas del crédito universitario o de otro
sistema de financiamiento de estudios de la educación superior.».

Puesta en votación la indicación precedente fue aprobada por 6 votos a favor y 3 votos en
contra.

CONCLUSIÓN

En virtud de lo antes expuesto y de los antecedentes que dará a conocer oportunamente el señor
diputado informante, la Comisión de Hacienda recomienda la aprobación del siguiente:

PROYECTO DE LEY

«Artículo único.- Introdúcense las siguientes modificaciones a la ley Nº 19.628, sobre
protección de la vida privada.

1. Reemplázase el inciso segundo del artículo 18 por el siguiente:
«No se podrá continuar comunicando los datos relativos a dicha obligación después de haber sido pagada o de haberse extinguido por otro modo legal.».

2. Agrégase el siguiente inciso tercero al artículo 18, pasando el inciso tercero a ser inciso
cuarto:
«No se podrá publicar la morosidad de obligaciones comerciales antes de un plazo de 30 días contado desde la fecha de vencimiento de la obligación.».

3. Agrégase el siguiente artículo 4º transitorio:

«Artículo 4º.- Las entidades que administren datos de terceros, no podrán comunicar los datos e información a que se refiere el artículo 17 de la presente ley, de las personas naturales que cumplan con los requisitos siguientes: a) que no hubieren pagado sus obligaciones transcurridos al menos 3 años desde que éstas se hicieron exigibles; b) que, al 20 de junio de 2001, tengan anotaciones de incumplimientos comerciales vigentes, y c) que el monto total de sus anotaciones no supere un valor de 120 unidades de fomento.
Para el cálculo de dicho monto se considerará el valor nominal del capital, excluidos intereses y reajustes y otros costos anexos que las obligaciones tuvieren al momentos de hacerse exigibles.
Esta disposición no se aplicará a las deudas derivadas del crédito universitario o de otro sistema de financiamiento de estudios de la educación superior.»

Sala de la Comisión, a 1 de agosto de 2001.

Acordado en sesiones de fechas 17, 18 y 31 de julio de 2001, con la asistencia de los diputados
señores Tuma, don Eugenio (Presidente); Alvarado, don Claudio; Álvarez, don Rodrigo;
Dittborn, don Julio; Galilea, don Pablo; García, don José; Lorenzini, don Pablo; Montes, don
Carlos; Ortiz, don José Miguel; Palma, don Andrés, y Silva, don Exequiel (Núñez, don Juan).
Se designó diputado informante al señor Tuma, don Eugenio.
(Fdo.): JAVIER ROSSELOT JARAMILLO, Abogado Secretario de la Comisión».

III Congreso Binacional de Estudiantes de Derecho, a realizarse en la Universidad Católica del Táchira. San Cristobal, Venezuela, 28 al 30 de abril de 2004.

Miércoles: 28 de abril

9:00 – 9:45. Las Tecnologías de la Información y las Comunicaciones en el ámbito
jurídico
Mariliana Rico Carrillo. Directora del Centro de Investigaciones en Nuevas Tecnologías. Universidad Católica del Táchira (Venezuela).

9:45 – 10:45 La informática y las telecomunicaciones en el ámbito de la Administración Pública
José Ovidio Salgueiro. Coredactor de la Ley de Mensajes de Datos y Firmas Electrónicas de Venezuela. Asesor jurídico del Ministerio de Ciencia y Tecnología (Venezuela)

10:45-11:00 Receso

11:00 – 12:00. La informática forense como medio probatorio.
Raymond Orta Martínez. Perito en Evidencia Digital. Presidente del Instituto Venezolano de Ciencias Forenses.

2:30- 3:30 Apertura y libre competencia en el sector de las telecomunicaciones
Héctor Aurrea (Colombia)

3:30-4:30. Tributación e Internet. Miguel Arrieta Zinguer. Profesor de Derecho de las Tecnologías de la Información y las Comunicaciones. Universidad Católica del Táchira (Venezuela)

4:30- 4:45. Receso

4:45-6:00. Ponencias estudiantiles

Jueves: 29 de abril

9:30-10:30 El Teletrabajo
Sulmer Paola Ramírez. Profesor de Derecho de las Tecnologías de la Información y las Comunicaciones. Universidad Católica del Táchira (Venezuela).

10:30-10:45. Receso

10:45- 11:45 El comercio electrónico y las páginas Web: nuevas formas y métodos en la contratación mercantil
Leopoldo Brandt Graterol. Presidente de la Asociación Venezolana de Derecho Informático y Nuevas Tecnologías.

2:30-3:30 Nuevo régimen de la Telecomunicaciones en Venezuela
José Araujo Juárez. Profesor de Derecho de Administrativo y Derecho de las Telecomunicaciones. Universidad Católica Andrés Bello (Venezuela)

3:30-4:30 El TSJ on line
Ricardo Jiménez Dan. Gerente de Tecnología del Tribunal Supremo de Justicia venezolano

4:45-6:00 Ponencias estudiantiles

Viernes: 30 de abril

9:30-10:30. Mesa redonda. La regulación de contenidos cursados a través de las
telecomunicaciones: El Proyecto de Ley sobre responsabilidad social en radio y televisión
Miguel Arrieta
Sulmer Ramírez
Henry Flores
Moderador: Mariliana Rico

10:30-10:45. Receso

10:45-11:45 El habeas data en el entorno digital
Nelson Remolina. Director del Grupo de Estudios en Internet, Comercio Electrónico, Telecomunicaciones e Informática de la Universidad de los Andes (Colombia)

2:30 – 3:30. El Derecho español ante el desarrollo tecnológico (Videoconferencia)
María Pérez Pereira. Profesora de Derecho Mercantil. Universidad Carlos III de Madrid

3:30-4:30. La propiedad intelectual y el Derecho Informático
Carlos Álvarez Cabrera. Presidente de la Asociación Colombiana de Seguridad Informática

4:30-4:45. Receso

4:45-6:00. Ponencias estudiantiles

6:00-6:30. Clausura del evento y entrega de certificados

SENTENCIA DEL TRIBUNAL CONSTITUCIONAL 50/2000, 28 DE FEBRERO

La Sala Segunda del Tribunal Constitucional, compuesta por don Carles Viver Pi-Sunyer, Presidente, don Rafael de Mendizábal Allende, don Julio Diego González Campos, don Tomás S. Vives Antón, don Vicente Conde Martín de Hijas y don Guillermo Jiménez Sánchez, Magistrados, ha pronunciado

EN NOMBRE DEL REY

la siguiente

S E N T E N C I A

En el recurso de amparo núm. 2498/95, interpuesto por don José Peinado Rodríguez representado por la Procuradora de los Tribunales doña Rosina Montes Agustí y con la asistencia letrada de don Francisco Baena Bocanegra, contra la Sentencia de la Sala Segunda del Tribunal Supremo de 5 de junio de 1995 que confirmó la de 20 de julio de 1994, dictada por la Audiencia Provincial de Sevilla. Ha intervenido el Ministerio Fiscal. Ha sido Ponente el Magistrado don Rafael de Mendizábal Allende, quien expresa el parecer de la Sala.

I. Antecedentes

1. El 4 de julio de 1995 tuvo entrada en el Registro de este Tribunal el escrito de la Procuradora de los Tribunales doña Rosina Montes Agustí, en nombre y representación de don José Peinado Rodríguez, por medio del cual se interponía el recurso de amparo del que se hace mérito en el encabezamiento. En la demanda se nos cuenta que a consecuencia de denuncia efectuada por funcionario del Cuerpo Nacional de Policía, por la que se pone en conocimiento del Juez Decano de Sevilla la existencia de rumores sobre la existencia de una red de loterías ilegales en la que podría estar complicado el hoy recurrente, funcionario del Cuerpo Superior de Policía, se incoaron por el Juzgado de Instrucción núm. 10 de Sevilla diligencias previas núm. 2903/91. Con el fin de desenmascarar la referida red, la Brigada de Régimen Interior de la Policía solicitó, el 3 de julio de 1991, autorización judicial para intervenir el teléfono particular del actual recurrente y de otro perteneciente a la Comisaría de Policía del Distrito de la Macarena, donde a la sazón se hallaba destinado. Con esa misma fecha se dicta Auto acordando la intervención del número de teléfono 4512134, perteneciente a la abonada doña Salud Benítez Castro –cónyuge del recurrente–, por un delito contra la Hacienda Pública, fijando un plazo de treinta días de efectividad. Los días 2 de agosto y 2 de septiembre se prorroga por treinta días la intervención de dicho número. Y por Auto de 13 de agosto, prorrogado por otro de 12 de septiembre, se autoriza, por el mismo delito, la intervención del número correspondiente a la Comisaría de Policía. Finalmente, por Auto de 4 de octubre de 1991 se ordena la desconexión de la intervención de ambos teléfonos.

Tras el correspondiente Auto de incoación de procedimiento abreviado, y tras calificación del Ministerio Público, el 20 de febrero de 1992, se acuerda la apertura de juicio oral contra el hoy recurrente por un delito de fraude de los contemplados en el art. 401.1 del Código Penal (negociaciones prohibidas a los funcionarios públicos). En el juicio oral fue suscitada cuestión previa de violación de los derechos fundamentales del ahora recurrente, y que desestimada por Auto, y posteriormente recurrida en súplica en el marco de la vista oral, que se entendió por la Audiencia Provincial improcedente en ese momento procesal, por lo que fue la queja remitida a la impugnación de la Sentencia.

Dictada Sentencia el 20 de julio de 1994, en la que se condenaba al recurrente como autor de un delito del art. 401 del Código Penal, se interpuso recurso de casación, ante la Sala Segunda del Tribunal Supremo, en el que recayó la Sentencia objeto del presente proceso. En ella, pese a declarar la nulidad de los Autos por los que fueron acordadas las intervenciones telefónicas y sus prórrogas, como asimismo de las pruebas a través de ellas obtenidas (fundamentos de derecho 2 y 3) –por vulnerar los principios de proporcionalidad, motivación y especialidad–, se concluyó confirmando la Sentencia de instancia, por entender que dicha nulidad no irradiaba sobre otras pruebas correctamente apreciadas ya en primer instancia (fundamento de derecho 3 de la Sentencia recurrida), en la que se enumeran hasta nueve indicios que el Tribunal estima no conectados causalmente con la intervención telefónica y no contaminados pues por la nulidad decretada (fundamento jurídico 4 de la Sentencia de la Sala Segunda), indicios referidos al período en que el recurrente desempeñaba la Jefatura de Gestión Económica de la Jefatura Superior de Policía de Sevilla (1986-1990) y que se estiman base suficiente para destruir la presunción de inocencia, en lo que se refiere al delito por el que finalmente se produce la condena.

2. La Sección Tercera por providencia de 16 de noviembre de 1995 acordó recabar la remisión del testimonio de las actuaciones judiciales, con carácter previo a la decisión sobre la admisibilidad del presente recurso de amparo y, por providencia de 29 de enero de 1996, acordó conceder al demandante de amparo y al Ministerio fiscal el plazo común de diez días para que formularan, de conformidad al art. 50.1 c) LOTC, las alegaciones que estimaran pertinentes con relación a la carencia manifiesta de contenido constitucional de la demanda y una vez formuladas, por providencia de 4 de marzo de 1996, admitió a trámite la demanda, acordando que fueran emplazados quienes hubieran sido parte en el procedimiento judicial para que pudieran comparecer en este recurso de amparo.

3. El Ministerio Fiscal presentó el 13 de junio de 1996 su escrito de alegaciones, donde pidió que fuera otorgado el amparo y anuladas las sentencias impugnadas. A tal fin, y tras recordar que la demanda se centra en la vulneración del derecho a la presunción de inocencia del demandante condenado sobre las pruebas de las escuchas telefónicas llevadas a cabo, señala que el Tribunal Supremo, no obstante, reconociendo que la prueba de escuchas es nula en este caso, termina afirmando que la prueba indiciaria tenida en cuenta para condenar en la Sentencia de instancia no estaba ligada causalmente con la investigación telefónica considerada nula y, en consecuencia, no puede estimarse contaminada por ella.

Sin embargo, el Ministerio Fiscal, después de un recorrido por los criterios que nuestra jurisprudencia y la del Tribunal Europeo de los Derechos Humanos han sentado sobre el particular, llega a la conclusión de que en el caso que nos ocupa, las intervenciones telefónicas practicadas han adolecido de falta de requisitos esenciales que las convierten en nulas. Así, señala la falta de motivación de los Autos que las autorizaron que podría ser discutible si se tiene en cuenta la motivación por remisión a la información policial recibida, amplia y detallada, la ausencia de proporcionalidad con el delito supuestamente cometido (el enriquecimiento de un funcionario enlazando su cargo con determinados negocios es una forma de corrupción grave), y la falta de precisión del delito por el que se concedían las autorizaciones para efectuar la intervención (en principio un delito contra la Hacienda Pública, por pertenecer a un grupo que traficaba con lotería ilegal, y, después, la relación económica con el dueño de una ferretería).

Pero, a juicio del Ministerio Fiscal es la falta de control judicial sobre las intervenciones lo que constituye su principal ilicitud y, consiguientemente, su nulidad. Las cintas originales no constan que se hayan entregado al Juez, ni que éste las haya tenido a disposición de las partes, ni que su transcripción se efectuara desde las cintas originales en presencia del Secretario judicial, sino que, por el contrario, se da por buena la transcripción efectuada por la policía que, de esta manera, sustrae al control judicial el secreto de las comunicaciones, y crea indefensión material en el acusado. Porque no es la nulidad de esta prueba lo que se discute en la Sentencia del Tribunal Supremo sino que, dando por nula la misma, sin embargo se considera que ninguna relación perversa tiene con las demás practicadas. Y es este parecer del Tribunal Supremo el que no puede tampoco compartir el Fiscal.

Basta repasar los folios 98, 99, 118, 124, 137, 153, 158, 165, 166, 200, 242 y 243, entre otros, para observar la estrecha relación que existe entre las conversaciones telefónicas grabadas y que el Tribunal Supremo califica de desproporcionadas y generalistas, y las demás pruebas practicadas, tanto las declaraciones del condenado y de su socio Sr. Gómez Doblas a lo largo de la instrucción, como el descubrimiento de su cuenta bancaria o de la ferretería que poseía dicho socio, las sociedades que crearon y en definitiva, las actividades todas por las que luego resultó condenado. Se conoció la relación del Sr. Gómez Doblas con el acusado y se pudo investigar la existencia de la ferretería y de las sociedades en las que estaban las hijas del acusado, las cuentas corrientes y demás circunstancias acusatorias precisamente porque en las conversaciones intervenidas aparecieron datos que permitieron iniciar esa investigación. Lo demuestra así el hecho de que, antes de las intervenciones y de lo que por ellas pudo conocerse la policía únicamente sabía que en Sevilla podía existir un tráfico de lotería ilegal y que en él quizá estuviera implicado un policía llamado don José Peinado. Las pruebas indiciarias que después han servido para condenar derivan o están inmediatamente derivadas de las intervenciones y ello hace, en fin, que la nulidad de éstas implique también la de aquéllas.

4. El demandante presentó sus alegaciones el mismo día 13 de junio de 1996 en el que dio por reproducidas las contenidas en la demanda.

5. Por providencia del día 24 de febrero de 2000 se señaló para deliberación y votación de la presente Sentencia el siguiente día 28 del mismo mes y año.

II. Fundamentos jurídicos

1. En el proceso constitucional de amparo, cuando éste se pretende respecto del Poder Judicial, el objeto consiste en una decisión cualquiera que fuera su forma, en este caso de sentencia, donde se ponga fin a la vía procesal sin posibilidad de ulterior remedio. La otra cara de este elemento objetivo, la pretensión, está representada por la petición de que sea anulada la Sentencia de la Audiencia Provincial de Sevilla que condenó al recurrente de amparo al considerar probada su participación, en calidad de autor, en hechos constitutivos de un delito de negociaciones prohibidas a los funcionarios públicos. La pretensión del actor está apoyada en que dicha resolución judicial y la Sentencia de la Sala Segunda del Tribunal Supremo que la confirmó, se han producido con vulneración del derecho a la presunción de inocencia (art. 24.2 CE).

Y, así, en la demanda de amparo se sostiene que no han existido pruebas válidas para fundar la condena, relatándose detenidamente que las pruebas indiciarias tenidas en cuenta por la Sentencia condenatoria en la instancia, todas ellas, derivan de las escuchas telefónicas practicadas en las actuaciones, cuya nulidad absoluta ha sido reconocida en la misma Sentencia de casación. En este sentido, aquellos indicios, que también son aceptados por el Tribunal Supremo como suficientes para condenar al recurrente, se hallaban contaminados por la nulidad decretada de las intervenciones telefónicas, pues el efecto indirecto previsto en el art. 11.1 LOPJ puede considerarse referido a supuestos, como es a juicio del actor el presente, en que la prueba obtenida lícitamente lo es sobre la base de otra actividad que de manera directa ha vulnerado ese derecho fundamental.

2. Deslindado así el ámbito de este litigio, conviene avanzar el discurso con el recuerdo de nuestra doctrina que, desde la STC 114/1984, de 29 de noviembre, ha afirmado la prohibición absoluta de valoración de las pruebas obtenidas con vulneración de derechos fundamentales, de este modo ha recaído una abundantísima jurisprudencia de este Tribunal que ha declarado, en esencia, que los medios de prueba no pueden hacerse valer, ni pueden ser admitidos, si se han obtenido con violación de derechos fundamentales (SSTC 114/1984, de 29 de noviembre, 107/1985, de 7 de octubre, 64/1986, de 21 de mayo, 80/1991, de 15 de abril, 85/1994, de 14 de marzo, 181/1995, de 11 de diciembre, 49/1996, de 26 de marzo, 81/1998, de 2 de abril, y 49/1999, de 5 de abril). Como se dice en la STC 49/1996, para un supuesto, precisamente, de intervenciones telefónicas: «Una vez establecido que la intervención de las conversaciones telefónicas …. se produjo con vulneración de derechos fundamentales, hemos de concluir que todo elemento probatorio que pretendiera deducirse del contenido de las conversaciones intervenidas no debió ser objeto de valoración probatoria. Al no proceder así la Audiencia Provincial de Barcelona y la Sala Segunda del Tribunal Supremo, resultó violado el derecho a la presunción de inocencia del peticionario de amparo» (FJ 5).

Por consiguiente, la interdicción de la admisión de la prueba prohibida por vulneración de derechos fundamentales deriva directamente de la Constitución, por la colisión que ello entrañaría con el derecho a un proceso con todas las garantías y a la igualdad de las partes (arts. 24. 2 y 14 CE), y se basa, asimismo, en la posición preferente de los derechos fundamentales en el ordenamiento y de su afirmada condición de inviolables (art. 10.1 CE). Para decirlo con las palabras expresadas en la germinal STC 114/1984 antes citada, «constatada la inadmisibilidad de las pruebas obtenidas con violación de derechos fundamentales, su recepción procesal implica una ignorancia de las ‘garantías’ propias al proceso (art. 24.2 de la Constitución) implicando también una inaceptable confirmación institucional de la desigualdad entre las partes en el juicio (art. 14 de la Constitución), desigualdad que se ha procurado antijurídicamente en su provecho quien ha recabado instrumentos probatorios en desprecio a los derechos fundamentales de otro. El concepto de ‘medios de prueba pertinentes’ que aparece en el mismo artículo 24. 2 de la Constitución, pasa, así, a incorporar, sobre su contenido esencialmente técnico-procesal, un alcance también sustantivo, en mérito del cual nunca podrá considerarse ‘pertinente’ un instrumento probatorio así obtenido» (FJ 5).

Ahora bien, conviene precisar, como hace la STC 81/1998, del Pleno de este Tribunal, que «la presunción de inocencia, como derecho a no ser condenado sin pruebas de cargo válidas, no puede eregirse, a la vez, en canon de validez de las pruebas: ese canon ha de venir dado por el contenido del derecho a un proceso con todas las garantías». Y si es cierto que al valorar pruebas obtenidas con vulneración de derechos fundamentales u otras que sean consecuencia de dicha vulneración, puede resultar lesionado, no sólo el derecho a un proceso con todas las garantías, sino también la presunción de inocencia, pero «ello sucederá si la condena se ha fundado exclusivamente en tales pruebas; pero si existen otras pruebas de cargo válidas e independientes, podrá suceder que, habiéndose vulnerado el derecho a un proceso con todas las garantías, la presunción de inocencia no resulte, finalmente, infringida» (FJ 3).

3. Pues bien, el condenado se duele de que al haberlo sido como consecuencia de pruebas conseguidas a partir de otra declarada ilícita, le ha sido vulnerado por tanto su derecho a la presunción de inocencia y a un proceso con todas las garantías (art. 24. 2 CE). A su juicio, con cita de cierta jurisprudencia de este Tribunal, es evidente la interdependencia que existe entre las escuchas declaradas ilegales en la misma Sentencia del Tribunal Supremo que ahora es objeto de impugnación y la investigación policial realizada a partir precisamente de aquéllas. Por lo que solicitó que fuera otorgado el amparo y, en consecuencia, anuladas las Sentencias impugnadas.

En el presente caso razona la demanda que ha existido una conexión causal entre la prueba ilícita y la legalmente obtenida, por el hecho de que sólo a partir de la intervención luego declarada nula –y en concreto a partir de una conversación mantenida por el recurrente con un tercero desconocido el 9 de julio de 1991– se dirige la investigación policial al posible delito de negociaciones prohibidas a los funcionarios públicos. En el mismo sentido apunta el Ministerio Fiscal a partir del examen de las actuaciones que, a su criterio, revelan que la actividad investigadora que concluyó con la obtención de los indicios aceptados como prueba de cargo, se emprendió sobre la única base de las escuchas telefónicas declaradas nulas por el Tribunal Supremo.

Así las cosas, hay que matizar que la declaración que prestó ante la Policía el testigo don Manuel Gómez Doblas (folios 444 a 449), a la sazón socio del funcionario encausado en las sociedades que motivaron la condena, puede entenderse como no completamente provocada a raíz de las escuchas ilícitas, en cuanto, al menos, y a diferencia de la declaración ante la Policía del propio encausado (folio 484), prestó su testimonio sin que previamente se le hicieran oír las cintas en las que él mismo aparecía como parte en la conversación o simplemente mencionado. Esto no obstante, es de reseñar que esta declaración, de fecha 2 de octubre de 1991, se produce con posterioridad a que por primera y sucesivas veces se le mencionara en las grabaciones ilícitas –9 de julio, 22 de agosto, 2 de septiembre, 16 y 17 de septiembre de 1991– y también con posterioridad a que la Policía, a resultas de las tan citadas escuchas ilegales, obtuviera la conclusión de que el recurrente mantenía relaciones comerciales con dicho testigo, relaciones que son la base de la condena penal (folios 158-159). Por consiguiente, establecida indubitadamente por el propio Tribunal Supremo la nulidad de la intervención telefónica, nuestro examen habrá de atender en adelante a dilucidar en qué medida pudiera establecerse una clara desconexión causal entre las grabaciones ilícitas y el resto de los indicios o testimonios incriminatorios que sirvieron de base a la destrucción de la presunción de inocencia de que goza el recurrente.

4. En relación con las intervenciones telefónicas, existe un cuerpo de doctrina de este Tribunal (comprendido, entre otras, en las SSTC 85/1994, 86/1995, de 6 de junio, 181/1995, 49/1995, de 16 de febrero, 123/1997, de 1 de julio, y la recientemente dictada por el Pleno 44/1999, de 22 de marzo) que, en sintonía con la doctrina del Tribunal Europeo de Derecho Humanos, exige el estricto cumplimiento y respeto de una serie de exigencias constitucionalmente inexcusables, que afectan al núcleo esencial del derecho al secreto de las comunicaciones, como son la previsión legal, la autorización judicial previa y motivada, la estricta observancia del principio de proporcionalidad y la existencia de control judicial efectivo en el desarrollo y cese de la medida.

En tal sentido la STC 81/1998, antes citada, estableció un criterio básico para determinar cuándo las pruebas derivadas de otras constitucionalmente ilegítimas podían ser valoradas y cuándo no. Ese criterio se cifraba en determinar si entre unas y otras existía lo que denominamos «conexión de antijuricidad». «Para tratar de determinar si esa conexión de antijuricidad existe o no», dijimos entonces, «hemos de analizar, en primer término la índole y características de la vulneración del derecho al secreto de las comunicaciones materializadas en la prueba originaria, así como su resultado, con el fin de determinar si, desde un punto de vista interno, su inconstitucionalidad se transmite o no a la prueba obtenida por derivación de aquélla; pero, también hemos de considerar, desde una perspectiva que pudiéramos denominar externa, las necesidades esenciales de tutela que la realidad y efectividad del derecho al secreto de las comunicaciones exige. Estas dos perspectivas son complementarias, pues sólo si la prueba refleja resulta jurídicamente ajena a la vulneración del derecho y la prohibición de valorarla no viene exigida por las necesidades esenciales de tutela del mismo cabrá entender que su efectiva apreciación es constitucionalmente legítima, al no incidir negativamente sobre ninguno de los aspectos que configuran el contenido del derecho fundamental sustantivo (STC 11/1981, FJ 8)».

Pero también afirmamos que la importancia del papel que ha de atribuirse al conocimiento derivado de las pruebas obtenidas con vulneración inmediata del derecho al secreto de las comunicaciones en la obtención de otras pruebas, el nexo, en definitiva entre la prueba originaria y las pruebas derivadas, no es en sí mismo un hecho, sino un juicio de experiencia acerca del grado de conexión que determina la pertinencia o impertinencia de la prueba cuestionada, juicio que corresponde hacer a los Jueces y Tribunales ordinarios (STC 81/1998, FJ 5), sin perjuicio de la comprobación de la razonabilidad del mismo por parte de este Tribunal Constitucional en esta vía de amparo.

5. En definitiva, desechado que pueda traerse a colación la existencia de un mero hallazgo casual de indicios o pruebas de un hecho incriminado –el del delito de negociaciones prohibidas a funcionario- con ocasión de la ilícita investigación de otro hecho delictivo –de defraudación a la Haciendo Pública–, pues los primeros indicios de aquél otro hecho delictivo se obtienen de forma igualmente ilícita, es obvio que hay que concluir aceptando la tesis, del Ministerio Fiscal y del recurrente, que defiende la relación existente entre dicha anulada intervención telefónica y las demás pruebas tomadas en consideración en este asunto. Que esto es así se desprende con toda claridad de las actuaciones.

En efecto, es suficiente la lectura de los folios 98, 99, 118, 125, 137, 153, 158, 165, 166, 200, 242 y 243, para apreciar con total claridad cómo las declaraciones allí recogidas del condenado y de su socio, el descubrimiento de la cuenta bancaria y del establecimiento comercial de ferretería a nombre de éste y las sociedades que constituyeron donde estaban las hijas del acusado, afloran a la luz en principio a partir exclusivamente de las conversaciones telefónicas intervenidas sin que se justifique la ruptura de la conexión que surge de esas actuaciones en el razonamiento expuesto en el fundamento jurídico cuarto de la Sentencia que se limita a decir lo siguiente:

«Mas ello no produce el efecto de nulidad ‘irradiante’ sobre las demás pruebas tomadas en cuenta en la instancia con arreglo a los artículos 117.3 de la CE y 741 de la LECrim. La prueba indirecta, circunstancial o derivada de indicios ha sido adecuadamente valorada en el FJ 3º de la sentencia recurrida con arreglo a las normas contenidas en los artículos 1249 y 1253 del Código civil. Con una seria y plausible corrección epistemológica, tal fundamento fija hasta nueve hechos-base o indicios a través de los cuales establece la conclusión de condena con arreglo a los parámetros constantes de la doctrina jurisprudencial tanto del TC como de esta Sala del TS. Si los indicios o hechos-base no dependían causalmente de las líneas policiales de investigación, al producirse con origen en documentos públicos, registrales y bancarios; las consecuencias no pueden ser otras que las consiguientes, de un lado, en estimar ‘no contaminadas’ dichas pruebas por la investigación policial, y de otro, como consecuencia obligada, estimar enervada la presunción de inocencia».

En síntesis y como recapitulación, trayendo causa todo el acervo de naturaleza indiciaria o circunstancial, de una prueba ilícitamente obtenida, esa tal ilegitimidad de origen que la hace nula ha contaminado aquellas otras posteriores y las convierte en inservibles como tales para quebrar la presunción de inocencia que corresponde a todo acusado, a quien por tanto debe dársele el amparo que nos pide.

F A L L O

En atención a todo lo expuesto, el Tribunal Constitucional, POR LA AUTORIDAD QUE LE CONFIERE LA CONSTITUCIÓN DE LA NACIÓN ESPAÑOLA,

Ha decidido

Otorgar el amparo solicitado por don José Peinado Rodríguez y, en consecuencia:

1º Reconocer que se ha vulnerado el derecho fundamental del recurrente a la presunción de inocencia.

2º Restablecerle en su derecho y, para ello, anular las Sentencia dictadas el 5 de junio de 1995 por la Sala Segunda del Tribunal Supremo y el 20 de julio de 1994 por la Sección Primera de la Audiencia Provincial de Sevilla.

Publíquese esta Sentencia en el «Boletín Oficial del Estado».

Dada en Madrid, a veintiocho de febrero de dos mil.

Decisión Administrativa de la Jefatura de Gabinete de Ministro, de 7 de agosto de 2001

Créase el Proyecto de Simplificación e Informatización de Procedimientos Administrativos (PRO-SIPA), en el contexto del Plan Nacional de Modernización y en el ámbito de la Jefatura de Gabinete de Ministros. Autoridad de aplicación. Asígnanse al Ministro Plenipotenciario Eduardo Andrés Villalba funciones de Coordinador General del mencionado Proyecto.

VISTO el Decreto Nº 103 de fecha 25 de enero de 2001, y

CONSIDERANDO:

Que por el Decreto citado en el Visto se aprobó el PLAN NACIONAL DE MODERNIZACION de la ADMINISTRACION PUBLICA NACIONAL, encomendándose a la JEFATURA DE GABINETE DE MINISTROS la coordinación de la ejecución de las acciones derivadas del mencionado Plan.

Que la experiencia recogida en materia de tramitación de actuaciones administrativas aconseja proceder a su simplificación e informatización a fin de tornar eficiente la gestión y dar cumplimiento a las demandas de la ciudadanía en esa materia.

Que en tal sentido resulta conveniente modernizar los procedimientos administrativos, optimizando el uso de recursos y agilizando el funcionamiento institucional.

Que consecuentemente corresponde revisar la normativa aplicable a la materia, proponiendo modificaciones que tiendan a dinamizar el funcionamiento de la gestión pública y el trámite de las actuaciones administrativas.

Que asimismo resulta necesario incorporar de manera expresa los procesos informáticos, a efectos de obtener celeridad y economía en los procedimientos públicos como elementos esenciales para garantizar la transparencia de los actos.

Que a tales fines resulta aconsejable desarrollar en el ámbito de la ADMINISTRACION PUBLICA NACIONAL un Proyecto de Simplificación e Informatización de Procedimientos Administrativos.

Que tal Proyecto debe abarcar al conjunto de la Administración Nacional, partiendo de la experiencia que resulte de su implementación, en determinadas jurisdicciones.

Que en esa inteligencia, en una primera etapa, la experiencia desarrollada en el MINISTERIO DE ECONOMIA y la SECRETARIA LEGAL Y TECNICA de la PRESIDENCIA DE LA NACION en materia de tramitación de actuaciones administrativas y desarrollo informático, aconseja su inclusión en el marco del presente proyecto.

Que mediante el Decreto Nº 673 de fecha 18 de mayo de 2001 se creó la SECRETARIA PARA LA MODERNIZACION DEL ESTADO en el ámbito de la JEFATURA DE GABINETE DE MINISTROS estableciendo dentro de sus competencias la implementación del PLAN NACIONAL DE MODERNIZACION.

Que en virtud de ello la SECRETARIA PARA LA MODERNIZACION DEL ESTADO resulta la Autoridad de Aplicación de la presente.

Que un uso eficiente de los recursos humanos de la Administración, impone la capitalización de la experiencia de especialistas en el tema.

Que el Ministro Plenipotenciario Dn. Eduardo Andrés VILLALBA reúne las condiciones para coordinar el presente proyecto.

Que la SECRETARIA LEGAL Y TECNICA de la PRESIDENCIA DE LA NACION ha tomado la intervención de su competencia.

Que la presente se dicta en uso de las atribuciones emergentes del artículo 100, incisos 1 y 2 de la CONSTITUCION NACIONAL.

Por ello,

EL JEFE DE GABINETE DE MINISTROS

DECIDE:

Artículo 1º. Créase el PROYECTO DE SIMPLIFICACION E INFORMATIZACION DE PROCEDIMIENTOS ADMINISTRATIVOS (PROSIPA) en el ámbito de la JEFATURA DE GABINETE DE MINISTROS, de conformidad con el Plan de Trabajo que se agrega como Anexo al presente artículo.

Artículo 2º . Dicho Proyecto será de aplicación obligatoria para la ADMINISTRACION PUBLICA NACIONAL, conformada por la administración central y los organismos descentralizados, comprendiendo en estos últimos a las instituciones de seguridad social.

Artículo 3º. El PROYECTO DE SlMPLIFICAClON E INFORMATiZACION DE PROCEDIMIENTOS ADMINISTRATIVOS (PROSIPA) será implementado inicialmente en el ámbito de aplicación determinado en el punto 5 del Anexo al artículo 1º.

Artículo 4º. Establécese que la SECRETARIA PARA LA MODERNIZACION DEL ESTADO de la JEFATURA DE GABINETE DE MINISTROS será la Autoridad de Aplicación de la presente.

El Secretario para la Modernización del Estado podrá dictar las normas aclaratorias, interpretativas y complementarias correspondientes.

Artículo 5º. Instrúyese a las Jurisdicciones y Entidades de la ADMINISTRACION PUBLICA NACIONAL para que presten asistencia y colaboración al desarrollo del Proyecto en sus respectivos ámbitos de competencia.

Artículo 6º. Asígnase al Ministro Plenipotenciario Dn. Eduardo Andrés VILLALBA (DNI Nº 10.474.039) funciones de Coordinador General ad-honorem del Proyecto creado por el artículo 1º.

Artículo 7º. Comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese.

Chrystian G. Colombo.

Domingo F. Cavallo.

Anexo al artículo 1º

ANEXO. PROYECTO DE SIMPLIFICACION E INFORMATIZACION DE PROCEDIMIENTOS ADMINISTRATIVOS (PROSIPA)

PLAN DE TRABAJO

1. INTRODUCCION

La ADMINISTRACION PUBLICA NACIONAL no puede permanecer ajena a los avances y a la aplicación de las nuevas tecnologías de gestión, información y comunicación. Estas contribuyen al incremento de la productividad de los organismos y a optimizar el manejo de la información, reduciendo los costos asociados al traslado y archivo de la misma.

En ese sentido, la reforma del sistema de tramitación de actuaciones administrativas adquiere especial importancia dado que, a través del mismo, se procesa la documentación que dará lugar a la producción de actos administrativos tales como Disposiciones, Resoluciones, Decisiones Administrativas, Decretos y Proyectos de Ley.

Las prácticas arraigadas ponen el acento en el trámite como centro del proceso en desmedro de la calidad y oportunidad del resultado a obtener.

El trámite constituye un medio para la obtención de un resultado, siendo su simplificación e informatización condiciones necesarias para el logro de eficiencia y transparencia del proceso.

Si bien en algunos organismos se comenzó con la aplicación de tecnologías informáticas a los procesos de gestión, por ejemplo en el Ministerio de Economía, el impacto a nivel de la macroestructura sólo será visible cuando esta metodología de trabajo sea adoptada en la mayoría de las organizaciones públicas, generándose de esta manera, un efecto multiplicador.

La ADMINISTRACION PUBLICA NACIONAL cuenta con la Infraestructura de Firma Digital, creada por el Decreto Nº 427/98, que habilita el uso de la misma en reemplazo de la firma manuscrita tendiente a dotar de seguridad a los procedimientos digitalizados.

La utilización de recursos informáticos facilitará la comunicación del ciudadano con el Estado permitiendo la participación del mismo en el control de gestión de la implementación de las políticas públicas.

En el marco del Decreto Nº 103/01 de Modernización del Estado, se formula el presente proyecto cuyos principales objetivos y ámbito de aplicación se detallan a continuación.

2. OBJETIVOS

Diseño e implantación de un moderno sistema de gestión administrativa basado en la figura del «Responsable Primario» como eje del proceso de tramitación de proyectos y en la simplificación de aspectos formales de los procedimientos.

Instrumentación progresiva de procedimientos administrativos digitalizados que eliminen el uso del papel como portador de información.

Adecuación de la normativa vigente en materia de tramitación administrativa a las nuevas tecnologías de gestión, priorizando la transparencia e información al ciudadano.

3. ALCANCE

En una primer etapa, el proyecto de digitalización de trámites, estará focalizado solamente a la tramitación de normas, tales como disposiciones, resoluciones, decisiones administrativas, decretos y proyectos de ley. Como ejemplo de la magnitud del proyecto, se debe tener en cuenta que en el Ministerio de Economía, sobre un total de 120.000 expedientes iniciados en un año, sólo 8000 resultaron ser proyectos de actos administrativos.

4. METODOLOGIA

El proyecto se estructura en base a dos componentes:

A) «Nuevo Modelo de Gestión»: Sus principales actividades son:

-Diagnóstico, en el ámbito de la prueba piloto, del sistema de tramitación de proyectos de actos administrativos.

-Recopilación y análisis de la normativa vigente, en la A.P.N., en materia de tramitación de actuaciones administrativas.

-Análisis de la experiencia internacional en la materia.

-Desarrollo de lineamientos de un nuevo modelo de gestión administrativa.

-Reformulación del marco normativo vigente

-Capacitación

-Implantación de prueba piloto

-Evaluación de resultados

B) «Desarrollo de un Sistema Informático de Gestión de Trámites»: Las principales actividades son:

-Desarrollo prototipo de trámite electrónico con definición de una política de seguridad informática.

-Pruebas y reajustes en función de la reformulación del marco normativo vigente

-Capacitación y nuevas versiones

-Implantación de prueba piloto

-Evaluación de Resultados

5. AMBITO DE APLICACION

En una primera etapa, y como prueba piloto, el ámbito de aplicación del proyecto será la JEFATURA DE GABINETE DE MINISTROS, el MINISTERIO DE ECONOMIA y la SECRETARIA LEGAL Y TECNICA de la PRESIDENCIA DE LA NACION.

En una segunda etapa, se prevé la implantación de acciones de generalización en el resto de los organismos de la ADMINISTRACION PUBLICA NACIONAL.

6. NORMATIVA APLICABLE

6.1. Normativa vigente y objeto de revisión:

Decreto Nº 1759/72

Decreto Nº 759 del 2 de febrero de 1966;

Decreto Nº 4.444 del 13 de agosto de 1969;

Decreto Nº 333 del 19 de febrero de 1985;

Decreto Nº 1593 del 11 de septiembre de 1986;

Decreto Nº 1055 del 6 de julio de 1989;

Decreto Nº 1883 del 17 de septiembre 1991;

Decreto Nº 382 del 21 de marzo de 1995;

Decreto Nº 1571/81

Decreto Nº 229/00

6.2 Normativa vigente en materia de firma digital o Decreto Nº 427/98

Decisión Administrativa N º 102/00

7. BASES CONCEPTUALES

Los ejes rectores del nuevo modelo de gestión administrativa con soporte de firma digital, serán: la figura del Responsable Primario, el tratamiento radial del trámite y la existencia de un seguimiento del proceso del trámite (en tiempo real).

8. CRONOGRAMA DE TRABAJO

Componente – Nuevo Modelo de Gestión

ACTIVIDAD/TIEMPO ESTIMADO

Realización de diagnóstico en áreas estratégicas/ 01/07 al 31/07

Análisis de la normativa vigente en materia de Gestión Administrativa/ 01/07 al 15/08

Análisis de la experiencia internacional en la materia/ 01/07 al 15/08

Formulación de un nuevo modelo de gestión/ 16/08 al 16/09

Reformulación del marco normativo vigente/ 16/08 al 16/09

Implantación de un programa de capacitación y diseño/ 16/09 al 31/10

Implantación Prueba Piloto/ 01/10 al 31/10

Evaluación de resultados/ 01/11 al 15/11

Aprobación de normas/ 15/11 al 15/12

Comienzo de la generalización en la Administración Pública Nacional/ 15/12 en adelante

Componente – Desarrollo de un sistema informático de gestión de trámites

ACTIVIDAD/ TIEMPO ESTIMADO

Desarrollo prototipo de expediente electrónico/ 01/07 al 15/08

Pruebas y reajustes en función de la reformulación marco normativo vigente/ del 16/08 al 30/09

Implantación de un programa de capacitación y nuevas versiones/ 01/10 al 31/10

Implantación Prueba Piloto/ 01/10 al 15/12

Comienzo de la generalización en la Administración Pública Nacional/ 15/12 en adelante

Mexico, 27-29 octubre 2004. Congreso «Información, Tecnología y Derecho: Nuevos retos para Latinoamérica».Para más información: Instituto de Investigaciones Jurídicas de la UNAM. Circuito Maestro Mario de la Cueva s/n, Ciudad Universitaria, CP. 04510, México, D.F. Tel. (52) (55) 56-22-74-64 ó 78, ext. 710, 732 y 512. Fax. (52) (55) 56-65-21-93

El Congreso tiene como objetivo el análisis del estado del arte del derecho de la informática en Latinoamérica, estudiando las propuestas de modificación e introducción de figuras e instituciones jurídicas. Lo anterior se ha de ver reflejado en un documento último en el que resuma el estado actual y retos futuros aplicables a Latinoamérica, con la finalidad de romper el paradigma que han impuesto figuras tales como la «firma electrónica» que demuestran nuestro gran rezago en la materia.

Duración: 3 días (jueves, viernes y sábado)

Fechas: Octubre 27, 28 y 29

Conferenciantes: Dr. Terry Fisher (Universidad de Harvard), Lic. Jorge Amigo Castañeda (Director del IMPI), Dr. Julio Téllez (ITESM, Campus Estado de México), Mtro. Roberto Garza (ITESM, Campus Monterrey), entre otras distinguidas personalidades.

Costos:

Estudiantes $250 (durante el mes de septiembre)

$350 (inscripción en octubre)

Litigantes: $350 (durante el mes de septiembre)

$450 (inscripción en octubre)

Estructura del evento:

Ponencias durante la mañana, Conferencias Magistrales y grupos de trabajo por la tarde.

Temas:

*Comercio electrónico

*Agentes inteligentes

*Propiedad intelectual on-line

Responsabilidad en la red

*Privacidad

IT & enseñanza del Derecho

IT & práctica jurídica

*E-gobierno

Seguridad en la red

Resolución de conflictos

(*)grupos de trabajo

Eventos paralelos:

Feria del postgrado: Oportunidad para las universidades nacionales y extranjeras de dar a conocer los postgrados y apoyos financieros que ofrecen.

Feria del libro: Participación de las editoriales más prestigiadas en la materia.

Sociales: Cena el día jueves (cubierta de manera optativa por los participantes, se darán detalles más adelante)

Para más información:

Instituto de Investigaciones Jurídicas de la UNAM
Circuito Maestro Mario de la Cueva s/n, Ciudad Universitaria, CP. 04510, México, D.F.
Tel. (52) (55) 56-22-74-64 ó 78, ext. 710, 732 y 512. Fax. (52) (55) 56-65-21-93

.

Resolución por la que se ponen en vigor los requisitos para los Sistemas Contable-Financieros soportados sobre Tecnologías de la Información, de 8 de abril de 2004.

Ministerio de Finanzas y Precios – Ministerio de la Informática y las Comunicaciones

POR CUANTO: El Acuerdo nº 2817 del Comité Ejecutivo del Consejo de Ministros de fecha 25 de Noviembre de 1994, en su apartado Tercero, inciso 4, autoriza a los Ministros de Finanzas y Precios y de Informática y las Comunicaciones a dictar, en el límite de sus facultades y competencias, Reglamentos, Resoluciones y otras disposiciones de obligatorio cumplimiento para el sistema del Organismo y en su caso, para los demás Organismos, los órganos locales del Poder Popular, las entidades estatales, el sector cooperativo, mixto, privado y la población.

POR CUANTO: El Acuerdo nº 3736 del Comité Ejecutivo del Consejo de Ministros, de fecha 18 de julio del 2000, faculta al Ministerio de la Informática y las Comunicaciones, para establecer y controlar las normas y regulaciones relativas a la integridad de la información, la seguridad e invulnerabilidad de las redes de infocomunicaciones; el diseño y la documentación de los sistemas informáticos.

POR CUANTO: El Acuerdo nº 3944 del Comité Ejecutivo del Consejo de Ministros, de fecha 19 de marzo del 2001, faculta al Ministerio de Finanzas y Precios, elaborar y en su caso, proponer la legislación y los sistemas que aseguren la integridad y el control financiero de los intereses del Estado cubano en entidades públicas, privadas y asociaciones con capital extranjero, incluyendo los principios, normas y procedimientos de contabilidad, costos y control interno.

POR CUANTO: La Resolución Conjunta del Comité Estatal de Finanzas, actualmente, Ministerio de Finanzas y Precios, en lo adelante MFP y el Instituto Nacional de Sistemas Automatizados y Técnicas de Computación, actualmente extinto y cuyas funciones asume el Ministerio de la Informática y las Comunicaciones, en lo adelante MIC, de fecha 1ro. de agosto de 1991, puso en vigor los requisitos mínimos que deberán cumplir los sistemas automatizados para garantizar el Control Interno y la Auditoría.

POR CUANTO: El Acuerdo nº 092 del Consejo de Ministros, de fecha 2 de junio del 2002, aprobó las Medidas Complementarias para dar continuidad a los esfuerzos dirigidos al fortalecimiento de la Contabilidad y el Control Interno en las entidades y dentro de ellas considera instrumentar la certificación de los sistemas contables – financieros soportados sobre las tecnologías de la información y las comunicaciones.

POR CUANTO: Se hace necesario actualizar los requisitos que deberán cumplir los sistemas contables – financieros soportados sobre las tecnologías de la información y establecer el proceso de certificación de estos sistemas.

POR TANTO: En el ejercicio de las facultades que nos están conferidas,

RESOLVEMOS:

PRIMERO: Poner en vigor los «Requisitos para los Sistemas Contables – Financieros soportados sobre las tecnologías de la información», que como Anexo nº 1, forma parte integrante de esta Resolución.

SEGUNDO: Los requisitos a que se refiere el apartado anterior serán de obligatorio cumplimiento para todas las personas naturales y jurídicas que diseñen, elaboren o exploten, sistemas y programas contables – financieros soportados sobre tecnologías de la información.

TERCERO: Las personas jurídicas que explotan sistemas y programas contables – financieros sustentados en las tecnologías de la información están obligadas a imprimir al cierre del ejercicio económico anual, los registros contables con independencia del sistema que esté en explotación y a conservar los listados y la información en soporte electrónico según la legislación vigente.

CUARTO: Se establece la obligatoriedad de que todos los sistemas contables – financieros soportados sobre las tecnologías de la información, cuenten con una CERTIFICACIÓN otorgada por la entidad ministerial que se designe al efecto, previo dictamen de una comisión «ad-hoc» integrada por Especialistas de ambos Ministerios, sobre:

Seguridad y protección del sistema.
Grado de adaptación a las normas contables cubanas.

QUINTO: En los casos en que se considere necesario, podrán participar en la comisión especialistas de otros organismos de la administración central del Estado.

SEXTO: La Agencia de Control y Supervisión del MIC habilitará un Registro de Control de las certificaciones expedidas.

SÉPTIMO: A todos los efectos de este proceso, el Ministerio de la Informática y las Comunicaciones y el Ministerio de Finanzas y Precios, dictarán los procedimientos que se requieran.

OCTAVO: Los productores o representantes de Sistemas Contables – Financieros soportados sobre las tecnologías de la información que estén en explotación al momento de la promulgación de esta resolución, tendrán un plazo máximo de un año para certificar el sistema, informar a sus clientes del resultado y continuar su comercialización si se certifica el sistema.

NOVENO: Los jefes de las entidades, en el momento de seleccionar un sistema, deberán exigir a los productores o representantes de Sistemas Contables – Financieros soportados sobre las tecnologías de la información, la documentación que acredita que el sistema está certificado por la autoridad competente.

DÉCIMO: Se delega en los viceministros que atienden a la Dirección de Normas Contables del Ministerio de Finanzas y Precios y el que atiende la Oficina Nacional de Seguridad para las Redes Informáticas del Ministerio de la Informática y las Comunicaciones, la facultad para dictar cuantas instrucciones resulten necesarias para el mejor cumplimiento de la presente.

UNDÉCIMO: Se deroga la Resolución Conjunta CEF – INSAC, de fecha 1ro. de agosto de 1991 y cuantas más normas y disposiciones se opongan a lo dispuesto.

COMUNIQUESE la presente Resolución a cuantas personas naturales y jurídicas deben conocer de la misma.

PUBLÍQUESE en la Gaceta Oficial de la República y archívense los originales en las Direcciones Jurídicas de ambos Ministerios.

Dada en la ciudad de La Habana, a los ocho días del mes de abril del 2004.

Georgina Barreiro Fajardo Ignacio González Planas
Ministra Ministro
Ministerio de Finanzas y Precios Ministerio de la Informática y las
Comunicaciones

REQUISITOS PARA LOS SISTEMAS CONTABLES FINANCIEROS SOPORTADOS SOBRE LAS TECNOLOGÍAS DE LA INFORMACIÓN.

Introducción

La utilización de los sistemas contables financieros soportados sobre las tecnologías de la información esta sujeta al cumplimiento de las exigencias vigentes en materia de seguridad informática para estas tecnologías, no obstante, a partir de la importancia que para cualquier organización representa este tipo de sistemas y de sus particularidades, resulta conveniente especificar los principales requerimientos que en los mismos deben ser considerados.

Sobre esta base, el presente documento expresa los requisitos que deben tenerse en cuenta durante el ciclo de vida de los sistemas contables financieros soportados sobre las tecnologías de la información y las comunicaciones.

Responsabilidades

Los usuarios de las tecnologías de la información para la Explotación de un Sistema Contable Financiero en una entidad tienen las siguientes obligaciones principales:

Adquirir la preparación necesaria y los conocimientos de Seguridad Informática imprescindibles para el desempeño
de su trabajo.
Contar con la autorización expresa del jefe facultado, para obtener acceso a cualquier activo o recurso.
No divulgar la información a que tiene acceso sin la autorización del Jefe facultado.
Cumplir los procedimientos establecidos para el empleo de las contraseñas y para la salva de programas y datos.
No introducir ni utilizar en las tecnologías ningún producto ni modificar la configuración de las mismas, sin la
correspondiente autorización del jefe facultado.
No intentar transgredir ninguna de las medidas de seguridad establecidas.
Proteger las tecnologías o la terminal de red que le ha sido asignada y colaborar en la protección de cualquier otra,
para evitar que sea robada, dañada o usada la información que contiene o utilizado el sistema al que esté conectada.
Informar al dirigente facultado de cualquier anomalía de seguridad detectada.

Identificación, Autenticación y Control de Acceso

El acceso de los usuarios a los sistemas contables financieros de una entidad tiene que estar aprobado previamente por la dirección de la misma y constar evidencia documental de ese acto.

El equipamiento utilizado en los sistemas contables financieros no podrá ser utilizado por personal que no esté debidamente autorizado.

En cada entidad se definirán los procedimientos que se requieran para otorgar o suspender el acceso de los usuarios a los sistemas contables financieros y los perfiles de trabajo de los mismos. Estos procedimientos incluirán la conformación de un listado de usuarios autorizados con sus derechos de acceso, garantizando la eliminación de aquellos que ya no los requieran por razones de trabajo o por no laborar en la entidad, así como de los identificadores, junto a todos los derechos de acceso que le fueron concedidos.

A las tecnologías de información utilizadas para la explotación de los sistemas contables financieros se les implementarán mecanismos para identificar y autenticar a los usuarios, así como para garantizar el registro y conservación de todos los accesos e intentos fallidos de acceso.

Para la protección de los sistemas y la protección del propio usuario, las contraseñas:

Tienen que ser privadas e intransferibles.
Su estructura y fortaleza estará en correspondencia con el acceso que protegen.
No pueden ser visualizadas en pantalla mientras se teclean.
No pueden ser almacenadas en texto claro (sin cifrar) en ningún tipo de tecnologías de información.
Se guardará copia de las mismas, de forma que se garantice su privacidad, para su empleo como excepción en caso de
ausencia del usuario.

De la integridad de los sistemas, ficheros y datos.

Se implementarán los mecanismos de seguridad que eviten la modificación, destrucción y pérdida de los ficheros y datos vinculados con los sistemas contables financieros.

Se establecerán, por las entidades, las medidas para proteger los programas del sistema y sus procedimientos de control para evitar que puedan ser violados, borrados o modificados con el fin de evadir los controles de seguridad.

Los programas, ficheros y datos de los sistemas contables financieros, incluyendo las copias de respaldo no pueden ser, en ningún caso:

Accedidos públicamente sin la debida autorización.
Los accesos temporales tienen que estar plenamente justificados y aprobados, así como ser eliminados
inmediatamente después de terminar la necesidad de su uso.
Las actividades de uso y acceso realizadas por los usuarios, tienen que ser registradas y revisadas.

Se garantizará la existencia de pistas o rastros de seguimiento que posibiliten las investigaciones más comunes que se realizan sobre las operaciones, tales como las cuentas que fueron afectadas por una transacción, la emisión de una factura, las retenciones que afectaron el salario devengado, y otras similares.

Del trabajo en sistemas multiusuarios.

En las tecnologías de información que brindan servicio a varios usuarios, como sistemas multiusuarios, servidores de bases de datos, aplicaciones con más de un operador y otros casos similares, se implementarán mecanismos de control que permitan contar con una traza o registro de los principales eventos que se ejecuten, por lo que:

En los sistemas de redes se controlará el acceso al servidor o a las terminales.
Estará debidamente compartimentado y controlado el acceso a los ficheros o bases de datos de los sistemas de forma
tal que se garantice la identificación de dicho acceso.

De los procedimientos de salva de los ficheros de datos y el sistema.

En cada entidad se establecerán los procedimientos que garanticen:

La obtención de copias de seguridad actualizadas de programas y datos.
La frecuencia con que se realicen.
Los responsables de la ejecución de los procedimientos.
La cantidad de copias, según su importancia.
Que cada salva esté adecuadamente identificada.
Se mantengan copias de seguridad para datos y programas en algún soporte magnético externo.
Las copias de seguridad se conserven en locales alejados de donde se procesa habitualmente.

Ley nº 7.961 de Protección a los Sistemas de Trazados de los Circuitos Integrados, del 17 de diciembre de 1999.(Publicada en la Gaceta nº 13 del 19 de enero de 2000).

LA ASAMBLEA LEGISLATIVA DE LA REPUBLICA DE COSTA RICA

Decreta:

PROTECCION A LOS SISTEMAS DE TRAZADOS DE LOS CIRCUITOS INTEGRADOS

CAPITULO I. Definiciones

Artículo 1º. Términos utilizados. Para los efectos de esta ley, se definen los siguientes conceptos:

a) Circuito integrado: Producto, en su forma final o intermedia, de cuyos elementos, al menos uno es activo y alguna o todas las interconexiones forman parte del cuerpo o la superficie de una pieza de material, y que se destina a realizar una función electrónica.
b) Esquema de trazado: Disposición tridimensional, expresada en cualquier forma, de los elementos, al menos uno de los cuales es activo, e interconexiones de un circuito integrado, así como esta disposición tridimensional preparada para un circuito integrado por fabricar.
c) Titular: Persona natural o jurídica beneficiaria de la protección conferida por la presente ley.
d) Esquema de trazado protegido: Esquema de trazado respecto del cual se han cumplido las condiciones para protegerlo conforme a la presente ley.
e) Registro: El Registro de la Propiedad Industrial adscrito al Registro Nacional.

CAPITULO II. Protección de los esquemas de trazado de circuitos integrados

Artículo 2º. Competencia del Registro de la Propiedad Industrial. Para los efectos de esta ley, la administración de la propiedad intelectual estará a cargo del Registro de la Propiedad Industrial, adscrito al Registro Nacional según la Ley de Creación de la Junta Administrativa del Registro Nacional, Nº 5695, de 28 de mayo de 1975.

Artículo 3º. Obligación de protección. Los esquemas de trazado de circuitos integrados serán protegidos como objetos de propiedad intelectual, de conformidad con esta ley.

Artículo 4º. Condición para la protección. Un esquema de trazado será protegido cuando sea original. Se considerará original cuando resulte del esfuerzo intelectual propio de su diseñador y no sea corriente en el sector de la industria de los circuitos integrados.

Cuando un esquema de trazado esté constituido por uno o más elementos corrientes en el sector de la industria de los circuitos integrados, se considerará original si la combinación de los elementos, como conjunto, cumple con esta condición.

Artículo 5º. Derecho a la protección. El derecho para registrar un esquema de trazado de circuito integrado corresponde a su diseñador. Podrá ser transferido por acto entre vivos o por vía sucesoria.

Si el esquema ha sido diseñado por dos o más personas conjuntamente, el derecho a la protección les corresponderá en común.

Cuando el esquema se haya diseñado en cumplimiento de un contrato de obra o servicio con este fin o en el marco de una relación laboral en la que el diseñador tenga esa función, el derecho a la protección le corresponderá a la persona contratante de la obra o el servicio o al empleador, salvo disposición contractual en contrario.

Artículo 6º. Nacimiento del derecho exclusivo. El derecho exclusivo sobre un esquema de trazado de circuito integrado comenzará en la fecha de presentación de la solicitud de inscripción ante el Registro, y otorgará sobre él los respectivos derechos morales y patrimoniales.

En caso de que el esquema de trazados haya sido explotado comercialmente en cualquier lugar del mundo, la solicitud de registro deberá presentarse ante el Registro dentro de un plazo de dos años, contado a partir de la fecha de la primera explotación comercial del esquema. Si la solicitud se presenta después de vencido este plazo, el registro será denegado.

Un esquema de trazado no explotado comercialmente en ningún lugar del mundo, sólo podrá registrarse si se solicita ante el Registro dentro de un plazo de quince años, contado desde el último día del año civil en que se diseñó el esquema. Si la solicitud se presenta después de vencido este plazo, el registro será denegado.

Artículo 7º. Duración del derecho exclusivo. El derecho exclusivo sobre un esquema de trazado registrado tendrá duración de diez años, contados a partir de la fecha más antigua de las siguientes:

a) El último día del año civil en que se haya realizado la primera explotación comercial del esquema de trazados en cualquier lugar del mundo.
b) La fecha en que se haya presentado la solicitud de inscripción ante el Registro.
La protección de un esquema de trazado registrado caducará, en todo caso, al vencer un plazo de quince años contado desde el último día del año civil en que se diseñó el esquema.

CAPITULO III. Contenido, alcance y excepciones del derecho

Artículo 8º. Derechos exclusivos. El registro de un esquema de trazado de circuito integrado confiere a su titular el derecho de impedir que terceras personas realicen cualquiera de los siguientes actos:

a) Reproducir, por incorporación en un circuito integrado o de cualquier otro modo, el esquema de trazado protegido, en su totalidad o una de sus partes que cumpla la condición de originalidad según el primer párrafo del artículo 4 de la presente ley.
b) Comercializar, importar, ofrecer en venta, vender o distribuir, en cualquier forma, el esquema de trazado protegido, un circuito integrado que incorpore ese esquema o un artículo que contenga tal circuito.
La protección conferida por el registro solo atañe propiamente al esquema de trazado y no comprende ningún concepto, proceso, sistema, técnica ni información que se codifique o incorpore en el esquema de trazado.

La protección se aplicará independientemente de que el circuito integrado que incorpora el esquema de trazado registrado se encuentre contenido en un artículo e independientemente de que el esquema se haya incorporado en un circuito integrado.

Artículo 9º. Excepciones del derecho exclusivo. El derecho conferido por el registro de un esquema de trazado solo podrá hacerse valer contra actos realizados con fines industriales o comerciales. El registro no confiere el derecho de impedir:

a) Actos realizados en el ámbito privado y con propósitos no comerciales.
b) Actos realizados exclusivamente con fines de evaluación, análisis o experimentación, respecto al esquema de trazado protegido o el circuito integrado que lo incorpora.
c) Actos realizados exclusivamente con fines de enseñanza o investigación científica o académica.
d) Actos referidos en el artículo 5 ter del Convenio de París para la Protección de la Propiedad Industrial, ley Nº 7484, de 28 de abril de 1995.

Artículo 10. Agotamiento de derecho. El registro de un esquema de trazado no confiere el derecho de impedir a un tercero realizar los actos mencionados en el inciso b) del primer párrafo del artículo 8 de la presente ley respecto de esquemas de trazado protegidos, de circuitos integrados que los incorporen o artículos que contengan estos circuitos después de que hayan sido introducidos en el comercio en cualquier país, por el titular u otra persona con consentimiento de este o económicamente vinculada a él.

A efectos del párrafo precedente, se entenderá que dos personas están económicamente vinculadas cuando una puede ejercer, directa o indirectamente, sobre la otra influencia decisiva respecto de la explotación del esquema de trazado protegido o cuando un tercero puede ejercer esa influencia sobre ambas personas.

Artículo 11. Ingeniería inversa. El titular del registro de un esquema de trazado no podrá impedir a un tercero realizar actos de explotación industrial ni comercial relativos a un esquema de trazado creado por un tercero, mediante la evaluación o el análisis del esquema de trazado protegido, siempre que el esquema así creado cumpla la condición de originalidad aludida en el artículo 3 de la presente ley. Tampoco podrá impedir estos actos respecto de los circuitos integrados que incorporen el esquema de trazado así creado ni de los artículos que los incorporen.

Artículo 12. Creación independiente. El titular del registro de un esquema de trazado no podrá impedirle a un tercero realizar los actos mencionados en el inciso b) del primer párrafo del artículo 8 de la presente ley respecto de otro esquema de trazado original creado independientemente por un tercero, aun cuando sea idéntico.

Artículo 13. Infractor inocente. No se considerará infracción de los derechos sobre un esquema de trazado registrado, la realización de algún acto referido en el inciso b) del primer párrafo del artículo 8 de la presente ley respecto de un circuito integrado que incorpore, ilícitamente, un esquema de trazado o de un artículo que contenga tal circuito integrado, cuando quien lo realice no sepa ni tenga motivos razonables para saber que el esquema se había reproducido de modo ilícito.

Sin perjuicio de lo dispuesto en el párrafo anterior, desde el momento en que esa persona sea informada de la ilicitud del esquema de trazado, podrá continuar realizando esos actos respecto de los productos que aún tenga en existencia o que haya pedido desde antes. Sin embargo, a petición del titular del derecho deberá pagarle una compensación equivalente a la regalía que habría correspondido por una contractual.

CAPITULO IV. Transferencia y licencias

Artículo 14. Transferencia del derecho. Un registro de esquema de trazado o una solicitud de registro podrá ser transferido por acto entre vivos o por vía sucesoria.

Toda transferencia relativa a un esquema de trazado registrado o a una solicitud de registro deberá constar por escrito. La transferencia tendrá efectos legales frente a terceros a partir de la presentación en el Registro.

Artículo 15. Licencias contractuales. El titular o el solicitante de un registro de esquema de trazado podrá conceder licencia para la explotación de este esquema.

La transferencia tendrá efectos legales frente a terceros a partir de la presentación en el Registro.

Artículo 16. Licencias obligatorias. Serán aplicables a la concesión de una licencia obligatoria respecto de un esquema de trazado, las condiciones determinadas para conceder las licencias obligatorias respecto de patentes de invención, determinadas por la Ley de Patentes de Invención, Dibujos y Modelos Industriales y Modelos de Utilidad, Nº 6867, de 25 de abril de 1983 y sus reformas.

CAPITULO V. Procedimiento de registro

Artículo 17. Solicitud de registro. El registro de un esquema de trazado de circuito integrado se solicitará en el Registro. La solicitud contendrá:

a) Un petitorio.
b) Una representación gráfica del esquema de trazado cuyo registro se solicita.
c) Una declaración con la fecha de la primera explotación comercial del circuito integrado en cualquier lugar del mundo, cuando sea el caso.
d) Una descripción que defina la función electrónica que debe realizar el circuito integrado que incorpora el esquema de trazado.
e) Los poderes jurídicamente establecidos que sean necesarios.

El petitorio contendrá:

i) El nombre y la dirección del solicitante.
ii) El domicilio del solicitante y, cuando sea una persona jurídica, el lugar de su domicilio legal.
iii) El nombre y la dirección del diseñador del esquema de trazado, cuando no sea el mismo solicitante.
iv) El nombre y la dirección del representante o apoderado en el país, cuando el solicitante no tenga domicilio ni establecimiento en Costa Rica.
v) Una petición de registro del esquema de trazado.
vi) La fecha, el número y la oficina de presentación de toda solicitud de registro u otro título de protección presentado u obtenido en el extranjero por el mismo solicitante o su causante, que se refiera, total o parcialmente, al mismo esquema de trazado objeto de la solicitud presentada en Costa Rica.
vii) La firma del solicitante o de su representante.
Cuando el esquema de trazado cuyo registro se solicita incluya algún secreto empresarial, el solicitante presentará, además de la representación gráfica requerida conforme al primer párrafo de este artículo una representación del esquema en la cual se hayan omitido, borrado o desfigurado las partes que contengan ese secreto; las restantes deberán ser suficientes para permitir, en todo caso, la identificación del esquema de trazado.

Artículo 18. Fecha de presentación. Se considerará como fecha de presentación de la solicitud la de su recepción por el Registro, siempre que contenga, al menos, lo siguiente:

a) Indicación, expresa o implícita, de que se solicita el registro de un esquema de trazado.
b) Datos que permitan identificar al solicitante o a quien presente la solicitud o le permitan al Registro comunicarse con esa persona.
c) Representación gráfica del esquema de trazado cuyo registro se solicita.
Si la solicitud omite alguno de los elementos indicados en el párrafo anterior, su fecha de presentación no será válida y el Registro se lo notificará al solicitante para que subsane la omisión. Mientras no la subsane, la solicitud se considerará como no presentada. Si la subsana, se considerará como fecha de presentación aquella en la cual queden cumplidos por lo menos los requisitos indicados en el párrafo anterior.

Artículo 19. Desistimiento de la solicitud. El solicitante podrá desistir de su solicitud en cualquier momento del trámite. El desistimiento acaba con la instancia administrativa y, en consecuencia, se pierde la fecha de presentación atribuida.

Artículo 20. Examen de la solicitud. El Registro examinará si el objeto de la solicitud constituye un esquema de trazado conforme a la definición del artículo 1 de la presente ley, y si la solicitud comprende los elementos señalados en el artículo 17 de esta ley.

En caso de observarse alguna omisión o deficiencia, se notificará al solicitante para que la corrija dentro de un plazo de tres meses, bajo apercibimiento de considerarse abandonada la solicitud y archivarse de oficio. Si el solicitante no efectúa la corrección en dicho plazo, el Registro hará efectivo el apercibimiento mediante resolución fundamentada.

Artículo 21. Publicación de la solicitud. Examinada la solicitud, el Registro ordenará anunciarla mediante la publicación de un aviso, a costa del interesado, en el Diario Oficial.

El aviso deberá entregarse a la Imprenta Nacional dentro de los quince días hábiles siguientes a la fecha de recepción de la orden de publicación correspondiente. En su defecto, la solicitud, de pleno derecho caerá, en abandono y se archivará de oficio. Dentro de los dos meses a partir de la publicación, el interesado deberá presentar al Registro un ejemplar de la página del diario oficial en que apareció el aviso o fotocopia de ella. Si el ejemplar no se presenta dentro del plazo indicado, la solicitud caerá de pleno derecho en abandono y se archivará de oficio.

Artículo 22. Observaciones. Cualquier persona interesada podrá presentar al Registro observaciones fundamentadas, incluso informaciones o documentos útiles para determinar la registrabilidad de un esquema de trazado.

Las observaciones recibidas se notificarán al solicitante, quien podrá presentar comentarios o documentos relativos a ellas.

La presentación de observaciones no suspenderá la tramitación de la solicitud. Quien las haga no pasará por ello a ser parte en el procedimiento.

De recibirse observaciones, el Registro podrá examinarlas a fin de determinar la registrabilidad del esquema de trazado.

Artículo 23. Resoluciones y registro. Si se han cumplido los requisitos fijados, el Registro registrará el esquema de trazado, expedirá un certificado con los datos incluidos en el registro correspondiente y ordenará que el registro se anuncie en el Diario Oficial.

CAPITULO VI. Nulidad, anulación y otras medidas

Artículo 24. Nulidad. Siempre que se garanticen los principios del debido proceso, el Registro podrá declarar, de oficio o a pedido de cualquier sujeto al menos con interés legítimo la nulidad de registro de un esquema de trazado, siempre que sea evidente y manifiesta, en los siguientes casos:

a) Cuando el objeto del registro no constituya un esquema de trazado conforme a la definición del artículo 1 de la presente ley.
b) Cuando el registro se haya concedido para un esquema de trazado que no cumple con los requisitos de protección previstos en el artículo 4 de la presente ley.
c) Cuando el registro se haya concedido para un esquema de trazado presentado después de vencido alguno de los plazos dispuestos en los párrafos segundo y tercero del artículo 6 de la presente ley.

Cuando una causal de nulidad solo afecte a una parte del esquema de trazado registrado, la nulidad se declarará únicamente respecto de la parte afectada, y el registro quedará vigente para las demás partes, siempre que, en su conjunto, cumplan el requisito de originalidad conforme al artículo 4 de la presente ley.

La acción de nulidad prescribirá a los cuatro años contados desde la fecha de concesión del registro.

La declaración de nulidad tendrá efecto retroactivo a la fecha del acto, todo sin perjuicio de los derechos adquiridos de buena fe.

Tratándose de una nulidad declarada de oficio se estará a lo dispuesto en los incisos 1) a 3) del artículo 173 de la Ley General de la Administración Pública, Nº 6227, de 2 de mayo de 1978.

Artículo 25. —Anulación. Siempre que se garanticen los principios del debido proceso, un registro de esquema de trazado podrá anularse, cuando se haya concedido a quien no tenía el derecho de obtenerlo. La acción de anulación solo podrá ser iniciada por la persona a quien le pertenezca el derecho de obtener el registro y se ejercerá ante la autoridad competente. Esta acción prescribirá a los dos años contados desde la fecha en que la persona a quien pertenezca el derecho de obtener el registro haya tenido conocimiento de la comercialización del producto que incorpora el esquema de trazado en el país.

La anulación producirá efectos solo para el futuro, excepto cuando se necesite el efecto retroactivo para evitar daños al destinatario, a terceros o al interés público.

Artículo 26. Responsabilidades. Las acciones administrativas, civiles o penales relacionadas con esta ley se regularán en una ley posterior sobre procedimientos de observancia de los derechos de propiedad intelectual.

CAPITULO VII. Disposiciones generales

Artículo 27. Agrupación de pedidos. Podrá solicitarse, mediante un pedido único, la modificación o corrección de dos o más solicitudes o registros, siempre que la modificación o corrección haya sido la misma para todos y que se notifique a cada uno de los solicitantes.

Podrá solicitarse, mediante un pedido único, la inscripción de transferencias relativas a dos o más solicitudes o registros, siempre que el transfirente y adquirente sean los mismos en todos. Esto se aplicará, en lo pertinente, a la inscripción de las licencias.

Para lo previsto en este artículo, el peticionante deberá identificar cada solicitud o registro en que deba hacerse la modificación, corrección o inscripción.

Artículo 28. Ausencia de legalización. Ningún trámite administrativo, instancia de parte o contencioso, relativo a la obtención, el mantenimiento o la disposición de un registro previsto en esta ley, será admisible si los documentos no cumplen las autenticaciones, la legalización, y la certificación respectiva.

Artículo 29. Prórroga de plazos. A petición del solicitante o titular de un registro, en casos debidamente justificados, el Registro podrá prorrogar en forma prudencial los plazos establecidos a favor del solicitante o titular en esta ley o sus disposiciones reglamentarias, para contestar una notificación o un requerimiento del Registro.

Artículo 30. Inscripción y publicación de las resoluciones. El Registro inscribirá y publicará en el diario oficial las resoluciones y sentencias firmes relativas a la concesión de licencias obligatorias y a la nulidad, anulación o renuncia de los registros.

Artículo 31. Publicidad del registro. El registro de esquemas de trazado de circuitos integrados es público y cualquier persona podrá consultarlo, de acuerdo con las modalidades de consulta que determinará el Registro.

Cuando el esquema de trazado cuyo registro se solicita incluya algún secreto empresarial, y el solicitante haya presentado, oportunamente, una representación del esquema en la cual se hayan omitido, borrado o desconfigurado las partes que contengan el secreto, la representación gráfica integral del esquema no será accesible a terceras personas, salvo con autorización escrita del solicitante o el titular del registro.

Artículo 32. Publicidad de expedientes. Cualquier persona podrá consultar en el Registro el expediente relativo a una solicitud publicada aun después de haber concluido su trámite.

El expediente de una solicitud en trámite no podrá ser consultado por terceros antes de publicarse la solicitud, salvo consentimiento por escrito del solicitante. Esta restricción es aplicable igualmente a las solicitudes que hayan sido objeto de desistimiento o abandono, antes de ser publicadas.

El expediente de una solicitud en trámite podrá ser consultado antes de su publicación por quien acredite que el solicitante lo ha notificado para que cese alguna actividad industrial o comercial, invocando la solicitud.

Cuando el esquema de trazado incluya algún secreto empresarial, será aplicable, en lo pertinente, lo dispuesto en el tercer párrafo del artículo anterior.

CAPITULO VIII. Disposiciones finales

Artículo 33. Reglamento. El Poder Ejecutivo reglamentará esta ley en un plazo máximo de seis meses.

Rige a partir de su publicación.

Comisión Legislativa Plena Tercera.

Aprobado el anterior proyecto el día treinta de noviembre de mil novecientos noventa y nueve.

Alicia Fournier Vargas, Presidenta.

Everardo Rodríguez Bastos, Secretario.

Comunícase al Poder Ejecutivo

Asamblea Legislativa.

San José, a los trece días del mes de diciembre de mil novecientos noventa y nueve.

Carlos Vargas Pagán, Presidente.

Manuel Ant. Bolaños Salas, Primer Secretario.

Rafael Angel Villalta Loaiza, Segundo Secretario.

Presidencia de la República.

San José, a los diecisiete días del mes de diciembre de mil novecientos noventa y nueve.

Ejecútese y publíquese

MIGUEL ANGEL RODRIGUEZ ECHEVERRIA.

El Ministro de Comercio Exterior, Samuel Guzowski Rose

Anteproyecto de Ley de Protección Jurídica del Correo Electrónico. Resolución Nº 333/2001 de 10 de septiembre de 2001

BUENOS AIRES, 10 de septiembre de 2001

VISTO el expediente EXPMINFRAVI EX 225-000318 del registro del MINISTERIO DE INFRAESTRUCTURA Y VIVIENDA, los Decretos Nro 772 del 4 septiembre de 2000, Nro 252 del 17 de marzo de 2000 y Nro 243 de fecha 26 de febrero de 2001, y

CONSIDERANDO:

Que el Decreto Nº 252/00 crea el Programa Nacional para la Sociedad de la Información.

Que el Decreto Nº 243/01 dispone en su artículo 1, que la SECRETARIA DE COMUNICACIONES dependiente del MINISTERIO DE INFRAESTRUCTURA Y VIVIENDA, tendrá a su cargo la definición, coordinación y supervisión del mismo.

Que el artículo 6 del Decreto 252/00, establece que Quedan incluidas en el Programa Nacional para la Sociedad de la Información, las actividades vinculadas al diseño e implementación de políticas públicas destinadas a proveer a la universalización de Internet y otras redes digitales de datos, al desarrollo del comercio electrónico, a la formación de recursos humanos especializados en su gestión, al fomento de las inversiones y al desarrollo, en general, de las telecomunicaciones, la informática, la electrónica, el software y demás tecnologías afines.

Que en este contexto, la vigencia de un marco normativo adecuado, resulta fundamental para el logro de estos objetivos.

Que en este entendimiento, la Secretaría de Comunicaciones ha procedido a realizar una serie de actividades destinadas a avanzar en la redacción de diferentes documentos de consulta.

Que se ha decidido que el primero de ellos sea el referido a la Protección Jurídica del Correo electrónico.

Que cabe resaltar que la utilización de este mecanismo de consulta es particularmente útil, toda vez que es relevante el aporte que puedan realizar los sectores interesados en la utilización del correo electrónico, así como las empresas involucradas en su prestación.

Que este procedimiento tiende a que los requeridos, y todos los interesados en general, manifiesten su opinión respecto de la temática abordada por el anteproyecto que se somete a consulta.

Que las propuestas que se eleven permitirán obtener una base cierta de información y opinión, que serán tomadas en cuenta al momento de elaborar el proyecto definitivo.

Que la presente medida se dicta en uso de las facultades conferidas por el Decreto Nro 772 y el Decreto Nro 243/01.

Por ello,

EL SECRETARIO DE COMUNICACIONES

RESUELVE:

Artículo 1º. Adóptase el procedimiento de Documento de Consulta previsto en el ANEXO I, artículo 44 y siguientes del Reglamento General de Audiencias Públicas y Documentos de Consulta para las Comunicaciones, aprobado por Resolución S.C. Nro 57/96, a los fines de tratar el documento que contendrá el Anteproyecto De Ley De Protección Jurídica Del Correo Electrónico, que como ANEXO I integra la presente.

Artículo 2º. Las opiniones y sugerencias deberán ser enviadas a la siguiente dirección de correo electrónico: [email protected].

Artículo 3º. Todo interesado podrá acceder a cada uno o todos los trabajos recibidos, ingresando a la página Web de la Secretaría de Comunicaciones (www.secom.gov.ar).

Artículo 4º. Sin perjuicio del derecho de formular sugerencias de todos aquellos interesados, remítase el Documento de Consulta a la Facultad de Derecho y Ciencias Sociales de la Universidad de Buenos Aires, Carrera de Derecho de Alta Tecnología de la Universidad Católica Argentina, Federación Argentina de Colegios de Abogados (FACA), Colegio Público de Abogados de la Capital Federal, Cámara de Empresas de Software y Servicios Informáticos (CESSI), Cámara de Informática y Comunicaciones de la República Argentina (CICOMRA), Cámara del Software Digital Interactivo, Cámara Argentina de Base de Datos y Servicios en Línea (CABASE), Cámara Argentina de Comercio Electrónico (CACE), Webmaster Unidos Argentinos, Asociación Argentina de Derecho de Alta Tecnología (AADAT), Asociación Argentina de Derecho de las Telecomunicaciones (AADT), Asociación Argentina de Usuarios de la Informática y las Comunicaciones (Usuaria), Asociación de Abogados de Buenos Aires, Asociación Argentina de Derecho Administrativo e Internet Society, Capítulo Argentino (ISOC.AR).

Artículo 5º. Regístrese, comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese.

Decreto 67 de 15 de enero de 2003, por el cual se prorroga el plazo previsto en el primer inciso del artículo 8 del Decreto 1524 de 2002.

EL PRESIDENTE DE LA REPUBLICA DE COLOMBIA

En ejercicio de sus facultades constitucionales y legales y en especial de las que le confieren el numeral 11 del artículo 189 de la Constitución Política, la Ley 72 de 1989, y la Ley 679 de 2001 y,

CONSIDERANDO

Que el 24 de julio de 2002 se expidió el Decreto 1524 de 2002, el cual tiene por objeto reglamentar el artículo 5 de la Ley 679 de 2001, con el fin de establecer las medidas técnicas y administrativas destinadas a prevenir el acceso de menores de edad a cualquier modalidad de información pornográfica contenida en Internet o en las distintas clases de redes informáticas a las cuales se tenga acceso mediante redes globales de información.

Que el primer inciso del artículo 8 del Decreto 1524 de 2002 estableció un término máximo de seis (6) meses contados a partir de la vigencia del decreto con el fin que los ISP y proveedores de servicios de alojamiento, adoptaran las medidas administrativas y técnicas previstas en este.

Que al término del plazo anterior, los ISP y proveedores de servicios de alojamiento deben informar al Ministerio de Comunicaciones sobre la forma como se han adoptado dichas medidas, así como de otras que motu propio hayan considerado convenientes para el cumplimiento del objeto del presente decreto.

Que el Decreto 1524 de 2002 fue publicado en el Diario Oficial nº 44883 del 30 de julio de 2002, por lo cual los seis meses de que trata el artículo 8 se cumplen el 30 de enero de 2003.

Que le Ministerio de Comunicaciones ha constado que el término d seis (6) meses estipulado en le Decreto 1524 no ha sido suficiente para que los ISP y proveedores de servicios de alojamiento puedan implementar las mediadas técnicas contempladas en el decreto, por lo cual estima conveniente ampliar el plazo previsto para el efecto.

DECRETA:

Artículo 1°. Prorrogar por el término de seis (6) meses el plazo previsto en el primer inciso del artículo 8 del Decreto 1524 de 2002, contados a partir de la vigencia del presente Decreto.

Artículo 2°. El presente decreto rige desde la fecha de su publicación, todas las demás estipulaciones del decreto 1524 de 2002 continúan vigentes y sin modificación alguna.

Publíquese y Cúmplase.

Dado en Bogotá, D. C., a

EL PRESIDENTE DE LA REPÚBLICA DE COLOMBIA,

ÁLVARO URIBE VÉLEZ

LA MINISTRA DE COMUNICACIONES,

MARTHA ELENA PINTO DE DE HART

Proyecto de Ley de firma digital y certificados digitales, de 22 de febrero de 2001. Expediente 14.276.

ASAMBLEA LEGISLATIVA:

La comunicación entre los seres humanos, particularmente las comunicaciones a distancia se han facilitado conforme avanza la tecnología. El telégrafo, el teléfono, la radio, la televisión, el fax, cada uno a su tiempo, han representado importantes pasos en materia de comunicación humana, y han conformado una base tecnológica de mucha capacidad, la cual ha iniciado una verdadera revolución en las comunicaciones y el desarrollo de las sociedades contemporáneas. Una de las áreas más beneficiadas con estas nuevas y ágiles herramientas de comunicación es la del comercio. Por su misma naturaleza, requiere cada vez más de mecanismos ágiles y eficientes pero también seguros de comunicación.

Esta cadena de logros tecnológicos en materia de comunicación ha alcanzado un punto muy alto con la extensión de la red internacional o Internet (red de redes), la cual ha ampliado exponencialmente las posibilidades y facilidades de comunicación entre los seres humanos. Es, definitivamente, un medio que no puede ser ignorado por ninguna persona, mucho menos por el sector comercial alrededor de todo el orbe. Y en efecto, no lo ha sido. Los expertos coinciden en afirmar que la Sociedad de la Información ha encontrado en Internet el canal de flujo ideal, por sus preciados atributos: rápido, barato, y cada vez más extendido y eficiente. Cada vez más empresas deciden incursionar en el mercado virtual, y basan sus comunicaciones externas en ella; igualmente, con más pausa y mesura pero con la misma decisión, los operadores financieros comienzan a utilizar el nuevo medio. Y no podría ser de otra forma ya que en el mercado virtual adquieren ventajas comparativas que sencillamente no existen en el mundo físico, siendo la reducción de costos uno de sus principales beneficios. Es notable que este tipo de instrumento accesible actualmente a una parte de la población, era accesible hasta hace pocos años, únicamente a las corporaciones más poderosas del planeta. La pequeña y mediana empresa ven en efecto en la Internet la posibilidad de un acceso sin precedentes a la información y los mercados mundiales a un costo reducido, y con tendencia a bajar, no a subir, a medida que la red de redes se extiende en todo el orbe. Estamos presenciando una verdadera revolución en el acceso al conocimiento, a la información y la comunicación con consecuencias apenas imaginables para el futuro de la humanidad.

Para las economías en desarrollo como la nuestra, el maximizar los beneficios que ofrece el comercio electrónico es un imperativo; pero también es lograr una posición de vanguardia en la transferencia de tecnología e información, con base al potencial que tiene nuestro país en cuanto a recursos humanos calificados en el área informática, tecnológica y profesional, en general.

El resultado de este proceso ha sido el advenimiento de la Economía Digital, en la cual el valor recae con mayor fuerza en bienes intangibles, y en el conocimiento. Pero también ha significado una nueva vía amplísima y dinamizadora de comercio.

El desarrollo del comercio electrónico ha sido vertiginoso, sin embargo, presentará obstáculos difíciles de superar si no se resuelven ciertos aspectos técnicos y de índole legal. Desde el punto de vista jurídico esta revolución tecnológica e informática ha significado un reto complejo y desafiante: dotar de seguridad jurídica el tráfico, tanto de información como de bienes y servicios. La contratación electrónica debe ser objeto de regulación, en forma muy cuidadosa, para que las nuevas tecnologías de la información no se vuelvan inoperantes. Uno de los temas esenciales a tratar, si no el más importante, es el del reconocimiento legal de la Firma Digital. No es posible concebir un creciente desarrollo del comercio electrónico, y la incursión de otro tipo de transacciones jurídicas en la red, si no se provee de la adecuada seguridad para el normal desempeño de estas actividades. La Firma Digital es un mecanismo concebido en función de esta meta prevaleciente, y es objetivo del presente proyecto regularla de forma tal, que existan los elementos jurídicos fundamentales para el desarrollo de la Economía Digital en un contexto razonable, mas no infalible, de seguridad jurídica, estimulando el poder de su «motor»: el comercio electrónico.

Este proyecto de ley es coherente con el derecho internacional en tema de comercio electrónico, con el propósito de obtener la adecuada seguridad y certidumbre en las transacciones electrónicas basadas en la red de redes. La importancia que reviste la uniformidad respecto al tratamiento de los aspectos más importantes sobre comercio electrónico, es insoslayable. La regulación propuesta pretende mantener la armonía con los elementos principales de la regulación internacional sobre el tema, brindando el marco jurídico adecuado y viable para la contratación electrónica, y en general, las relaciones jurídicas basadas en la comunicación mediante medios informáticos o telemáticos, sean o no de índole comercial. Esto se haría entonces, esencialmente, a través del reconocimiento de eficacia, desde el punto de vista probatorio, de la Firma Digital vinculada a un proveedor de servicios de certificación.

Debe despejarse cualquier duda respecto de la validez jurídica como prueba del documento electrónico, el cual, de conformidad con nuestra legislación procesal civil, es admisible como prueba en sede jurisdiccional.

En concreto, para lograr los objetivos supracitados es preciso: regular el reconocimiento legal expreso de la Firma Digital; determinar los efectos de la Firma Digital; el reconocimiento del principio de equivalencia funcional por medio del cual se confiere al documento digital firmado los mismos efectos que se le imputan al documento escrito; acoger el «principio de neutralidad tecnológica», de forma tal que la normativa no limite el mecanismo de Firma Digital a una sola tecnología; establecer reglas mínimas en materia de conservación, envío y recepción de mensajes de datos para aquellos casos en que las partes no hayan estipulado reglas especiales.

LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA

DECRETA:

LEY DE FIRMA DIGITAL Y CERTIFICADOS DIGITALES

TÍTULO I. PRINCIPIOS Y NORMAS GENERALES

CAPÍTULO PRIMERO. DISPOSICIONES GENERALES

Artículo 1º. La presente Ley tiene por objetivo regular el uso y el reconocimiento jurídico de la Firma Digital, otorgándole la misma validez y eficacia jurídica que el uso de una firma manuscrita u otra análoga que conlleve manifestación de voluntad, así como el autorizar al Estado para su utilización.

Artículo 2º. Para los propósitos de la presente Ley se establecen las siguientes definiciones:

1.- Acreditación: La acreditación es el procedimiento mediante el cual un organismo autorizado reconoce formalmente que una entidad o empresa es competente para realizar tareas específicas.

2.- Acreditación voluntaria del prestador de servicios de certificación: Resolución que establece los derechos y obligaciones específicos para la prestación de servicios de certificación y que se emite, a petición del interesado, por el Órgano Rector y la Autoridad Competente de acreditación, de conformidad con lo previsto en esta Ley, su reglamento y la normativa intencional aplicable.

3.- Certificado Digital: Es la certificación digital que vincula unos datos de verificación de firma a un signatario y confirma su identidad.

4.- Certificado Digital Reconocido: Es el certificado que cumple con los requisitos establecidos en la presente Ley y su reglamento, y que vincula un documento digital con determinada persona como su signatario, mediante un proceso seguro de certificación y es expedido por un prestador de servicios de certificación acreditado por el Órgano Rector y la autoridad competente de acreditación.

5.- Datos de creación de firma: Son los datos únicos, como códigos o claves criptográficas privadas, que el signatario utiliza para crear la Firma Digital.

6.- Datos de verificación de firma: Son los datos como códigos o claves criptográficas públicas, que se utilizan para verificar la Firma Digital.

7.- Dispositivo de creación de firma: Es un mecanismo que sirve para aplicar los datos de creación de firma.

8.- Dispositivo de verificación de firma: Es un mecanismo que sirve para aplicar los datos de verificación de firma.

9.- Dispositivo seguro de creación de firma: Es el mecanismo de creación de firma que cumple adicionalmente con los requisitos establecidos en la presente Ley y su reglamento.

10.- Documento: Significa información que se encuentra almacenada en un medio tangible, o que se guarda en un medio electrónico o de cualquier otra naturaleza, y que se puede recuperar o reproducir en una forma perceptible e inteligible.

11.- Firma Digital: Es el conjunto de datos, anexos a otros datos o datos asociados funcionalmente, utilizados como medio para identificar formalmente al autor o a los autores del documento que la recoge.

12.- Firma Digital Avanzada: Es la Firma Digital Certificada por un prestador de servicios de certificación debidamente acreditado ante la autoridad competente de acreditación.

13.- Información: Es aquel mensaje comunicado mediante datos, textos, imágenes, sonidos, códigos, programas, información almacenada en bases de datos, aplicaciones, o similares.

14.- Iniciador: Es quien envía un mensaje de datos, esté o no suscrito digitalmente.

15.- Información Íntegra: Se entenderá por íntegra aquella información que haya permanecido completa e inalterada, sin menoscabo de cualquier adición o cambio, inherente al proceso de comunicación, almacenamiento, archivo o presentación. El grado de fiabilidad requerido será determinado a la luz de los fines para los que se generó la información y de todas las circunstancias del caso.

16.- Intermediario: Es aquella persona, física o jurídica, que actuando por cuenta de otra, envíe, reciba, almacene dicho mensaje o preste algún otro servicio con respecto a él.

17.- Mensaje de datos: Es la información generada, enviada, recibida, almacenada, o comunicada por medios digitales, electrónicos, ópticos o similares.

18.- Prestador de servicios de certificación o entidad certificadora: Es la persona física o jurídica que expide certificados.

19.- Procedimiento seguro: Es el procedimiento empleado con el propósito de verificar que una Firma Digital es atribuible a determinada persona como su signatario, o para detectar cambios y errores en un documento digital, incluyendo cualquier proceso que implique el uso de algoritmos matemáticos, códigos, sistemas de encriptamiento, y cualquier otro medio o tecnología de identificación o reconocimiento.

20.- Producto de Firma Digital: Es el instrumento y sus componentes específicos, destinados a la prestación de servicios de Firma Digital por el prestador de servicios de certificación o para la creación o verificación de Firma Digital.

21.- Receptor: Es la persona a quien el signatario dirige el mensaje o documento electrónico.

22.- Signatario: Es la persona física o jurídica que cuenta con un mecanismo de creación de firma, que actúa en nombre propio o con poderes de representación de otra persona física o jurídica.

23.- Sistema: Es el conjunto de elementos independientes pero interrelacionados entre sí para conseguir un propósito común.

24.- Sistema de información: Es un conjunto de elementos ordenado utilizado para generar, enviar, recibir, almacenar o procesar de alguna forma mensajes de datos.

Artículo 3º. En la presente Ley se utilizará el término digital entendido como cualquier información codificada en dígitos, la cual resulta más precisa que el término electrónico, que se refiere al medio físico de procesamiento, almacenamiento o transmisión, el cual es uno de los medios para generar, transmitir y almacenar información digital.

CAPÍTULO II. RECONOCIMIENTO JURÍDICO DE LA FIRMA DIGITAL

Artículo 4º. La Firma Digital Avanzada, deberá crearse mediante un dispositivo seguro de creación de firma.

Artículo 5º. La Firma Digital Avanzada, siempre que esté basada en un certificado digital reconocido y que haya sido producida por un dispositivo seguro de creación de firma, tendrá respecto de los datos consignados en forma digital, el mismo valor jurídico que la firma manuscrita en relación con los consignados en papel.

Cuando la ley exija la presentación o existencia de un documento escrito debidamente firmado, tal requisito será plenamente satisfecho por un documento digital, si el mismo ha sido firmado mediante una Firma Digital Avanzada, creada por un dispositivo seguro de creación de firma.

Se presumirá que la Firma Digital Avanzada y el medio de creación de firma con el que ésta se produzca, reúnen las condiciones necesarias para producir los efectos indicados en este apartado cuando el certificado reconocido es emitido por un prestador de servicios de certificación acreditado.

Artículo 6. Cuando una ley requiere que un documento o firma esté certificado o autenticado notarialmente por un abogado, o de cualquier otra forma reconocido, verificado o certificado, tal requisito se tendrá por cumplido si una firma electrónica avanzada de un notario público, abogado, funcionario público, o cualquier otra persona autorizada y competente para efectuar tales actos, es puesta o vinculada al documento o firma digital o Firma Digital avanzada.

CAPÍTULO III. USO DE LA FIRMA DIGITAL Y LOS DOCUMENTOS ELECTRÓNICOS POR EL ESTADO

Artículo 7º. Se autoriza a los Poderes Legislativo, Ejecutivo y Judicial, al Tribunal Supremo de Elecciones, Contraloría General de la República, Defensoría de los Habitantes, así como a todas las instituciones públicas descentralizadas, y entes públicos no estatales para la utilización de la Firma Digital avanzada y los documentos electrónicos firmados digitalmente en sus relaciones internas, entre ellos y con los particulares, de conformidad con las previsiones de esta Ley y su reglamento.

TÍTULO II. DE LOS SERVICIOS DE CERTIFICACIÓN DIGITAL

CAPÍTULO I. DEL ÓRGANO RECTOR

Artículo 8º. El Ministerio de Ciencia y Tecnología será el Órgano Rector en todo lo concerniente a esta Ley.

8º.1 Toda interpretación técnica estará bajo el mejor criterio del Órgano Rector tomando en cuenta el estado de arte en la tecnología, así como los requerimientos y realidades del país.

Artículo 9º. El Poder Ejecutivo, a través del Ministerio de Ciencia y Tecnología, utilizará un sistema de acreditación voluntario, en el ámbito de los prestadores de servicios de certificación de Firma Digital Avanzada, coordinando para ello con la Autoridad de Acreditación, la cual será un ente con participación activa y equilibrada de los sectores involucrados. La autoridad de acreditación mediante la función de acreditación, reconoce formalmente que una organización es competente para llevar a cabo tareas específicas de acuerdo a los requisitos de normas nacionales e internacionales, que permitan lograr un adecuado grado de seguridad y confianza que proteja debidamente, los derechos de los usuarios, para lo cual deberá llevar a cabo el proceso de evaluación correspondiente, un registro de las entidades acreditadas y velar por que se cumplan los requisitos establecidos por esta Ley y su reglamento.

CAPÍTULO II. CERTIFICADOS DIGITALES

Artículo 10º. Los certificados digitales se vinculan con una persona confirmando su identidad, los cuales deberán contener al menos:

1.- Los datos que identifiquen individualmente al firmante.

2.- Los datos que identifiquen a la entidad de certificación.

3.- Número de serie del certificado.

4.- Fecha de emisión y plazo de vigencia.

5.- Los demás que el reglamento establezca.

Artículo 11º. Los certificados digitales se podrán cancelar y revocar en los siguientes casos:

1.- A solicitud del titular de la firma.

2.- Por expiración del plazo.

3.- Por cese de operaciones de la entidad de certificación.

4.- Por muerte del titular de la Firma Digital.

5.- Por incumplimiento contractual con la entidad de certificación.

6.- Las demás que el reglamento establezca.

Artículo 12º. Los certificados de Firma Digital que sean emitidos por entidades no establecidas en Costa Rica, serán equivalentes a los otorgados por prestadores establecidos en el país, cuando hayan sido homologados por estos últimos, bajo su responsabilidad, y reconocidos por la autoridad de acreditación competente y cumpliendo con los requisitos fijados en esta Ley, su reglamento y normas internacionales correspondientes.

CAPÍTULO III. DE LA ACREDITACIÓN E INSPECCIÓN DE LOS PRESTADORES
DE SERVICIOS DE CERTIFICACIÓN DIGITAL

Artículo 13º. Mediante la autoridad competente de acreditación, la cual estará adscrita al Ministerio Rector, las empresas que emitan certificados de Firma Digital, deberán someterse al proceso de acreditación que se defina al respecto para estar debidamente acreditados. Las funciones de las empresas certificadoras serán entre otras las de emitir o cancelar certificados digitales, así como brindar otros servicios inherentes al propio certificado.

Artículo 14º. Con el fin de comprobar el cumplimiento de las obligaciones de los prestadores acreditados, la Autoridad de Acreditación ejercerá la facultad de inspección sobre los prestadores acreditados y podrá, a tal efecto, requerir información, ordenar evaluaciones anunciadas o no anunciadas a sus instalaciones al menos una vez al año y solicitar las modificaciones necesarias para que se mantenga actualizado el sistema y el servicio, con personal que para tal efecto se seleccione de conformidad al reglamento, la Autoridad de Acreditación y del Órgano Rector. Así como suspender las acreditaciones en caso de incumplimiento.

Artículo 15º. La Autoridad de Acreditación así como el personal que actúe bajo su dependencia o por cuenta de ella, deberá guardar la confidencialidad y custodia de los documentos y la información que le entreguen las empresas certificadoras.

Artículo 16º. El Órgano Rector deberá observar en sus actuaciones y regulaciones total neutralidad respecto de las diversas tecnologías de Firma Digital existentes, procurando la mayor adaptabilidad a los avances científicos y tecnológicos en tal área.

TÍTULO III. LOS DISPOSITIVOS DE FIRMA DIGITAL AVANZADA Y LA EVALUACIÓN DE SU CONFORMIDAD CON LA NORMATIVA APLICABLE

CAPÍTULO ÚNICO

Artículo 17º. Los dispositivos seguros de creación de Firma Digital para considerarse como tales deberán cumplir con:

1.- Garantizar que los datos utilizados para la generación de firma puedan producirse sólo una vez y asegurar, razonablemente, su secreto, dentro de las posibilidades o limitaciones tecnológicas.

2.- Que exista seguridad razonable de que dichos datos no puedan ser alterados o falsificados con la tecnología existente en un momento dado.

3.- Que los datos de creación de firma puedan ser protegidos con fiabilidad por el signatario contra la utilización por otros.

4.- Que el dispositivo utilizado no altere los datos o el documento que deba firmarse, ni impida que éste se muestre al signatario antes del proceso de firma.

Artículo 18º. Los dispositivos de verificación de Firma Digital Avanzada deben garantizar al menos lo siguiente:

1.- Que la firma se verifique de forma fiable y el resultado de la verificación figure correctamente.

2.- Que el verificador pueda, en caso necesario, establecer de forma fiable la integridad de los datos firmados y detectar si han sido modificados.

3.- Que aparezca correctamente la identidad del signatario.

4.- Que se verifique de forma fiable el certificado.

5.- Que pueda detectarse cualquier cambio relativo a su seguridad e integridad.

Artículo 19º. Las disposiciones de esta Ley no deberán entenderse en el sentido de prohibir la existencia de sistemas de Firma Digital basados en convenios expresos entre las partes, las que podrán a través de un contrato fijar sus derechos y obligaciones, y las condiciones técnicas y de cualquier otra clase, bajo las cuales reconocerán su autoría sobre un documento digital o mensaje de datos que envíen, o la recepción de un mensaje de datos de su contraparte.

TÍTULO IV. DISPOSICIONES FINALES

Artículo 20º. El Poder Ejecutivo deberá emitir el reglamento a la presente Ley dentro del plazo máximo de tres meses siguientes a su publicación.

Rige a partir de su publicación.

Miguel Ángel Rodríguez Echeverría, PRESIDENTE DE LA REPÚBLICA

Guy de Téramond, MINISTRO DE CIENCIA Y TECNOLOGÍA

22 de febrero de 2001

Digital Signature Act 1997

A Bill intituled An Act to make provision for, and to regulate the use of, digital signatures and to provide for matters connected therewith.

PART 1. PRELIMINARY

1. Short title and commencement

This Act may be cited as the Digital Signature Act 1997 and shall come into force on a date to be appointed by the Minister by notification in the Gazette, and the Minister may appoint different dates for different provisions of this Act.

2. Interpretation

(1) In this Act, unless the context otherwise requires:

«accept a certificate» means:

(a) to manifest approval of a certificate, while knowing or having notice of its contents; or

(b) to apply to a licensed certification authority for a certificate, without revoking the application by delivering notice of the revocation to the licensed certification authority, and obtaining a signed, written receipt from the licensed certification authority, if the licensed certification authority subsequently issues a certificate based on the application;

«asymmetric cryptosystem» means an algorithm or series of algorithms which provide a secure key pair;

«authorised officer» means an officer authorised under section 75;

«certificate» means a computer-based record which-

(a) identifies the certification authority issuing it;
(b) names or identifies its subscriber;
(c) contains the subscriber's public key; and
(d) is digitally signed by the certification authority issuing it;

«certification authority» means a person who issues a certificate;

«certification authority disclosure record» means an on-line and publicly accessible record which concerns a licensed certification authority which is kept by the Controller under subsection 3(5);

«certification practice statement» means a declaration of the practices which a certification authority employs in issuing certificates generally, or employed in issuing a particular certificate;

«certify» means to declare with reference to a certificate, with ample opportunity to reflect, and with a duty to apprise oneself of all material facts;

«confirm»» means to ascertain through diligent inquiry and investigation;

«Controller» means the Controller of Certification Authorities appointed under section 3;

«correspond», with reference to keys, means to belong to the same key pair;

«digital signature» means a transformation of a message using an asymmetric cryptosystem such that a person having the initial message and the signer's public key can accurately determine-

(a) whether the transformation was created using the private key that corresponds to the signer's public key; and
(b) whether the message has been altered since the transformation was made;

«forge a digital signature» means-

(a) to create a digital signature without the authorisation of the rightful holder of the private key; or
(b) to create a digital signature verifiable by a certificate listing as subscriber a person who either does not exist or does not hold the private key corresponding to the public key listed in the certificate;

«hold a private key» means to be able to utilise a private key;

«incorporate by reference» means to make one message a part of another message by identifying the message to be incorporated and expressing the intention that it be incorporated;

«issue a certificate» means the act of a certification authority in creating a certificate and notifying the subscriber listed in the certificate of the contents of the certificate;

«key pair» means a private key and its corresponding public key in an asymmetric cryptosystem, where the public key can verify a digital signature that the private key creates;

«licensed certification authority» means a certification authority to whom a licence has been issued by the Controller and whose licence is in effect;

«message» means a digital representation of information;

«notify» means to communicate a fact to another person in a manner reasonably likely under the circumstances to impart knowledge of the information to the other person;

«person» means a natural person or a body of persons, corporate or unincorporate, capable of signing a document, either legally or as a matter of fact;

«prescribed» means prescribed by or under this Act or any regulations made under this Act;

«private key» means the key of a key pair used to create a digital signature;

«public key» means the key of a key pair used to verify a digital signature;

«publish» means to record or file in a repository;

«qualified certification authority» means a certification authority that satisfies the requirements under section 5;

«recipient» means a person who receives or has a digital signature and is in a position to rely on it;

«recognised date/time stamp service» means a date/time stamp service recognised by the Controller under section 70;

«recognised repository» means a repository recognised by the Controller under section 68;

«recommended reliance limit» means the monetary amount recommended for reliance on a certificate under section 60;

«repository» means a system for storing and retrieving certificates and other information relevant to digital signatures;

«revoke a certificate» means to make a certificate ineffective permanently from a specified time forward;

«rightfully hold a private key» means to be able to utilise a private key-

(a) which the holder or the holder's agents have not disclosed to any person in contravention of this Act; and
(b) which the holder has not obtained through theft, deceit, eavesdropping or other unlawful means;

«subscriber» means a person who-

(a) is the subject listed in a certificate;
(b) accepts the certificate; and
(c) holds a private key which corresponds to a public key listed in that certificate;

«suspend a certificate» means to make a certificate ineffective temporarily for a specified time forward;

«this Act» includes any regulations made under this Act;

«time-stamp» means-

(a) to append or attach to a message, digital signature or certificate a digitally signed notation indicating at least the date, time and identity of the person appending or attaching the notation; or
(b) the notation so appended or attached;

«transactional certificate» means a certificate, incorporating by reference one or more digital signatures, issued and valid for a specific transaction;

«trustworthy system» means computer hardware and software which-

(a) are reasonably secure from intrusion and misuse;
(b) provide a reasonable level of availability, reliability and correct operation; and
(c) are reasonably suited to performing their intended functions;

«valid certificate» means a certificate which-

(a) a licensed certification authority has issued;
(b) has been accepted by the subscriber listed in it;
(c) has not been revoked or suspended; and
(d) has not expired:

Provided that a transactional certificate is a valid certificate only in relation to the digital signature incorporated in it by reference;

«verify a digital signature» means, in relation to a given digital signature, message and public key, to determine accurately that-

(a) the digital signature was created by the private key corresponding to the public key; and
(b) the message has not been altered since its digital signature was created;

«writing» or «written» includes any handwriting, typewriting, printing, electronic storage or transmission, or any other method of recording information or fixing information in a form capable of being preserved.

(2) For the purposes of this Act, a certificate shall be revoked by making a notation to that effect on the certificate or by including the certificate in a set of revoked certificates.

(3) The revocation of a certificate does not mean that it is destroyed or made illegible.

PART II. CONTROLLER OF CERTIFICATION AUTHORITIES AND THE LICENSING OF CERTIFICATION AUTHORITIES

3. Appointment of Controller

(1) The Minister shall appoint a Controller Of A Certification Authorities for the purposes of this Act, in particular for the purpose of monitoring and overseeing the activities of certification authorities.

(2) The Controller shall exercise, discharge and perform the powers, duties and functions conferred on the Controller under this Act.

(3) The Controller may, after consultation with the Minister, appoint such number of officers and servants as the Controller considers necessary to exercise and perform all or any of the powers and duties of the Controller under this Act except the powers delegated to the Controller under subsection 4(4).

(4) The Controller and all officers and servants appointed by the Controller under subsection (3) shall exercise their powers under this Act subject to such directions as to general policy and orders as may be given or made by the Minister.

(5) The Controller shall maintain a publicly accessible data base containing a certification authority disclosure record for each licensed certification authority which shall contain all the particulars required under the regulations made under this Act.

(6) The Controller shall publish the contents of the data base in at least one recognised repository.

4. Certification authorities to be licensed

(1) No person shall carry on or operate, or hold himself out as carrying on or operating, as a certification authority unless that person holds a valid licence issued under this Act.

(2) A person who contravenes subsection (1) commits an offence and shall, on conviction, be liable to a fine not exceeding five hundred thousand ringgit or to imprisonment for a term not exceeding ten years or to both, and in the case of a continuing offence shall in addition be liable to a daily fine not exceeding five thousand ringgit for each day the offence continues to be committed.

(3) The Minister may, on an application in writing being made in accordance with this Act, exempt-

(a) a person operating as a certification authority within an organisation where certificates and key pairs are issued to members of the organisation for internal use only; and
(b) such other person or class of persons as the Minister considers fit, from the requirements of this section.

(4) The Minister may delegate his powers under subsection (3) to the Controller and such powers may be exercised by the Controller in the name and on behalf of the Minister.

(5) A delegation under subsection (4) shall not preclude the Minister himself from exercising at any time the powers so delegated.

(6) The liability limits specified in Chapter 8 of Part IV shall not apply to an exempted certification authority and Part V shall not apply in relation to a digital signature verified by a certificate issued by an exempted certification authority.

5. Qualifications of certification authorities

(1) The Minister shall, by regulations made under this Act, prescribe the qualification requirements for certification authorities.

(2) The Minister may at any time vary or amend the qualification requirements prescribed under subsection (1) provided that any such variation or amendment shall not be applied to a certification authority holding a valid licence under this Act until the expiry of that licence.

6. Functions of licensed certification authorities

(1) The function of a licensed certification authority shall be to issue a certificate to a subscriber upon application and upon satisfaction of the licensed certification authority's requirements as to the identity of the subscriber to be listed in the certificate and upon payment of the prescribed fees and charges.

(2) The licensed certification authority shall, before issuing any certificate under this Act, take all reasonable measures to check for proper identification of the subscriber to be listed in the certificate.

(3) The licensed certification authority shall, on the issuance of any certificate under this Act, cause the application for the certificate to be certified by a notary public duly appointed under the Notaries Public Act 1959.

7. Application for licence

(1) An application for the grant of a licence under this Act shall be made in writing to the Controller in such form as may be prescribed.

(2) Every application under subsection (1) shall be accompanied by such documents or information as may be prescribed and the Controller may, orally or in writing at any time after receiving the application and before it is determined, require the applicant to provide such additional documents or information as may be considered necessary by the Controller for the purposes of determining the suitability of the applicant for the licence.

(3) Where any additional document or information required under subsection (2) is not provided by the applicant within the time specified in the requirement or any extension thereof granted by the Controller, the application shall be deemed to be withdrawn and shall not be further proceeded with, without prejudice to a fresh application being made by the applicant.

8. Grant or refusal of licence

(1) The Controller shall, on an application having been duly made in accordance with section 7 and after being provided with all such documents and information as he may require, consider the application, and where he is satisfied that the applicant is a qualified certification authority and a suitable licensee, and upon payment of the prescribed fee, grant the licence with or without conditions, or refuse to grant a licence.

(2) Every licence granted under subsection (1) shall set out the duration of the licence and the licence number.

(3) The terms and conditions imposed under the licence may at any time be varied or amended by the Controller provided that the licensee is given a reasonable opportunity of being heard.

(4) Where the Controller refuses to grant a licence, he shall immediately notify the applicant in writing of his refusal.

9. Revocation of licence

(1) The Controller may revoke a licence granted under section 8 if he is satisfied that-

(a) the licensed certification authority has failed to comply with any obligation imposed upon it by or under this Act;
(b) the licensed certification authority has contravened any condition imposed under the licence, any provision of this Act or any other written law, regardless that there has been no prosecution for an offence in respect of such contravention;
(c) the licensed certification authority has, either in connection with the application for the licence or at any time after the grant of the licence, provided the Controller with false, misleading or inaccurate information or a document or declaration made by or on behalf of the licensed certification authority or by or on behalf of any person who is or is to be a director, controller or manager of the licensed certification authority which is false, misleading or inaccurate;
(d) the licensed certification authority is carrying on its business in a manner which is prejudicial to the interest of the public or to the national economy;
(e) the licensed certification authority has insufficient assets to meet its liabilities;
(f) a winding up order has been made against the licensed certification authority or a resolution for its voluntary winding-up has been passed;
(g) the licensed certification authority or any of its officers holding a managerial or an executive position has been convicted of any offence involving dishonesty, fraud or moral turpitude;
(h) the licensed certification authority or its director, controller or manager has been convicted of any offence under this Act; or
(i) the licensed certification authority has ceased to be a qualified certification authority.

(2) Before revoking a licence, the Controller shall give the licensed certification authority a notice in writing of his intention to do so and require the licensed certification authority to show cause within a period specified in the notice as to why the licence should not be revoked.

(3) Where the Controller decides to revoke the licence, he shall immediately inform the certification authority concerned of his decision by a notice in writing.

(4) The revocation of a licence shall take effect-

(a) where there is no appeal against such revocation, on the expiration of fourteen days from the date on which the notice of revocation is served on the licensed certification authority; or
(b) where there is an appeal against such revocation, when the revocation is confirmed by the Minister.

(5) Where an appeal has been made against the revocation of a licence, the certification authority whose licence has been so revoked shall not issue any certificates until the appeal has been disposed of and the revocation has been set aside by the Minister but nothing in this subsection shall prevent the certification authority from fulfilling its other obligations to its subscribers during such period.

(6) A person who contravenes subsection (5) commits an offence and shall, on conviction, be liable to a fine not exceeding five hundred thousand ringgit or to imprisonment for a term not exceeding ten years or to both.

(7) Where the revocation of a licence has taken effect, the Controller shall, as soon as practicable, cause such revocation to be published in the certification authority disclosure record he maintains for the certification authority concerned and advertised in at least one national language and one English language national daily newspaper for at least three consecutive days.

(8) Any delay or failure in publishing or advertising such notice of revocation shall not in any manner affect the validity of the revocation.

10. Appeal

(1) Any person who is aggrieved by-

(a) the refusal of the Controller to license any certification authority under section 8 or to renew any such licence under section 17; or
(b) the revocation of any licence under section 9,

may appeal in writing to the Minister within fourteen days from the date on which the notice of refusal or revocation is served on that person.

(2) The decision of the Minister under this section shall be final and conclusive.

11. Surrender of licence

(1) A licensed certification authority may surrender its licence by forwarding it to the Controller with a written notice of its surrender.

(2) The surrender shall take effect on the date the Controller receives the licence and the notice under subsection (1), or where a later date is specified in the notice, on that date.

(3) The licensed certification authority shall, not later than fourteen days after the date referred to in subsection (2), cause such surrender to be published in the certification authority disclosure record of the certification authority concerned and advertised in at least one national language and one English language national daily newspaper for at least three consecutive days.

12. Effect of revocation, surrender or expiry of licence

(1) Where the revocation of a licence under section 9 or its surrender under section 11 has taken effect, or where the licence has expired, the licensed certification authority shall immediately cease to carry on or operate any business in respect of which the licence was granted.

(2) Notwithstanding subsection (1), the Minister may, on the recommendation of the Controller, authorise the licensed certification authority in writing to carry on its business for such duration as the Minister may specify in the authorisation for the purpose of winding up its affairs.

(3) Notwithstanding subsection (1), a licensed certification authority whose licence has expired shall be entitled to carry on its business as if its licence had not expired upon proof being submitted to the Controller that the licensed certification authority has applied for a renewal of the licence and that such application is pending determination.

(4) A person who contravenes subsection (1) commits an offence and shall, on conviction, be liable to a fine not exceeding five hundred thousand ringgit or to imprisonment for a term not exceeding ten years or to both, and in the case of a continuing offence shall in addition be liable to a daily fine not exceeding five thousand ringgit for each day the offence continues to be committed.

(5) Without prejudice to the Controller's powers under section 33, the revocation of a licence under section 9 or its surrender under section 11 or its expiry shall not affect the validity or effect of any certificate issued by the certification authority concerned before such revocation, surrender or expiry.

(6) For the purposes of subsection (5), the Controller shall appoint another licensed certification authority to take over the certificates issued by the certification authority whose licence has been revoked or surrendered or has expired and such certificates shall, to the extent that they comply with the requirements of the appointed licensed certification authority, be deemed to have been issued by that licensed certification authority.

(7) Nothing in subsection (6) shall preclude the appointed licensed certification authority from requiring the subscriber to comply with its requirements in relation to the issuance of certificates or from issuing a new certificate to the subscriber for the unexpired period of the original certificate provided that any additional fees or charges to be imposed shall only be imposed with the prior written approval of the Controller.

(8) Where the Controller has appointed a licensed certification authority to take over the certificates of a certification authority under subsection (6), the certification authority shall pay to the appointed licensed certification authority such part of the prescribed fee paid by the subscribers to it as the Controller may determine.

13. Effect of lack of licence

(1) The liability limits specified in Chapter 8 of Part IV shall not apply to unlicensed certification authorities.

(2) Part V shall not apply in relation to a digital signature which cannot be verified by a certificate issued by a licensed certification authority.

(3) In any other case, unless the parties expressly provide otherwise by contract between themselves, the licensing requirements under this Act shall not affect the effectiveness, enforceability or validity of any digital signature.

14. Return of licence

(1) Where the revocation of a licence under section 9 has taken effect, or where the licence has expired and no application for its renewal has been submitted within the period specified or where an application for renewal has been refused under section 17, the licensed certification authority shall within fourteen days return the licence to the Controller.

(2) A person who contravenes subsection (1) commits an offence and shall, on conviction, be liable to a fine not exceeding five hundred thousand ringgit or to imprisonment for a term not exceeding ten years or to both, and in the case of a continuing offence shall in addition be liable to a daily fine not exceeding five thousand ringgit for each day the offence continues to be committed, and the court shall retain the licence and forward it to the Controller.

15. Restricted licence

(1) The Controller may classify licences according to specified limitations including-

(a) maximum number of outstanding certificates;
(b) cumulative maximum of recommended reliance limits in certificates issued by the licensed certification authority; and
(c) issuance only within a single firm or organisation.

(2) The Controller may issue licences restricted according to the limits of each classification.

(3) A licensed certification authority that issues a certificate exceeding the restrictions of its licence commits an offence.

(4) Where a licensed certification authority issues a certificate exceeding the restrictions of its licence, the liability limits specified in Chapter 8 of Part IV shall not apply to the licensed certification authority in relation to that certificate.

(5) Nothing in subsection (3) or (4) shall affect the validity or effect of the issued certificate.

16. Restriction on use of expression «certification authority»

Except with the written consent of the Controller, no person, not being a licensed certification authority, shall assume or use the expressions «certification authority» or «licensed certification authority», as the case may be, or any derivative of these expressions in any language, or any other words in any language capable of being construed as indicating the carrying on or operation of such business, in relation to the business or any part of the business carried on by such person, or make any representation to such effect in any bill head, letter, paper, notice, advertisement or in any other manner.

17. Renewal of licence

(1) Every licensed certification authority shall submit an application to the Controller in such form as may be prescribed for the renewal of its licence at least thirty, but not more than sixty, days before the date of expiry of the licence and such application shall be accompanied by such documents and information as may be required by the Controller.

(2) The prescribed fee shall be payable upon approval of the application.

(3) If any licensed certification authority has no intention of renewing its licence, the licensed certification authority shall, at least thirty days before the expiry of the licence, publish such intention in the certification authority disclosure record of the certification authority concerned and advertise such intention in at least one national language and one English language national daily newspaper for at least three consecutive days.

(4) Without prejudice to any other grounds, the Controller may refuse to renew a licence where the requirements of subsection (1) have not been complied with.

18. Lost licence

(1) Where a licensed certification authority has lost its licence, it shall immediately notify the Controller in writing of the loss.

(2) The licensed certification authority shall, as soon as practicable, submit an application for a replacement licence accompanied by all such information and documents as may be required by the Controller together with the prescribed fee.

19. Recognition of other licences.

(1) The Controller may recognise, by order published in the Gazette, certification authorities licensed or otherwise authorised by governmental entities outside Malaysia that satisfy the prescribed requirements.

(2) Where a licence or other authorisation of a governmental entity is recognised under subsection (1),-

(a) the recommended reliance limit, if any, specified in a certificate issued by the certification authority licensed or otherwise authorised by the governmental entity shall have effect in the same manner as a recommended reliance limit specified in a certificate issued by a licensed certification authority of Malaysia; and
(b) Part V shall apply to the certificates issued by the certification authority licensed or otherwise authorised by the governmental entity in the same manner as it applies to a certificate issued by a licensed certification authority of Malaysia.

20. Performance audit

(1) The operations of a licensed certification authority shall be audited a least once a year to evaluate its compliance with this Act.

(2) The audit shall be carried out by a certified public accountant having expertise in computer security or by an accredited computer security professional.

(3) The qualifications of the auditors and the procedure for an audit shall be as may be prescribed by regulations made under this Act.

(4) The Controller shall publish in the certification authority disclosure record he maintains for the licensed certification authority concerned the date and result of the audit.

21. Exemption from performance audit

(1) The Controller may exempt a licensed certification authority from the requirements of section 20 if-

(a) the licensed certification authority requests in writing for exemption;
(b) the most recent performance audit, if any, of the licensed certification authority resulted in a finding of full or substantial compliance with this Act; and
(c) the licensed certification authority declares under oath or affirmation that one or more of the following is true with respect to the licensed certification authority:

(i) the licensed certification authority has issued fewer than six certificates during the past year and the total of the recommended reliance limits of all such certificates does not exceed twenty-five thousand ringgit;
(ii) the aggregate lifetime of all certificates issued by the licensed certification authority during the past year is less than thirty days and the total of the recommended reliance limits of all such certificates does not exceed twenty-five thousand ringgit;
(iii) the recommended reliance limits of all certificates outstanding and issued by the licensed certification authority total less than two thousand five hundred ringgit.

(2) Where the licensed certification authority's declaration under paragraph (1)(c) falsely states a material fact, the licensed certification authority shall be deemed to have failed to comply with the performance audit requirement under section 20.

(3) Where a licensed certification authority is exempted under subsection (1), the Controller shall publish in the certification authority disclosure record he maintains for the licensed certification authority concerned a statement that the licensed certification authority is exempted from the performance audit requirement under section 20.

PART III. REQUIREMENTS OF LICENSED CERTIFICATION AUTHORITIES

22. Activities of licensed certification authorities

(1) A licensed certification authority shall only carry on such activities as may be specified in its licence.

(2) A licensed certification authority shall carry on its activities in accordance with this Act and any regulations made under this Act.

23. Requirement to display licence

A licensed certification authority shall at all times display its licence in a conspicuous place at its place of business.

24. Requirement to submit information and particulars relating to business operations

(1) A licensed certification authority shall submit to the Controller such information and particulars including financial statements, audited balance sheets and profit and loss accounts relating to its entire business operations as may be required by the Controller within such as he may determine.

(2) A person who contravenes subsection (1) commits an offence and shall, on conviction, be liable to a fine not exceeding one hundred thousand ringgit or to imprisonment for a term not exceeding two years or to both, and in the case of a continuing offence shall in addition be liable to a daily fine not exceeding two thousand ringgit for each day the offence continues to be committed.

25. Notification of change of information

(1) Every licensed certification authority shall, before making any amendment or alteration to any of its constituent documents, or before any change in its director or chief executive officer, furnish the Controller particulars in writing of any such proposed amendment, alteration or change.

(2) Every licensed certification authority shall immediately notify the Controller of any amendment or alteration to any information or document which has been furnished to the Controller in connection with the licence.

26. Requirements as to advertisement. A licensed certification authority shall not publish, whether in a newspaper, brochure or otherwise, any advertisement or information relating to or in connection with the business of a certification authority without including-

(a) the licence number;
(b) the business name under which it carries on business and the address at which such business is carried on; and
(c) any other particulars relating to any services offered as the Controller considers necessary.

PART IV. DUTIES OF LICENSED CERTIFICATION AUTHORITIES AND SUBSCRIBERS

CHAPTER 1 . General requircmentsfor licensed certification authorities

27. Use of trustworthy systems

(1) A licensed certification authority shall only use a trustworthy system –

(a) to issue, suspend or revoke a certificate;
(b) to publish or give notice of the issuance, suspension or revocation of a certificate; and
(c) to create a private key, whether for itself or for a subscriber.

(2) A subscriber shall only use a trustworthy system to create a private key.

28. Disclosures on inquiry

(1) A licensed certification authority shall, on an inquiry being made to it under this Act, disclose any material certification practice statement and any fact material to either the reliability of a certificate which it has issued or its ability to perform its services.

(2) A licensed certification authority may require a signed, written and reasonably specific inquiry from an identified person, and payment of the prescribed fee, as conditions precedent to effecting a disclosure required under subsection (1).

29. Prerequisites to issuance of certificate to subscriber

(1) A licensed certification authority may issue a certificate to a subscriber only after all of the following conditions are satisfied:

(a) the licensed certification authority has received a request for issuance signed by the prospective subscriber; and
(b) the licensed certification authority has confirmed that-

(i) the prospective subscriber is the person to be listed in the certificate to be issued;
(ii) if the prospective subscriber is acting through one or more agents, the subscriber duly authorised the agent or agents to have custody of the subscriber's private key and to request issuance of a certificate listing the corresponding public key;
(iii) the information in the certificate to be issued is accurate;
(iv) the prospective subscriber rightfully holds the private key corresponding to the public key to be listed in the certificate;
(v) the prospective subscriber holds a private key capable of creating a digital signature; and
(vi) the public key to be listed in the certificate can be used to verify a digital signature affixed by the private key held by the prospective subscriber.

(2) The requirements of subsection (1) shall not be waived or disclaimed by the licensed certification authority, the subscriber, or both.

30. Publication of issued and accepted certificate

(1) Where the subscriber accepts the issued certificate, the licensed certification authority shall publish a signed copy of the certificate in a recognised repository, as the licensed certification authority and the subscriber named in the certificate may agree, unless a contract between the licensed certification authority and the subscriber provides otherwise.

(2) Where the subscriber does not accept the certificate, a licensed certification authority shall not publish it, or shall cancel its publication if the certificate has already been published.

31. Adoption of more rigorous requirements permitted

Nothing in sections 29 and 30 shall preclude a licensed certification authority from conforming to standards, certification practice statements, security plans or contractual requirements more rigorous than, but nevertheless consistent with, this Act.

32. Suspension or revocation of certificate for faulty issuance

(1) Where after issuing a certificate a licensed certification authority confirms that it was not issued in accordance with sections 29 and 30, the licensed certification authority shall immediately revoke it.

(2) A licensed certification authority may suspend a certificate which it has issued for a reasonable period not exceeding forty-eight hours as may be necessary for an investigation to be carried out to confirm the grounds for a revocation under subsection (1).

(3) The licensed certification authority shall immediately notify the subscriber of a revocation or suspension under this section.

33. Suspension or revocation of certificate by order

(1) The Controller may order the licensed certification authority to suspend or revoke a certificate issued by it where the Controller determines that-

(a) the certificate was issued without compliance with sections 29 and 30; and
(b) the non-compliance poses a significant risk to persons reasonably relying on the certificate.

(2) Before making a determination under subsection (1), the Controller shall give the licensed certification authority and the subscriber a reasonable opportunity of being heard.

(3) Notwithstanding subsections (1) and (2), where in the opinion of the Controller there exists an emergency that requires an immediate remedy, the Controller may, after consultation with the Minister, suspend a certificate for a period not exceeding forty-eight hours.

CHAPTER 2. Warranties and obligations of licensed certification authorities

34. Warranties to subscriber

(1) By issuing a certificate, a licensed certification authority warrants to the subscriber named in the certificate that-

(a) the certificate contains no information known to the licensed certification authority to be false;
(b) the certificate satisfies all the requirements of this Act; and
(c) the licensed certification authority has not exceeded any limits of its licence in issuing the certificate.

(2) A licensed certification authority shall not disclaim or limit the warranties under subsection (1).

35. Continuing obligations to subscriber.

Unless the subscriber and licensed certification authority otherwise agree, a licensed certification authority, by issuing a certificate, promises to the subscriber-

(a) to act promptly to suspend or revoke a certificate in accordance with Chapter 5 or 6; and
(b) to notify the subscriber within a reasonable time of any facts known to the licensed certification authority which significantly affect the validity or reliability of the certificate once it is issued.

36. Representations upon issuance

By issuing a certificate, a licensed certification authority certifies to all who reasonably rely on the information contained in the certificate that-

(a) the information in the certificate and listed as confirmed by the licensed certification authority is accurate;
(b) all information foreseeably material to the reliability of the certificate is stated or incorporated by reference within the certificate;
(c) the subscriber has accepted the certificate; and
(d) the licensed certification authority has complied with all applicable laws governing the issuance of the certificate.

37. Representations upon publication

By publishing a certificate, a licensed certification authority certifies to the repository in which the certificate is published and to all who reasonably rely on the information contained in the certificate that the licensed certification authority has issued the certificate to the subscriber.

CHAPTER 3. Representations and duties upon acceptance of certificate

38. Implied representations by subscriber.

By accepting a certificate issued by a licensed certification authority, the subscriber listed in the certificate certifies to all who reasonably rely on the information contained in the certificate that-

(a) the subscriber rightfully holds the private key corresponding to the public key listed in the certificate;
(b) all representations made by the subscriber to the licensed certification authority and material to information listed in the certificate are true; and
(c) all material representations made by the subscriber to a licensed certification authority or made in the certificate and not confirmed by the licensed certification authority in issuing the certificate are true.

39. Representations by agent of subscriber

By requesting on behalf of a principal the issuance of a certificate naming the principal as subscriber, the requesting person certifies in that person's own right to all who reasonably rely on the information contained in the certificate that the requesting person-

(a) holds all authority legally required to apply for issuance of a certificate naming the principal as subscriber; and
(b) has authority to sign digitally on behalf of the principal, and, if that authority is limited in any way, adequate safeguards exist to prevent a digital signature exceeding the bounds of the person's authority.

40. Disclaimer or indemnity limited

No person may disclaim or contractually limit the application of this Chapter, nor obtain indemnity for its effects, if the disclaimer, limitation or indemnity restricts liability for misrepresentation as against persons reasonably relying on the certificate.

41. Indemnification of licensed certification authority by subscriber

(1) By accepting a certificate, a subscriber undertakes to indemnify the issuing licensed certification authority for any loss or damage caused by issuance or publication of the certificate in reliance on-

(a) a false and material representation of fact by the subscriber; or
(b) the failure by the subscriber to disclose a material fact, if the representation or failure to disclose was made either with intent to deceive the licensed certification authority or a person relying on the certificate, or with negligence.

(2) Where the licensed certification authority issued the certificate at the request of one or more agents of the subscriber, the agent or agents personally undertake to indemnify the licensed certification authority under this section, as if they were accepting subscribers in their own right.

(3) The indemnity provided in this section shall not be disclaimed or contractually limited in scope.

42. Certification of accuracy of information given

In obtaining information of the subscriber material to the issuance of a certificate, the licensed certification authority may require the subscriber to certify the accuracy of relevant information under oath or affirmation.

CHAPTER 4. Control of private key

43. Duty of subscriber to keep private key secure

By accepting a certificate issued by a licensed certification authority, the subscriber named in the certificate assumes a duty to exercise reasonable care to retain control of the private key and prevent its disclosure to any person not authorised to create the subscriber's digital signature.

44. Property in private key

A private key is the personal property of the subscriber who rightfully holds it.

45. Licensed certification authority to be fiduciary if holding subscriber's private key

Where a licensed certification authority holds the private key corresponding to a public key listed in a certificate which it has issued, the licensed certification authority shall hold the private key as a fiduciary of the subscriber named in the certificate, and may use that private key only with the subscriber's prior written approval, unless the subscriber expressly and in writing grants the private key to the licensed certification authority and expressly and in writing permits the licensed certification authority to hold the private key according to other terms.

CHAPTER 5. Suspension of certificate

46. Suspension of certificate by issuing licensed certification authority

(1) Unless the licensed certification authority and the subscriber agree otherwise, the licensed certification authority which issued a certificate, which is not a transactional certificate, shall suspend the certificate for a period not exceeding forty-eight hours-

(a) upon request by a person identifying himself as the subscriber named in the certificate, or as a person in a position likely to know of a compromise of the security of a subscriber's private key, such as an agent, business associate, employee or member of the immediate family of the subscriber; or
(b) by order of the Controller under section 33.

(2) The licensed certification authority shall take reasonable measures to cheek the identity or agency of the person requesting suspension.

47. Suspension of certificate by Controller or court

(1) Unless the certificate provides otherwise or the certificate is a transactional certificate, the Controller or a court may suspend a certificate issued by a licensed certification authority for a period of forty-eight hours, if-

(a) a person identifying himself as the subscriber named in the certificate or as an agent, business associate, employee or member of the immediate family of the subscriber requests suspension; and
(b) the requester represents that the licensed certification authority which issued the certificate is unavailable.

(2) The Controller or court may require the person requesting suspension to provide evidence, including a statement under oath or affirmation regarding his identity and authorisation, and the unavailability of the issuing licensed certification authority, and may decline to suspend the certificate in his or its discretion.

(3) The Controller or other law enforcement agency may investigate suspensions by the Controller or court for possible wrongdoing by persons requesting suspension.

48. Notice of suspension

(1) Immediately upon suspension of a certificate by a licensed certification authority, the licensed certification authority shall publish a signed notice of the suspension in the repository specified in the certificate for publication of notice of suspension.

(2) Where one or more repositories are specified, the licensed certification authority shall publish signed notices of the suspension in all such repositories.

(3) Where any repository specified no longer exists or refuses to accept publication, or if no such repository is recognised under section 68, the licensed certification authority shall also publish the notice in a recognised repository.

(4) Where a certificate is suspended by the Controller or a court, the Controller or court shall give notice as required in this section for a licensed certification authority provided that the person requesting suspension pays in advance any prescribed fee required by a repository for publication of the notice of suspension.

49. Termination of suspension initiated by request.

A licensed certification authority shall terminate a suspension initiated by request-

(a) where the subscriber named in the suspended certificate requests termination of the suspension, only if the licensed certification authority has confirmed that the person requesting suspension is the subscriber or an agent of the subscriber authorised to terminate the suspension; or
(b) where the licensed certification authority discovers and confirms that the request for the suspension was made without authorisation by the subscriber.

50. Alternate contractual procedures

(1) The contract between a subscriber and a licensed certification authority may limit or preclude requested suspension by the licensed certification authority or may provide otherwise for termination of a requested suspension.

(2) Where the contract limits or precludes suspension by the Controller or a court when the issuing licensed certification authority is unavailable, the limitation or preclusion shall be effective only if notice of it is published in the certificate.

51. Prohibition against false or unauthorised request for suspension of certificate

No person shall knowingly or intentionally misrepresent to a licensed certification authority his identity or authorisation in requesting suspension of a certificate.

52. Effect of suspension of certificate

Nothing in this Chapter shall release the subscriber from the duty under section 43 to keep the private key secure while a certificate is suspended.

CHAPTER 6. Revocation of certificate

53. Revocation on request

(1) A licensed certification authority shall revoke a certificate which it issued but which is not a transactional certificate,-

(a) upon receiving a request for revocation by the subscriber named in the certificate; and
(b) upon confirming that the person requesting revocation is that subscriber or is an agent of that subscriber with authority to request the revocation.

(2) A licensed certification authority shall confirm a request for revocation and revoke a certificate within one business day after receiving both a subscriber's written request and evidence reasonably sufficient to confirm the identity of the person requesting the revocation or of the agent.

54. Revocation on subscriber's demise

A licensed certification authority shall revoke a certificate which it issued-

(a) upon receiving a certified copy of the subscriber's death certificate or upon confirming by other evidence that the subscriber is dead; or
(b) upon presentation of documents effecting a dissolution of the subscriber or upon confirming by other evidence that the subscriber has been dissolved or has ceased to exist.

55. Revocation of unreliable certificates

(1) A licensed certification authority may revoke one or more certificates which it issued if the certificates are or become unreliable regardless of whether the subscriber consents to the revocation and notwithstanding any provision to the contrary in a contract between the subscriber and the licensed certification authority.

(2) Nothing in subsection (1) shall prevent the subscriber from seeking damages or other relief against the licensed certification authority in the event of wrongful revocation.

56. Notice of revocation

(1) Immediately upon revocation of a certificate by a licensed certification authority, the licensed certification authority shall publish a signed notice of the revocation in the repository specified in the certificate for publication of notice of revocation.

(2) Where one or more repositories are specified, the licensed certification authority shall publish signed notices of the revocation in all such repositories.

(3) Where any repository specified no longer exists or refuses to accept publication, or if no such repository is recognised under section 68, the licensed certification authority shall also publish the notice in a recognised repository.

57. Effect of revocation request on subscriber

Where a subscriber has requested for the revocation of a certificate, the subscriber ceases to certify as provided in Chapter 3 and has no further duty to keep the private key secure as required under section 43 –

(a) when notice of the revocation is published as required under section 56; or
(b) when two business days have lapsed after the subscriber requests for the revocation in writing, supplies to the issuing licensed certification authority information reasonably sufficient to confirm the request, and pays any prescribed fee, whichever occurs first.

58. Effect of notification on licensed certification authority

Upon notification as required under section 56, a licensed certification authority shall be discharged of its warranties based on issuance of the revoked certificate and ceases to certify as provided in sections 35 and 36 in relation to the revoked certificate.

CHAPTER 7. Expiration of certificate

59. Expiration of certificate

(1) The date of expiry of a certificate shall be specified in the certificate.

(2) A certificate may be issued for any period not exceeding three years from the date of issuance.

(3) When a certificate expires, the subscriber and licensed certification authority shall cease to certify as provided under this Act and the licensed certification authority shall be discharged of its duties based on issuance in relation to the expired certificate.

(4) The expiry of a certificate shall not affect the duties and obligations of the subscriber and licensed certification authority incurred under and in relation to the expired certificate.

CHAPTER 8. Recommended reliance limits and liability

60. Recommended reliance limit

(1) A licensed certification authority shall, in issuing a certificate to a subscriber, specify a recommended reliance limit in the certificate.

(2) The licensed certification authority may specify different limits in different certificates as it considers fit.

61. Liability limits for licensed certification authorities Unless a licensed certification authority waives the application of this section, a licensed certification authority-

(a) shall not be liable for any loss caused by reliance on a false or forged digital signature of a subscriber, if, with respect to the false or forged digital signature, the licensed certification authority complied with the requirements of this Act;
(b) shall not be liable in excess of the amount specified in the certificate as its recommended reliance limit for either-

(i) a loss caused by reliance on a misrepresentation in the certificate of any fact that the licensed certification authority is required to confirm; or
(ii) failure to comply with sections 29 and 30 in issuing the certificate; and

(c) shall not be liable for-

(i) punitive or exemplary damages; or
(ii) damages for pain or suffering.

PART V. EFFECT OF DIGITAL SIGNATURE

62. Satisfaction of signature requirements

(1) Where a rule of law requires a signature or provides for certain consequences in the absence of a signature, that rule shall be satisfied by a digital signature where-

(a) that digital signature is verified by reference to the public key listed in a valid certificate issued by a licensed certification authority;
(b) that digital signature was affixed by the signer with the intention of signing the message; and
(c) the recipient has no knowledge or notice that the signer-

(i) has breached a duty as a subscriber; or
(ii) does not rightfully hold the private key used to affix the digital signature.

(2) Notwithstanding any written law to the contrary-

(a) a document signed with a digital signature in accordance with this Act shall be as legally binding as a document signed with a handwritten signature, an affixed thumb-print or any other mark; and
(b) a digital signature created in accordance with this Act shall be deemed to be a legally binding signature.

(3) Nothing in this Act shall preclude any symbol from being valid as a signature under any other applicable law.

63. Unreliable digital signatures

(1) Unless otherwise provided by law or contract, the recipient of a digital signature assumes the risk that a digital signature is forged, if reliance on the digital signature is not reasonable under the circumstances.

(2) Where the recipient determines not to rely on a digital signature under this section, the recipient shall promptly notify the signer of its determination not to rely on a digital signature and the grounds for that determination.

64. Digitally signed document deemed to be written document

(1) A message shall be as valid, enforceable and effective as if it had been written on paper if-

(a) it bears in its entirety a digital signature; and
(b) that digital signature is verified by the public key listed in a certificate which-

(i) was issued by a licensed certification authority; and
(ii) was valid at the time the digital signature was created.

(2) Nothing in this Act shall preclude any message, document or record from being considered written or in writing under any other applicable law.

65. Digitally signed document deemed to be original document.

A copy of a digitally signed message shall be as valid, enforceable and effective as the original of the message unless it is evident that the signer designated an instance of the digitally signed message to be a unique original, in which case only that instance constitutes the valid, enforceable and effective message.

66. Authentication of digital signatures

A certificate issued by a licensed certification authority shall be an acknowledgement of a digital signature verified by reference to the public key listed in the certificate, regardless of whether words of an express acknowledgement appear with the digital signature and regardless of whether the signer physically appeared before the licensed certification authority when the digital signature was created, if that digital signature is-

(a) verifiable by that certificate; and
(b) affixed when that certificate was valid.

67. Presumptions in adjudicating disputes

In adjudicating a dispute involving a digital signature, a court shall presume-

(a) that a certificate digitally signed by a licensed certification authority and-

(i) published in a recognised repository; or
(ii) made available by the issuing licensed certification authority or by the subscriber listed in the certificate, is issued by the licensed certification authority which digitally signed it and is accepted by the subscriber listed in it;

(b) that the information listed in a valid certificate and confirmed by a licensed certification authority issuing the certificate is accurate;
(c) that where a digital signature is verified by the public key listed in a valid certificate issued by a licensed certification authority-

(i) that digital signature is the digital signature of the subscriber listed in that certificate;
(ii) that digital signature was affixed by that subscriber with the intention of signing the message; and
(iii) the recipient of that digital signature has no knowledge or notice that the signer-

(A) has breached a duty as a subscriber; or
(B) does not rightfully hold the private key used to affix the digital signature; and

(d) that a digital signature was created before it was time-stamped by a recognised date/time stamp service utilising a trustworthy system.

PART VI. REPOSITORIES AND DATE/TIME STAMP SERVICES

68. Recognition of repositories

(1) The Controller may recognise one or more repositories, after determining that a repository to be recognised satisfies the requirements prescribed in the regulations made under this Act.

(2) The procedure for recognition of repositories shall be as may be prescribed by regulations made under this Act.

(3) The Controller shall publish a list of recognised repositories in such form and manner as he may determine.

69. Liability of repositories.

(1) Notwithstanding any disclaimer by the repository or any contract to the contrary between the repository and a licensed certification authority or a subscriber, a repository shall be liable for a loss incurred by a person reasonably relying on a digital signature verified by the public key listed in a suspended or revoked certificate, if loss was incurred more than one business day after receipt by the repository of a request to publish notice of the suspension or revocation, and the repository had failed to publish the notice when the person relied on the digital signature.

(2) Unless waived, a recognised repository or the owner or operator of a recognised repository-

(a) shall not be liable for failure to record publication of a suspension or revocation, unless the repository has received notice of publication and one business day has elapsed since the notice was received;
(b) shall not be liable under subsection (1) in excess of the amount specified in the certificate as the recommended reliance limit;
(c) shall not be liable under subsection (1) for-

(i) punitive or exemplary damages; or
(ii) damages for pain or suffering;

(d) shall not be liable for misrepresentation in a certificate published by a certification authority;
(e) shall not be liable for accurately recording or reporting information which a licensed certification authority, a court or the Controller has published as required or permitted under this Act, including information about the suspension or revocation of a certificate; and
(f) shall not be liable for reporting information about a certification authority, a certificate or a subscriber, if such information is published as required or permitted under this Act or is published by order of the Controller in the performance of his licensing and regulatory duties under this Act.

70. Recognition of date/time stamp services

(1) The Controller may recognise one or more date/time stamp services, after determining that a service to be recognised satisfies the requirements prescribed in the regulations made under this Act.

(2) The procedure for recognition of date/time stamp services shall be as may be prescribed by regulations made under this Act.

(3) The Controller shall publish a list of recognised date/time stamp services in such form and manner as he may determine.

PART VII. GENERAL

71. Prohibition against dangerous activities

(1) No certification authority, whether licensed or not, shall conduct its business in a manner that creates an unreasonable risk of loss to the subscribers of the certification authority, to persons relying on certificates issued by the certification authority or to a repository.

(2) The Controller may publish in one or more recognised repositories brief statements advising subscribers, persons relying on digital signatures and repositories about any activities of a certification authority, whether licensed or not, which create a risk prohibited under subsection (1).

(3) The certification authority named in a statement as creating or causing a risk may protest the publication of the statement by filing a brief written defence.

(4) On receipt of a protest made under subsection (3), the Controller shall publish the written defence together with the Controller's statement, and shall immediately give the protesting certification authority notice and a reasonable opportunity of being heard.

(5) Where, after a hearing, the Controller determines that the publication of the advisory statement was unwarranted, the Controller shall revoke the advisory statement.

(6) Where, after a hearing, the Controller determines that the advisory statement is no longer warranted, the Controller shall revoke the advisory statement.

(7) Where, after a hearing, the Controller determines that the advisory statement remains warranted, the Controller may continue or amend the advisory statement and may take further legal action to eliminate or reduce the risk prohibited under subsection (1).

(8) The Controller shall publish his decision under subsection (5), (6) or (7), as the case may be, in one or more recognised repositories.

72. Obligation of secrecy

(1) Except for the purposes of this Act, no person who has access to any record, book, register, correspondence, information, document or other material obtained under this Act shall disclose such record, book, register, correspondence, information, document or other material to any other person.

(2) A person who contravenes subsection (1) commits an offence and shall, on conviction, be liable to a fine not exceeding one hundred thousand ringgit or to imprisonment for a term not exceeding two years or to both.

73. False information

A person who makes, orally or in writing, signs or furnishes any declaration, return, certificate or other document or information required under this Act which is untrue, inaccurate or misleading in any particular commits an offence and shall, on conviction, be liable to a fine not exceeding five hundred thousand ringgit or to imprisonment for a term not exceeding ten years or to both.

74. Offences by body corporate

(1) Where a body corporate commits an offence under this Act, any person who at the time of the commission of the offence was a director, manager, secretary or other similar officer of the body corporate or was purporting to act in any such capacity or was in any manner or to any extent responsible for the management of any of the affairs of the body corporate or was assisting in such management-

(a) may be charged severally or jointly in the same proceedings with the body corporate; and
(b) where the body corporate is found guilty of the offence, shall be deemed to be guilty of that offence unless, having regard to the nature of his functions in that capacity and to all circumstances, he proves-

(i) that the offence was committed without his knowledge, consent or connivance; and
(ii) that he took all reasonable precautions and had exercised due diligence to prevent the commission of the offence.

(2) Where any person would be liable under this Act to any punishment or penalty for any act, omission, neglect or default, he shall be liable to the same punishment or penalty for every such act, omission, neglect or default of any employee or agent of his, or of the employee of such agent, if such act, omission, neglect or default was committed-

(a) by his employee in the course of his employment;
(b) by the agent when acting on his behalf; or
(c) by the employee of such agent in the course of his employment by such agent or otherwise on behalf of the agent.

75. Authorised officer

(1) The Minister may in writing authorise any public officer or officer of the Controller to exercise the powers of enforcement under this Act.

(2) Any such officer shall be deemed to be a public servant within the meaning of the Penal Code.

(3) In exercising any of the powers of enforcement under this Act, an authorised officer shall on demand produce to the person against whom he is acting the authority issued to him by the Minister.

76. Power to investigate

(1) The Controller may investigate the activities of a certification authority material to its compliance with this Act.

(2) For the purposes of subsection (1), the Controller may issue orders to a certification authority to further its investigation and secure compliance with this Act.

(3) Further, in any case relating to the commission of an offence under this Act, any authorised officer carrying on an investigation may exercise all or any of the special powers in relation to police investigation in seizable cases given by the Criminal Procedure Code.

77. Search by warrant

(1) If it appears to a Magistrate, upon written information on oath and after such inquiry as he considers necessary, that there is reasonable cause to believe that an offence under this Act is being or has been committed on any premises, the Magistrate may issue a warrant authorising any police officer not below the rank of Inspector, or any authorised officer named therein, to enter the premises at any reasonable time by day or by night, with or without assistance and if need be by force, and there to search for and seize-

(a) copies of any books, accounts or other documents, including computerised data, which contain or are reasonably suspected to contain information as to any offence so suspected to have been committed;
(b) any signboard, card, letter, pamphlet, leaflet, notice or other device representing or implying that the person is a licensed certification authority; and
(c) any other document, article or item that is reasonably believed to furnish evidence of the commission of such offence.

(2) A police officer or an authorised officer conducting a search under subsection (1) may, if in his opinion it is reasonably necessary to do so for the purpose of investigating into the offence, search any person who is in or on such premises.

(3) A police officer or an authorised officer making a search of a person under subsection (2) may seize, detain or take possession of any book, accounts, document, computerised data, card, letter, pamphlet, leaflet, notice, device, article or item found on such person for the purpose of the investigation being carried out by such officer.

(4) No female person shall be searched under this section except by another female person.

(5) Where, by reason of its nature, size or amount, it is not practicable to remove any book, accounts, document, computerised data, signboard, card, letter, pamphlet, leaflet, notice, device, article or item seized under this section, the seizing officer shall, by any means, seal such book, accounts, document, computerised data, signboard, card, letter, pamphlet, leaflet, notice, device, article or item in the premises or container in which it is found.

(6) A person who, without lawful authority, breaks, tampers with or damages the seal referred to in subsection (5) or removes any book, accounts, document, computerised data, signboard, card, letter, pamphlet, leaflet, notice, device, article or item under seal or attempts to do so commits an offence.

78. Search and seizure without warrant

If a police officer not below the rank of Inspector in any of the circumstances referred to in section 77 has reasonable cause to believe that by reason of delay in obtaining a search warrant under that section the investigation would be adversely affected or evidence of the commission of an offence is likely to be tampered with, removed, damaged or destroyed, such officer may enter such premises and exercise in, upon and in respect of the premises all the powers referred to in section 77 in as full and ample a manner as if he were authorised to do so by a warrant issued under that section.

79. Access to computerised data

(1) A police officer conducting a search under section 77 or 78 or an authorised officer conducting a search under section 77 shall be given access to computerised data whether stored in a computer or otherwise.

(2) For the purposes of this section, «access» includes being provided with the necessary password, encryption code, decryption code, software or hardware and any other means required to enable comprehension of computerised data.

80. List of things seized

(1) Except as provided in subsection (2), where any book, accounts, document, computerised data, signboard, card, letter, pamphlet, leaflet, notice, device, article or item is seized under section 77 or 78, the seizing officer shall prepare a list of the things seized and immediately deliver a copy of the list signed by him to the occupier of the premises which have been searched, or to his agent or servant, at those premises.

(2) Where the premises are unoccupied, the seizing officer shall whenever possible post a list of the things seized conspicuously on the premises.

81. Obstruction of authorised officer

Any person who obstructs, impedes, assaults or interferes with any authorised officer in the performance of his functions under this Act commits an offence.

82. Additional powers

An authorised officer shall, for the purposes of the execution of this Act, have power to do all or any of the following:

(a) to require the production of records, accounts, computerised data and documents kept by a licensed certification authority and to inspect, examine and copy any of them;
(b) to require the production of any identification document from any person in relation to any case or offence under this Act;
(c) to make such inquiry as may be necessary to ascertain whether the provisions of this Act have been complied with.

83. General penalty

(1) A person who commits an offence under this Act for which no penalty is expressly provided shall, on conviction, be liable to a fine not exceeding two hundred thousand ringgit or to imprisonment for a term not exceeding four years or to both, and in the case of a continuing offence shall in addition be liable to a daily fine not exceeding two thousand ringgit for each day the offence continues to be committed.

(2) For the purposes of this section, «this Act» does not include the regulations made under this Act.

84. Recovery of procedural costs

Where the Controller finds that a certification authority has contravened this Act, the Controller may order the certification authority to pay the costs incurred by the Controller in prosecution and adjudication proceedings in relation to the order and in enforcing it.

85. No costs or damages arising from seizure to be recoverable

No person shall, in any proceedings before any court in respect of the seizure of any book, accounts, document, computerised data, signboard, card, letter, pamphlet, leaflet, notice, device, article or item seized in the exercise or the purported exercise of any power conferred under this Act, be entitled to the costs of such proceedings or to any damages or other relief unless such seizure was made without reasonable cause.

86. Institution and conduct of prosecution

(1) No prosecution for or in relation to any offence under this Act shall be instituted without the written consent of the Public Prosecutor.

(2) Any officer of the Controller duly authorised in writing by the Public Prosecutor may conduct the prosecution for any offence under this Act.

87. Jurisdiction to try offences

Notwithstanding any written law to the contrary, a Court of a Magistrate of the First class shall have jurisdiction to try any offence under this Act and to impose the full punishment for any such offence.

88.Protection of officers

No action or prosecution shall be brought, instituted or maintained in any court against –

(a) the Controller or any officer duly authorised under this Act for or on account of or in respect of any act ordered or done for the purpose of carrying into effect this Act; and
(b) any other person for or on account of or in respect of any act done or purported to be done by him under the order, direction or instruction of the Controller or any officer duly authorised under this Act if the act was done in good faith and in a reasonable belief that it was necessary for the purpose intended to be served thereby.

89. Power to exempt

(1) The Minister may, by order published in the Gazette, exempt any person or class of persons from all or any of the provisions of this Act, except section 4.

(2) The Minister may impose any terms and conditions as he thinks fit on any exemption under subsection (1).

90. Limitation on disclaiming or limiting application of Act

Unless it is expressly provided for under this Act, no person may disclaim or contractually limit the application of this Act.

91. Regulations

(1) The Minister may make regulations for all or any of the following purposes:

(a) prescribing the qualification requirements for certification authorities;
(b) prescribing the manner of applying for licences and certificates under this Act, the particulars to be supplied by an applicant, the manner of licensing and certification, the fees payable therefor, the conditions or restrictions to be imposed and the form of licences and certificates;
(c) regulating the operations of licensed certification authorities;
(d) prescribing the requirements for the content, form and sources of information in certification authority disclosure records, the updating and timeliness of such information and other practices and policies relating to certification authority disclosure records;
(e) prescribing the form of certification practice statements;
(f) prescribing the qualification requirements for auditors and the procedure for audits;
(g) prescribing the requirements for repositories and the procedure for recognition of repositories;
(h) prescribing the requirements for date/time stamp services and the procedure for recognition of date/time stamp services;
(i) prescribing the procedure for the review of software for use in creating digital signatures and of the applicable standards in relation to digital signatures and certification practice and for the publication of reports on such software and standards;
(j) prescribing the forms for the purposes of this Act;
(k) prescribing the fees and charges payable under this Act and the manner for collecting and disbursing such fees and charges;
(l) providing for such other matters as are contemplated by, or necessary for giving full effect to, the provisions of this Act and for their due administration.

(2) Regulations made under subsection (1) may prescribe any act in contravention of the regulations to be an offence and may prescribe penalties of a fine not exceeding one hundred thousand ringgit or imprisonment for a term not exceeding two years or both.

92. Savings and transitional.

(1) A certification authority that has been carrying on or operating as a certification authority before the commencement of this Act shall, not later than three months from such commencement, obtain a licence under this Act.

(2) Where a certification authority referred to in subsection (1) fails to obtain a licence after the period prescribed in subsection (1), it shall be deemed to be an unlicensed certification authority and the provisions of this Act shall apply to it and the certificates issued by it accordingly.

(3) Where a certification authority referred to in subsection (1) has obtained a licence in accordance with this Act within the period prescribed in subsection (1), all certificates issued by such certification authority before the commencement of this Act, to the extent that they are not inconsistent with this Act, shall be deemed to have been issued under this Act and shall have effect accordingly.

EXPLANATORY STATEMENT

This Bill seeks to make provision for, and to regulate the use of, digital signatures and to provide for matters connected therewith.

2. Part 1 contains preliminary matters.

Clause 1 contains the short title and provisions on the commencement of the proposed Act.

Clause 2 contains the definitions of several expressions used in the proposed Act.

3. Part II deals with the Controller of Certification Authorities and the licensing of certification authorities.

Clause 3 seeks to empower the Minister to appoint a Controller of Certification Authorities. It also seeks to empower the Controller, after consultation with the Minister, to appoint such number of officers and servants as the Controller considers necessary. The function of the Controller is primarily to license certification authorities and to monitor and oversee the activities of certification authorities.

Clause 4 seeks to introduce a mandatory licensing scheme for certification authorities. The mandatory licensing scheme is proposed to establish a minimum regulatory system to provide a basic level of reliability in certification authority practice without undermining the reliability of any signature by invalidating it for lack of a regulatory licence. Under the proposed scheme, a digital signature may nevertheless be reliable and legally valid if verified by a certificate issued by an unlicensed certification authority or without verification by any certificate at all. However, in such cases and as expressly provided in clause 13 of the proposed Act, neither the liability limits specified in Chapter 8 of Part IV of the proposed Act nor Part V of the proposed Act shall apply.

Subclause 4(3) seeks to allow the Minister to exempt a person operating as a certification authority within an organisation where certificates and key pairs are issued to members of the organisation for internal use only and such other person or class of persons as the Minister considers fit.

Clause 5 seeks to empower the Minister to prescribe the qualification requirements for certification authorities by regulations made under the proposed Act.

Clause 6 seeks to make provision for the functions of licensed certification authorities. It also seeks to impose a duty on the licensed certification authority to take all reasonable measures to check for proper identification of a subscriber before issuing a certificate.

Clauses 7 to 11 seek to make provision for the application for licences and the issue, surrender and revocation of licences.

Clause 12 seeks to provide for the effect of the revocation, surrender or expiry of licences. Subclauses 12(5) to (8) seek to make provision for the certificates issued by a certification authority where its licence has been revoked or surrendered or has expired.

Clause 13 seeks to clarify the effect of the lack of a licence, that is, Chapter 8 of Part IV of the proposed Act will not apply to the unlicensed certification authority and Part V of the proposed Act will not apply in relation to a digital signature which cannot be verified by a certificate issued by a licensed certification authority.

Clause 14 seeks to require the return of revoked or expired licences.

Clause 15 seeks to allow the Controller to classify licences according to specified limitations and provides that where a licensed certification authority issues a certificate exceeding the restrictions of its licence, the licensed certification authority commits an offence. Further, the liability limits specified in Chapter 8 of Part IV shall not apply to it. However, this shall not affect the validity or effect of the issued certificate.

Clause 16 seeks to restrict the use of the expression «certification authority» and «licensed certification authority».

Clause 17 seeks to provide for the renewal of licences whilst clause 18 seeks to provide for the replacement of lost licences.

Clause 19 seeks to allow the Controller, by order published in the Gazette, to recognise foreign certification authorities thereby allowing the recommended reliance limits specified in the certificates issued by the foreign certification authorities to apply and Part V of the proposed Act to apply to the certificates issued by it.

Clause 20 seeks to provide for performance audits of licensed certification authorities to evaluate its compliance with the proposed Act. Clause 21 seeks to provide limited exemptions from performance audits to small businesses.

4. Part Ill (clauses 22 to 26) deals with the requirements imposed on licensed certification authorities and includes requiring the licensed certification authority to only carry on activities specified in its licence, to display its licence and to submit information relating to its business operations.

5. Part IV (clauses 27 to 61) deals with the duties of licensed certification authorities and subscribers. The duties of a licensed certification authority include using a trustworthy system to issue, suspend or revoke a certificate, to publish or give notice thereof and to create a private key, to publish issued and accepted certificates and to suspend or revoke certificates immediately where the need arises.

Clause 31 provides that a licensed certification authority may conform to standards, certification practice statements, security plans or contractual requirements more rigorous than the proposed Act provided that they are not inconsistent therewith.

The duties of a subscriber include retaining control of the private key and practising safe key management. Clause 44 provides that the private key is the personal property of the subscriber who rightfully holds it.

Clauses 34 to 42 seek to provide the warranties and obligations of the licensed certification authority and subscriber on the issue and acceptance of a certificate.

Clauses 60 and 61 seek to provide for a recommended reliance limit. By specifying a recommended reliance limit in a certificate, the issuing certification authority and accepting subscriber recommend that a person rely on the certificate only to the extent that the total amount at risk does not exceed the recommended reliance limit.

6. Part V deals with the effect of digital signatures.

Clause 62 seeks to provide that a digital signature created in accordance with the proposed Act shall satisfy the requirements of law with respect to signatures and that notwithstanding any written law to the contrary, a document signed with a digital signature in accordance with the proposed Act shall be as legally binding as a document signed with a handwritten signature, an affixed thumbprint or any other mark.However, the proposed Act does not preclude any symbol from being valid as a signature under any other applicable law.

Clause 63 seeks to provide that the recipient of a digital signature assumes the risk that a digital signature is forged if under the circumstances reliance on it is not reasonable. It also seeks to impose a duty on the recipient who does not rely on a digital signature to notify the signer of its determination and the grounds for that determination.

Clause 64 seeks to deem a digitally signed document to be a written document whilst clause 65 seeks to deem a digitally signed document to be an original document.

Clause 66 seeks to provide for the authentication of digital signatures.

Clause 67 seeks to provide certain presumptions in adjudicating disputes.

7. Part VI deals with repositories and date/time stamp services. Clauses 68 and 69 seek to provide for the recognition of repositories and their liabilities.

Clause 70 seeks to provide for the recognition of date/time stamp services.

8. Part VII deals with general matters.

Clause 72 seeks to impose an obligation of secrecy on persons who have access to confidential information obtained under the proposed Act.

Clause 73 seeks to make it an offence to furnish untrue, inaccurate or misleading information.

Clause 74 seeks to provide for offences committed by a body corporate.

Clause 75 seeks to empower the Minister to authorise any public officer or officer of the Controller to exercise the powers of enforcement under the proposed Act.

Schleswig-Holsteinisches Gesetz
zum Schutz personenbezogener Informationen

Vom 30. Oktober 1991
GS Schl.-H. II, Gl.Nr. 204-2

zuletzt geändert am 13. März 1996
GVOBl. Schl.-H. S. 300

Abschnitt I.Allgemeine Grundsätze

1. Gesetzeszweck

Dieses Gesetz regelt die Verarbeitung personenbezogener Informationen (Daten) durch öffentliche Stellen, um das Recht der Betroffenen zu gewährleisten, grundsätzlich selbst über die Preisgabe und Verwendung ihrer Daten zu bestimmen (informationelles Selbstbestimmungsrecht).

2. Begriffsbestimmungen

(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffene oder Betroffener).

(2) Datenverarbeitung ist das Erheben, Speichern, Verändern, Übermitteln, Nutzen, Sperren, Anonymisieren sowie Löschen personenbezogener Daten. Im einzelnen ist

1. Erheben das Beschaffen von Daten,

2. Speichern das Erfassen, Aufnehmen oder Aufbewahren von Daten auf Datenträgern,

3. Verändern das inhaltliche Umgestalten gespeicherter Daten,

4. Übermitteln das Bekanntgeben von Daten an Dritte in der Weise, daß die Daten durch die datenverarbeitende Stelle weitergegeben werden oder daß Dritte Kenntnis nehmen oder zum Abruf bereitgehaltene Daten abrufen,

5. Nutzen jede sonstige Verwendung von Daten,

6. Sperren das Untersagen weiterer Verarbeitung gespeicherter Daten,

7. Anonymisieren das Verändern von Daten in der Weise, daß Einzelangaben über persönliche oder sachliche Verhältnisse durch die datenverarbeitende Stelle nicht mehr einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können,

8. Löschen das Unkenntlichmachen gespeicherter Daten, ungeachtet der dabei angewendeten Verfahren.

(3) Datenverarbeitende Stelle ist jede öffentliche Stelle im Sinne von 3 Abs. 1, die personenbezogene Daten für sich selbst verarbeitet oder durch andere verarbeiten läßt.

(4) Dritte sind Personen oder Stellen außerhalb der datenverarbeitenden Stelle, ausgenommen Betroffene und diejenigen Personen oder Stellen, die im Auftrag für die datenverarbeitende Stelle im Geltungsbereich des Grundgesetzes tätig werden.

(5) Eine Datei ist

1. eine Sammlung von Daten, die durch automatisierte Verfahren ausgewertet werden kann (automatisierte Datei), oder

2. eine gleichartig aufgebaute Sammlung von Daten, die nach bestimmten Merkmalen geordnet und ausgewertet werden kann (nichtautomatisierte Datei).

(6) Eine Akte ist jede sonstige amtlichen oder dienstlichen Zwecken dienende Unterlage; dazu zählen auch Bild- und Tonträger. Nicht hierunter zählen Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen und alsbald vernichtet werden; diese Unterlagen sind gegen den Zugriff Unbefugter zu schützen.

3. Anwendungsbereich

(1) Die Vorschriften dieses Gesetzes gelten für Behörden und sonstige öffentliche Stellen der im Landesverwaltungsgesetz genannten Träger der öffentlichen Verwaltung (öffentliche Stellen), auch wenn diese Bundesrecht ausführen.

(2) Für öffentlich-rechtliche, der Aufsicht des Landes unterstehende Unternehmen mit eigener Rechtspersönlichkeit, die am Wettbewerb teilnehmen, gilt von diesem Gesetz nur Abschnitt V. Im übrigen gelten für sie die Vorschriften des Bundesdatenschutzgesetzes für nichtöffentliche Stellen.

(3) Absatz 2 gilt nicht für die Datenzentrale Schleswig-Holstein.

(4) Für Begnadigungsverfahren findet dieses Gesetz keine Anwendung.

(5) Für öffentlich-rechtliche Rundfunkanstalten gilt das Recht des jeweiligen Sitzlandes.

(6) Soweit besondere Rechtsvorschriften den Umgang mit personenbezogenen Daten regeln, gehen sie den Vorschriften dieses Gesetzes vor.

4. Verarbeitung personenbezogener Daten im Auftrag

(1) Läßt eine datenverarbeitende Stelle personenbezogene Daten in ihrem Auftrag verarbeiten, bleibt sie für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Rechte der Betroffenen sind ihr gegenüber geltend zu machen.

(2) Die datenverarbeitende Stelle hat dafür Sorge zutragen, daß personenbezogene Daten nur im Rahmen ihrer Weisungen verarbeitet werden. Sie hat Auftragnehmende unter besonderer Berücksichtigung ihrer Eignung für die Gewährleistung der nach 7 notwendigen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen; dabei sind die erhöhten Anforderungen bei der Verarbeitung von Daten, die besonderen Amts- oder Berufsgeheimnissen unterliegen, zu beachten.

Aufträge, ergänzende Weisungen zu technischen und organisatorischen Maßnahmen und die etwaige Zulässigkeit von Unterauftragsverhältnissen sind schriftlich festzulegen.

(3) Sofern die Vorschriften dieses Gesetzes auf Auftragnehmende keine Anwendung finden, hat die datenverarbeitende Stelle diese zu verpflichten, jederzeit von ihr veranlaßte Kontrollen zu ermöglichen.

(4) Öffentliche Stellen sowie öffentlich-rechtliche Unternehmen dürfen personenbezogene Daten als Auftragnehmende nur im Rahmen der Weisungen der Auftraggebenden verarbeiten.

5. Allgemeine Regelungen über die Zulässigkeit der Datenverarbeitung

(1) Die Verarbeitung von Daten ist nur zulässig, wenn

1. die oder der Betroffene eingewilligt hat oder

2. dieses Gesetz oder eine andere Rechtsvorschrift sie erlaubt.

(2) Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist die oder der Betroffene auf die Einwilligungserklärung schriftlich besonders hinzuweisen.

(3) Die oder der Betroffene ist in geeigneter Weise über die Bedeutung der Einwilligung, insbesondere über den Verwendungszweck der Daten und bei beabsichtigter Übermittlung auch über den Empfängerkreis der Daten aufzuklären. Dabei ist unter Darlegung der Rechtsfolgen darauf hinzuweisen, daß die Einwilligung verweigert und mit Wirkung für die Zukunft widerrufen werden kann.

6. Datengeheimnis

Den Personen, die bei öffentlichen Stellen oder bei den von ihnen Beauftragten dienstlichen Zugang zu personenenbezogenen Daten haben, ist es untersagt, solche Daten zu einem anderen als dem zu jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck zu verarbeiten oder zu offenbaren; dies gilt auch nach Beendigung ihrer Tätigkeit. Diese Personen sind über die bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten und bei automatisierter Verarbeitung in geeigneter Weise zu schulen.

7. Technische und organisatorische Maßnahmen

(1) Die öffentlichen Stellen haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich und angemessen sind, um die Ausführung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz zu gewährleisten.

(2) Werden personenbezogene Daten automatisiert verarbeitet, sind Maßnahmen zu treffen, die je nach Art der zu schützenden personenbezogenen Daten und ihrer Verwendung geeignet sind,

1. Unbefugten den Zugang zu den Datenverarbeitungsanlagen zu verwehren (Zugangskontrolle),

2. zu verhindern, daß Datenträger unbefugt gelesen, kopiert, verändert, gelöscht oder entwendet werden können (Datenträgerkontrolle),

3. die unbefugte Speicherung sowie die unbefugte Kenntnisnahme, Veränderung oder Löschung gespeicherter personenbezogener Daten zu verhindern (Speicherkontrolle),

4. zu verhindern, daß Datenverarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte benutzt werden (Benutzerkontrolle),

5. zu gewährleisten, daß die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf ihrer Zugriffsberechtigung unterliegende personenbezogene Daten zugreifen können (Zugriffskontrolle),

6. zu gewährleisten, daß überprüft und festgestellt werden kann, an wen wann und welche personenbezogenen Daten übermittelt worden sind (Übermittlungskontrolle); bei automatisierten Übermittlungsverfahren sind zumindest geeignete Stichprobenkontrollen vorzusehen,

7. zu gewährleisten, daß überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit von wem in Datenverarbeitungssysteme eingegeben worden sind (Eingabekontrolle),

8. zu gewährleisten, daß personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des oder der Auftraggebenden verarbeitet werden können (Auftragskontrolle) und

9. zu gewährleisten, daß bei der Übertragung personenbezogener Daten sowie beim Transport von Datenträgern diese nicht unbefugt gelesen, kopiert, verändert, gelöscht oder entwendet werden können (Transportkontrolle).

(3) Werden personenbezogene Daten in nichtautomatisierten Dateien oder in Akten verarbeitet, sind die Maßnahmen nach Absatz 1 zu treffen, um insbesondere die nach Absatz 2 Nr. 1, 2, 6 und 9 erforderlichen Kontrollen zu gewährleisten.

(4) Die Landesregierung regelt durch  Verordnung die Einzelheiten einer ordnungsgemäßen automatisierten Datenverarbeitung durch öffentliche Stellen.

Dabei sind insbesondere die in Absatz 2 genannten Maßnahmen nach dem Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen oder Betriebsweisen fortzuschreiben und Anforderungen an Verfahren sowie die Dokumentation und deren Aufbewahrungsfristen festzulegen. Die oder der Landesbeauftragte für den Datenschutz ist zu beteiligen.

8. Dateibeschreibung, Geräteverzeichnis

(1) Die datenverarbeitende Stelle ist verpflichtet, für die in einer Datei gespeicherten Daten eine Dateibeschreibung zu erstellen.

Sie enthält folgende Angaben

1. die Bezeichnung der Datei,

2. die Bezeichnung der Daten,

3. die Rechtsgrundlage und den Zweck der Speicherung,

4. den Kreis der Betroffenen,

5. die regelmäßige Herkunft der Daten sowie den möglichen Empfängerkreis,

6. die Fristen für die Sperrung und Löschung der Daten.

Dies gilt nicht für Dateien, die bei automatisierter Verarbeitung ausschließlich aus verarbeitungstechnischen Gründen vorübergehend erstellt werden. Die Dateibeschreibung ist bei Aufnahmen der Verarbeitung der oder dem Landesbeauftragten für den Datenschutz zu übersenden. Änderungen sind ihr oder ihm umgehend mitzuteilen.

(2) Bei automatisierter Verarbeitung ist die datenverarbeitende Stelle verpflichtet, in einem Verzeichnis zu dokumentieren:

1. den Standort, Typ und die Art der Geräte, mit denen die Daten verarbeitet werden,

2. die Herstellerfirma der Geräte,

3. das verwendete Betriebssystem,

4. die verwendeten Programme,

5. die technischen und organisatorischen Maßnahmen nach 7.

Soweit die Verarbeitung im Auftrag erfolgt, kann das Geräteverzeichnis beim Auftragnehmer geführt werden.

(3) Die datenverarbeitenden Stellen und die öffentlichen Stellen, die im Auftrag für andere öffentliche Stellen personenbezogene Daten verarbeiten, haben die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme zu überwachen.

Abschnitt II.Zulässigkeit der Datenverarbeitung

9. Zweckbindung

(1) Personenbezogene Daten dürfen nur für den Zweck weiterverarbeitet werden, für den sie erhoben worden sind. Daten, von denen die öffentliche Stelle ohne Erhebung Kenntnis erlangt hat, dürfen nur für die Zwecke weiterverarbeitet werden, für die sie erstmals gespeichert worden sind.

(2) Die Verarbeitung für andere Zwecke ist ohne Einwilligung der oder des Betroffenen nur zulässig, wenn

1. eine Rechtsvorschrift dies erlaubt oder im Einzelfall zwingend voraussetzt,

2. die Abwehr erheblicher Nachteile für das Allgemeinwohl der von Gefahren für Leben, Gesundheit oder persönliche Freiheit dies gebietet,

3. sich bei Gelegenheit der rechtmäßigen Aufgabenerfüllung Anhaltspunkte für Straftaten oder Ordnungswidrigkeiten ergeben, zu deren Verfolgung die Unterrichtung der zuständigen Behörde geboten ist,

4. offensichtlich ist, daß die Verarbeitung im Interesse der oder des Betroffenen liegt und sie oder er in Kenntnis des anderen Zwecks die Einwilligung erteilen würde oder

5. die Daten unmittelbar aus allgemein zugänglichen Quellen entnommen sind oder die öffentliche Stelle sie veröffentlichen dürfte und kein Grund zu der Annahme besteht, daß schutzwürdige Belange der oder des Betroffenen beeinträchtigt werden.

(3) Für personenbezogene Daten, die

1. von der oder dem Betroffenen freiwillig für einen bestimmten Zweck zur Verfügung gestellt wurden und die von der öffentlichen Stelle nur mit ihrer oder seiner Einwilligung erhoben werden dürften,

2. im Rahmen eines Vertragsverhältnisses offenbart werden oder

3. einem besonderen Amts- oder Berufsgeheimnis unterliegen und von der zur Verschwiegenheit verpflichteten Person in Ausübung ihrer Amts- oder Berufspflicht der datenverarbeitenden Stelle übermittelt worden sind,

findet Absatz 2 Nr. 2 bis 4 keine Anwendung.

(4) Die Verarbeitung der Daten zur Ausübung von Aufsichts- und Kontrollbefugnissen sowie zur Rechnungsprüfung gilt nicht als Verarbeitung für andere Zwecke. Die Verarbeitung zu Ausbildungs- und Prüfungszwecken ist zulässig, soweit berechtigte Interessen der oder des Betroffenen an der Geheimhaltung der Daten nicht überwiegen.

(5) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung des ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nicht für andere Zwecke verwendet werden.

10. Erheben

(1) Personenbezogene Daten dürfen nur erhoben werden, wenn ihre Kenntnis zur rechtmäßigen Erfüllung der Aufgaben der erhebenden Stelle erforderlich ist und die Daten ohne Verstoß gegen Rechtsvorschriften offenbart werden können.

(2) Grundsätzlich sind personenbezogene Daten bei Betroffenen mit ihrer Kenntnis zu erheben. Betroffene sind in geeigneter Weise über den Zweck der Datenerhebung, die beabsichtigte Art der Weiterverarbeitung und bei beabsichtigten Übermittlungen auch über den Empfängerkreis aufzuklären. Werden die Daten aufgrund einer durch Rechtsvorschrift festgelegten Auskunftspflicht erhoben, so sind Betroffene auf die Rechtsgrundlage, sonst auf die Freiwilligkeit der Angaben hinzuweisen. Sind die Angaben für die Gewährung einer Leistung erforderlich, so sind Betroffene über die möglichen Folgen einer Nichtbeantwortung aufzuklären.

(3) Werden personenbezogene Daten mit Einwilligung der Betroffenen bei anderen Personen sowie nichtöffentlichen Stellen erhoben, so sind diese auf Verlangen über den Verwendungszweck aufzuklären.

(4) Ohne Kenntnis der Betroffenen dürfen personenbezogene Daten nur erhoben werden, wenn die Voraussetzungen des 9 Abs. 2 Nr. 1, 2 oder 4 vorliegen. Sobald die rechtmäßige Erfüllung der Aufgaben dadurch nicht gefährdet wird und soweit Rechtsvorschriften nicht entgegenstehen, sind Betroffene über die Erhebung, die Rechtsgrundlage und den Zweck der Erhebung sowie bei Übermittlungen auch über den Empfängerkreis der Daten aufzuklären.

11. Speichern

(1) Das Speichern personenbezogener Daten ist zulässig, wenn sie rechtmäßig erhoben wurden. Daten, von denen die öffentliche Stelle ohne Erhebung Kenntnis erlangt hat, dürfen gespeichert werden, wenn es zur rechtmäßigen Aufgabenerfüllung der öffentlichen Stelle erforderlich ist. Mit der Speicherung ist sicherzustellen, daß die Herkunft der Daten nachvollziehbar ist..

(2) Sollen personenbezogene Daten ausschließlich in automatisierten Dateien gespeichert werden, ist sicherzustellen, daß

1. die Programme oder Merkmale, mit denen alle gespeicherten Daten lesbar gemacht werden können, verfügbar sind,

2. jederzeit die Herkunft der Daten und der Zweck ihrer Speicherung festgestellt werden kann und

3. die Sperrungs und Löschungsfristen festgestellt werden können.

12. Datenübermittlung innerhalb des öffentlichen Bereichs

(1) Die Übermittlung personenbezogener Daten an andere öffentliche Stellen ist zulässig, wenn sie zur rechtmäßigen Erfüllung der Aufgaben der übermittelnden oder der empfangenden Stelle erforderlich ist und die Voraussetzungen des 9 erfüllt sind.

(2) Sind mit personenbezogenen Daten, die nach Absatz 1 übermittelt werden dürfen, weitere personenbezogene Daten der oder des Betroffenen oder von Dritten in Akten so verbunden, daß eine Trennung nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten zulässig, soweit kein Grund zu der Annahme besteht, daß dadurch schutzwürdige Belange der oder des Betroffenen oder von Dritten beeinträchtigt werden. Die weitere Verarbeitung dieser Daten durch die empfangende Stelle ist unzulässig.

(3) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung zur Erfüllung von Aufgaben der empfangenden Stelle, so trägt auch diese die Verantwortung für die Rechtmäßigkeit der Übermittlung und hat sicherzustellen, daß die Erforderlichkeit nachgeprüft werden kann. Die übermittelnde Stelle hat in diesem Fall die Zuständigkeit der empfangenden Stelle und die Schlüssigkeit der Anfrage zu überprüfen. Bestehen im Einzelfall Zweifel an der Schlüssigkeit, so hat sie darüber hinaus die Erforderlichkeit zu überprüfen. Die empfangende Stelle hat der übermittelnden Stelle die für ihre Prüfung erforderlichen Angaben zu machen.

(4) Werden Daten innerhalb einer datenverarbeitenden Stelle zu einem anderen Zweck weitergegeben, als dem nach 9 Abs. 1, so ist dieses zu dokumentieren.

13. Datenübermittlung an öffentlich-rechtliche Religionsgesellschaften

Für die Übermittlung personenbezogener Daten an Stellen der öffentlich-rechtlichen Religionsgesellschaften gilt 12 entsprechend. Sie ist nur zulässig, wenn sichergestellt ist, daß bei der empfangenden Stelle ausreichende Maßnahmen zum Schutz personenbezogener Daten getroffen sind. Diese Feststellung trifft die Innenministerin oder der Innenminister für die einzelnen öffentlich-rechtlichen Religionsgesellschaften im Benehmen mit der oder dem Landesbeauftragten für den Datenschutz.

14. Automatisierte Übermittlungsverfahren

(1) Automatisierte Verfahren, die eine Übermittlung personenbezogener Daten ohne vorherige Prüfung des Einzelfalles durch die übermittelnde Stelle ermöglichen (automatisierte Übermittlungsverfahren), dürfen nur eingerichtet werden, wenn

1. die Einrichtung unter Berücksichtigung des informationellen Selbstbestimmungsrechts der Betroffenen angemessen ist,

2. technisch sichergestellt ist, daß dem berechtigten Empfängerkreis nur die zur Erfüllung seiner Aufgaben erforderlichen Daten übermittelt werden können und

3. bei der übermittelnden und bei der empfangenden Stelle angemessene Maßnahmen zur Kontrolle der rechtmäßigen Verarbeitung der Daten getroffen sind, wobei die Möglichkeit bestehen muß, die Rechtmäßigkeit von einzelnen Übermittlungen zumindest durch geeignete Stichproben zu kontrollieren.

Die Voraussetzungen und Einzelheiten für die Einrichtung und Kontrolle automatisierter Übermittlungsverfahren regelt die Landesregierung in jedem Einzelfall durch Verordnung. Von der Einrichtung automatisierter Übermittlungsverfahren ist die oder der Landesbeauftragte für den Datenschutz zu unterrichten.

(2) Automatisierte Übermittlungsverfahren an Stellen außerhalb des öffentlichen Bereichs dürfen nur eingerichtet werden, wenn sichergestellt ist, daß die Betroffenen über den möglichen Empfängerkreis aufgeklärt werden und über die Aufnahme bestimmter Daten zu ihrer Person in den Datenbestand des Übermittlungsverfahrens frei entscheiden können.

(3) Die Absätze 1 und 2 gelten nicht für Daten, die jedermann ohne oder nach besonderer Zulassung zur Nutzung offenstehen oder deren Veröffentlichung zulässig wäre.

15. Datenübermittlung an Stellen außerhalb des öffentlichen Bereichs

(1) Die Übermittlung personenbezogener Daten an Stellen außerhalb des öffentlichen Bereichs ist zulässig, wenn

1. die Verarbeitungsvoraussetzungen des 9 vorliegen oder

2. von diesen ein rechtliches Interesses an der Kenntnis der zu übermittelnden Daten glaubhaft gemacht wird und kein Grund zu der Annahme besteht, daß schutzwürdige Belange der oder des Betroffenen überwiegen.

Besondere Amts- oder Berufsgeheimnisse bleiben unberührt.

(2) Die übermittelnde Stelle hat die empfangende Stelle zu verpflichten, die Daten nur zu dem Zweck zu verwenden, zu dem sie ihr übermittelt wurden.

16. Datenübermittlung an ausländische Stellen

Eine Übermittlung personenbezogener Daten an ausländische Stellen sowie an über- und zwischenstaatliche Stellen ist nach Maßgabe der diese Übermittlung regelnden Gesetze zulässig. Darüber hinaus ist eine Übermittlung auch zulässig, wenn die Verarbeitungsvoraussetzungen des 9 vorliegen und die zuständige oberste Aufsichtsbehörde festgestellt hat, daß für die empfangende Stelle bei automatisierter Verarbeitung gleichwertige Datenschutzregelungen gelten. Die Übermittlung unterbleibt, wenn Grund zu der Annahme besteht, daß dadurch gegen den Zweck eines Gesetzes im Geltungsbereich des Grundgesetzes verstoßen würde.

Abschnitt III. Rechte der Betroffenen

17 Rechte der Betroffenen

(1) Betroffene haben nach Maßgabe dieses Gesetzes ein Recht auf

1. Auskunft über die zu ihrer Person gespeicherten Daten (18),

2. Berichtigung und Ergänzung, Löschung oder Sperrung der zu ihrer Person gespeicherten Daten (19),

3. Schadensersatz (21),

4. Anrufung der oder des Landesbeauftragten für den Datenschutz (26).

(2) Die in Absatz 1 genannten Rechte der Betroffenen können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden.

18. Auskunft an Betroffene

(1) Den Betroffenen ist von der datenverarbeitenden Stelle auf Antrag gebührenfrei Auskunft zu erteilen über

1. die zu ihrer Person gespeicherten Daten

2. den Zweck und die Rechtsgrundlage der Speicherung und

3. die Herkunft der Daten und den Empfängerkreis von Übermittlungen sowie die Teilnehmenden an automatisierten Übermittlungsverfahren,

auch soweit diese Angaben nicht suchfähig unter ihrer Person geführt werden, aber mit vertretbarem Aufwand festgestellt werden können. Die Betroffenen sollen die Art der personenbezogenen Daten, über die Auskunft verlangt wird, näher bezeichnen. Satz 1 gilt nicht, wenn in zeitlicher Nähe eine Auskunft bereits erteilt wurde und die gespeicherten Daten sich nicht geändert haben.

(2) Für gesperrte personenbezogene Daten, die nur deshalb nicht gespeichert sind, weil sie aufgrund von Aufbewahrungsvorschriften nicht gelöscht werden dürfen, gilt die Verpflichtung zur Auskunftserteilung nur, wenn Betroffene ein berechtigtes Interesse an diesen Daten darlegen.

(3) Sind personenbezogene Daten in Akten oder nichtautomatisierten Dateien gespeichert, kann Betroffenen auch Einsicht in die jeweiligen sie betreffenden Akten oder Dateien gewährt werden. Die Einsichtnahme darf nicht erfolgen, soweit die personenbezogenen Daten der Betroffenen mit personenbezogenen Daten Dritter oder geheimhaltungsbedürftigen nicht personenbezogenen Daten derart verbunden sind, daß ihre Trennung nicht oder nur mit unverhältnismäßig großem Aufwand möglich ist. In diesem Fall ist den Betroffenen Auskunft zu erteilen. Rechtsvorschriften über die Akteneinsicht im Verwaltungsverfahren bleiben unberührt.

(4) Die Auskunftserteilung oder die Gewährung von Akteneinsicht unterbleibt, soweit eine Prüfung ergibt, daß

1. dadurch die Erfüllung der Aufgaben der datenverarbeitenden Stelle, einer übermittelnden Stelle oder einer empfangenden Stelle gefährdet würde,

2. dadurch die öffentliche Sicherheit gefährdet oder sonst dem Wohle des Bundes oder eines Landes Nachteile entstehen würden oder

3. die personenbezogenen Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder wegen der berechtigten Interessen einer dritten Person geheimgehalten werden müssen.

(5) In den Fällen des Absatzes 4 sind die Betroffenen unter Mitteilung der wesentlichen Gründe für die Auskunftsverweigerung darauf hinzuweisen, daß sie sich an die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz wenden können. Eine Begründung erfolgt nicht, wenn dadurch der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde. Die Gründe für die Entscheidung nach Satz 2 sind aufzuzeichnen.

19. Berichtigung, Sperrung, Löschung

(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. Dabei muß nachvollziehbar bleiben, in welchem Zeitraum und aus welchem Grund die Daten unrichtig waren. Die Daten sind zu ergänzen, wenn der Zweck der Speicherung oder ein berechtigtes Interesse der oder des Betroffenen dies erfordert.

(2) Personenbezogene Daten sind zu sperren, wenn

1. ihre Richtigkeit von der oder dem Betroffenen bestritten wird und sich weder Richtigkeit noch die Unrichtigkeit nachweisen läßt;

2. sie nach Absatz 1 zu berücksichtigen oder zu ergänzen sind, solange dieses noch nicht geschehen ist;

3. in den Fällen des Absatzes 3 die oder der Betroffene anstelle der Löschung die Sperrung verlangt oder danach eine Löschung nicht in Betracht kommt.

Gesperrte Daten sind grundsätzlich gesondert aufzubewahren. Ist dies mit vertretbarem Aufwand nicht möglich, so sind sie zu kennzeichnen. Sie dürfen über die Speicherung hinaus ohne Einwilligung der oder des Betroffenen nicht mehr weiterverarbeitet werden, es sei denn, daß Rechtsvorschriften die Verarbeitung zulassen oder die Nutzung durch die datenverarbeitende Stelle zur Behebung einer bestehenden Beweisnot oder aus sonstigen im überwiegenden Interesse der datenverarbeitenden Stelle oder von Dritten liegenden Gründen unerläßlich ist. Die Gründe für die Nutzung gesperrter Daten sind zu dokumentieren.

(3) Personenbezogene Daten sind zu löschen, wenn ihre Speicherung unzulässig ist. Soweit Rechtsvorschriften nicht entgegenstehen, sind personenbezogene Daten zu löschen, wenn ihre Kenntnis für die datenverarbeitende Stelle zur Aufgabenerfüllung nicht mehr erforderlich ist und kein Grund zu der Annahme besteht, daß dadurch schutzwürdige Belange der oder des Betroffenen beeinträchtigt werden. Die Erforderlichkeit richtet sich grundsätzlich nach den für die datenverarbeitende Stelle aufgestellten allgemeinen Regelungen über die Aufbewahrung von Daten. Sind personenbezogene Daten in Akten gespeichert, ist die Löschung nach Satz 2 nur durchzuführen, wenn die gesamte Akte zur Aufgabenerfüllung nicht mehr erforderlich ist.

20. Nachberichtspflicht

Von der Berichtigung oder der Ergänzung nach 19 Abs. 1, der Sperrung nach 19 Abs. 2 Nr. 1 und 2 oder der Löschung nach 19 Abs. 3 Satz 1 sind unverzüglich die Stellen zu unterrichten, denen die Daten übermittelt wurden. Die Unterrichtung kann unterbleiben, wenn sie einen unverhältnismäßigen Aufwand erfordern würde und kein Grund zu der Annahme besteht, daß dadurch schutzwürdige Belange der oder des Betroffenen beeinträchtigt werden.

21. Schadensersatz

(1) Entsteht der oder dem Betroffenen durch eine unzulässige oder unrichtige automatisierte Verarbeitung ihrer oder seiner personenbezogener Daten ein Schaden, so ist ihr oder ihm der Träger jeder öffentlichen Stelle, die diese Daten für sich selbst verarbeitet oder verarbeiten läßt, unabhängig von einem Verschulden zum Schadensersatz verpflichtet.

(2) In Fällen einer schweren Verletzung des Persönlichkeitsrechts kann die oder der Betroffene auch wegen des Schadens, der nicht Vermögensschaden ist, eine billige Entschädigung in Geld verlangen.

(3) Die ersatzpflichtige Stelle haftet jeder oder jedem Betroffenen für jedes schädigende Ereignis bis zu einem Betrag von 250.000 Deutsche Mark. Mehrere Ersatzpflichtige haften gesamtschuldnerisch.

(4) Auf das Mitverschulden der oder des Betroffenen und die Verjährung des Entschädigungsanspruchs sind die  254, 839 Abs. 3 und 852 des Bürgerlichen Gesetzbuches entsprechend anzuwenden.

(5) Sind nach Absatz 1 mehrere zum Schadensersatz verpflichtet, so hängen Pflicht und Umfang zum Ersatz im Verhältnis der Ersatzpflichtigen untereinander von den Umständen, insbesondere davon ab, wie weit der Schaden überwiegend von der einen oder anderen datenverarbeitenden Stelle verursacht worden ist.

(6) Absatz 5 gilt entsprechend, wenn neben den nach Absatz 1 Ersatzpflichtigen andere für den Schaden kraft Gesetzes verantwortlich sind.

(7) Die Geltendmachung weitergehender Schadensersatzansprüche aufgrund anderer Vorschriften bleibt unberührt.

Abschnitt IV.Die oder der Landesbeauftragte für den Datenschutz

22. Berufung und Rechtsstellung

(1) Das Amt der oder des Landesbeauftragten für den Datenschutz wird bei der Präsidentin oder dem Präsidenten des Schleswig-Holsteinischen Landtages eingerichtet.

(2) Der Landtag wählt ohne Aussprache die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz mit mehr als der Hälfte seiner Mitglieder für die Dauer von sechs Jahren. Die Wiederwahl ist nur einmal zulässig. Vorschlagsberechtigt sind die Fraktionen des Schleswig-Holsteinischen Landtages. Kommt vor Ablauf der Amtszeit eine Neuwahl nicht zustande, führt die oder der Landesbeauftragte für den Datenschutz das Amt bis zur Neuwahl weiter.

(3) Die Präsidentin oder der Präsident des Schleswig-Holsteinischen Landtages ernennt die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz zur Beamtin oder zum Beamten auf Zeit.

(4) Die oder der Landesbeauftragte für den Datenschutz bestellt eine Mitarbeiterin zur Stellvertreterin oder einen Mitarbeiter zum Stellvertreter. Die Stellvertreterin oder der Stellvertreter führt die Geschäfte, wenn die oder der Landesbeauftragte für den Datenschutz an der Ausübung des Amtes verhindert ist.

(5) Vor Ablauf der Amtszeit kann die oder der Landesbeauftragte für den Datenschutz nur mit einer Mehrheit von zwei Dritteln der Mitglieder des Landtages abberufen werden. Die oder der Landesbeauftragte für den Datenschutz kann jederzeit die Entlassung verlangen.

(6) Die oder der Landesbeauftragte für den Datenschutz ist in der Ausübung des Amtes unabhängig und nur dem Gesetz unterworfen. Sie oder er untersteht der Dienstaufsicht der Präsidentin oder des Präsidenten des Schleswig-Holsteinischen Landtages. Für die Erfüllung der Aufgabe ist die notwendige Personal- und Sachausstattung zur Verfügung zu stellen; die Mittel sind im Einzelplan des Landtages in einem gesonderten Kapitel auszuweisen.

(7) Die Mitarbeiterinnen und Mitarbeiter werden auf Vorschlag der oder des Landesbeauftragten für den Datenschutz ernannt. Sie können nur im Einvernehmen mit ihr oder ihm versetzt oder abgeordnet werden. Ihre Dienstvorgesetzte oder ihr Dienstvorgesetzter ist die oder der Landesbeauftragte für den Datenschutz, an deren oder dessen Weisungen sie ausschließlich gebunden sind.

(8) Die oder der Landesbeauftragte für den Datenschutz ist oberste Dienstbehörde im Sinne von 96 Strafprozeßordnung. Sie oder er trifft die Entscheidungen über Aussagegenehmigungen für sich und die Mitarbeiterinnen und Mitarbeiter in eigener Verantwortung.

23. Aufgaben

(1) Die oder der Landesbeauftragte für den Datenschutz überwacht die Einhaltung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz bei den öffentlichen Stellen, auf die dieses Gesetz Anwendung findet. Sie oder er berät die obersten Landesbehörden sowie die sonstigen öffentlichen Stellen in Fragen des Datenschutzes und der damit zusammenhängenden Datenverarbeitungstechniken sowie deren Sozialverträglichkeit. Zu diesem Zweck können Empfehlungen zur Verbesserung des Datenschutzes gegeben werden. Die Gerichte und der Landesrechnungshof unterliegen der Kontrolle der oder des Landesbeauftragten für den Datenschutz, soweit sie nicht in richterlicher Unabhängigkeit tätig werden.

(2) Auf Anforderung des Landtages, des Eingabenausschusses des Landtages oder einer obersten Landesbehörde soll die oder der Landesbeauftragte für den Datenschutz ferner Hinweisen auf Angelegenheiten und Vorgänge, die ihren oder seinen Aufgabenbereich unmittelbar betreffen, nachgehen. Die oder der Landesbeauftragte für den Datenschutz kann sich jederzeit an den Landtag wenden.

(3) Auf Anforderung des Landtages, einzelner Fraktionen des Landtages oder der Landesregierung hat die oder der Landesbeauftragte für den Datenschutz Gutachten zu erstellen und Berichte zu erstatten. Sie oder er legt dem Landtag jährlich einen Tätigkeitsbericht vor.

24. Dateienübersicht

(1) Die oder der Landesbeauftragte für den Datenschutz hält aufgrund der Meldungen nach 8 Abs. 1 eine Übersicht über die von öffentlichen Stellen in Dateien verarbeiteten personenbezogenen Daten vor. Die Übersicht kann jede Person einsehen.

(2) Die oder der Landesbeauftragte für den Datenschutz hat die Dateienübersicht mindestens alle fünf Jahre in geeigneter Weise zu veröffentlichen. Sie oder er kann die Veröffentlichung durch allgemeine Informationen zur Datenverarbeitung bei öffentlichen Stellen ergänzen.

(3) Die Einsichtnahme nach Absatz 1 Satz 2 und die Veröffentlichung nach Absatz 2 unterbleiben, wenn die zuständige oberste Aufsichtsbehörde geltend macht, daß hierdurch die Aufgabenerfüllung der Sicherheits- oder Strafverfolgungsbehörden gefährdet wäre.

25. Beanstandungen

(1) Stellt die oder der Landesbeauftragte für den Datenschutz Verstöße gegen die Vorschriften dieses Gesetzes oder gegen andere Datenschutzbestimmungen oder sonstige Mängel bei der Verarbeitung personenbezogener Daten fest, so fordert sie oder er die öffentliche Stelle zur Mängelbeseitigung auf.

(2) Bei erheblichen Verstößen oder sonstigen erheblichen Mängeln beanstandet die oder der Landesbeauftragte für den Datenschutz diese gegenüber der datenverarbeitenden Stelle und fordert zur Stellungnahme innerhalb einer von ihr oder ihm zu bestimmenden Frist auf. Gleichzeitig unterrichtet sie oder er die zuständige Aufsichtsbehörde.

(3) Mit der Beanstandung soll sie oder er Vorschläge zur Beseitigung der Mängel und zur sonstigen Verbesserung des Datenschutzes verbinden.

(4) Die nach Absatz 2 abzugebende Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die aufgrund der Beanstandung der oder des Landesbeauftragten für den Datenschutz getroffen worden sind. Eine Abschrift der Stellungnahme ist der zuständigen Aufsichtsbehörde zuzuleiten.

(5) Die oder der Landesbeauftragte für den Datenschutz kann mit Kenntnis der datenverarbeitenden Stelle nach pflichtgemäßem Ermessen die Betroffene oder den Betroffenen von Verstößen gegen die Vorschriften dieses Gesetzes oder andere Datenschutzvorschriften unterrichten.

26. Anrufung der oder des Landesbeauftragten für den Datenschutz

Jede oder jeder hat das Recht, sich unmittelbar an die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz zu wenden, wenn sie oder er geltend macht, bei der Verarbeitung ihrer oder seiner personenbezogenen Daten durch eine der Kontrolle der oder des Landesbeauftragten unterliegende Stelle in ihren oder seinen Rechten verletzt zu sein. Dies gilt auch für Beschäftigte der Behörden und sonstigen öffentlichen Stellen, ohne daß der Dienstweg einzuhalten ist.

27. Durchführung der Kontrolle

(1) Die öffentlichen Stellen sind verpflichtet, die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und ihre oder seine Beauftragten bei der Erfüllung ihrer Aufgaben zu unterstützen. Ihnen ist dabei insbesondere

1. Auskunft zu ihren Fragen zu erteilen sowie Einsicht in alle Unterlagen und Akten zu gewähren, die im Zusammenhang mit der Verarbeitung personenbezogener Daten stehen, namentlich in die gespeicherten Daten und in die Datenverarbeitungsprogramme; besondere Amts- und Berufsgeheimnisse stehen dem nicht entgegen,

2. jederzeit Zutritt in alle Diensträume zu gewähren.

(2) Stellt die jeweils zuständige oberste Landesbehörde im Einzelfall fest, daß durch eine mit der Einsicht verbundene Bekanntgabe personenbezogener Daten die Sicherheit des Bundes oder eines Landes gefährdet wird, dürfen die Rechte nach Absatz 1 nur von der oder dem Landesbeauftragten für den Datenschutz persönlich oder den von ihr oder ihm schriftlich besonders damit betrauten Beauftragten ausgeübt werden.

Abschnitt V.Besondere Regelungen

28. Datenverarbeitung für wissenschaftliche Zwecke

(1) Öffentliche Stellen dürfen personenbezogene Daten zu wissenschaftlichen Zwecken nur mit Einwilligung der oder des Betroffenen nutzen.

(2) Ohne Einwilligung der oder des Betroffenen dürfen personenbezogene Daten zu wissenschaftlichen Zwecken genutzt werden, wenn

1. schutzwürdige Belange der oder des Betroffenen wegen der Art der Daten oder wegen der Art der Verwendung für das jeweilige Forschungsvorhaben nicht beeinträchtigt werden oder

2. die zuständige oberste Aufsichtsbehörde feststellt, daß das öffentliche Interesse an der Durchführung des jeweiligen Forschungsvorhabens die schutzwürdigen Belange der oder des Betroffenen erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.

Satz 1 gilt auch für gesperrte Daten, soweit sie nicht nach 19 Abs. 2 Nr. 1 bis 3 1. Alternative gesperrt sind.

(3) Personenbezogene Daten, die

1. von der oder dem Betroffenen freiwillig für einen bestimmten Zweck zur Verfügung gestellt wurden und die von der öffentlichen Stelle nur mit ihrer oder seiner Einwilligung erhoben werden dürften,

2. im Rahmen eines Vertragsverhältnisses offenbart werden oder

3. einem besonderen Amts- oder Berufsgeheimnis unterliegen,

dürfen nicht gegen den Willen der oder des Betroffenen für wissenschaftliche Forschung verwendet werden.

(4) Unter den Voraussetzungen des Absatzes 2 ist die Übermittlung personenbezogener Daten für wissenschaftliche Zwecke nur mit Genehmigung der für die übermittelnde Stelle zuständigen obersten Aufsichtsbehörde zulässig. Die Genehmigung muß den Empfängerkreis, die Art der zu übermittelnden Daten, den Kreis der Betroffenen und den Forschungszweck bezeichnen und ist der oder dem Landesbeauftragten für den Datenschutz mitzuteilen.

(5) Sobald der Forschungszweck es gestattet, sind die Merkmale, mit deren Hilfe ein Bezug auf eine bestimmte natürliche Person hergestellt werden kann, gesondert zu speichern; sie sind zu löschen, sobald der Forschungszweck dies gestattet.

(6) Die übermittelten personenbezogenen Daten dürfen ohne Einwilligung der oder des Betroffenen nicht weiter übermittelt oder für einen anderen als den ursprünglichen Forschungszweck verarbeitet werden.

(7) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, wenn

1. die oder der Betroffene eingewilligt hat oder

2. dies für die Darstellung von Forschungsergebnissen über Personen der Zeitgeschichte unerläßlich ist.

(8) Die übermittelnde Stelle hat empfangende Stellen, auf die dieses Gesetz keine Anwendung findet, zu verpflichten, die Vorschriften der Absätze 5 bis 7 einzuhalten und jederzeit Kontrollen durch die oder den Landesbeauftragten für den Datenschutz zu ermöglichen.

29. Öffentliche Auszeichnungen

(1) Zur Vorbereitung öffentlicher Auszeichnungen dürfen die Ministerpräsidentin oder der Ministerpräsident, die Innenministerin oder der Innenminister sowie die von der Ministerpräsidentin oder dem Ministerpräsidenten besonders beauftragten Stellen die dazu erforderlichen personenbezogenen Daten auch ohne Kenntnis der Betroffenen erheben und weiterverarbeiten. Eine Verarbeitung dieser Daten für andere Zwecke ist nur mit Einwilligung der Betroffenen zulässig.

(2) Auf Anforderung der in Absatz 1 genannten Stellen dürfen andere öffentliche Stellen die zur Vorbereitung der Auszeichnung erforderlichen Daten übermitteln.

(3)18 findet keine Anwendung.

29ª. Besondere Dokumentationsstelle

(1) Die Ministerpräsidentin oder der Ministerpräsident oder eine von ihr oder von ihm besonders beauftragte Stelle (Dokumentationsstelle) kann zum Zweck der Aufklärung oder Warnung die Betätigungen von Sekten oder sektenähnlichen Vereinigungen einschließlich der mit ihnen rechtlich, wirtschaftlich oder in ihrer religiösen oder weltanschaulichen Zielsetzungen verbundenen Organisationen oder Vereinigungen in Schleswig-Holstein dokumentieren und über sie informieren, sofern tatsächliche Anhaltspunkte den Verdacht begründen, daß von deren Wirken Gefahren für die Menschenwürde, die freie Entfaltung der Persönlichkeit, das Leben, die Gesundheit oder das Eigentum ausgehen, insbesondere daß Personen in ihrer Willensfreiheit eingeschränkt werden.

(2) Soweit ein begründeter Verdacht im Sinne des Absatz 1 besteht, kann die Dokumentationsstelle über Personen, die in einer derartigen Sekte, Vereinigung oder Organisation aktiv mitwirken, bei anderen öffentlichen Stellen vorhandene oder öffentlich zugängliche personenbezogene Daten erheben und weiterverarbeiten. Hiervon ausgenommen sind die in 9 Abs. 3 bezeichneten Daten sowie Daten, für die besondere Verwendungsvorschriften in anderen Gesetzen bestehen.

(3) Die Speicherung der erhobenen personenbezogenen Daten ist spätestens nach zwei Jahren auf ihre Erforderlichkeit zu prüfen. Spätestens fünf Jahre nach der letzten Tätigkeit im Sinne von Absatz 2 sind die personenbezogenen Daten zu löschen.

(4) An Stellen außerhalb des öffentlichen Bereichs dürfen personenbezogene Daten übermittelt werden, wenn

1. a) es zur Erfüllung der Aufgabe nach Absatz 1 erforderlich ist oder

b) ein Dritter ein rechtliches Interesse daran hat

und

2. kein Grund zu der Annahme besteht, daß schutzwürdige Belange der oder des Betroffenen überwiegen.

30. Datenverarbeitung bei Dienst- und Arbeitsverhältnissen

(1) Öffentliche Stellen dürfen Daten ihrer Beschäftigten vorbehaltlich besonderer gesetzlicher oder tarifrechtlicher Regelungen nur nach Maßgabe der 106 bis 106 h des Landesbeamtengesetzes verarbeiten.

(2) Personenbezogene Daten, die erhoben wurden, bevor ein Dienst- oder Arbeitsverhältnis eingegangen worden ist, sind zu löschen, sobald feststeht, daß ein Dienst- oder Arbeitsverhältnis nicht zustande kommt. Besteht Grund zu der Annahme, daß durch die Löschung schutzwürdige Belange der oder des Betroffenen beeinträchtigt werden, ist sie oder er zu benachrichtigen. Wenn die oder der Betroffene der weiteren Speicherung nicht widerspricht, kann von der Löschung der personenbezogenen Daten abgesehen werden.

(3) Daten von Beschäftigten, die im Rahmen der Durchführung der technischen und organisatorischen Maßnahmen nach 7 oder 14 gespeichert oder in einem automatisierten Verfahren gewonnen werden, dürfen nicht zu Zwecken der Verhaltens- oder Leistungskontrolle ausgewertet werden.

31. Fernmessen und Fernwirken

(1) Öffentliche Stellen dürfen ferngesteuerte Messungen oder Beobachtungen (Fernmeßdienste) in Wohnungen oder Geschäftsräumen nur vornehmen, wenn die oder der Betroffene zuvor über den Verwendungszweck sowie über Art, Umfang und Zeitraum des Einsatzes unterrichtet worden ist und nach der Unterrichtung schriftlich eingewilligt hat. Entsprechendes gilt, soweit eine Übertragungseinrichtung dazu dienen soll, in Wohnungen oder Geschäftsräumen andere Wirkungen auszulösen (Fernwirkdienste). Die Einrichtung von Fernmeß- und Fernwirkdiensten ist nur zulässig, wenn die oder der Betroffene erkennen kann, wann ein Dienst in Anspruch genommen wird und welcher Art dieser Dienst ist. Die oder der Betroffene kann ihre oder seine Einwilligung jederzeit widerrufen, soweit dies mit der Zweckbestimmung des Dienstes vereinbar ist. Das Abschalten eines Dienstes gilt im Zweifel als Widerruf der Einwilligung.

(2) Eine Leistung, der Abschluß oder die Abwicklung eines Vertragsverhältnisses dürfen nicht von der Einwilligung der oder des Betroffenen nach Absatz 1 abhängig gemacht werden. Verweigert oder widerruft die oder der Betroffene ihre oder seine Einwilligung, so dürfen ihr oder ihm keine Nachteile entstehen, die über die unmittelbaren Folgekosten hinausgehen.

(3) Soweit im Rahmen von Fernmeß- oder Fernwirkdiensten personenbezogene Daten erhoben werden, dürfen diese nur zu den vereinbarten Zwecken verarbeitet werden. Sie sind zu löschen, sobald sie zur Erfüllung dieser Zwecke nicht mehr erforderlich sind.

32. Video-Überwachung und -Aufzeichnung

(1) Öffentliche Stellen dürfen mit optisch-elektronischen Einrichtungen öffentlich zugängliche Räume beobachten (Video-Überwachung), soweit dies zur Erfüllung ihrer Aufgaben oder zur Wahrnehmung eines Hausrechts erforderlich ist und schutzwürdige Belange Betroffener nicht überwiegen. Das Bildmaterial darf gespeichert werden (Video-Aufzeichnung), wenn die Tatsache der Aufzeichnung für die Betroffenen durch geeignete Maßnahmen erkennbar gemacht ist.

(2) Werden durch Video-Aufzeichnung gewonnene personenbezogene Daten verändert, übermittelt oder sonst genutzt, ist die oder der Betroffene zu benachrichtigen.

(3) Besondere Rechtsvorschriften bleiben unberührt.

Abschnitt VI.Übergangs- und Schlußvorschriften

33. Straftaten

(1) Wer gegen Entgelt oder in der Absicht, sich oder andere zu bereichern oder andere zu schädigen, entgegen den Vorschriften dieses Gesetzes personenbezogene Daten, die nicht offenkundig sind,

1. erhebt, speichert, zweckwidrig verwendet, verändert, weitergibt, zum Abruf bereithält oder löscht,

2. abruft, einsieht, sich verschafft oder durch Vortäuschung falscher Tatsachen ihre Weitergabe an sich oder andere veranlaßt,

wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. Ebenso wird bestraft, wer unter den in Satz 1 genannten Voraussetzungen Einzelangaben über persönliche oder sachliche Verhältnisse einer nicht mehr bestimmbaren Person mit anderen Informationen zusammenführt und dadurch die betroffene Person wieder bestimmbar macht. Der Versuch ist strafbar.

(2) Absatz 1 findet nur Anwendung, soweit die Tat nicht nach anderen Vorschriften mit Strafe bedroht ist.

34. Ordnungswidrigkeiten

(1) Ordnungswidrig handelt, wer entgegen den Vorschriften dieses Gesetzes personenbezogene Daten, die nicht offenkundig sind,

1. erhebt, speichert, zweckwidrig verwendet, verändert, weitergibt, zum Abruf bereithält oder löscht,

2. abruft, einsieht, sich verschafft oder durch Vortäuschung falscher Tatsachen ihre Weitergabe an sich oder andere veranlaßt.

Ordnungswidrig handelt auch, wer unter den in Satz 1 genannten Voraussetzungen Einzelangaben über persönliche oder sachliche Verhältnisse einer nicht mehr bestimmbaren Person mit anderen Informationen zusammenführt und dadurch die betroffene Person wieder bestimmbar macht.

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu einhunderttausend Deutschen Mark geahndet werden.

35. Übergangsvorschriften

(1) Eine nach 5 Abs. 1 unzulässige Verarbeitung personenbezogener Daten, die bisher zulässig war und zur rechtmäßigen Erfüllung von Aufgaben öffentlicher Stellen erforderlich ist, bleibt bis zur Anpassung der entsprechenden besonderen Rechtsvorschriften, längstens bis zum 31. Dezember 1993 weiterhin zulässig.

(2) Auf personenbezogene Daten, die vor Inkrafttreten dieses Gesetzes in Akten gespeichert waren, ist 19 nur anzuwenden, wenn die datenverarbeitende Stelle bei der Erfüllung ihrer laufenden Aufgaben oder aufgrund eines Überprüfungsersuchens der oder des Betroffenen feststellt, daß die Voraussetzungen für eine Berichtigung oder Ergänzung, Sperrung oder Löschung gegeben sind.

36 Inkrafttreten

(1) Dieses Gesetz tritt am 1. Januar 1992 in Kraft.

(2) Mit dem Inkrafttreten dieses Gesetzes treten das Gesetz zum Schutz vor Mißbrauch personenbezogener Daten bei der Datenverarbeitung vom 1. Juni 1978 (GVOBl. Schl.-H. S. 156), zuletzt geändert durch Gesetz vom 14. Dezember 1988 (GVOBl. Schl.-H. S. 214) GS Schl.-H. II, Gl.Nr. 204-1), die Landesdatenschutzregisterverordnung vom 20. Juli 1978 (GVOBl. Schl.-H. S. 239) GS Schl.-H. II, Gl.Nr. 204-1-1) und die Landesverordnung zur Regelung der Registerveröffentlichung und -einsichtnahme vom 28. Juli 1978 (GVOBl. Schl.-H. S. 241) GS Schl.-H. II, Gl.Nr. 204-1-2 ) außer Kraft.

Arrêté du 24 novembre 2005 modifiant l'arrêté du 29 août 2005 portant création au sein de l'observatoire social de la défense d'un traitement automatisé de données à caractère personnel relatif à l'étude longitudinale des carrières des officiers.

La ministre de la défense,

Vu le décret nº 2005-850 du 27 juillet 2005 relatif aux délégations de signature des membres du Gouvernement;

Vu le décret nº 2005-1309 du 20 octobre 2005 pris pour l'application de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004;

Vu l'arrêté du 29 août 2005 portant création au sein de l'observatoire social de la défense d'un traitement automatisé de données à caractère personnel relatif à l'étude longitudinale des carrières des officiers ;

Vu le récépissé de la Commission nationale de l'informatique et des libertés en date du 6 juin 2005 portant le numéro 1076893,

Arrête :

Article 1. Les articles 2 et 3 de l'arrêté du 29 août 2005 susvisé sont remplacés par les dispositions suivantes :

» Art. 2. – Les catégories de données à caractère personnel enregistrées sont celles relatives :

» I. – Concernant le fichier «données d'enquête :

» – à la situation familiale (état matrimonial et familial, situation du conjoint, enfants, revenus, patrimoine) ;

» – à la formation et aux diplômes initiaux (scolarité, diplômes obtenus, réussite aux concours d'entrée, école intégrée, date d'entrée) ;

» – à l'engagement (date, expérience militaire préalable, présence de militaires dans l'entourage, raisons de l'engagement) ;

» – à la scolarité et aux formations militaires (opinions sur la formation, niveau de préparation, formation continue, diplômes et brevets, distinctions) ;

» – à la sortie d'école (spécialité souhaitée et effective, raisons du choix, affectations souhaitées et effectives, opinions sur l'affectation, critères de choix des affectations) ;

» – à la carrière d'officier (qualification du métier, principales contraintes d'un officier, principales qualités, points sur lesquels il (elle) ne veut pas être déçu (e), opinion sur les éléments déterminants, visibilité, perspectives) ;

» – vous et votre armée (opinion sur la situation actuelle, opinion sur les évolutions dans les prochaines années, facteurs de motivation supplémentaires, mutations, déplacements, célibat géographique, facteurs de démotivation, souhaits et projets éventuels de reconversion).

» II. – Concernant la constitution et la mise à jour du fichier «coordonnées des membres de la cohorte :

» – à l'identité (nom, prénoms, date et lieu de naissance, armée d'appartenance, identifiant défense ou matricule armée, adresses, numéros de téléphone).

» Les données à caractère personnel ainsi enregistrées sont conservées jusqu'à la radiation des contrôles dans l'activité.

» Art. 3. – Les destinataires des données à caractère personnel enregistrées sont, en fonction de leurs attributions respectives et du besoin d'en connaître :

» I. – Concernant le fichier «données d'enquête :

» – les agents de l'observatoire social de la défense.

» II. – Concernant la constitution et la mise à jour du fichier «coordonnées des membres de la cohorte :

» – les agents de l'observatoire social de la défense ;

» – le service ou le prestataire choisi. «

Article 2. Le présent arrêté sera publié au Journal officiel de la République française.

Fait à Paris, le 24 novembre 2005.

Pour la ministre et par délégation :

Le directeur de la fonction militaire et du personnel civil, J. Roudière

Arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel.

CHAPITRE I.- Définitions.

Article 1.– Pour l'application du présent arrêté, on entend par :

1° «la loi» : la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel;

2° «la Commission» : la Commission de la protection de la vie privée;

3° «données à caractère personnel codées» : les données à caractère personnel qui ne peuvent être mises en relation avec une personne identifiée ou identifiable que par l'intermédiaire d'un code;

4° «données à caractère personnel non codées» : les données à caractère personnel qui ne sont pas codées;

5° «données anonymes» : les données qui ne peuvent être mises en relation avec une personne identifiée ou identifiable et qui ne sont donc pas des données à caractère personnel;

6° «organisation intermédiaire» : la personne physique ou morale, l'association de fait ou l'administration publique, autre que le responsable du traitement des données non codées, qui code les données.

CHAPITRE II.- Traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques.

Section I.- Principes généraux.

Article 2.- Le traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques est réputé compatible au sens de l'article 4, § 1er, 2°, deuxième phrase, de la loi lorsqu'il est effectué aux conditions fixées par le présent chapitre.

La conservation des données à caractère personnel à des fins historiques, statistiques ou scientifiques, visée à l'article 4, § 1er, 5°, deuxième phrase, de la loi, est autorisée aux conditions déterminées par le présent chapitre.

Article 3.– Le traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques est effectué à l'aide de données anonymes.

Article 4.– Si un traitement ultérieur de données anonymes ne permet pas d'atteindre les fins historiques, statistiques ou scientifiques, le responsable du traitement ultérieur à des fins historiques, statistiques ou scientifiques peut traiter des données à caractère personnel codées, conformément aux dispositions de la Section 2 du présent chapitre.

Dans ce cas, il mentionne, dans la déclaration du traitement faite en vertu de l'article 17 de la loi, les motifs pour lesquels le traitement ultérieur de données anonymes ne permet pas d'atteindre les fins historiques, statistiques ou scientifiques.

Article 5.– Si un traitement ultérieur de données codées ne permet pas d'atteindre les fins historiques, statistiques ou scientifiques, le responsable du traitement ultérieur peut traiter des données à caractère personnel non codées, conformément aux dispositions de la Section 3 du présent chapitre.

Dans ce cas, il mentionne, dans la déclaration du traitement faite en vertu de l'article 17 de la loi, les motifs pour lesquels le traitement ultérieur de données codées ne permet pas d'atteindre les fins historiques, statistiques ou scientifiques.

Article 6.– Le responsable du traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques n'entreprendra aucune action pour convertir des données anonymes en données à caractère personnel ou des données à caractère personnel codées en données a caractère personnel non codées.

Section II.- Traitement de données à caractère personnel codées.

Article 7.– Les données à caractère personnel sont codées avant tout traitement ultérieur à des fins historiques, statistiques ou scientifiques.

Article 8.- Lorsque le responsable d'un traitement de données à caractère personnel, collectées pour des finalités déterminées, explicites et légitimes, traite ultérieurement ces données à caractère personnel à des fins historiques, statistiques ou scientifiques, ou confie ce traitement ultérieur à un sous-traitant, ces données a caractère personnel sont, préalablement à leur traitement ultérieur, codées soit par le responsable du traitement des données lui-même, soit par le sous-traitant lui-même, soit par une organisation intermédiaire.

Dans ce dernier cas, l'organisation intermédiaire est un sous-traitant au sens de l'article 1er, § 5, de la loi.

Article 9.– Lorsque le responsable d'un traitement de données à caractère personnel, collectées pour des finalités déterminées, explicites et légitimes, communique ces données à caractère personnel à un tiers, en vue d'un traitement ultérieur à des fins historiques, statistiques ou scientifiques, ces données à caractère personnel sont, préalablement à leur communication, codées par le responsable du traitement ou par une organisation intermédiaire.

Dans ce cas, l'organisation intermédiaire est un sous-traitant au sens de l'article 1er, § 5, de la loi.

Article 10.- Lorsque plusieurs responsables de traitements de données à caractère personnel, collectées à des fins déterminées, explicites et légitimes, communiquent, au(x) même(s) tiers, des données à caractère personnel, en vue de leur traitement ultérieur à des fins, historiques, statistiques ou scientifiques, ces données à caractère personnel sont, préalablement à leur communication, codées par une organisation intermédiaire.

Dans ce cas, l'organisation intermédiaire est un responsable du traitement au sens de l'article 1er, § 4, de la loi.

Article 11.– L'organisation intermédiaire est indépendante du responsable du traitement ultérieur des données à caractère personnel à des fins historiques, statistiques ou scientifiques.

Article 12.- Le responsable du traitement de données à caractère personnel, collectées à des fins déterminées, explicites et légitimes, et l'organisation intermédiaire, qui codent les données en vue d'un traitement ultérieur à des fins historiques, statistiques ou scientifiques, prennent des mesures techniques et organisationnelles adéquates, afin d'empêcher la conversion des données codées en données non codées.

Article 13.– Le responsable du traitement de données à caractère personnel, collectées à des fins déterminées, explicites et légitimes, et l'organisation intermédiaire ne peuvent communiquer des données codées, en vue de leur traitement ultérieur à des fins historiques, statistiques ou scientifiques, que sur présentation, par le responsable du traitement ultérieur, de l'accusé de réception d'une déclaration complète, délivré par la Commission, conformément à l'article 17, § 2, de la loi.

Article 14.- Le responsable du traitement de données à caractère personnel, collectées à des fins déterminées, explicites et légitimes, ou l'organisation intermédiaire doit, préalablement au codage de données visées aux articles 6 à 8 de la loi, communiquer, à la personne concernée, les informations suivantes :

– l'identité du responsable du traitement;

– les catégories de données à caractère personnel qui sont traitées;

– l'origine des données;

– une description précise des fins historiques, statistiques ou scientifiques du traitement;

– les destinataires ou les catégories de destinataires des données à caractère personnel;

– l'existence d'un droit d'accès aux données à caractère personnel qui la concernent et d'un droit de rectification de ces données;

– l'existence d'un droit d'opposition de la personne concernée.

Article 15.– Le responsable du traitement de données à caractère personnel, collectées pour des fins déterminées, explicites et légitimes, et l'organisation intermédiaire ne doivent pas satisfaire a l'obligation instituée par l'article 14 du présent arrêté lorsque cette obligation se révèle impossible ou implique des efforts disproportionnés et qu'ils se sont conformés à la procédure déterminée à l'article 16 du présent arrêté.

Le responsable du traitement de données à caractère personnel, collectées pour des fins déterminées, explicites et légitimes, et l'organisation intermédiaire ne doivent pas satisfaire à l'obligation instituée à l'article 14 du présent arrêté lorsque l'organisation intermédiaire est une autorité administrative chargée, explicitement par ou en vertu de la loi, de rassembler et de coder des données à caractère personnel et soumise, à cet égard, à des mesures spécifiques visant à protéger la vie privée, instituées par ou en vertu de la loi.

Article 16.– Le responsable du traitement de données à caractère personnel, collectées pour des fins déterminées, explicites et légitimes, ou l'organisation intermédiaire, qui souhaite coder les données visées aux articles 6 à 8 de la loi, sans informer, au préalable, la personne concernée, complètent la déclaration requise par l'article 17 de la loi par les informations suivantes :

1° une description précise des fins historiques, statistiques ou scientifiques du traitement;

2° les motifs justifiant le traitement de données visées aux articles 6 à 8 de la loi;

3° les motifs justifiant l'impossibilité de communiquer, à la personne concernée, les informations mentionnées à l'article 14 ou le caractère disproportionné des efforts nécessaires pour communiquer ces informations;

4° les catégories de personnes à propos desquelles des données à caractère personnel, visées à l'article 6 à 8 de la loi, sont traitées;

5° les personnes ou les catégories de personnes qui ont accès aux données à caractère personnel;

6° l'origine des données.

Endéans une période de quarante-cinq jours ouvrables à dater de la réception de la déclaration, la Commission communique, au responsable du traitement ou à l'organisation intermédiaire, une recommandation, éventuellement accompagnée de conditions supplémentaires à respecter lors du traitement ultérieur des données a caractère personnel codées visées à l'article 6 à 8 de la loi, à des fins historiques, statistiques ou scientifiques.

Le délai, prévu à l'alinéa deux, peut être prolongé une fois pour une durée de quarante-cinq jours ouvrables. La Commission informe le responsable du traitement, avant l'expiration du premier délai, de ce qu'elle prolonge le premier délai.

Si la Commission n'a pas communiqué sa recommandation à l'expiration des délais prévus dans cet article, la requête est considérée acceptée.

La Commission publie sa recommandation dans le registre visé à l'article 18 de la loi.

Article 17.- Toute modification aux informations, communiquées en vertu de l'article 16 du présent arrêté par le responsable du traitement a la Commission, doit être communiquée par ce dernier à la Commission.

Section III.- Traitement de données à caractère personnel non codées.

Article 18.- Préalablement au traitement ultérieur de données à caractère personnel non codées à des fins historiques, statistiques ou scientifiques, le responsable du traitement ultérieur communique les informations suivantes à la personne concernée :

1° l'identité du responsable du traitement;

2° les catégories de données à caractère personnel qui sont traitées;

3° l'origine des données;

4° une description précise des fins historiques, statistiques ou scientifiques du traitement;

5° les destinataires ou les catégories de destinataires des données à caractère personnel;

6° l'existence d'un droit d'accès aux données a caractère personnel qui la concernent et d'un droit de rectification de ces données;

7° l'existence de l'obligation d'obtenir le consentement préalable de la personne concernée au traitement de données à caractère personnel non codées à des fins historiques, statistiques ou scientifiques.

Article 19.– La personne concernée doit, préalablement au traitement ultérieur de données à caractère personnel non codées qui la concernent à des fins historiques, statistiques ou scientifiques, consentir expressément a ce traitement.

Article 20.– Le responsable du traitement ultérieur de données à caractère personnel non codées à des fins historiques, statistiques ou scientifiques ne doit pas satisfaire aux obligations imposées par les articles 18 et 19 du présent arrêté :

1° lorsque le traitement ultérieur à des fins historiques, statistiques ou scientifiques se limite à des données à caractère personnel non codées, rendues manifestement publiques par la personne concernée ou à des données qui sont en relation étroite avec le caractère public de la personne concernée ou des faits dans lesquels celle-ci est ou a été impliquée, ou;

2° lorsque ces obligations se révèlent impossibles ou requièrent des efforts disproportionnés et qu'il s'est conformé à la procédure déterminée à l'article 21 du présent arrêté.

Article 21.– Le responsable du traitement ultérieur de données a caractère personnel non codées à des fins historiques, statistiques ou scientifiques, qui souhaite traiter ces données, sans information préalable de la personne concernée et sans le consentement de celle-ci, complète la déclaration requise par l'article 17 de la loi par les informations suivantes :

1° une description précise des fins historiques, statistiques ou scientifiques du traitement;

2° les raisons qui nécessitent le traitement de données à caractère personnel non codées;

3° les motifs justifiant l'impossibilité d'obtenir le consentement informée de la personne concernée ou le caractère disproportionné des efforts nécessaires pour obtenir ce consentement;

4° les catégories de personnes à propos desquelles des données a caractère personnel non codées sont traitées;

5° les personnes ou les catégories de personnes qui ont accès aux données à caractère personnel non codées;

6° l'origine des données.Endéans les quarante-cinq jours ouvrables à dater de la réception de la déclaration, la Commission adresse, au responsable du traitement ultérieur, une recommandation, éventuellement accompagnée de conditions supplémentaires à respecter lors du traitement ultérieur des données à caractère personnel non codées à des fins historiques, statistiques ou scientifiques.

Le délai, prévu à l'alinéa deux, peut être prolongé une fois pour une durée de quarante-cinq jours ouvrables. La Commission informe le responsable du traitement ultérieur, avant l'expiration du premier délai, de ce qu'elle prolonge le premier délai.

Si la Commission n'a pas communiqué sa recommandation à l'expiration des délais prévus dans cet article, la requête est considérée acceptée.

La Commission publie sa recommandation dans le registre visé à l'article 18 de la loi.

Article 22.- Toute modification aux informations, communiquées en vertu de l'article 21 du présent arrêté par le responsable du traitement à la Commission, doit être préalablement communiquée par ce dernier à la Commission.

Section IV.- Publication des résultats du traitement.

Article 23.- Les résultats du traitement à des fins historiques, statistiques ou scientifiques ne peuvent être rendus publics sous une forme qui permet l'identification de la personne concernée, sauf si :

1° la personne concernée a donné son consentement et qu'il ne soit porté atteinte à la vie privée de tiers, ou;

2° la publication de données à caractère personnel non codées est limitée à des données manifestement rendues publiques par la personne concernée elle-même ou ayant une relation étroite avec le caractère public de la personne concernée ou des faits dans lesquelles celle-ci est ou a été impliquée.

Section V.- Exception.

Article 24.– Le Chapitre II du présent arrêté n'est pas applicable aux services et autorités visées à l'article 3, § 4, de la loi qui effectuent un traitement ultérieur à des fins historiques, statistiques ou scientifiques.

CHAPITRE III.- Conditions pour le traitement de données à caractère personnel visées aux articles 6 à 8 de la loi.

Article 25.– Lors du traitement de données à caractère personnel visées aux articles 6 à 8 de la loi, le responsable du traitement doit prendre les mesures supplémentaires suivantes :

1° les catégories de personnes, ayant accès aux données à caractère personnel, doivent être désignées par le responsable du traitement ou, le cas échéant, par le sous-traitant, avec une description précise de leur fonction par rapport au traitement des données visées;

2° la liste des catégories des personnes ainsi désignées doit être tenue à la disposition de la Commission par le responsable du traitement ou, le cas échéant, par le sous-traitant;

3° il doit veiller à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une disposition contractuelle équivalente, au respect du caractère confidentiel des données visées;

4° lorsque l'information, due en vertu de l'article 9 de la loi, est communiquée à la personne concernée ou lors de la déclaration visée a l'article 17, § 1er, de la loi, le responsable du traitement doit mentionner la base légale ou réglementaire autorisant le traitement de données à caractère personnel visées aux articles 6 à 8 de la loi.

Article 26.– Lorsque le traitement de données à caractère personnel, visées à l'article 6 et 7 de la loi, est exclusivement autorisé par le consentement, par écrit, de la personne concernée, le responsable du traitement doit préalablement communiquer, à la personne concernée, en sus des informations dues en vertu de l'article 9 de la loi, les motifs pour lesquelles ces données sont traitées, ainsi que la liste des catégories de personnes ayant accès aux données à caractère personnel.

Article 27.– Lorsque le traitement de données à caractère personnel, visées aux articles 6 et 7 de la loi, est exclusivement autorisé par le consentement écrit de la personne concernée, ce traitement est, néanmoins, interdit lorsque le responsable du traitement est l'employeur présent ou potentiel de la personne concernée ou lorsque la personne concernée se trouve dans une situation de dépendance vis-à-vis du responsable du traitement qui l'empêche de refuser librement son consentement.

Cette interdiction est levée lorsque le traitement vise l'octroi d'un avantage à la personne concernée.

CHAPITRE IV.- Conditions pour l'exemption de l'obligation d'information visée à l'article 9, § 2, de la loi.

Article 28.– Le responsable du traitement ultérieur à des fins historiques, statistiques ou scientifiques, qui traite exclusivement des données codées, est exempté de l'obligation d'information, instituée à l'article 9, § 2, de la loi, sous condition du respect des dispositions du Chapitre II, Section II du présent arrêté.

Article 29.– Une autorité administrative, chargée explicitement, par ou en vertu de la loi, de rassembler et de coder les données à caractère personnel et soumise, à cet égard, à des mesures spécifiques visant à protéger la vie privée, instituées par ou en vertu de la loi, est exemptée de l'obligation d'information, instituée par l'article 9, § 2, de la loi, lorsqu'elle agit en tant qu'organisation intermédiaire.

Article 30. Le responsable du traitement, qui, en dehors des cas visés aux articles 28 et 29 du présent arrêté, se prévaut d'une exemption à l'obligation d'information, à l'article 9, § 2, de la loi, au motif que cette information se révèle impossible ou implique des efforts disproportionnés, communique cette information, à la première prise de contact, avec la personne concernée.

Lorsque le responsable du traitement, visé à l'alinéa 1er, communique les données à caractère personnel à un tiers, l'information, visée à l'article 9, § 2, est communiquée, par ce tiers, lors la première prise de contact entre ce tiers et la personne concernée.

Article 31.– Le responsable du traitement, qui ne peut pas informer la personne concernée, au motif que cette information se révèle impossible ou demande des efforts disproportionnés, justifie cette impossibilité, dans la déclaration faite à la Commission, sur la base de l'article 17 de la loi.

La Commission publie la liste des responsables du traitement dans le registre public visé à l'article 18 de la loi, avec la mention des motifs justifiant la dispense.

CHAPITRE V.- Exercice des droits visés aux articles 10 et 12 de la loi.

Article 32.- Toute personne, justifiant de son identité, a le droit d'obtenir, dans les conditions prévues par la loi, communication de l'information visée à l'article 10 de la loi, en adressant une demande signée et datée qu'elle remet sur place ou qu'elle envoie par la poste, ou par tout moyen de télécommunication :

– soit au responsable du traitement ou à son représentant en Belgique, ou à l'un de ses mandataires ou préposés;

– soit au sous-traitant du traitement des données à caractère personnel qui la communique, le cas échéant, à une des personnes mentionnées ci-dessus.

En cas de remise de la demande sur place, la personne, qui la reçoit, délivre immédiatement un accusé de réception daté et signé à l'auteur de la demande.

Article 33.– Les demandes de rectification, de suppression ou d'interdiction des données à caractère personnel, ou la communication d'une opposition, fondée sur l'article 12 de la loi, sont introduites selon la même procédure et auprès des mêmes personnes que celles mentionnées à l'article 32 du présent arrêté.

Article 34.– Lorsque des données à caractère personnel sont collectées, par écrit, auprès de la personne concernée, le responsable du traitement demande, à celle-ci, sur le document grâce auquel il collecte ses données, si elle souhaite exercer le droit d'opposition, institué à l'article 12, § 1er, alinéa 3, de la loi.

Lorsque les données à caractère personnel sont collectées auprès de la personne concernée, autrement que par écrit, le responsable du traitement demande, à celle-ci, si elle souhaite exercer le droit d'opposition, institué à l'article 12, § 1er, alinéa 3, de la loi, soit sur un document qu'il lui communique à cette fin au plus tard deux mois après la collecte des données à caractère personnel, soit par tout moyen technique qui permet de conserver la preuve que la personne concernée a eu la possibilité d'exercer son droit.

Article 35.– Lorsque les données à caractère personnel ne sont pas obtenues auprès de la personne concernée, le responsable du traitement, soumis à l'article 9, § 2, c), de la loi, lui demande, par écrit, si elle souhaite exercer le droit d'opposition, institué à l'article 12, § 1er, alinéa 3, de la loi.

CHAPITRE VI.- Exercice du droit visé à l'article 13 de la loi.

Article 36.– Le présent chapitre détermine la procédure relative aux demandes introduites en vertu de l'article 13 de la loi.

Article 37.– La demande est introduite par la personne concernée auprès de la Commission par courrier daté et signé. La demande contient : le nom, le prénom, la date de naissance, la nationalité de la personne concernée, ainsi qu'une photocopie de la carte d'identité, du passeport ou du document qui en tient lieu.

La demande contient, en outre et dans la mesure où le demandeur dispose de ces informations :

– la désignation de l'autorité ou du service concerné;

– tous les éléments pertinents concernant les données contestées, tels que leur nature, les circonstances ou l'origine de la prise de connaissance des données contestées, ainsi que les rectifications éventuellement souhaitées.

Article 38.- La Commission peut demander, à la personne concernée, tous renseignements complémentaires qu'elle estime utile.

Article 39.- A défaut des éléments mentionnés aux articles 37 et 38 du présent arrêté, la demande pourra être considérée comme irrecevable.

Article 40.– La demande est irrecevable si elle est introduite dans un délai inférieur à un an à compter de la date d'envoi de la précédente réponse de la Commission concernant les même données et les mêmes services.

Il peut être dérogé à ce délai, à charge pour la personne intéressée d'exposer, dans sa demande, les motifs justifiant cette dérogation.

Article 41.– Lorsque la demande est considérée comme irrecevable, la personne concernée en est avisée par courrier.

Le courrier mentionne que si la personne concernée le souhaite, elle est entendue, éventuellement assistée de son conseil.

Article 42.- Le contrôle, exercé auprès du service concerné, est effectué par le président de la Commission ou par un ou plusieurs membres désignés par lui.

Le contrôle des traitements de données à caractère personnel, visés à l'article 3, § 5, 1°, de la loi, est effectué par des magistrats désignés par la Commission en son sein.

Le président et les membres, qui effectuent le contrôle, peuvent se faire assister ou représenter par un ou plusieurs membres du secrétariat de la Commission.

Article 43.– A l'occasion du contrôle exercé auprès du service concerné, la Commission effectue ou ordonne toute vérification qu'elle estime utile.

A l'occasion du contrôle exercé auprès du service concerné, visé à l'article 3, § 5, de la loi, elle peut faire rectifier ou effacer des données, ainsi que insérer des données divergentes par rapport aux données traitées par le service concerné. Elle peut interdire la communication des données.

A l'occasion du contrôle exercé auprès du service concerné, visé à l'article 3, § 4, de la loi, elle recommande les mesures qu'elle estime nécessaire. Elle motive ses recommandations.

Article 44.– A l'issue de ces vérifications, le service concerné notifie, par écrit, à la Commission, les suites qui y ont été réservées.

Article 45.– La Commission répond, par courrier, à la demande de la personne concernée dans un délai de trois mois à compter de la notification prévue à l'article 44 du présent arrêté.

Article 46.– Lorsque la demande de la personne concernée se rapporte à un traitement de données à caractère personnel, géré par un service de police, en vue d'un contrôle d'identité, la Commission communique à la personne concernée que les vérifications nécessaires ont été effectuées.

Le cas échéant, la Commission fournit, à la personne concerne, après avis du service concerné, toute autre information qu'elle estime appropriée.

CHAPITRE VII.- Déclaration des traitements automatisés de données à caractère personnel.

Section première.- Contributions à verser, à la Commission, lors de la déclaration.

Article 47.– Lorsque la déclaration, visée à l'article 17 de la loi, est présentée sur le formulaire en papier, mis à disposition à cette fin par la Commission, le montant de la contribution à verser par le responsable du traitement à la Commission est fixé à 125 euros ou 5042 francs pour la déclaration de toutes les informations déclarées à la Commission, à la même occasion, par le même responsable du traitement.

Article 48.– Lorsque la déclaration est présentée sur le support magnétique, mis à disposition par la Commission, le montant à verser par le responsable du traitement à la Commission est fixé a 25 euros ou 1008 francs pour la déclaration de toutes les informations déclarées à la Commission, à la même occasion, par le même responsable du traitement.

Article 49.- Le montant de la contribution à verser à la Commission en cas de déclaration par le même responsable, à la même occasion d'une ou plusieurs modifications aux mentions de sa déclaration originale, est fixé à 20 euros ou 807 francs.

Article 50.- Le responsable du traitement effectue le paiement des contributions, visées à cette section, au moyen de documents mis à disposition par la Commission.

Section II.- Catégories de traitements exemptées de l'obligation de déclaration.

Article 51.– A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel qui se rapportent exclusivement à des données à caractère personnel nécessaires à l'administration des salaires des personnes au service du ou travaillant pour le responsable du traitement, pour autant que lesdites données soient utilisées exclusivement pour l'administration des salaires visée, qu'elles soient uniquement communiquées aux destinataires qui en ont droit et qu'elles ne soient pas conservées au-delà du temps nécessaire aux finalités du traitement.

Article 52.– A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel qui visent exclusivement l'administration du personnel au service du ou travaillant pour le responsable du traitement.

Le traitement ne peut se rapporter ni à des données relatives à la santé de la personne concernée, ni à des données sensibles ou judiciaires au sens des articles 6 et 8 de la loi, ni à des données destinées à une évaluation de la personne concernée.

Les données à caractère personnel traitées ne peuvent être conservées au-delà du temps nécessaire à l'administration du personnel et ne peuvent être communiquées à des tiers, sauf dans le cadre de l'application d'une disposition légale ou réglementaire, ou pour autant qu'elles soient indispensables à la réalisation des objectifs du traitement.

Article 53.– A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel qui se rapportent exclusivement à la comptabilité du responsable du traitement, pour autant que lesdites données soient utilisées exclusivement pour cette comptabilité, que le traitement concerne uniquement des personnes dont les données sont nécessaires à la comptabilité et que les données à caractère personnel ne soient pas conservées audelà du temps nécessaire à la finalité du traitement.

Les données à caractère personnel traitées ne peuvent être communiquées à des tiers, sauf dans le cadre de l'application d'une disposition réglementaire ou légale, ou pour autant que la communication soit indispensable pour la comptabilité.

Article 54.– A l'exception des §§ 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel qui visent exclusivement l'administration d'actionnaires et d'associés, pour autant que le traitement porte uniquement sur les données nécessaires à cette administration, que ces données portent uniquement sur des personnes dont les données sont nécessaires à cette administration, que lesdites données ne soient pas communiquées à des tiers, sauf dans le cadre de l'application d'une disposition légale ou réglementaire, et que les données à caractère personnel ne soient pas conservées au-delà de la période durant laquelle elles sont nécessaire pour les finalités du traitement.

Article 55.– A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel qui visent exclusivement la gestion de la clientèle ou des fournisseurs du responsable du traitement.

Le traitement peut uniquement porter sur des clients ou des fournisseurs potentiels, existants ou anciens du responsable du traitement.

Le traitement ne peut se rapporter ni à des données relatives à la santé de la personne concernée, ni à des données sensibles ou judiciaires au sens des articles 6 et 8 de la loi.

Dans le cadre de l'administration de la clientèle, aucune personne ne peut être enregistrée dans un traitement de données sur la base d'informations obtenues de tiers.

Les données ne peuvent être conservées plus longtemps que nécessaire à la gestion normale de l'entreprise du responsable du traitement et ne peuvent être communiquées à des tiers, sauf dans le cadre de l'application d'une disposition légale ou réglementaire, ou encore aux fins de la gestion normale d'entreprise.

Article 56.– A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel qui sont effectués par une fondation, une association ou tout autre organisme sans but lucratif dans le cadre de leurs activités ordinaires.

Le traitement doit se rapporter exclusivement à l'administration des membres propres, des personnes avec qui le responsable du traitement entretient des contacts réguliers ou des bienfaiteurs de la fondation, de l'association ou de l'organisme.

Dans le cadre du traitement, aucune personne ne peut être enregistrée sur la base d'informations obtenues de tiers. Les données à caractère personnel traitées ne peuvent être conservées au-delà du temps nécessaire à l'administration des membres, des personnes de contact et des bienfaiteurs et ne peuvent être communiquées à des tiers, sauf dans le cadre de l'application d'une disposition légale ou réglementaire.

Article 57.- A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données d'identification indispensables à la communication, effectués dans le seul but d'entrer en contact avec l'intéressé, pour autant que ces données ne soient pas communiquées a des tiers et qu'elles ne soient pas conservées au-delà du temps nécessaire à la finalité du traitement.

L'alinéa 1er du présent article s'applique uniquement aux traitements de données à caractère personnel non encore vises par une des autres dispositions du présent arrêté.

Article 58.– A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel portant exclusivement sur l'enregistrement de visiteurs, effectué dans le cadre d'un contrôle d'accès, dans la mesure où les données traitées se limitent aux seuls nom, adresse professionnelle du visiteur, identification de son employeur, identification de son véhicule, nom, section et fonction de la personne visitée, ainsi qu'au jour et à l'heure de la visite.

Les données à caractère personnel traitées ne peuvent être utilisées exclusivement que pour le contrôle d'accès et ne peuvent être conservées que le temps nécessaire a cet effet.

Article 59.– A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel qui sont effectués, par les établissements d'enseignement, en vue de gérer leurs relations avec leurs élèves ou étudiants.

Le traitement se rapporte exclusivement a des données à caractère personnel relatives à des élèves ou étudiants potentiels, actuels ou anciens de l'établissement d'enseignement concerne.

Dans le cadre du traitement, aucune personne ne peut être enregistrée sur la base d'informations collectées auprès de tiers. Les données à caractère personnel traitées ne peuvent être communiquées à des tiers, sauf dans le cadre de l'application d'une disposition légale ou réglementaire, et ne peuvent être conservées que le temps nécessaire à la gestion de la relation avec l'élève ou l'étudiant.

Article 60.- A l'exception des paragraphes 4 et 8 de la loi, l'article 17 n'est pas applicable aux traitements effectués par les communes, conformément à la loi du 19 juillet 1991 relative aux registres de la population et aux cartes d'identité et modifiant la loi du 8 août 1983 organisant un Registre national des personnes physiques, conformément à la législation électorale, ainsi qu'aux dispositions légales relatives aux registres de l'état civil.

Article 61.- A l'exception des paragraphes 4 et 8, l'article 17 de la loi n'est pas applicable aux traitements de données à caractère personnel, effectués par des autorités administratives, si le traitement est soumis à des réglementations particulières adoptées par ou en vertu de la loi et réglementant l'accès aux données traitées, ainsi que leur utilisation et leur obtention.

Article 62.- Les dispositions de l'article 17 de la loi, à l'exception des §§ 4 et 8, ne sont pas applicables aux traitements de données à caractère personnel, gérés par les institutions de sécurité sociale visées aux articles 1er et 2, premier alinéa, 2°, de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-Carrefour de la sécurité sociale et visant à appliquer la sécurité sociale, à condition que, pour ce qui concerne ces traitements, ces institutions satisfassent aux dispositions de la loi précitée et à ces arrêtés d'exécution.

La liste, visée à l'article 46, premier alinéa, 6°bis, de la loi du 15 janvier 1990 relative à l'institution et l'organisation d'une Banque-Carrefour de la sécurité sociale, est tenue à disposition de la Commission de la protection de la vie privée, conformément aux modalités, déterminées de commun accord, par ces deux instances.

Sur base cette liste, la Commission de la protection de la vie privée met à jour le registre public des traitements de données automatisés de données à caractère personnel visé à l'article 18 de la loi.

CHAPITRE VIII.- Registre public des traitements automatisés de données à caractère personnel.

Article 63.- Le registre public des traitements automatisés de données à caractère personnel, visé à l'article 18 de la loi, ci-après appelé » le registre public «, est accessible au public selon les modalités suivantes :

a) consultation directe à distance par le biais de moyens de télécommunication;

b) consultation directe sur place dans des locaux désignés à cette fin par la Commission;

c) consultation indirecte par une demande d'extrait adressée à la Commission.

Article 64.– Pour la consultation directe à distance, une copie du registre public est mise à disposition, par la Commission, sur un serveur accessible via internet.

Outre la forme d'accès définie à l'alinéa premier, la Commission peut proposer d'autres possibilités de consultation.

Article 65.- Pour la consultation directe sur place, la Commission met, pendant les heures d'ouverture normales des bureaux, l'espace nécessaire et un équipement informatique, muni d'un logiciel adéquat, à la disposition de toute personne qui se présente en vue de consulter le registre.

Article 66.- Toute personne peut se présenter à la Commission ou lui adresser une requête écrite, en vue d'obtenir un extrait du registre public.

La requête, orale ou écrite, en vue d'obtenir un extrait, doit contenir, au moins, un des renseignements suivants :

1° le numéro d'identification ou la dénomination du traitement ou des traitements sur lequel/lesquels porte l'extrait;

2° le nom complet ou en abrégé du ou des responsables des traitements à mentionner dans l'extrait demandé;

3° en cas de requête écrite, envoyée par la voie postale, l'adresse à laquelle l'extrait doit être expédié.

Article 67.- Si l'extrait du registre public, qui fait l'objet de la requête, concerne plus de dix traitements et plusieurs responsables ou plus de cent traitements d'un seul responsable, la Commission peut délivrer un extrait simplifié mentionnant les données suivantes : numéro d'identification, dénomination et objet de chaque traitement, numéro d'identification, nom, commune avec code postal de chaque responsable du traitement.

Dans le cas visé à l'alinéa 1er, la Commission informe le requérant de son droit de consulter directement le registre public et des modalités selon lesquelles ce droit peut être exercé.

Article 68.– La consultation du registre public est gratuite.

Article 69.– Nul ne peut être obligé de communiquer, à la Commission, les motifs de la consultation, que ce soit lors d'une consultation directe ou indirecte du registre public.

CHAPITRE IX. – Dispositions finales.

Article 70.– Toutes les dispositions de la loi du 11 décembre 1998 entrent en application le premier jour du sixième mois suivant celui durant lequel cet arrêté est publié au Moniteur belge.

A partir du même jour, les responsables du traitement doivent se conformer aux dispositions de la loi du 11 décembre 1998, pour tous les traitements existants et futurs de données à caractère personnel.

Article 71.– Les déclarations, visées à l'article 17, § 7, de la loi, effectuées avant la date d'entrée en vigueur du présent arrêté, sont supposées être conformes aux dispositions de la loi et du présent arrêté.

Le responsable du traitement, qui procède à une déclaration, au sens de l'article 17, § 7, de la loi, lorsqu'une information relative à la déclaration visée à l'alinéa premier a changé, effectue cette déclaration conformément aux dispositions de la loi et du présent arrêté.

Article 72.- Les arrêtés royaux suivants sont abrogés :

1° l'arrêté royal nº 1 du 28 février 1993 fixant la date d'entrée en vigueur des dispositions de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel;

2° l'arrêté royal nº 2 du 28 février 1993 fixant les délais dans lesquels le maître du ficher doit se conformer aux dispositions de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, pour les traitements existants au moment de l'entrée en vigueur de ces dispositions;

3° l'arrêté royal du 12 août 1993 portant exécution de l'article 11, 4°, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel;

4° l'arrêté royal nº 3 du 7 septembre 1993 désignant les personnes auprès desquelles doit être introduite la demande de communication des données à caractère personnel, fondée sur l'article 10 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel;

5° l'arrêté royal nº 4 du 7 septembre 1993 fixant le montant, les conditions et les modalités du paiement de la redevance préalable, au maître du fichier, lors de l'exercice du droit de communication des données à caractère personnel, fondé sur l'article 10 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel;

6° l'arrêté royal nº 5 du 7 septembre 1993 désignant les personnes auprès desquelles doit être introduite la demande de rectification, de suppression ou d'interdiction d'utilisation d'une donnée à caractère personnel, fondée sur l'article 12 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel;

7° l'arrêté royal nº 8 du 7 février 1995 déterminant les fins, les critères et les conditions des traitements autorisés de données visées à l'article 8 de la loi du 8 décembre 1992 relative à la protection de la vie privée a l'égard des traitements de données à caractère personnel, modifie par l'arrêté royal nº 17 du 21 novembre 1996;

8° l'arrêté royal nº 9 du 7 février 1995 accordant des dispenses de déclaration de l'article 9 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel et établissant une procédure d'information collective des personnes concernées par certains traitements, modifié par l'arrêté royal nº 15 du 12 mars 1996;

9° l'arrêté royal nº 12 du 7 mars 1995 relatif à la contribution à verser lors de la déclaration des traitements de données à caractère personnel à la Commission de la protection de la vie privée, modifié par l'arrêté royal nº 12bis du 12 mars 1996;

10° l'arrêté royal nº 13 du 12 mars 1996 portant exemption conditionnelle de l'obligation de déclaration pour certaines catégories de traitements automatisés de données à caractère personnel qui ne présentent manifestement pas de risque d'atteinte à la vie privée, modifié par l'arrêté royal du 18 avril 1996;

11° l'arrêté royal nº 14 du 22 mai 1996 déterminant les fins, les critères et les conditions des traitements autorisés de données visées à l'article 6 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel.

Article 73.– Le présent arrêté entre en vigueur le premier jour du sixième mois qui suit celui au cours duquel il aura été publié au Moniteur belge.

Article 74.- Notre Ministre de la Justice est chargé de l'exécution du présent arrêté.

Bundesgesetz, mit dem bestimmte rechtliche Aspekte des elektronischen Geschäftsund Rechtsverkehrs geregelt (E-Commerce-Gesetz – ECG) und das Signaturgesetz sowie die Zivilprozessordnung geändert werden

Der Nationalrat hat beschlossen:

Artikel I.- Bundesgesetz, mit dem bestimmte rechtliche Aspekte des elektronischen Geschäfts- und Rechtsverkehrs geregelt werden (E-Commerce-Gesetz – ECG)

1. Abschnitt.- Anwendungsbereich und Begriffsbestimmungen Anwendungsbereich

§ 1.

(1) Dieses Bundesgesetz regelt einen rechtlichen Rahmen für bestimmte Aspekte des elektronischen Geschäfts- und Rechtsverkehrs. Es behandelt die Zulassung von Diensteanbietern, deren Informationspflichten, den Abschluss von Verträgen, die Verantwortlichkeit von Diensteanbietern, das Herkunftslandprinzip und die Zusammenarbeit mit anderen Mitgliedstaaten im elektronischen Geschäftsund Rechtsverkehr.

(2) Die Bestimmungen dieses Bundesgesetzes über das Herkunftslandprinzip (§§ 20 bis 23) und die Zusammenarbeit mit anderen Mitgliedstaaten (§ 25) sind nur auf den Verkehr von Diensten der Informationsgesellschaft innerhalb des Europäischen Wirtschaftsraums anzuwenden.