Archivos de la etiqueta: Datos Personales

01Feb/24

Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo de 14 de septiembre de 2022

Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo de 14 de septiembre de 2022 sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales). (DOUE  nº 265, de 12 de octubre de 2022)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (1),

Visto el dictamen del Comité de las Regiones (2),

De conformidad con el procedimiento legislativo ordinario (3),

Considerando lo siguiente:

(1) Los servicios digitales en general y las plataformas en línea en particular desempeñan un papel cada vez más importante en la economía, especialmente en el mercado interior, posibilitando que las empresas lleguen a usuarios de toda la Unión, facilitando el comercio transfronterizo y ofreciendo oportunidades de negocio completamente nuevas a un gran número de empresas en la Unión en beneficio de los consumidores de esta.

(2) Al mismo tiempo, entre esos servicios digitales, los servicios básicos de plataforma presentan una serie de características de las que pueden aprovecharse las empresas prestadoras de dichos servicios. Un ejemplo de esas características de los servicios básicos de plataforma son las economías de escala extremas, que a menudo se derivan de los costes marginales prácticamente nulos que implica añadir usuarios profesionales o usuarios finales. Otras características semejantes de los servicios básicos de plataforma son unos efectos de red muy potentes, una capacidad de conectar a muchos usuarios profesionales con muchos usuarios finales gracias al carácter multilateral de estos servicios, un importante grado de dependencia de los usuarios profesionales y los usuarios finales, efectos de cautividad, falta de multiconexión para el mismo propósito por parte de los usuarios finales, integración vertical y ventajas derivadas de los datos. Todas estas características, combinadas con las prácticas desleales de las empresas prestadoras de los servicios básicos de plataforma, pueden tener el efecto de socavar sustancialmente la disputabilidad de los servicios básicos de plataforma, así como afectar a la equidad de la relación comercial entre las empresas prestadoras de dichos servicios y sus usuarios profesionales y usuarios finales. En la práctica, esto conduce a una disminución rápida y potencialmente amplia de las opciones de los usuarios profesionales y los usuarios finales y, por lo tanto, puede conferir al proveedor de esos servicios la posición de «guardián de acceso». Al mismo tiempo, es preciso reconocer que los servicios que actúan con fines no comerciales, como los proyectos colaborativos, no deben considerarse servicios básicos de plataforma a los efectos del presente Reglamento.

(3) Un reducido número de grandes empresas prestadoras de servicios básicos de plataforma han acumulado un gran poder económico, lo que podría cualificarlas para que se las designe como guardianes de acceso de conformidad con el presente Reglamento. Por lo general, tienen la capacidad de conectar a muchos usuarios profesionales con muchos usuarios finales a través de sus servicios, lo que, a su vez, les permite trasladar sus ventajas, como su acceso a grandes cantidades de datos, de un ámbito de actividad a otro. Algunas de estas empresas controlan ecosistemas completos de plataformas en la economía digital y a los operadores de mercado existentes o nuevos, con independencia de lo innovadores y eficientes que puedan ser, les resulta sumamente difícil, por motivos estructurales, competir con ellos o disputarles el mercado. La disputabilidad se reduce en particular debido a la existencia de enormes obstáculos a la entrada o la salida del mercado, como unos altos costes de inversión, que no pueden recuperarse, o al menos no fácilmente, en caso de salida, y la ausencia de algunos insumos clave en la economía digital, como los datos, o un acceso reducido a estos. Como consecuencia de ello, aumenta la probabilidad de que los mercados subyacentes no funcionen bien o de que pronto dejen de funcionar bien.

(4) Es probable que la combinación de esas características de los guardianes de acceso conduzca, en muchos casos, a graves desequilibrios en el poder de negociación y, en consecuencia, a prácticas y condiciones injustas para los usuarios profesionales, así como para los usuarios finales de los servicios básicos de plataforma prestados por los guardianes de acceso, en detrimento de los precios, la calidad, la competencia leal, las opciones y la innovación en el sector digital.

(5) De ello se deduce que la dinámica del mercado a menudo es incapaz de garantizar resultados económicos justos con respecto a los servicios básicos de plataforma. Aunque los artículos 101 y 102 del Tratado de Funcionamiento de la Unión Europea (TFUE) se aplican a la conducta de los guardianes de acceso, el ámbito de aplicación de dichas disposiciones se limita a determinados casos de poder de mercado (por ejemplo, dominio en mercados específicos) y de comportamiento contrario a la competencia, y el control del cumplimiento se produce ex post y requiere una investigación extensa caso por caso de hechos a menudo muy complejos. Además, el Derecho de la Unión vigente no aborda, o al menos no de manera eficaz, los retos para el funcionamiento eficaz del mercado interior que plantea la conducta de los guardianes de acceso que no son necesariamente dominantes en términos de derecho de la competencia.

(6) Los guardianes de acceso tienen una gran influencia en el mercado interior, dado que proporcionan puertas de acceso para que un gran número de usuarios profesionales lleguen a los usuarios finales en cualquier lugar de la Unión y en diferentes mercados. El impacto negativo de las prácticas desleales en el mercado interior y la escasa disputabilidad de los servicios básicos de plataforma, incluidas las consecuencias sociales y económicas negativas de tales prácticas desleales, han llevado a los legisladores nacionales y a los reguladores sectoriales a actuar. Ya se han adoptado a escala nacional o propuesto una serie de soluciones normativas para abordar las prácticas desleales y la disputabilidad de los servicios digitales o, al menos, con respecto a algunas de ellas. Esto ha creado soluciones normativas divergentes, lo que provoca la fragmentación del mercado interior y, por lo tanto, aumenta el riesgo de incremento de los costes de cumplimiento debido a la existencia de diferentes conjuntos de requisitos normativos nacionales.

(7) Por consiguiente, el objetivo del presente Reglamento es contribuir al buen funcionamiento del mercado interior estableciendo normas para garantizar la disputabilidad y la equidad de los mercados en el sector digital en general y garantizarlas a los usuarios profesionales y los usuarios finales de servicios básicos de plataforma prestados por guardianes de acceso en particular. Los usuarios profesionales y los usuarios finales de servicios básicos de plataforma prestados por guardianes de acceso deben contar en toda la Unión con las garantías normativas adecuadas contra las prácticas desleales de los guardianes de acceso, a fin de facilitar las actividades comerciales transfronterizas dentro de la Unión, mejorando así el correcto funcionamiento del mercado interior, y de eliminar la fragmentación existente o que podría aparecer en los ámbitos específicos a los que se aplica el presente Reglamento. Además, aunque los guardianes de acceso tienden a adoptar modelos de negocio y estructuras algorítmicas mundiales o al menos paneuropeos, también pueden adoptar, y en algunos casos así lo han hecho, diferentes condiciones y prácticas comerciales en distintos Estados miembros, lo que puede crear disparidades entre las condiciones de competencia de los usuarios de los servicios básicos de plataforma prestados por guardianes de acceso, en detrimento de la integración del mercado interior.

(8) Mediante la aproximación de legislaciones nacionales divergentes, es posible eliminar los obstáculos a la libertad de prestar y recibir servicios, también servicios minoristas, dentro del mercado interior. En consecuencia, debe establecerse un conjunto armonizado de obligaciones jurídicas a escala de la Unión para garantizar la disputabilidad y la equidad de los mercados digitales con la presencia de guardianes de acceso en el mercado interior en beneficio de la economía de la Unión en su conjunto y, en última instancia, de los consumidores de la Unión.

(9) La fragmentación del mercado interior solo puede evitarse eficazmente si se impide a los Estados miembros aplicar normas nacionales que entren en el ámbito de aplicación del presente Reglamento y que persigan sus mismos objetivos. Eso no excluye la posibilidad de que se apliquen a los guardianes de acceso, en el sentido del presente Reglamento, otras normas nacionales que persigan otros objetivos de interés público legítimos, según se establecen en el TFUE, o razones imperiosas de interés general reconocidas en la jurisprudencia del Tribunal de Justicia de la Unión Europea (en lo sucesivo, «Tribunal de Justicia»).

(10) Al mismo tiempo, dado que el presente Reglamento tiene por objeto complementar la ejecución del Derecho de la competencia, debe aplicarse sin perjuicio de lo dispuesto en los artículos 101 y 102 del TFUE, en las normas nacionales de competencia correspondientes y en otras normas nacionales de competencia relativas a conductas unilaterales basadas en una valoración individualizada de las posiciones en el mercado y el comportamiento en este, incluidos sus efectos reales o potenciales y el alcance exacto del comportamiento prohibido, y que prevén la posibilidad de que las empresas presenten justificaciones fundadas sobre la eficiencia y los objetivos del comportamiento de que se trate, así como de lo dispuesto en las normas nacionales relativas al control de las concentraciones. No obstante, la aplicación de esas normas no debe afectar a las obligaciones impuestas a los guardianes de acceso en virtud del presente Reglamento ni a su aplicación uniforme y efectiva en el mercado interior.

(11) Los artículos 101 y 102 del TFUE y las correspondientes normas nacionales de competencia relativas a conductas anticompetitivas multilaterales y unilaterales, así como al control de las concentraciones, tienen como objetivo la protección de la competencia no falseada en el mercado. El presente Reglamento persigue un objetivo complementario, pero distinto al de proteger la competencia no falseada en un mercado determinado, tal como se define en el Derecho de la competencia, que es el de garantizar que los mercados donde haya guardianes de acceso sean y sigan siendo disputables y equitativos, independientemente de los efectos reales, potenciales o supuestos sobre la competencia en un mercado determinado de la conducta de un determinado guardián de acceso al que se aplique el presente Reglamento. Por lo tanto, el presente Reglamento tiene por objeto proteger un interés jurídico diferente del protegido por esas normas y debe aplicarse sin perjuicio de la aplicación de estas últimas.

(12) El presente Reglamento también debe aplicarse sin perjuicio de las normas derivadas de otros actos de Derecho de la Unión que regulan determinados aspectos de la prestación de servicios incluidos en el ámbito del presente Reglamento, en particular los Reglamentos (UE) 2016/679 (4) y (UE) 2019/1150 (5) del Parlamento Europeo y del Consejo y un reglamento relativo a un mercado único de servicios digitales, y las Directivas 2002/58/CE (6), 2005/29/CE (7), 2010/13/UE (8), (UE) 2015/2366 (9), (UE) 2019/790 (10) y (UE) 2019/882 (11) del Parlamento Europeo y del Consejo, y la Directiva 93/13/CEE (12) del Consejo, así como de las normas nacionales por las que se apliquen dichos actos de la Unión.

(13) La escasa disputabilidad y las prácticas desleales en el sector digital son más frecuentes y pronunciadas por lo que respecta a algunos servicios digitales que por lo que respecta a otros. Afectan especialmente a los servicios digitales generalizados y de uso común, que sirven principalmente de intermediarios directos entre los usuarios profesionales y los usuarios finales y presentan con mayor frecuencia características como economías de escala extremas unos efectos de red muy potentes, la capacidad de conectar a muchos usuarios profesionales con muchos usuarios finales gracias al carácter multilateral de los servicios, efectos de cautividad, falta de multiconexión o integración vertical. A menudo, esos servicios digitales son prestados por una sola gran empresa, o por un número muy reducido de grandes empresas. La mayor parte de las veces, esas empresas se han impuesto como guardianes de acceso para usuarios profesionales y usuarios finales, con repercusiones de gran alcance. En particular, han adquirido la capacidad de establecer fácilmente condiciones comerciales de manera unilateral y perjudicial para sus usuarios profesionales y usuarios finales. Por consiguiente, es necesario centrarse únicamente en los servicios digitales que más utilizan los usuarios profesionales y los usuarios finales y en relación con los cuales las preocupaciones sobre la escasa disputabilidad y las prácticas desleales de los guardianes de acceso son más evidentes y apremiantes desde la perspectiva del mercado interior.

(14) En particular, los servicios de intermediación en línea, los motores de búsqueda en línea, los sistemas operativos, las redes sociales en línea, los servicios de plataforma de intercambio de vídeos, los servicios de comunicaciones interpersonales independientes de la numeración, los servicios de computación en nube, los asistentes virtuales, los navegadores web y los servicios de publicidad en línea, incluidos los servicios de intermediación publicitaria, tienen la capacidad de afectar a un gran número de usuarios finales y empresas, lo que conlleva el riesgo de que se produzcan prácticas comerciales desleales. Por lo tanto, deben incluirse en la definición de los servicios básicos de plataforma y entrar en el ámbito de aplicación del presente Reglamento. Los servicios de intermediación en línea también pueden desempeñar un papel en el ámbito de los servicios financieros, y pueden hacer de intermediario o ser utilizados para prestar los servicios enumerados de una manera no exhaustiva en el anexo II de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo (13). A efectos del presente Reglamento, la definición de servicios básicos de plataforma debe ser neutral desde el punto de vista tecnológico y debe entenderse que incluye los servicios prestados en o a través de diversos medios o dispositivos, como los televisores inteligentes o los servicios digitales integrados en vehículos. En determinadas circunstancias, el concepto de usuarios finales debe comprender a los usuarios que tradicionalmente se consideran usuarios profesionales, pero en determinadas situaciones no utilizan los servicios básicos de plataforma para suministrar productos o prestar servicios a otros usuarios finales, como por ejemplo las empresas que dependen de los servicios de computación en nube para sus propios fines.

(15) El hecho de que un servicio digital sea un servicio básico de plataforma no genera en sí mismo preocupaciones suficientemente graves en materia de disputabilidad ni de prácticas desleales. Dichas preocupaciones surgen únicamente cuando un servicio básico de plataforma constituye una puerta de acceso importante y lo explota una empresa con una gran influencia en el mercado interior y una posición afianzada y duradera, o una empresa que previsiblemente va a gozar de tal posición en un futuro próximo. Por consiguiente, el conjunto específico de normas armonizadas previstas en el presente Reglamento debe aplicarse únicamente a las empresas designadas sobre la base de esos tres criterios objetivos, y solo debe aplicarse a los servicios básicos de plataforma de dichas empresas que constituyan individualmente una puerta de acceso importante para que los usuarios profesionales lleguen a los usuarios finales. El hecho de que sea posible que una empresa prestadora de servicios básicos de plataforma no solo intermedie entre usuarios profesionales y usuarios finales, sino también entre usuarios finales y usuarios finales (por ejemplo, en el caso de los servicios de comunicaciones interpersonales independientes de la numeración) no debe impedir que se llegue a la conclusión de que dicha empresa es o podría ser una puerta de acceso importante para que los usuarios profesionales lleguen a los usuarios finales.

(16) Con el fin de garantizar la aplicación efectiva del presente Reglamento a las empresas prestadoras de servicios básicos de plataforma que tengan más probabilidades de satisfacer esos requisitos objetivos, y en los casos en los que las prácticas desleales que reducen la disputabilidad sean más extendidas y tengan mayor repercusión, la Comisión debe poder designar directamente como guardianes de acceso a las empresas prestadoras de servicios básicos de plataforma que alcancen ciertos umbrales cuantitativos. En cualquier caso, dichas empresas deben someterse a un procedimiento de designación rápida que ha de comenzar una vez que el presente Reglamento sea aplicable.

(17) El hecho de que una empresa tenga un gran volumen de negocios en la Unión y preste un servicio básico de plataforma en al menos tres Estados miembros constituye un indicio convincente de que esa empresa tiene una gran influencia en el mercado interior. Esto es igualmente cierto cuando una empresa que presta un servicio básico de plataforma en al menos tres Estados miembros tiene una capitalización bursátil muy elevada o un valor justo de mercado equivalente. Por lo tanto, debe presumirse que una empresa que presta un servicio básico de plataforma tiene una gran influencia en el mercado interior cuando presta un servicio básico de plataforma en al menos tres Estados miembros y cuando el volumen de negocios logrado por su grupo en la Unión es igual o superior a un umbral alto determinado, o cuando la capitalización bursátil del grupo es igual o superior a un valor absoluto alto determinado. Para las empresas prestadoras de servicios básicos de plataforma que pertenecen a empresas que no cotizan en un mercado regulado, debe tomarse como referencia el valor justo de mercado equivalente. La Comisión debe poder utilizar sus poderes para adoptar actos delegados a fin de elaborar una metodología objetiva para calcular ese valor.

Un volumen de negocios elevado de un grupo obtenido en la Unión, unido a un número de usuarios de servicios básicos de plataforma en la Unión equivalente al del umbral, refleja una capacidad relativamente grande de monetizar a esos usuarios. Una elevada capitalización bursátil en relación con el mismo número de usuarios en la Unión refleja un potencial relativamente grande para monetizar a esos usuarios en un futuro próximo. Este potencial de monetización, a su vez, refleja, en principio, la posición de puerta de acceso de las empresas correspondientes. Ambos indicadores reflejan, además, la capacidad financiera de las empresas correspondientes, incluida su capacidad de aprovechar su acceso a los mercados financieros para reforzar su posición. Esto puede suceder, por ejemplo, cuando este acceso superior se utiliza para adquirir otras empresas, una capacidad que, a su vez, ha demostrado tener posibles efectos negativos en la innovación. La capitalización bursátil también puede reflejar la posición y el efecto futuros previstos de las empresas de que se trate en el mercado interior, a pesar de que el volumen de negocios actual pueda ser relativamente bajo. El valor de la capitalización bursátil debe basarse en un nivel que refleje la capitalización bursátil media de las mayores empresas que cotizan en un mercado regulado de la Unión durante un período adecuado.

(18) Mientras que una capitalización bursátil en el umbral establecido o por encima de él en el último ejercicio debe dar lugar a la presunción de que una empresa prestadora de servicios básicos de plataforma tiene una gran influencia en el mercado interior, debe considerarse que una capitalización bursátil sostenida de la empresa prestadora de servicios básicos de plataforma en el umbral establecido o por encima de él durante tres o más años refuerza aún más dicha presunción.

(19) En cambio, podrían darse una serie de factores relativos a la capitalización bursátil que requerirían una valoración en profundidad para determinar si debe considerarse que una empresa prestadora de servicios básicos de plataforma tiene una gran influencia en el mercado interior. Este podría ser el caso cuando la capitalización bursátil de la empresa prestadora de servicios básicos de plataforma en los ejercicios anteriores estuviese muy por debajo del umbral y la volatilidad de su capitalización bursátil durante el período observado fuese desproporcionada frente a la volatilidad general del mercado de valores o la trayectoria de su capitalización bursátil en comparación con las tendencias del mercado fuese incompatible con un crecimiento rápido y unidireccional.

(20) Tener un número muy elevado de usuarios profesionales que dependen de un servicio básico de plataforma para llegar a un número muy elevado de usuarios finales activos mensuales posibilita que la empresa que presta ese servicio influya a su favor en las operaciones de gran parte de los usuarios profesionales e indica, en principio, que esa empresa constituye una puerta de acceso importante. Los respectivos niveles pertinentes para esas cifras deben establecerse de tal manera que representen un porcentaje sustancial de toda la población de la Unión, en lo que respecta a los usuarios finales, y de toda la población de empresas que utilizan servicios básicos de plataforma, para determinar el umbral para los usuarios profesionales. Los usuarios finales activos y los usuarios profesionales deben identificarse y calcularse de modo que se represente adecuadamente la función y el alcance del servicio básico de plataforma específico de que se trate. A fin de proporcionar seguridad jurídica a los guardianes de acceso, los elementos para determinar el número de usuarios finales activos y de usuarios profesionales por servicio básico de plataforma deben indicarse en el anexo del presente Reglamento. Esos elementos pueden verse afectados por los avances técnicos y de otro tipo. Por lo tanto, debe facultarse a la Comisión para que adopte actos delegados con objeto de modificar el presente Reglamento, mediante la actualización de la metodología y de la lista de indicadores utilizados para determinar el número de usuarios finales activos y de usuarios profesionales activos.

(21) La empresa que presta el servicio básico de plataforma goza de una posición afianzada y duradera en sus operaciones o es previsible que goce de tal posición en el futuro, en particular, cuando la disputabilidad de su posición es limitada. Es probable que así sea cuando esa empresa haya prestado un servicio básico de plataforma en al menos tres Estados miembros a un número muy elevado de usuarios profesionales y usuarios finales a lo largo de un período de al menos tres años.

(22) Dichos umbrales pueden verse afectados por la evolución del mercado y los avances técnicos. Por lo tanto, la Comisión debe estar facultada para adoptar actos delegados con el fin de especificar la metodología para determinar si se alcanzan los umbrales cuantitativos y de ajustarla periódicamente a la evolución del mercado y los avances técnicos cuando sea necesario. Dichos actos delegados no deben modificar los umbrales cuantitativos establecidos en el presente Reglamento.

(23) Una empresa prestadora de servicios básicos de plataforma debe poder refutar, en circunstancias excepcionales, la presunción de que la empresa tiene una gran influencia en el mercado interior demostrando que, aunque alcanza los umbrales cuantitativos establecidos en el presente Reglamento, no cumple los requisitos para la designación como guardián de acceso. La obligación de acreditar que no debe aplicarse la presunción derivada del hecho de haber alcanzado los umbrales cuantitativos debe recaer sobre esa empresa. En su valoración de las pruebas y los argumentos presentados, la Comisión únicamente debe tener en cuenta aquellos elementos relacionados de manera directa con los criterios cuantitativos, en particular la influencia de la empresa prestadora de servicios básicos de plataforma en el mercado interior más allá de los ingresos o de la capitalización bursátil, como su tamaño en términos absolutos, y el número de Estados miembros en los que está presente; en qué medida el número real de usuarios profesionales y usuarios finales supera los umbrales y la importancia del servicio básico de plataforma de la empresa, teniendo en cuenta la escala global de las actividades del servicio básico de plataforma de que se trate; y el número de años en los que se hayan alcanzado los umbrales.

Debe descartarse cualquier justificación por motivos económicos con la que se pretenda entrar en la definición del mercado o demostrar eficiencias derivadas de un tipo específico de comportamiento por parte de la empresa prestadora de servicios básicos de plataforma, ya que no es pertinente para la designación como guardián de acceso. Si los argumentos presentados no están suficientemente fundamentados porque no ponen en entredicho de forma manifiesta la presunción, la Comisión debe poder rechazar los argumentos en el plazo de 45 días laborables previsto para la designación. La Comisión debe poder tomar una decisión basándose en información disponible sobre los umbrales cuantitativos en caso de que la empresa prestadora de servicios básicos de plataforma obstruya la investigación incumpliendo las medidas de investigación adoptadas por la Comisión.

(24) También debe preverse la valoración de la función de guardián de acceso de las empresas prestadoras de servicios básicos de plataforma que no alcancen todos los umbrales cuantitativos, a la luz de los requisitos objetivos globales de que tengan una gran influencia en el mercado interior, actúen como una puerta de acceso importante para que los usuarios profesionales lleguen a los usuarios finales y gocen de una posición afianzada y duradera en sus operaciones o sea previsible que la logren en un futuro próximo. Cuando la empresa prestadora de servicios básicos de plataforma sea una empresa mediana o pequeña o una microempresa, la valoración debe considerar atentamente si dicha empresa podría menoscabar sustancialmente la disputabilidad de los servicios básicos de plataforma, dado que el presente Reglamento se dirige principalmente a grandes empresas con un poder económico considerable, más que a empresas medianas, pequeñas o microempresas.

(25) Dicha valoración solo puede realizarse tras una investigación de mercado y teniendo en cuenta los umbrales cuantitativos. En su valoración, la Comisión debe perseguir los objetivos de preservar y fomentar la innovación y la calidad de los productos y servicios digitales, el grado en que los precios son justos y competitivos y la medida en que la calidad o las opciones para los usuarios profesionales y para los usuarios finales son o se mantienen elevadas. Se pueden tener en cuenta elementos específicos de las empresas prestadoras de los servicios básicos de plataforma de que se trate, como las economías de escala extremas o de alcance, unos efectos de red muy potentes, las ventajas derivadas de los datos, la capacidad de conectar a muchos usuarios profesionales con muchos usuarios finales gracias al carácter multilateral de esos servicios, los efectos de cautividad, la falta de multiconexión, la estructura de conglomerado empresarial o la integración vertical. Además, una capitalización bursátil muy elevada, una ratio muy elevada entre el patrimonio y el beneficio o un volumen de negocios muy elevado procedente de los usuarios finales de un único servicio básico de plataforma pueden utilizarse como indicadores del potencial de influencia de dichas empresas y de inclinación del mercado en su favor. Junto con la capitalización bursátil, unas altas tasas de crecimiento relativas son ejemplos de parámetros dinámicos particularmente relevantes para identificar a las empresas prestadoras de servicios básicos de plataforma que previsiblemente vayan a afianzarse y perdurar. La Comisión debe poder tomar una decisión extrayendo conclusiones desfavorables de los hechos disponibles cuando la empresa prestadora de servicios básicos de plataforma obstruya en gran medida la investigación incumpliendo las medidas de investigación adoptadas por la Comisión.

(26) Debe aplicarse un subconjunto específico de normas a las empresas prestadoras de servicios básicos de plataforma que previsiblemente vayan a gozar de una posición afianzada y duradera en un futuro próximo. Las mismas características específicas de los servicios básicos de plataforma las hacen propensas a lograr una inclinación del mercado a su favor: una vez que una empresa prestadora del servicio básico de plataforma ha logrado cierta ventaja sobre sus rivales o potenciales competidores en términos de tamaño o poder de intermediación, su posición podría volverse inexpugnable y la situación podría evolucionar hasta un punto en el que sea probable que goce de una posición afianzada y duradera en un futuro cercano. Las empresas pueden tratar de inducir esta inclinación del mercado e imponerse como guardianes de acceso recurriendo a algunas de las condiciones y prácticas desleales reguladas en virtud del presente Reglamento. En una situación de estas características, parece apropiado intervenir antes de que se produzca una inclinación irreversible del mercado.

(27) Sin embargo, tal intervención temprana debe limitarse a imponer únicamente las obligaciones que sean necesarias y apropiadas para garantizar que los servicios de que se trate sigan siendo disputables y permitan evitar el riesgo calificado de condiciones y prácticas desleales. Las obligaciones que evitan que la empresa prestadora de servicios básicos de plataforma de que se trate goce de una posición afianzada y duradera en sus operaciones, como las que impiden el apalancamiento, y las que facilitan el cambio y la multiconexión están orientadas más directamente a este fin. Además, para garantizar la proporcionalidad, la Comisión debe aplicar de ese subconjunto de obligaciones únicamente las que sean necesarias y proporcionadas para lograr los objetivos del presente Reglamento y debe revisar periódicamente si dichas obligaciones deben mantenerse, suprimirse o adaptarse.

(28) Aplicar únicamente las obligaciones que sean necesarias y proporcionadas para lograr los objetivos del presente Reglamento debe permitir a la Comisión intervenir a tiempo y con eficacia, respetando plenamente la proporcionalidad de las medidas consideradas. También debe tranquilizar a los participantes en el mercado, incluidos los participantes potenciales, sobre la disputabilidad y la equidad de los servicios correspondientes.

(29) Los guardianes de acceso deben cumplir las obligaciones establecidas en el presente Reglamento respecto de cada uno de los servicios básicos de plataforma enumerados en la decisión de designación correspondiente. Las obligaciones deben aplicarse teniendo en cuenta la posición de conglomerado de los guardianes de acceso, en su caso. Además, debe ser posible que la Comisión imponga medidas de aplicación al guardián de acceso mediante una decisión. Esas medidas de aplicación deben diseñarse de manera eficaz, teniendo en cuenta las características de los servicios básicos de plataforma y los posibles riesgos de elusión, y de conformidad con el principio de proporcionalidad y los derechos fundamentales de las empresas de que se trate, así como los de terceros.

(30) La naturaleza tecnológica de los servicios básicos de plataforma, que es compleja y evoluciona muy rápido, impone una revisión periódica de la condición de los guardianes de acceso, también de la de aquellos que se prevé que alcancen una posición afianzada y duradera en sus operaciones en un futuro próximo. Para proporcionar a todos los participantes en el mercado, incluidos los guardianes de acceso, la certeza necesaria respecto de las obligaciones jurídicas aplicables, es necesario establecer un plazo para tales revisiones periódicas. También es importante llevar a cabo esas revisiones con regularidad y al menos cada tres años. Además, es importante aclarar que no todo cambio en los hechos sobre la base de los cuales se haya designado guardián de acceso a una empresa prestadora de servicios básicos de plataforma debe requerir que se modifique la decisión de designación. La modificación solo va a ser necesaria si el cambio en los hechos también da lugar a un cambio en la valoración. Para determinar si es así, ha de realizarse una valoración caso por caso de los hechos y las circunstancias.

(31) Para salvaguardar la disputabilidad y la equidad de los servicios básicos de plataforma prestados por los guardianes de acceso, se debe proporcionar de manera clara e inequívoca un conjunto de normas armonizadas en relación con esos servicios. Estas normas son necesarias para abordar el riesgo de efectos perjudiciales de las prácticas de los guardianes de acceso, en beneficio del entorno empresarial en los servicios correspondientes, de los usuarios y, en última instancia, de la sociedad en su conjunto. Las obligaciones corresponden a aquellas prácticas que se considera que menoscaban la disputabilidad o que no son equitativas, o ambas cosas, cuando se tienen en cuenta las características del sector digital y que tienen un impacto directo especialmente negativo en los usuarios profesionales y los usuarios finales. Debe ser posible que las obligaciones establecidas en el presente Reglamento tengan en cuenta específicamente la naturaleza de los servicios básicos de plataforma prestados. Las obligaciones del presente Reglamento no solo deben garantizar la disputabilidad y la equidad con respecto a los servicios básicos de plataforma enumerados en la decisión de designación, sino también con respecto a otros productos y servicios digitales en los que los guardianes de acceso aprovechan su posición de puerta de acceso, que a menudo se suministran o prestan junto con los servicios básicos de plataforma o en apoyo de estos.

(32) A los efectos del presente Reglamento, la disputabilidad debe estar relacionada con la capacidad de las empresas para superar de forma efectiva los obstáculos a la entrada y la expansión, y competir con el guardián de acceso sobre la base de la calidad intrínseca de sus productos y servicios. Las características de los servicios básicos de plataforma en el sector digital, como los efectos de red, unas economías de escala importantes y los beneficios derivados de los datos, han limitado la disputabilidad de dichos servicios y de los ecosistemas conexos. Una disputabilidad tan escasa reduce los incentivos para innovar y mejorar los productos y servicios para el guardián de acceso, sus usuarios profesionales, sus competidores y clientes y, por tanto, afecta negativamente al potencial de innovación de la economía de las plataformas en línea en sentido amplio. La disputabilidad de los servicios en el sector digital también puede verse limitada si hay más de un guardián de acceso para un servicio básico de plataforma. Por consiguiente, el presente Reglamento debe prohibir determinadas prácticas de los guardianes de acceso que puedan aumentar los obstáculos a la entrada o la expansión, e imponer determinadas obligaciones a los guardianes de acceso que tiendan a reducir esas barreras. Las obligaciones también deben abordar situaciones en las que la posición del guardián de acceso se haya afianzado hasta tal punto que la competencia entre plataformas no sea efectiva a corto plazo, lo que implica que es necesario crear competencia dentro de la plataforma o aumentarla.

(33) A los efectos del presente Reglamento, la falta de equidad debe estar relacionada con un desequilibrio entre los derechos y las obligaciones de los usuarios profesionales en el que el guardián de acceso obtenga una ventaja desproporcionada. Los participantes en el mercado, incluidos los usuarios profesionales de servicios básicos de plataforma y los prestadores alternativos de servicios prestados junto con dichos servicios básicos de plataforma o en apoyo de estos, deben tener la capacidad de cosechar adecuadamente los beneficios resultantes de sus esfuerzos innovadores o de otro tipo. Debido a su posición de puerta de acceso y a su mayor poder de negociación, es posible que los guardianes de acceso adopten comportamientos que no permitan que otros cosechen plenamente los beneficios de sus propias contribuciones, y establezcan unilateralmente condiciones desequilibradas para el uso de sus servicios básicos de plataforma o de servicios prestados junto con sus servicios básicos de plataforma o en apoyo de estos. Este desequilibrio no queda excluido por el hecho de que el guardián de acceso ofrezca un servicio concreto de forma gratuita a un grupo específico de usuarios, y también puede consistir en excluir o discriminar a usuarios profesionales, en particular si estos últimos compiten con los servicios prestados por el guardián de acceso. Por consiguiente, el presente Reglamento debe imponer obligaciones a los guardianes de acceso para hacer frente a tales comportamientos.

(34) La disputabilidad y la equidad están interrelacionadas. La falta de disputabilidad o su escasez en relación con un determinado servicio puede permitir que un guardián de acceso lleve a cabo prácticas desleales. Del mismo modo, las prácticas desleales de un guardián de acceso pueden reducir la posibilidad de que los usuarios profesionales o terceros disputen la posición del guardián de acceso. Por consiguiente, una obligación específica del presente Reglamento puede abordar ambos elementos.

(35) Por consiguiente, las obligaciones establecidas en el presente Reglamento son necesarias para abordar las preocupaciones de orden público identificadas, ya que no existen medidas alternativas menos restrictivas que puedan lograr efectivamente el mismo resultado, teniendo en cuenta la necesidad de salvaguardar el orden público, proteger la privacidad y combatir las prácticas comerciales fraudulentas y engañosas.

(36) A menudo, los guardianes de acceso recogen directamente datos personales de los usuarios finales con el fin de prestar servicios de publicidad en línea cuando los usuarios finales utilizan sitios web y aplicaciones informáticas de terceros. Los terceros también facilitan a los guardianes de acceso datos personales de sus usuarios finales para hacer uso de determinados servicios prestados por los guardianes de acceso en el contexto de sus servicios básicos de plataforma, como los prestados a públicos personalizados. El tratamiento, a efectos de la prestación de servicios de publicidad en línea, de datos personales de terceros que utilicen servicios básicos de plataforma proporciona a los guardianes de acceso ventajas potenciales en términos de acumulación de datos, lo que crea obstáculos a la entrada al mercado. Esto se debe a que los guardianes de acceso tratan datos personales de un número considerablemente mayor de terceros que otras empresas. Se derivan ventajas similares de la práctica de i) combinar datos personales de usuarios finales recogidos de un servicio básico de plataforma con datos recogidos de otros servicios, ii) utilizar datos personales de un servicio básico de plataforma en otros servicios prestados por separado por el guardián de acceso, en particular servicios que no se prestan junto con el servicio básico de plataforma pertinente o en apoyo de este, y viceversa, o iii) iniciar la sesión de usuarios finales en diferentes servicios de guardianes de acceso para combinar datos personales. Para garantizar que los guardianes de acceso no menoscaben deslealmente la disputabilidad de los servicios básicos de plataforma, dichos guardianes deben permitir que los usuarios finales puedan elegir libremente participar en tales prácticas de tratamiento de datos e inicio de sesión ofreciéndoles una alternativa menos personalizada, aunque equivalente, y sin condicionar el uso del servicio básico de plataforma o de determinadas funcionalidades de este al consentimiento del usuario final. Esto no debe afectar al tratamiento de datos personales o al inicio de sesión de usuarios finales en un servicio por parte del guardián de acceso, con fundamento en la base jurídica prevista en el artículo 6, apartado 1, letras c), d) y e), del Reglamento (UE) 2016/679, pero no en el artículo 6, apartado 1, letras b) y f), de dicho Reglamento.

(37) La alternativa menos personalizada no debe ser diferente ni tener una calidad degradada en comparación con el servicio prestado a los usuarios finales que prestan su consentimiento, a menos que la degradación de la calidad sea consecuencia directa del hecho de que el guardián de acceso no pueda tratar dichos datos personales ni iniciar la sesión de los usuarios finales en un servicio. No prestar el consentimiento no debe ser más difícil que prestarlo. Cuando el guardián de acceso solicite el consentimiento, debe presentar proactivamente al usuario final una solución fácil de usar para que este preste, modifique o retire el consentimiento de manera expresa, clara y sencilla. En particular, el consentimiento debe prestarse mediante una clara acción afirmativa o declaración que establezca una manifestación de acuerdo libre, específica, informada e inequívoca por parte del usuario final, tal como se define en el Reglamento (UE) 2016/679. En el momento de prestar el consentimiento, y solo cuando proceda, debe informarse al usuario final de que el hecho de no prestar el consentimiento puede dar lugar a una oferta menos personalizada, pero que, por lo demás, el servicio básico de plataforma va a permanecer inalterado y no se va a suprimir ninguna funcionalidad. Excepcionalmente, si no se puede prestar el consentimiento directamente al servicio básico de plataforma del guardián de acceso, los usuarios finales deben poder prestar su consentimiento a través de cada servicio de terceros que haga uso de dicho servicio básico de plataforma, a fin de que el guardián de acceso pueda tratar datos personales con el fin de prestar servicios de publicidad en línea.

Por último, debe ser igual de fácil retirar el consentimiento que prestarlo. Los guardianes de acceso no deben diseñar, organizar ni explotar sus interfaces en línea de forma que engañen o manipulen a los usuarios finales o reduzcan o distorsionen de otro modo de manera sustancial su capacidad de prestar su consentimiento libremente. En particular, no debe permitirse que los guardianes de acceso inciten a los usuarios finales más de una vez al año a prestar su consentimiento para el mismo fin de tratamiento respecto del cual inicialmente no dieron su consentimiento o lo retiraron. El presente Reglamento se entiende sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679, incluido su marco de ejecución, que sigue siendo plenamente aplicable con respecto a cualquier reclamación de los interesados relacionada con una vulneración de sus derechos amparados por dicho Reglamento.

(38) Los menores merecen una protección específica con respecto a sus datos personales, en particular en lo relativo al uso de sus datos personales con fines de comunicación comercial o de creación de perfiles de usuario. La protección de los menores en línea es un objetivo importante de la Unión y debe reflejarse en su Derecho aplicable. En este contexto, debe tenerse debidamente en cuenta un reglamento relativo a un mercado único de servicios digitales. Ninguna disposición del presente Reglamento exime a los guardianes de acceso de la obligación de proteger a los menores establecida en el Derecho la Unión aplicable.

(39) En determinados casos, por ejemplo mediante la imposición de condiciones contractuales, los guardianes de acceso pueden restringir la capacidad de los usuarios profesionales de sus servicios de intermediación en línea para ofrecer productos o servicios a los usuarios finales en condiciones más favorables, incluido el precio, a través de otros servicios de intermediación en línea o de sus canales de venta directa en línea. Cuando tales restricciones se refieren a servicios de intermediación en línea de terceros, limitan la disputabilidad entre plataformas, lo que, a su vez, limita las opciones de servicios alternativos de intermediación en línea para los usuarios finales. Cuando tales restricciones se refieren a canales de venta directa en línea, limitan injustamente la libertad de los usuarios profesionales para utilizar dichos canales. Para garantizar que los usuarios profesionales de servicios de intermediación en línea de los guardianes de acceso puedan elegir libremente servicios alternativos de intermediación en línea o canales de venta directa en línea y diferenciar las condiciones en las cuales ofrecen sus productos o servicios a los usuarios finales, no debe aceptarse que los guardianes de acceso limiten la posibilidad de que los usuarios profesionales escojan diferenciar las condiciones comerciales, incluido el precio. Esta restricción debe aplicarse a cualquier medida de efecto equivalente, como por ejemplo el aumento de los porcentajes de comisión o la supresión de las ofertas de los usuarios profesionales.

(40) Para evitar que aumente aún más su dependencia de los servicios básicos de plataforma prestados por guardianes de acceso y con el fin de promover la multiconexión, los usuarios profesionales de esos guardianes de acceso deben tener la libertad de promocionar y elegir el canal de distribución que consideren más apropiado para interactuar con cualquier usuario final que esos usuarios profesionales ya hayan adquirido a través de los servicios básicos de plataforma prestados por el guardián de acceso o a través de otros canales. Esto debe aplicarse a la promoción de ofertas, también a través de una aplicación informática del usuario profesional, y a cualquier forma de comunicación y celebración de contratos entre usuarios profesionales y usuarios finales. Se considera que un usuario final es un usuario final adquirido si ya ha entablado una relación comercial con el usuario profesional y, en su caso, el guardián de acceso ha sido remunerado directa o indirectamente por el usuario profesional por haber facilitado la adquisición inicial del usuario final por el usuario profesional. Esas relaciones comerciales pueden implicar un pago o tener carácter gratuito (como las pruebas gratuitas o los niveles de servicio gratuitos) y pueden haberse establecido en el servicio básico de plataforma del guardián de acceso o a través de cualquier otro canal. Por otra parte, los usuarios finales también deben ser libres de elegir ofertas de esos usuarios profesionales y de celebrar contratos con ellos a través de los servicios básicos de plataforma del guardián de acceso, en su caso, o de un canal de distribución directa del usuario profesional u otro canal indirecto que dicho usuario profesional utilice.

(41) No debe menoscabarse ni restringirse la capacidad de los usuarios finales para adquirir contenidos, suscripciones, prestaciones u otros elementos fuera de los servicios básicos de plataforma de los guardianes de acceso. En particular, debe evitarse una situación en la que los guardianes de acceso restrinjan a los usuarios finales el acceso y el uso de tales servicios a través de una aplicación informática que se ejecute en su servicio básico de plataforma. Por ejemplo, no se debe impedir que los suscriptores a contenidos en línea adquiridos fuera de una aplicación informática, una tienda de aplicaciones informáticas o un asistente virtual accedan a dichos contenidos en línea mediante una aplicación informática que se ejecute en el servicio básico de plataforma del guardián de acceso simplemente porque los contenidos se adquirieron al margen de dicha aplicación, dicha tienda de aplicaciones o dicho asistente virtual.

(42) Para salvaguardar un entorno comercial equitativo y proteger la disputabilidad del sector digital, es importante salvaguardar el derecho de los usuarios profesionales y de los usuarios finales, incluidos los denunciantes de irregularidades, a expresar su preocupación ante cualquier autoridad administrativa o pública pertinente, incluidos los órganos jurisdiccionales nacionales, sobre las prácticas desleales de los guardianes de acceso que planteen un problema de incumplimiento del Derecho de la Unión o nacional aplicable. Por ejemplo, es posible que los usuarios profesionales o los usuarios finales quieran quejarse de diferentes tipos de prácticas desleales, como condiciones de acceso discriminatorias, el cierre injustificado de cuentas de usuarios profesionales o motivos poco claros para descatalogar productos. Por lo tanto, debe prohibirse cualquier práctica que impida o dificulte de cualquier manera que dichos usuarios expresen su preocupación o soliciten ser resarcidos, por ejemplo, mediante cláusulas de confidencialidad en acuerdos u otras condiciones establecidas por escrito. Esta prohibición debe entenderse sin perjuicio del derecho de los usuarios profesionales y los guardianes de acceso a establecer las condiciones de uso en sus acuerdos, incluidos el recurso a mecanismos legales para la tramitación de reclamaciones y todo recurso a mecanismos alternativos de resolución de litigios o a la jurisdicción de órganos jurisdiccionales especiales de conformidad con el Derecho de la Unión y el Derecho nacional respectivo. Esto debe entenderse sin perjuicio del papel que desempeñan los guardianes de acceso en la lucha contra los contenidos ilícitos en línea.

(43) Algunos de los servicios prestados junto con los servicios básicos de plataforma pertinentes del guardián de acceso, o en apoyo de tales servicios básicos, como los servicios de identificación, los motores de navegación web, los servicios de pago o los servicios técnicos que apoyan la prestación de servicios de pago, como los sistemas de pago para realizar compras integradas en una aplicación, son cruciales para que los usuarios profesionales puedan ejercer su actividad profesional, y les permiten optimizar sus servicios. Por ejemplo, todos los navegadores web se basan en un motor de navegación web, del que dependen elementos esenciales de la funcionalidad del navegador, como la velocidad, la fiabilidad y la compatibilidad web. Cuando los guardianes de acceso gestionan e imponen motores de navegación web, están en posición de determinar la funcionalidad y las normas aplicables no solo a sus propios navegadores web, sino también a los navegadores web de la competencia y, a su vez, a las aplicaciones web. Por ese motivo, los guardianes de acceso no deben utilizar su posición para exigir a sus usuarios profesionales dependientes que utilicen alguno de los servicios prestados junto con los servicios básicos de plataforma, o en apoyo de tales servicios, por los propios guardianes de acceso como parte de la prestación de servicios o suministro de productos por parte de esos usuarios profesionales. Para evitar una situación en la que los guardianes de acceso impongan indirectamente a los usuarios profesionales sus propios servicios prestados junto con los servicios básicos de plataforma, o en apoyo de tales servicios, se debe prohibir además a los guardianes de acceso exigir a los usuarios finales la utilización de tales servicios, cuando tal exigencia se imponga en el contexto del servicio prestado a los usuarios finales por el usuario profesional que utilice el servicio básico de plataforma del guardián de acceso. La finalidad de esta prohibición es proteger la libertad del usuario profesional de escoger servicios alternativos a los prestados por el guardián de acceso, si bien no debe interpretarse como una obligación del usuario profesional de ofrecer tales alternativas a sus usuarios finales.

(44) El hecho de exigir a los usuarios profesionales o a los usuarios finales que se suscriban o se registren en cualquier otro servicio básico de plataforma del guardián de acceso enumerado en la decisión de designación o que alcancen los umbrales de usuarios finales activos y de usuarios profesionales establecidos en el presente Reglamento, como condición para utilizar un servicio básico de plataforma, acceder a dicho servicio o inscribirse o registrarse en él, proporciona a los guardianes de acceso un medio para captar y retener a nuevos usuarios profesionales y usuarios finales para sus servicios básicos de plataforma, al garantizar que los usuarios profesionales no puedan acceder a un servicio básico de plataforma sin al menos registrarse o crear una cuenta con el fin de recibir un segundo servicio básico de plataforma. Esta conducta también proporciona a los guardianes de acceso una ventaja potencial en términos de acumulación de datos. Como tal, dicha conducta puede crear obstáculos a la entrada en el mercado y debe prohibirse.

(45) Las condiciones en las que los guardianes de acceso prestan servicios de publicidad en línea a los usuarios profesionales, lo que incluye tanto a los anunciantes como a los editores, son a menudo poco transparentes y opacas. Esta opacidad está en parte vinculada a las prácticas de unas pocas plataformas, pero también se debe a la gran complejidad de la publicidad programática de nuestros días. Se considera que el sector se ha vuelto menos transparente después de la introducción de la nueva legislación sobre privacidad. Esto a menudo conduce a una falta de información y conocimiento por parte de los anunciantes y los editores sobre las condiciones de los servicios de publicidad en línea que contratan y menoscaba su capacidad para cambiar de empresa prestadora de servicios de publicidad en línea. Además, es probable que los costes de los servicios de publicidad en línea en estas condiciones sean más altos de lo que serían en un entorno de plataforma más equitativo, transparente y disputable. Es probable que estos costes más altos se reflejen en los precios que los usuarios finales pagan por muchos productos y servicios diarios que dependen del uso de servicios de publicidad en línea. Por lo tanto, mediante obligaciones de transparencia se debe exigir a los guardianes de acceso que, cuando así se les solicite, proporcionen a los anunciantes y los editores a los que presten servicios de publicidad en línea información gratuita que permita a ambas partes entender el precio pagado por cada uno de los diferentes servicios de publicidad en línea prestados en el marco de la correspondiente cadena de valor publicitaria.

Esta información debe facilitarse al anunciante, previa solicitud, por cada anuncio, en relación con el precio y las comisiones cobradas a dicho anunciante y, previo consentimiento del editor que tenga la propiedad del inventario en el que aparezca el anuncio, la remuneración recibida por dicho editor que ha prestado su consentimiento. El suministro diario de esta información va a permitir a los anunciantes recibir información con un nivel de detalle suficiente para comparar el coste de utilizar los servicios de publicidad en línea de los guardianes de acceso con el coste de utilizar los servicios de publicidad en línea de otras empresas. En caso de que algunos editores no presten su consentimiento al suministro de la información pertinente al anunciante, el guardián de acceso debe facilitar al anunciante la información relativa a la remuneración media diaria que reciben dichos editores por los anuncios correspondientes. Se deben aplicar las mismas obligaciones y los mismos principios de suministro de la información pertinente relativa a la prestación de servicios de publicidad en línea a las solicitudes de los editores. Dado que los guardianes de acceso pueden utilizar diferentes modelos de precios para la prestación de servicios de publicidad en línea a anunciantes y editores —pueden fijar, por ejemplo, un precio por impresión o por visualización, o sobre la base de cualquier otro criterio—, los guardianes de acceso también deben proporcionar el método con el que se calculan cada uno de los precios y retribuciones.

(46) En determinadas circunstancias, el guardián de acceso tiene una doble función: por una parte es una empresa prestadora de servicios básicos de plataforma que presta a sus usuarios profesionales un servicio básico de plataforma y posiblemente otros servicios prestados junto con los servicios básicos de plataforma, o en apoyo de tales servicios; por otra parte, compite o procura competir con esos mismos usuarios profesionales en el prestación o suministro a los mismos usuarios finales de servicios o productos iguales o similares. En estas circunstancias, un guardián de acceso puede aprovechar su doble función para utilizar los datos generados o suministrados por sus usuarios profesionales en el marco de las actividades que dichos usuarios profesionales desarrollan cuando utilizan los servicios básicos de plataforma, o los servicios prestados junto con los servicios básicos de plataforma o en apoyo de tales servicios, en beneficio de sus propios servicios o productos. Los datos de los usuarios profesionales también pueden incluir los datos generados o suministrados en el transcurso de las actividades de sus usuarios finales. Este caso puede darse, por ejemplo, cuando un guardián de acceso ofrezca un mercado en línea o una tienda de aplicaciones informáticas a usuarios profesionales y, al mismo tiempo, preste servicios como empresa prestadora de servicios minoristas en línea o de aplicaciones informáticas. Para evitar que los guardianes de acceso se beneficien injustamente de su doble función, es necesario garantizar que no utilicen datos agregados o desagregados de ningún tipo, los cuales pueden incluir datos anonimizados y personales que no sean públicos, para prestar servicios similares a los de sus usuarios profesionales. Esta obligación debe aplicarse al guardián de acceso en su conjunto, que incluye, aunque no exclusivamente, a su unidad de negocio que compite con los usuarios profesionales de un servicio básico de plataforma.

(47) Los usuarios profesionales también pueden contratar servicios de publicidad en línea de una empresa prestadora de servicios básicos de plataforma con el fin de suministrar productos y prestar servicios a los usuarios finales. En este caso, puede ocurrir que los datos no se generen en el servicio básico de plataforma, sino que proporcionen al servicio básico de plataforma por el usuario profesional o se generen a partir de sus operaciones a través del servicio básico de plataforma correspondiente. En algunos casos, el servicio básico de plataforma que proporciona publicidad puede tener una doble función: la de empresa proveedora de servicios de publicidad en línea y la de empresa prestadora de servicios que compiten con los de sus usuarios profesionales. Por consiguiente, la obligación por la que se prohíbe a un guardián de acceso de doble función la utilización de los datos de usuarios profesionales debe aplicarse también con respecto a los datos que un servicio básico de plataforma haya recibido de las empresas con el fin de prestar servicios de publicidad en línea relacionados con ese servicio básico de plataforma.

(48) En cuanto a los servicios de computación en nube, la obligación de no utilizar los datos de usuarios profesionales debe extenderse a los datos proporcionados o generados por los usuarios profesionales del guardián de acceso cuando utilizan el servicio de computación en nube del guardián de acceso, o a través de su tienda de aplicaciones informáticas que permite a los usuarios finales de los servicios de computación en nube acceder a aplicaciones informáticas. Esa obligación no debe afectar al derecho del guardián de acceso a utilizar datos agregados para la prestación de otros servicios prestados conjuntamente con sus servicios básicos de plataforma o en apoyo de tales servicios, como los servicios de análisis de datos, siempre que se cumpla lo dispuesto en el Reglamento (UE) 2016/679 y la Directiva 2002/58/CE y se respeten las obligaciones correspondientes del presente Reglamento relativas a dichos servicios.

(49) Un guardián de acceso puede utilizar diferentes medios para favorecer sus propios servicios o productos o los de un tercero en su sistema operativo, asistente virtual o navegador web, en detrimento de los mismos servicios o de servicios similares que los usuarios finales podrían obtener a través de otros terceros. Ello puede ocurrir, por ejemplo, cuando los guardianes de acceso preinstalan determinadas aplicaciones informáticas o servicios. Para que el usuario final pueda elegir, los guardianes de acceso no deben impedir que los usuarios finales desinstalen cualquier aplicación informática de su sistema operativo. Los guardianes de acceso deben poder restringir dicha desinstalación únicamente cuando las aplicaciones de que se trate sean esenciales para el funcionamiento del sistema operativo o del dispositivo. Asimismo, los guardianes de acceso deben permitir que los usuarios finales cambien fácilmente la configuración por defecto del sistema operativo, asistente virtual o navegador web cuando dicha configuración por defecto favorezca sus propias aplicaciones informáticas y servicios. Para ello pueden, por ejemplo, hacer que aparezca una pantalla de elección en el momento en que el usuario utilice por primera vez un motor de búsqueda en línea, un asistente virtual o un navegador web del guardián de acceso enumerado en la decisión de designación, que permita a los usuarios finales seleccionar un servicio por defecto alternativo cuando el sistema operativo del guardián de acceso dirija a los usuarios finales al motor de búsqueda, el asistente virtual o el navegador web mencionados, o cuando el asistente virtual o el navegador web del guardián de acceso dirijan al usuario al motor de búsqueda en línea enumerado en la decisión de designación.

(50) Las reglas que un guardián de acceso establezca para la distribución de aplicaciones informáticas pueden, en determinadas circunstancias, restringir la capacidad de los usuarios finales para instalar y utilizar de forma efectiva aplicaciones informáticas o tiendas de aplicaciones informáticas de terceros en los sistemas operativos o el hardware de dicho guardián de acceso y restringir la capacidad de los usuarios finales de acceder a dichas aplicaciones informáticas o tiendas de aplicaciones informáticas fuera de los servicios básicos de plataforma de dicho guardián de acceso. Estas restricciones pueden limitar la capacidad de los desarrolladores de aplicaciones informáticas para utilizar canales de distribución alternativos y la capacidad de los usuarios finales para elegir entre diferentes aplicaciones informáticas de diferentes canales de distribución y deben prohibirse puesto que son injustas y pueden debilitar la disputabilidad de los servicios básicos de plataforma. Para garantizar la disputabilidad, el guardián de acceso debe, además, permitir que las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros inciten al usuario final a decidir si dicho servicio debe convertirse en el servicio por defecto, y permitir que el cambio se efectúe con facilidad.

Para garantizar que las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros no pongan en peligro la integridad del hardware o el sistema operativo proporcionado por el guardián de acceso, el guardián de acceso afectado debe poder aplicar con este fin medidas técnicas o contractuales proporcionadas si demuestra que tales medidas son necesarias y están justificadas y que no hay medios menos restrictivos para salvaguardar la integridad del hardware o del sistema operativo. La integridad del hardware o del sistema operativo debe incluir todas las opciones de diseño que sea necesario aplicar y mantener para que el hardware o el sistema operativo estén protegidos contra el acceso no autorizado, garantizando que no se puedan comprometer los controles de seguridad especificados para el hardware o el sistema operativo de que se trate. Además, a fin de garantizar que las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros no menoscaben la seguridad de los usuarios finales, el guardián de acceso debe poder aplicar medidas y ajustes estrictamente necesarios y proporcionados que no formen parte de la configuración por defecto y que permitan a los usuarios finales proteger eficazmente la seguridad en relación con las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros, siempre que el guardián de acceso demuestre que dichas medidas y ajustes son estrictamente necesarios y están justificados y que no existen alternativas menos restrictivas para alcanzar ese objetivo. Debe impedirse al guardián de acceso incluir tales medidas en la configuración por defecto o preinstalarlas.

(51) Los guardianes de acceso a menudo están integrados verticalmente y ofrecen determinados productos o servicios a los usuarios finales a través de sus propios servicios básicos de plataforma, o a través de un usuario profesional sobre el que ejercen control, lo que con frecuencia conduce a conflictos de intereses. Es el caso que se da cuando un guardián de acceso presta sus propios servicios de intermediación en línea a través de un motor de búsqueda en línea. Al ofrecer esos productos o servicios en el servicio básico de plataforma, los guardianes de acceso pueden reservar una posición mejor a su propia oferta, por lo que respecta a la clasificación y a las funciones relacionadas de indexado y rastreo, que a los productos o servicios de terceros que también operan en ese servicio básico de plataforma. Esto puede ocurrir, por ejemplo, con productos o servicios, incluidos otros servicios básicos de plataforma, que se clasifican en los resultados de los motores de búsqueda en línea, o que están parcial o totalmente integrados en los resultados de los motores de búsqueda en línea, grupos de resultados especializados en un tema determinado, mostrados junto con los resultados de un motor de búsqueda en línea, que son considerados o utilizados por determinados usuarios finales como un servicio distinto o adicional al motor de búsqueda en línea.

Otros ejemplos son las aplicaciones informáticas distribuidas a través de tiendas de aplicaciones informáticas, los vídeos distribuidos a través de plataformas de intercambio de vídeos, los productos o servicios resaltados y mostrados en la sección de noticias de un servicio de red social en línea, los productos o servicios clasificados en los resultados de búsqueda o mostrados en un mercado en línea, o los productos o servicios ofrecidos a través de un asistente virtual. Los guardianes de acceso pueden reservar una posición mejor a su propia oferta incluso antes de la clasificación que sigue a una búsqueda, por ejemplo, durante el rastreo y el indexado. Así, los guardianes de acceso pueden favorecer sus propios contenidos frente a los de terceros ya en la fase de rastreo, que es el proceso por el que se descubren contenidos nuevos y actualizados, y durante el indexado, que consiste en almacenar y organizar los contenidos encontrados durante el proceso de rastreo. En estos casos, los guardianes de acceso tienen una doble función de intermediarios para empresas terceras y de empresas que suministran o prestan directamente productos o servicios. En consecuencia, dichos guardianes de acceso tienen la capacidad de menoscabar directamente la disputabilidad respecto de esos productos o servicios ofrecidos en esos servicios básicos de plataforma, en detrimento de los usuarios profesionales que no controlan los guardianes de acceso.

(52) En tales situaciones, los guardianes de acceso no deben conceder un trato diferenciado o preferente de ningún tipo, por lo que respecta a la clasificación en el servicio básico de plataforma y a las funciones relacionadas de indexado y rastreo, ya sea a través de medios jurídicos, comerciales o técnicos, a los productos o servicios que ofrecen directamente o a través de usuarios profesionales bajo su control. Para garantizar que esta obligación sea efectiva, las condiciones que se aplican a dicha clasificación también deben ser, en general, justas y transparentes. En este sentido, la clasificación debe comprender todas las formas de prominencia relativa, entre las que se incluyen la visualización, la valoración, la generación de enlaces o los resultados de voz, y debe incluir también los casos en los que un servicio básico de plataforma presenta o comunica al usuario final un solo resultado. Para garantizar que esta obligación sea efectiva y no pueda eludirse, debe aplicarse también a cualquier medida que tenga un efecto equivalente al del trato diferenciado o preferente en la clasificación. Las orientaciones adoptadas de conformidad con el artículo 5 del Reglamento (UE) 2019/1150 también deben facilitar la aplicación y el control del cumplimiento de esta obligación.

(53) Los guardianes de acceso no deben restringir ni impedir la libre elección de los usuarios finales impidiendo técnicamente, o de otra manera, que puedan cambiar de aplicaciones informáticas y servicios o suscribirse a distintas aplicaciones informáticas y servicios. De este modo se permite que más empresas ofrezcan sus servicios, lo que, en última instancia, ofrece a los usuarios finales una mayor variedad de opciones. Los guardianes de acceso deben garantizar la libre elección independientemente de si son el fabricante de cualquier hardware mediante el cual se acceda a dichas aplicaciones informáticas o servicios y no deben crear obstáculos artificiales, técnicos o de otro tipo, para hacer que sea imposible o ineficaz cambiar. La mera oferta de un producto o servicio determinado a los consumidores, incluso mediante una preinstalación, así como la mejora de lo que se ofrece a los usuarios finales, como descuentos en los precios o una mayor calidad, no debe interpretarse como un obstáculo prohibido para el cambio.

(54) Los guardianes de acceso pueden mermar la capacidad de los usuarios finales de acceder a contenidos y servicios en línea, incluidas las aplicaciones informáticas. Por lo tanto, deben establecerse normas para garantizar que la conducta de los guardianes de acceso no compromete el derecho de los usuarios finales a acceder a un internet abierto. Los guardianes de acceso también pueden limitar técnicamente la capacidad de los usuarios finales para hacer efectivo el cambio de una empresa prestadora de servicios de acceso a internet a otra, en particular mediante el control que ejercen sobre el hardware o los sistemas operativos. Esto distorsiona las condiciones de competencia equitativa para los servicios de acceso a internet y, en última instancia, perjudica a los usuarios finales. Por lo tanto, debe garantizarse que los guardianes de acceso no impongan restricciones indebidas a los usuarios finales por lo que respecta a la elección de la empresa prestadora de servicios de acceso a internet.

(55) Los guardianes de acceso pueden prestar servicios o suministrar hardware, como dispositivos portátiles, que accedan a las funciones del hardware o el software de un dispositivo al que se accede o que se controla a través de un sistema operativo o un asistente virtual con el fin de ofrecer funcionalidades específicas a los usuarios finales. En tal caso, para poder ofrecer una oferta competitiva a los usuarios finales, los prestadores de servicios o suministradores de hardware de la competencia, como los suministradores de dispositivos portátiles, necesitan una interoperabilidad igualmente eficaz con las mismas funciones de hardware o de software, y acceso a dichas funciones a efectos de interoperabilidad.

(56) Los guardianes de acceso también pueden tener una doble función como desarrolladores de sistemas operativos y fabricantes de dispositivos, en particular de cualquier funcionalidad técnica que dichos dispositivos puedan tener. Por ejemplo, un guardián de acceso que sea fabricante de un dispositivo puede restringir el acceso a algunas de las funcionalidades de ese dispositivo, como los elementos de seguridad y los procesadores seguros de la tecnología de comunicación de campo próximo, los mecanismos de autenticación y el software utilizado para hacer funcionar esas tecnologías, que puede ser necesario para hacer efectiva la prestación de un servicio prestado junto con un servicio básico de plataforma o en apoyo de un servicio básico de plataforma por parte del guardián de acceso o de cualquier posible empresa tercera que preste dicho servicio.

(57) Si esa dualidad de funciones se utiliza de una manera que impida que otros prestadores de servicios o suministradores de hardware tengan acceso, en igualdad de condiciones, a las mismas funciones del sistema operativo, del hardware o del software a las que puede acceder o que utiliza el guardián de acceso cuando presta sus propios servicios o suministra su propio hardware complementarios o de apoyo, podría menoscabarse considerablemente la capacidad de innovación de esos otros prestadores o suministradores, así como la variedad de opciones para los usuarios finales. Por lo tanto, debe obligarse a los guardianes de acceso a garantizar, de forma gratuita, la interoperabilidad efectiva con las mismas funciones del sistema operativo, del hardware o del software a las que puede acceder o que utiliza el guardián de acceso cuando presta sus propios servicios o suministra su propio hardware complementarios y de apoyo, así como el acceso a dichas funciones a efectos de interoperabilidad. También pueden necesitar tal acceso las aplicaciones informáticas relacionadas con los servicios pertinentes prestados junto con los servicios básicos de plataforma, o en apoyo de tales servicios, a fin de desarrollar y ofrecer, de forma efectiva, funcionalidades que sean interoperables con las ofrecidas por los guardianes de acceso. El objetivo de esta obligación es permitir que las empresas competidoras se conecten a través de interfaces o soluciones similares a las funciones correspondientes con la misma eficacia que los servicios o el hardware del guardián de acceso.

(58) Las condiciones en las que los guardianes de acceso prestan servicios de publicidad en línea a los usuarios profesionales, entre los que se incluyen tanto los anunciantes como los editores, son a menudo poco transparentes y opacas. Esto conduce con frecuencia a una falta de información para los anunciantes y los editores sobre el efecto de un anuncio determinado. Para seguir aumentando la equidad, la transparencia y la disputabilidad de los servicios de publicidad en línea enumerados en la decisión de designación, así como de los que están plenamente integrados en otros servicios básicos de plataforma de la misma empresa, los guardianes de acceso deben proporcionar, cuando se les solicite, a los anunciantes y los editores, y a los terceros autorizados por los anunciantes y los editores, acceso gratuito a los instrumentos de medición del rendimiento de los guardianes de acceso y a los datos —incluidos los datos agregados y desagregados— necesarios para que los anunciantes, los terceros autorizados, como las agencias de publicidad que actúan en nombre de una empresa anunciante, y los editores puedan llevar a cabo su propia verificación independiente de la prestación de los servicios de publicidad en línea correspondientes.

(59) Los guardianes de acceso se benefician del acceso a grandes cantidades de datos que recopilan cuando prestan servicios básicos de plataforma, así como otros servicios digitales. Para garantizar que los guardianes de acceso no menoscaben la disputabilidad de los servicios básicos de plataforma o el potencial de innovación del un sector digital caracterizado por su dinamismo imponiendo restricciones al cambio de servicio o a la multiconexión, debe concederse a los usuarios finales, así como a los terceros autorizados por un usuario final, acceso efectivo e inmediato a los datos que hayan proporcionado o generado a través de su actividad en los correspondientes servicios básicos de plataforma del guardián de acceso. Los datos deben recibirse en un formato que permita al usuario final o al tercero pertinente autorizado por el usuario final que reciba los datos acceder a ellos y utilizarlos de forma inmediata y efectiva. Los guardianes de acceso también deben garantizar mediante medidas técnicas adecuadas y de calidad, como interfaces de programación de aplicaciones, que los usuarios finales o los terceros autorizados por los usuarios finales puedan portar libremente los datos de forma continua y en tiempo real. Esto debe aplicarse también a todos los demás datos en diferentes niveles de agregación que sean necesarios para permitir efectivamente dicha portabilidad. A título aclaratorio, la obligación del guardián de acceso de garantizar la portabilidad efectiva de los datos con arreglo al presente Reglamento es complementaria al derecho a la portabilidad de los datos establecido en el Reglamento (UE) 2016/679. La facilitación del cambio o la multiconexión debe, a su vez, dar lugar a una mayor variedad de opciones para los usuarios finales, y servir de incentivo para que los guardianes de acceso y los usuarios profesionales innoven.

(60) Los usuarios profesionales que utilizan servicios básicos de plataforma prestados por guardianes de acceso y los usuarios finales de dichos usuarios profesionales proporcionan y generan una gran cantidad de datos. A fin de garantizar que los usuarios profesionales tengan acceso a los datos pertinentes generados de esa forma, los guardianes de acceso deben, a solicitud de estos, proporcionar un acceso efectivo y gratuito a esos datos. También debe concederse este acceso a los terceros contratados por los usuarios profesionales que actúen como encargados del tratamiento de esos datos para los usuarios profesionales. El acceso debe incluir el acceso a los datos proporcionados o generados por los mismos usuarios profesionales y los mismos usuarios finales de esos usuarios profesionales en el marco de otros servicios prestados por el mismo guardián de acceso, incluidos los servicios prestados junto con los servicios básicos de plataforma o en apoyo de tales servicios, si están indisolublemente ligados a la correspondiente solicitud. Con este fin, los guardianes de acceso no deben utilizar ninguna restricción contractual o de otro tipo para impedir que los usuarios profesionales accedan a los datos pertinentes y deben permitir a los usuarios profesionales obtener el consentimiento de sus usuarios finales para acceder a los datos y obtenerlos, cuando dicho consentimiento sea necesario en virtud del Reglamento (UE) 2016/679 y la Directiva 2002/58/CE. Los guardianes de acceso también deben garantizar un acceso continuo y en tiempo real a dichos datos mediante medidas técnicas adecuadas, por ejemplo, interfaces de programación de aplicaciones de alta calidad o herramientas integradas para los usuarios profesionales con un pequeño volumen de datos.

(61) El valor de los motores de búsqueda en línea para sus respectivos usuarios profesionales y usuarios finales aumenta a medida que aumenta el número total de tales usuarios. Las empresas proveedoras de motores de búsqueda en línea recopilan y almacenan conjuntos de datos agregados que contienen información sobre las búsquedas de los usuarios y sobre cómo interactuaron con los resultados que se les proporcionaron. Las empresas proveedoras de motores de búsqueda en línea recopilan estos datos a partir de búsquedas realizadas en su propio motor de búsqueda en línea y, en su caso, de búsquedas realizadas en las plataformas de sus socios comerciales situados en un eslabón posterior de la cadena de valor. El acceso de los guardianes de acceso a tales datos sobre clasificaciones, consultas, clics y visualizaciones constituye un obstáculo importante a la entrada y la expansión en el mercado, lo que menoscaba la disputabilidad de los motores de búsqueda en línea. Por lo tanto, se debe exigir a los guardianes de acceso que proporcionen acceso, en términos justos, razonables y no discriminatorios, a dichos datos sobre clasificaciones, consultas, clics y visualizaciones en relación con las búsquedas gratuitas y de pago realizadas por los consumidores en los motores de búsqueda en línea a otras empresas prestadoras de dichos servicios, para que estas empresas terceras puedan optimizar sus servicios y disputar los correspondientes servicios básicos de plataforma. También debe concederse este acceso a los terceros contratados por los proveedores de un motor de búsqueda en línea que actúen como encargados del tratamiento de esos datos para dichos motores de búsqueda en línea. Al facilitar el acceso a sus datos de búsqueda, los guardianes de acceso deben garantizar la protección de los datos personales de los usuarios finales, en particular frente a posibles riesgos de reidentificación, por los medios adecuados, como, por ejemplo, la anonimización de dichos datos personales, sin degradar sustancialmente la calidad o la utilidad de los datos. Los datos pertinentes se anonimizan si los datos personales se alteran de manera irreversible de tal modo que la información no guarde relación con una persona física identificada o identificable o en casos en que los datos personales se anonimicen de tal modo que el interesado no sea identificable o deje de serlo.

(62) Por lo que respecta a las tiendas de aplicaciones informáticas, los motores de búsqueda en línea y los servicios de redes sociales en línea que se enumeran en la decisión de designación, los guardianes de acceso deben publicar y aplicar unas condiciones generales de acceso que sean justas, razonables y no discriminatorias. Tales condiciones generales deben prever un mecanismo alternativo de resolución de litigios situado en la Unión que sea fácilmente accesible, imparcial, independiente y gratuito para los usuarios profesionales, sin perjuicio de los costes que tengan que asumir los usuarios profesionales y de las medidas proporcionadas destinadas a evitar el abuso del mecanismo de resolución de controversias por parte de los usuarios profesionales. El mecanismo de resolución de litigios debe entenderse sin perjuicio del derecho de los usuarios profesionales a solicitar una compensación ante las autoridades judiciales de conformidad con el Derecho de la Unión y nacional. En particular, los guardianes de acceso que proporcionan acceso a las tiendas de aplicaciones informáticas son una puerta de acceso importante para los usuarios profesionales que buscan llegar a los usuarios finales. En vista del desequilibrio en el poder de negociación entre esos guardianes de acceso y los usuarios profesionales de sus tiendas de aplicaciones informáticas, no se debe permitir que esos guardianes de acceso impongan condiciones generales, incluidas las de fijación de precios, que sean injustas o den lugar a una diferenciación injustificada.

La fijación de precios u otras condiciones generales de acceso deben considerarse injustas si conducen a un desequilibrio entre los derechos de los usuarios profesionales y las obligaciones que se les imponen, confieren a los guardianes de acceso una ventaja desproporcionada en relación con el servicio que prestan a los usuarios profesionales o suponen una desventaja para los usuarios profesionales que prestan servicios idénticos o similares a los que ofrecen los guardianes de acceso. Los siguientes puntos de referencia pueden servir como criterio para determinar la equidad de las condiciones generales de acceso: los precios cobrados o las condiciones impuestas por otros proveedores de tiendas de aplicaciones informáticas por servicios idénticos o similares; los precios cobrados o las condiciones impuestas por el proveedor de la tienda de aplicaciones informáticas por servicios similares o relacionados diferentes o a diferentes tipos de usuarios finales; los precios cobrados o las condiciones impuestas por el proveedor de la tienda de aplicaciones informáticas por el mismo servicio en diferentes regiones geográficas; los precios cobrados o las condiciones impuestas por el proveedor de la tienda de aplicaciones informáticas por el mismo servicio que el guardián de acceso se presta a sí mismo. Esta obligación no debe establecer un derecho de acceso y debe entenderse sin perjuicio de la capacidad de los proveedores de las tiendas de aplicaciones informáticas, motores de búsqueda en línea y servicios de redes sociales en línea para asumir la responsabilidad requerida en la lucha contra los contenidos ilegales y no deseados, tal como se establezca en un reglamento relativo a un mercado único de servicios digitales.

(63) Los guardianes de acceso pueden obstaculizar la capacidad de los usuarios profesionales y de los usuarios finales para darse de baja de un servicio básico de plataforma al que se hayan suscrito anteriormente. Por consiguiente, se deben establecer normas para evitar una situación en la que los guardianes de acceso menoscaben los derechos de los usuarios profesionales y de los usuarios finales de elegir libremente el servicio básico de plataforma que utilizan. Con objeto de salvaguardar la libre elección de los usuarios profesionales y los usuarios finales, no se debe permitir a los guardianes de acceso que dificulten o compliquen innecesariamente a los usuarios profesionales o a los usuarios finales su baja de un servicio básico de plataforma. Cerrar una cuenta o darse de baja de un servicio no debe ser más complicado que crear una cuenta o suscribirse a ese mismo servicio. Los guardianes de acceso no deben exigir comisiones adicionales cuando se ponga fin a los contratos con sus usuarios finales o sus usuarios profesionales. Los guardianes de acceso deben velar por que las condiciones para la resolución de los contratos sean siempre proporcionadas y que los usuarios finales las pueden aplicar sin dificultades indebidas, por ejemplo, en relación con las razones para la resolución, el período de preaviso o la forma de dicha resolución, sin perjuicio de la legislación nacional aplicable de conformidad con el Derecho de la Unión que establece derechos y obligaciones en relación con las condiciones para la resolución de la prestación de servicios básicos de plataforma por parte de los usuarios finales.

(64) La falta de interoperabilidad permite a los guardianes de acceso que prestan servicios de comunicaciones electrónicas interpersonales independientes de la numeración beneficiarse de importantes efectos de red, lo que contribuye a debilitar la disputabilidad. Además, aunque los usuarios finales recurran a la multiconexión, los guardianes de acceso a menudo prestan servicios de comunicaciones electrónicas interpersonales independientes de la numeración en el marco de su ecosistema de plataforma, lo que obstaculiza aún más la entrada en el mercado de proveedores alternativos de esos servicios e incrementa los costes para los usuarios finales que quieran cambiar de proveedor. Por ello, sin perjuicio de lo dispuesto en la Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo (14) y, en particular, de las condiciones y procedimientos establecidos en su artículo 61, los guardianes de acceso deben garantizar a los proveedores terceros de servicios de comunicaciones interpersonales independientes de la numeración, de forma gratuita y previa solicitud, la interoperabilidad con determinadas funcionalidades básicas de tales servicios que ofrecen a sus propios usuarios finales.

Los guardianes de acceso deben garantizar la interoperabilidad a los proveedores terceros de servicios de comunicaciones interpersonales independientes de la numeración que prestan o pretenden prestar sus servicios de comunicaciones interpersonales independientes de la numeración a usuarios finales y usuarios profesionales en la Unión. Para facilitar la aplicación práctica de dicha interoperabilidad, se debe obligar al guardián de acceso de que se trate a publicar una oferta de referencia que establezca los detalles técnicos y las condiciones generales de interoperabilidad con sus servicios de comunicaciones interpersonales independientes de la numeración. La Comisión debe poder consultar, en su caso, al Organismo de Reguladores Europeos de las Comunicaciones Electrónicas con el fin de determinar si los detalles técnicos y las condiciones generales publicados en la oferta de referencia que el guardián de acceso ha aplicado o tiene intención de aplicar garantizan el cumplimiento de dicha obligación.

En todos los casos, el guardián de acceso y el proveedor que solicita la interoperabilidad deben garantizar que la interoperabilidad no menoscabe un elevado nivel de seguridad y de protección de datos, en consonancia con sus obligaciones en virtud del presente Reglamento y del Derecho de la Unión aplicable, en particular el Reglamento (UE) 2016/679 y la Directiva 2002/58/CE. La obligación relativa a la interoperabilidad debe entenderse sin perjuicio de la información y las opciones que deben ponerse a disposición de los usuarios finales de los servicios de comunicaciones interpersonales independientes de la numeración del guardián de acceso y del proveedor que solicita la interoperabilidad en virtud del presente Reglamento y de otros actos del Derecho de la Unión, en particular el Reglamento (UE) 2016/679.

(65) Para garantizar que las obligaciones establecidas en el presente Reglamento sean eficaces y se limiten a lo necesario para asegurar la disputabilidad y hacer frente a los efectos perjudiciales de las prácticas desleales de los guardianes de acceso, es importante definirlas y circunscribirlas de manera clara para que los guardianes de acceso puedan cumplirlas íntegramente, con pleno respeto del Derecho aplicable y, en particular, del Reglamento (UE) 2016/679 y la Directiva 2002/58/CE, así como de la legislación en materia de protección de los consumidores, ciberseguridad, seguridad de los productos y requisitos de accesibilidad, incluidas la Directiva (UE) 2019/882 y la Directiva (UE) 2016/2102 del Parlamento Europeo y del Consejo (15). Los guardianes de acceso deben garantizar el cumplimiento del presente Reglamento desde su diseño. Por lo tanto, se deben integrar en la mayor medida posible las medidas necesarias en el diseño tecnológico utilizado por los guardianes de acceso.

En algunos casos puede ser conveniente que la Comisión, tras dialogar con el guardián de acceso correspondiente y permitir a terceros que hagan observaciones, especifique de forma más detallada algunas de las medidas que dicho guardián de acceso debe adoptar para cumplir eficazmente aquellas obligaciones que puedan ser especificadas con mayor detalle o, en caso de elusión, todas las obligaciones. En concreto, esta especificación más detallada debe ser posible cuando la ejecución de una obligación que pueda ser especificada con mayor detalle se pueda ver afectada por variaciones de los servicios dentro de una única categoría de servicios básicos de plataforma. Para ello, el guardián de acceso debe tener la posibilidad de solicitar a la Comisión que inicie un proceso por el que esta pueda especificar con mayor detalle algunas de las medidas que dicho guardián de acceso debe adoptar para cumplir eficazmente con dichas obligaciones.

La Comisión debe poder decidir, a su discreción, si ofrecer dicha especificación más detallada y en qué momento, respetando los principios de igualdad de trato, proporcionalidad y buena administración. En este sentido, la Comisión debe exponer las principales razones en las que se basa su valoración, incluidas las prioridades que haya establecido en materia de ejecución. Este proceso no se debe usar para menoscabar la eficacia del presente Reglamento. Además, el proceso se entiende sin perjuicio de las competencias de la Comisión para adoptar una decisión por la que se declare el incumplimiento por parte de un guardián del acceso de las obligaciones establecidas en el presente Reglamento, lo que incluye la posibilidad de imponer multas sancionadoras o multas coercitivas. La Comisión debe poder reabrir un procedimiento, en particular cuando las medidas especificadas no resulten eficaces. Cuando se reabra un procedimiento debido a una especificación ineficaz adoptada mediante una decisión, la Comisión debe poder modificar la especificación de forma prospectiva. La Comisión también debe poder establecer un plazo razonable dentro del cual pueda reabrirse un procedimiento si las medidas especificadas no resultan eficaces.

(66) Como elemento adicional para garantizar la proporcionalidad, debe darse a los guardianes de acceso la oportunidad de solicitar la suspensión, en la medida necesaria, de una obligación específica en circunstancias excepcionales que escapen al control del guardián de acceso, como una perturbación externa imprevista que elimine temporalmente una parte importante de la demanda de los usuarios finales del servicio básico de plataforma de que se trate, cuando el guardián de acceso demuestre que el cumplimiento de una obligación específica pone en peligro la viabilidad económica de sus operaciones en la Unión. La Comisión debe determinar las circunstancias excepcionales que justifican la suspensión y revisarla de forma periódica para evaluar si todavía se reúnen las condiciones para su concesión.

(67) En circunstancias excepcionales, justificadas por razones limitadas de salud pública o seguridad pública establecidas en el Derecho de la Unión e interpretadas por el Tribunal de Justicia, la Comisión debe poder decidir que una determinada obligación no se aplica a un determinado servicio básico de plataforma. El hecho de que se perjudiquen dichos intereses públicos puede indicar que, en determinados casos excepcionales, el coste para el conjunto de la sociedad de hacer cumplir una determinada obligación es demasiado alto y, por lo tanto, desproporcionado. Cuando sea conveniente, la Comisión debe poder facilitar el cumplimiento determinando si se justifica la adopción de una suspensión o una exención limitada y debidamente motivada. Con ello se debería garantizar la proporcionalidad de las obligaciones establecidas en el presente Reglamento sin menoscabar los efectos ex ante previstos sobre la equidad y la disputabilidad. Cuando se conceda tal exención, la Comisión debe revisar su decisión cada año.

(68) Los guardianes de acceso deben comunicar a la Comisión en sus informes obligatorios, dentro del plazo para el cumplimiento de sus obligaciones en virtud del presente Reglamento, las medidas que han aplicado o tienen intención de aplicar para garantizar el cumplimiento efectivo de dichas obligaciones, en particular las medidas relativas al cumplimiento del Reglamento (UE) 2016/679, en la medida en que resulten pertinentes para el cumplimiento de las obligaciones establecidas en el presente Reglamento, lo que debe permitir a la Comisión ejercer sus funciones en virtud del presente Reglamento. Además, se debe poner a disposición del público un resumen claro, comprensible y no confidencial de dicha información, teniendo en cuenta el interés legítimo de los guardianes de acceso en la protección de sus secretos comerciales y demás información confidencial. Dicha publicación no confidencial debe permitir a terceros evaluar si los guardianes de acceso cumplen las obligaciones establecidas en el presente Reglamento. Este informe debe entenderse sin perjuicio de las medidas de ejecución que adopte la Comisión en cualquier momento posterior al informe. La Comisión debe publicar en línea un enlace al resumen no confidencial del informe, así como al resto de la información pública basada en las obligaciones de información en virtud del presente Reglamento, a fin de garantizar que dicha información esté accesible de manera completa y utilizable, en particular para las pequeñas y medianas empresas (en lo sucesivo, «pymes»).

(69) Las obligaciones de los guardianes de acceso solo deben actualizarse después de una investigación exhaustiva de la naturaleza y los efectos de prácticas específicas que se haya observado recientemente, tras una investigación exhaustiva, que son desleales o que limitan la disputabilidad del mismo modo que las prácticas desleales previstas en el presente Reglamento y que podrían quedar fuera del alcance del conjunto de obligaciones vigentes. La Comisión debe poder iniciar una investigación con el fin de determinar si sería necesario actualizar las obligaciones vigentes, ya sea por iniciativa propia o previa petición motivada de al menos tres Estados miembros. Al presentar tales solicitudes motivadas, los Estados miembros deben tener la posibilidad de incluir información sobre ofertas de productos, servicios, software o funcionalidades introducidas recientemente que susciten problemas de disputabilidad o de equidad, tanto si se aplican en el contexto de los servicios básicos de plataforma existentes como si no. Cuando, a raíz de una investigación de mercado, la Comisión considere necesario modificar elementos esenciales del presente Reglamento, como la inclusión de nuevas obligaciones que se aparten de las cuestiones de disputabilidad o equidad ya abordadas por el presente Reglamento, la Comisión debe presentar una propuesta de modificación del presente Reglamento.

(70) Dado el importante peso económico de los guardianes de acceso, es importante que las obligaciones se apliquen de forma efectiva y no se eluda su cumplimiento. A tal fin, las normas de que se trate deben aplicarse a cualquier práctica de los guardianes de acceso, independientemente de la forma que adopten o de si son prácticas contractuales, comerciales, técnicas o de cualquier otra índole, en la medida en que la práctica se corresponda con los tipos de prácticas que son objeto de alguna de las obligaciones establecidas en el presente Reglamento. Los guardianes de acceso no deben adoptar comportamientos que menoscaben la efectividad de las prohibiciones y obligaciones establecidas en el presente Reglamento. Tal comportamiento comprende el diseño utilizado por el guardián de acceso, la presentación de opciones a los usuarios finales de una manera que no sea neutra o la utilización de la estructura, la función o el modo de funcionamiento de una interfaz de usuario o de parte de ella para perturbar o perjudicar la autonomía, la toma de decisiones o la capacidad de elección de los usuarios. Además, no se debe permitir al guardián de acceso adoptar comportamientos que menoscaben la interoperabilidad exigida en virtud del presente Reglamento, por ejemplo, mediante la utilización de medidas de protección técnica injustificadas, condiciones de servicio discriminatorias, la invocación ilícita de derechos de autor en interfaces de programación de aplicaciones o el suministro de información engañosa. No se debe permitir a los guardianes de acceso evitar su designación segmentando, dividiendo, subdividiendo, fragmentando o separando artificialmente sus servicios básicos de plataforma para eludir la aplicación de los umbrales cuantitativos establecidos en el presente Reglamento.

(71) Para garantizar la revisión eficaz de la condición de guardián de acceso, así como la posibilidad de ajustar la lista de servicios básicos de plataforma prestados por un guardián de acceso, los guardianes de acceso deben informar a la Comisión, antes de efectuarlas, de todas sus adquisiciones previstas de otras empresas prestadoras de servicios básicos de plataforma o de cualesquiera otros servicios prestados en el sector digital o de otros servicios que posibiliten la recopilación de datos. Dicha información debe ser útil no solo para el proceso de revisión mencionado anteriormente, relativo a la condición de cada guardián de acceso, sino que también es crucial para el seguimiento de las tendencias más generales de disputabilidad en el sector digital y, por lo tanto, puede ser un factor útil que debe tenerse en cuenta en el marco de las investigaciones de mercado previstas en el presente Reglamento. Asimismo, la Comisión debe transmitir dicha información a los Estados miembros, dado que puede utilizarse a efectos del control nacional de las concentraciones y dado que, en determinadas circunstancias, la autoridad nacional competente puede remitir dichas adquisiciones a la Comisión para el control de las concentraciones. La Comisión debe publicar también anualmente la lista de adquisiciones de las que haya sido informada por los guardianes de acceso. Para garantizar la transparencia y utilidad necesarias de dicha información para los distintos fines previstos en el presente Reglamento, los guardianes de acceso deben facilitar al menos información sobre las empresas afectadas por la concentración, su volumen de negocios anual en la Unión y en todo el mundo, su ámbito de actividad, incluidas las actividades relacionadas directamente con la concentración, el valor de la operación o una estimación de este, un resumen sobre la concentración, incluida su naturaleza y justificación, así como una lista de los Estados miembros afectados por la operación.

(72) Los intereses de protección de datos y privacidad de los usuarios finales son pertinentes para cualquier evaluación de los posibles efectos negativos de la práctica observada de los guardianes de acceso de recopilar y acumular grandes cantidades de datos de los usuarios finales. Garantizar un nivel adecuado de transparencia en las prácticas relacionadas con los perfiles empleadas por los guardianes de acceso, incluida, pero sin limitarse a ella, la elaboración de perfiles en el sentido del artículo 4, punto 4, del Reglamento (UE) 2016/679, facilita la disputabilidad respecto de los servicios básicos de plataforma. La transparencia ejerce una presión externa sobre los guardianes de acceso para que no conviertan la elaboración de perfiles en profundidad en práctica habitual del sector, dado que las potenciales empresas entrantes o emergentes no pueden acceder a los datos en la misma medida y profundidad, ni a una escala similar. Una mayor transparencia debe permitir a otras empresas prestadoras de servicios básicos de plataforma diferenciarse mejor mediante el uso de mejores garantías de privacidad.

A fin de garantizar un nivel mínimo de eficacia en relación con esta obligación de transparencia, los guardianes de acceso deben al menos proporcionar una descripción, auditada independientemente, de los criterios en los que se basa la elaboración de perfiles, incluso si se basan en datos personales y datos derivados de la actividad del usuario en consonancia con el Reglamento (UE) 2016/679, el tratamiento aplicado, el propósito para el que se prepara y finalmente se utiliza el perfil, la duración de la elaboración de perfiles, el impacto de dicha elaboración de perfiles en los servicios de los guardianes de acceso, y las medidas adoptadas para informar de manera eficaz a los usuarios finales sobre el uso pertinente de dicha elaboración de perfiles, así como las medidas para solicitar su consentimiento o darles la posibilidad de denegarlo o retirarlo. La Comisión debe remitir la descripción auditada al Comité Europeo de Protección de Datos, para contribuir al control del cumplimiento de la normativa de la Unión en materia de protección de datos. Deben otorgarse poderes a la Comisión para desarrollar la metodología y el procedimiento para la elaboración de la descripción auditada, en consulta con el Supervisor Europeo de Protección de Datos, el Comité Europeo de Protección de Datos, la sociedad civil y expertos, de conformidad con los Reglamentos (UE) nº 182/2011 (16) y (UE) 2018/1725 (17) del Parlamento Europeo y del Consejo.

(73) Con el fin de garantizar la consecución plena y duradera de los objetivos del presente Reglamento, la Comisión debe ser capaz de valorar si una empresa prestadora de servicios básicos de plataforma debe ser designada como guardián de acceso sin alcanzar los umbrales cuantitativos establecidos en el presente Reglamento; si el incumplimiento sistemático por parte de un guardián de acceso justifica la imposición de medidas correctoras adicionales; si deben añadirse más servicios del sector digital a la lista de servicios básicos de plataforma, y si se deben investigar prácticas adicionales que son igualmente desleales y limitan la disputabilidad de los mercados digitales. Dicha valoración debe basarse en investigaciones de mercado que se realicen en un plazo adecuado, mediante procedimientos y plazos claros, a fin de apoyar el efecto ex ante del presente Reglamento sobre la disputabilidad y la equidad en el sector digital, y proporcionar el grado necesario de seguridad jurídica.

(74) Tras una investigación de mercado, la Comisión debe poder constatar que una empresa prestadora de un servicio básico de plataforma satisface todos los criterios cualitativos generales para ser designada guardián de acceso. Dicha empresa debería entonces cumplir, en principio, con todas las obligaciones correspondientes establecidas por el presente Reglamento. Sin embargo, a los guardianes de acceso designados por la Comisión por ser previsible que gocen de una posición afianzada y duradera en un futuro próximo, la Comisión solo debe imponerles las obligaciones que sean necesarias y adecuadas para evitar que los guardianes de acceso de que se trate logren una posición afianzada y duradera en sus operaciones. Con respecto a esos guardianes de acceso emergentes, la Comisión debe tener en cuenta que su situación es en principio de carácter temporal, y, por lo tanto, debe decidirse en un momento dado si una empresa prestadora de servicios básicos de plataforma debe estar sujeta a todo el conjunto de obligaciones aplicado a los guardianes de acceso al adquirir una posición afianzada y duradera, o si en última instancia no se cumplen las condiciones para la designación y, por lo tanto, todas las obligaciones impuestas anteriormente deben dejar de exigirse.

(75) La Comisión debe investigar y valorar si se justifican medidas adicionales correctoras del comportamiento o, cuando sea conveniente, estructurales, para garantizar que los guardianes de acceso no puedan frustrar los objetivos del presente Reglamento mediante el incumplimiento sistemático de una o varias de las obligaciones que en él se establecen. Esta situación se produce cuando la Comisión haya adoptado al menos tres decisiones de incumplimiento contra un guardián de acceso en un plazo de ocho años, que pueden ser relativas a distintos servicios básicos de plataforma y diferentes obligaciones establecidas en el presente Reglamento, y si el guardián de acceso ha mantenido, ampliado o reforzado su importancia en el mercado interior, la dependencia económica de sus usuarios profesionales y sus usuarios finales respecto de sus servicios básicos de plataforma, o si ha afianzado su posición. Se debe considerar que un guardián de acceso ha mantenido, ampliado o reforzado su posición cuando, a pesar de las medidas de ejecución adoptadas por la Comisión, el guardián de acceso sigue manteniendo o ha seguido consolidando o afianzando su importancia como puerta de acceso de los usuarios profesionales a los usuarios finales.

La Comisión debe tener en tales supuestos la facultad de imponer cualquier medida correctora, ya sea correctora del comportamiento o estructural, teniendo debidamente en cuenta el principio de proporcionalidad. En ese contexto, siempre que la medida correctora sea proporcionada y necesaria para mantener o restablecer la equidad y la disputabilidad que se hayan visto afectadas por el incumplimiento sistemático, la Comisión debe tener la facultad para prohibir al guardián de acceso, durante un tiempo limitado, que tome parte en una concentración relativa a los servicios básicos de plataforma u otros servicios prestados en el sector digital o a servicios que posibilitan la recopilación de datos que se hayan visto afectados por el incumplimiento sistemático. A fin de permitir la participación efectiva de terceros y la posibilidad de probar las medidas correctoras antes de su aplicación, la Comisión debe publicar un resumen detallado no confidencial del asunto y de las medidas que deban adoptarse. La Comisión debe poder reabrir un procedimiento, en particular cuando las medidas correctoras especificadas resulten ineficaces. Cuando se reabra un procedimiento debido a la ineficacia de las medidas correctoras adoptadas mediante una decisión, la Comisión debe poder modificar dichas medidas de forma prospectiva. La Comisión también debe poder establecer un plazo razonable dentro del cual debe ser posible reabrir un procedimiento si las medidas correctoras resultan ineficaces.

(76) Si un guardián de acceso, durante una investigación sobre un incumplimiento sistemático, ofrece asumir compromisos ante la Comisión, esta debe poder adoptar una decisión por la que dichos compromisos se conviertan en compromisos vinculantes para el guardián de acceso de que se trate, si considera que los compromisos garantizan el cumplimiento efectivo de las obligaciones establecidas en el presente Reglamento. También debe establecerse en dicha decisión que la Comisión ya no tiene motivos para actuar por lo que respecta al incumplimiento sistemático objeto de investigación. A la hora de evaluar si los compromisos que el guardián de acceso ha propuesto asumir son suficientes para garantizar el cumplimiento efectivo de las obligaciones en virtud del presente Reglamento, la Comisión debe poder tener en cuenta las pruebas realizadas por el guardián de acceso para demostrar la eficacia en la práctica de dichos compromisos. La Comisión debe comprobar que la decisión relativa a los compromisos se respete plenamente y alcance sus objetivos, y debe poder reabrir la decisión si considera que los compromisos no son eficaces.

(77) Los servicios en el sector digital y los tipos de prácticas relativas a dichos servicios pueden cambiar rápidamente y en gran medida. Para garantizar que el presente Reglamento se mantiene actualizado y constituye una respuesta normativa eficaz y holística a los problemas planteados por los guardianes de acceso, es importante prever una revisión periódica de las listas de servicios básicos de plataforma, así como de las obligaciones previstas en el presente Reglamento. Esto es particularmente importante para garantizar la detección de una práctica que probablemente limite la disputabilidad de los servicios básicos de plataforma o que sea desleal. Teniendo en cuenta que el sector digital cambia de manera dinámica, si bien es importante realizar una revisión periódica, a fin de garantizar la seguridad jurídica por lo que respecta a las condiciones reglamentarias, todas las revisiones deben realizarse en un plazo de tiempo razonable y adecuado. Las investigaciones de mercado también deben garantizar que la Comisión disponga de una base probatoria sólida que le permita evaluar si debe proponer la modificación del presente Reglamento para revisar, ampliar o pormenorizar las listas de servicios básicos de plataforma. También deben garantizar que la Comisión disponga de una base probatoria sólida que le permita evaluar si procede proponer la modificación de las obligaciones establecidas en el presente Reglamento o adoptar un acto delegado que actualice dichas obligaciones.

(78) Por lo que respecta a las conductas de los guardianes de acceso a las que no se aplican las obligaciones establecidas en el presente Reglamento, la Comisión debe contar con la posibilidad de abrir una investigación de mercado sobre nuevos servicios y nuevas prácticas con objeto de determinar si las obligaciones establecidas en el presente Reglamento deben completarse mediante un acto delegado que entre dentro del alcance de la habilitación establecida para dichos actos delegados en el presente Reglamento, o mediante la presentación de una propuesta de modificación del presente Reglamento. Esto se entiende sin perjuicio de la posibilidad de que la Comisión, en casos adecuados, incoe un procedimiento con arreglo al artículo 101 o 102 del TFUE. Estos procedimientos deben desarrollarse de conformidad con el Reglamento (CE) nº 1/2003 del Consejo (18). En caso de urgencia justificada por el riesgo de que se produzca un perjuicio grave e irreparable a la competencia, la Comisión debe estudiar la posibilidad de adoptar medidas cautelares de conformidad con el artículo 8 del Reglamento (CE) nº 1/2003.

(79) En caso de que los guardianes de acceso recurran a prácticas desleales o que limiten la disputabilidad de los servicios básicos de plataforma ya designados en virtud del presente Reglamento, pero no previstas de manera expresa en las obligaciones establecidas en el presente Reglamento, la Comisión debe poder actualizar el presente Reglamento mediante actos delegados. Estas actualizaciones a través de un acto delegado deben estar sujetas al mismo criterio en materia de investigación y, por lo tanto, deben ir precedidas de una investigación de mercado. La Comisión debe además aplicar un criterio predefinido para detectar dichos tipos de prácticas. Este criterio jurídico debe garantizar que el tipo de obligaciones al que los guardianes de acceso pueden enfrentarse en cualquier momento en virtud del presente Reglamento sea suficientemente predecible.

(80) Con el fin de garantizar la aplicación efectiva y el cumplimiento del presente Reglamento, la Comisión debe tener competencias sólidas de investigación y ejecución que le permitan investigar, hacer cumplir las normas establecidas en el presente Reglamento, y hacer su seguimiento, garantizando al mismo tiempo el respeto del derecho fundamental a ser oído y a tener acceso al expediente en el contexto de los procedimientos de ejecución. La Comisión debe disponer de estas competencias de investigación también para llevar a cabo investigaciones de mercado, en particular con el fin de actualizar y revisar el presente Reglamento.

(81) La Comisión debe tener competencia para solicitar la información necesaria a efectos del presente Reglamento. En particular, la Comisión debe tener acceso a los documentos, datos, bases de datos, algoritmos e información pertinentes y necesarios para iniciar y llevar a cabo investigaciones y para controlar el cumplimiento de las obligaciones establecidas en el presente Reglamento, independientemente de quién posea dicha información y cualquiera que sea su forma o formato, su soporte de almacenamiento y del lugar donde se almacene.

(82) La Comisión debe poder solicitar directamente que las empresas o asociaciones de empresas proporcionen todas las pruebas, datos e información pertinentes. Además, la Comisión debe poder solicitar cualquier información pertinente a las autoridades competentes del Estado miembro, o a cualquier persona física o jurídica a efectos del presente Reglamento. En cumplimiento de una decisión de la Comisión, las empresas están obligadas a responder a preguntas relativas a los hechos y a proporcionar documentos.

(83) La Comisión también debe estar facultada para llevar a cabo inspecciones de cualquier empresa o asociación de empresas, para entrevistar a toda persona que pueda disponer de información útil y para dejar constancia de sus declaraciones.

(84) Las medidas cautelares pueden ser una herramienta importante para garantizar que, mientras esté en curso una investigación, la infracción investigada no ocasione un perjuicio grave e irreparable para los usuarios profesionales o los usuarios finales de los guardianes de acceso. Este instrumento es importante para evitar cambios que podría ser muy difícil deshacer mediante una decisión adoptada por la Comisión al final del procedimiento. Por consiguiente, la Comisión debe tener competencias para ordenar medidas cautelares en el contexto de un procedimiento incoado con vistas a la posible adopción de una decisión de incumplimiento. Esta competencia debe ejercerse en los casos en que la Comisión haya constatado prima facie una infracción de las obligaciones de los guardianes de acceso y cuando exista el riesgo de que los usuarios profesionales o los usuarios finales de los guardianes de acceso sufran un perjuicio grave e irreparable. Las medidas cautelares solo deben aplicarse durante un período determinado, bien hasta el que termine con la conclusión del procedimiento por la Comisión, bien por un plazo señalado que puede renovarse en la medida en que sea necesario y adecuado.

(85) La Comisión debe poder adoptar las medidas necesarias para controlar la aplicación efectiva y el cumplimiento de las obligaciones establecidas en el presente Reglamento. Estas medidas deben incluir la capacidad de la Comisión para nombrar a expertos externos independientes y auditores para ayudar a la Comisión en este proceso, incluso, en su caso, de las autoridades competentes de los Estados miembros, como las autoridades de protección de datos o de los consumidores. Por lo que respecta al nombramiento de los auditores, la Comisión debe garantizar una rotación suficiente.

(86) El cumplimiento de las obligaciones impuestas por el presente Reglamento debe garantizarse mediante multas y multas coercitivas. A tal fin, también deben establecerse niveles adecuados para las multas sancionadoras y las multas coercitivas por incumplimiento de las obligaciones e infracción de las normas de procedimiento, con sujeción a unos plazos de prescripción adecuados, de conformidad con los principios de proporcionalidad y non bis in idem. La Comisión y las autoridades nacionales pertinentes deben coordinar sus esfuerzos en materia de control del cumplimiento para garantizar el respeto de dichos principios. En particular, la Comisión debe tener en cuenta todas las multas sancionadoras y multas coercitivas impuestas a la misma persona jurídica por los mismos hechos mediante una decisión definitiva en el marco de procedimientos relativos a una infracción de otras normas nacionales o de la Unión, a fin de garantizar que el total de las multas sancionadoras y las multas coercitivas impuestas corresponda a la gravedad de las infracciones cometidas.

(87) Con el fin de garantizar el cobro efectivo de las multas sancionadoras impuestas a las asociaciones de empresas por infracciones que hayan cometido, es necesario establecer las condiciones en las que la Comisión debe poder exigir el pago de la multa a los miembros de la asociación de empresas cuando esta sea insolvente.

(88) En el marco de los procedimientos desarrollados en virtud del presente Reglamento, debe concederse a la empresa afectada el derecho a ser oída por la Comisión y las decisiones adoptadas deben ser ampliamente difundidas. Al mismo tiempo que se garantizan el derecho a una buena administración, el derecho de acceso al expediente y el derecho a ser oído, es esencial proteger la información confidencial. Además, siempre respetando la confidencialidad de la información, la Comisión debe garantizar que toda información en la que se haya basado la decisión se comunique de forma que el destinatario de la decisión pueda comprender los hechos y las consideraciones que condujeron a la decisión. También es necesario garantizar que la Comisión emplee solamente información recopilada de conformidad con el presente Reglamento para los fines del presente Reglamento, salvo cuando se prevea específicamente algo distinto. Por último, debe ser posible, en determinadas condiciones, que algunos documentos profesionales, como las comunicaciones entre abogados y sus clientes, sean considerados confidenciales si se cumplen las condiciones pertinentes.

(89) A la hora de elaborar resúmenes no confidenciales para su publicación con el fin de permitir efectivamente a los terceros interesados formular observaciones, la Comisión debe tener debidamente en cuenta el interés legítimo de las empresas en la protección de sus secretos comerciales y demás información confidencial.

(90) La aplicación coherente, eficaz y complementaria de los instrumentos jurídicos disponibles que se aplican a los guardianes de acceso requiere cooperación y coordinación entre la Comisión y las autoridades nacionales, dentro de los límites de sus competencias respectivas. La Comisión y las autoridades nacionales deben cooperar y coordinar las acciones que sean necesarias para aplicar los instrumentos jurídicos disponibles a los guardianes de acceso en el sentido del presente Reglamento, y respetar el principio de cooperación leal establecido en el artículo 4 del Tratado de la Unión Europea (TUE). Debe ser posible que el apoyo de las autoridades nacionales a la Comisión incluya proporcionarle toda la información necesaria que obre en su poder o prestarle asistencia, previa solicitud, en el ejercicio de sus competencias, a fin de que la Comisión pueda ejercer mejor las funciones que se le encomiendan en el presente Reglamento.

(91) La Comisión es la única autoridad facultada para hacer cumplir el presente Reglamento. A fin de apoyar a la Comisión, los Estados miembros deben tener la posibilidad de facultar a sus autoridades nacionales competentes encargadas de hacer cumplir las normas en materia de competencia para que lleven a cabo investigaciones sobre posibles incumplimientos por parte de los guardianes de acceso de determinadas obligaciones en virtud del presente Reglamento. En particular, esto puede resultar pertinente en casos en los que no se pueda determinar de entrada si un comportamiento de un guardián de acceso puede suponer una infracción del presente Reglamento, las normas en materia de competencia que la autoridad nacional competente esté facultada para hacer cumplir, o ambas. La autoridad nacional competente encargada de hacer cumplir las normas en materia de competencia debe informar a la Comisión de sus conclusiones sobre posibles incumplimientos por parte de los guardianes de acceso de determinadas obligaciones en virtud del presente Reglamento, con vistas a que la Comisión, como única autoridad facultada para hacer cumplir las disposiciones establecidas en el presente Reglamento, incoe un procedimiento para investigar cualquier incumplimiento.

La Comisión debe tener plena discrecionalidad para decidir sobre la incoación de estos procedimientos. Con el fin de evitar el solapamiento de investigaciones en virtud del presente Reglamento, la autoridad nacional competente de que se trate debe informar a la Comisión antes de emprender la primera medida de investigación sobre un posible incumplimiento por parte de los guardianes de acceso de determinadas obligaciones en virtud del presente Reglamento. Asimismo, las autoridades nacionales competentes deben cooperar estrechamente y coordinarse con la Comisión cuando hagan cumplir las normas nacionales de competencia a los guardianes de acceso, en particular por lo que respecta al cálculo del importe de las multas sancionadoras. A tal fin, deben informar a la Comisión cuando incoen procedimientos fundamentados en las normas nacionales de competencia contra los guardianes de acceso, así como antes de imponer obligaciones a los guardianes de acceso en tales procedimientos. A fin de evitar duplicidades, la información relativa al proyecto de decisión con arreglo al artículo 11 del Reglamento (CE) nº 1/2003 debe poder servir, en su caso, como notificación en virtud del presente Reglamento.

(92) Con objeto de proteger la aplicación y ejecución armonizadas del presente Reglamento, resulta importante garantizar que las autoridades nacionales, en particular los órganos jurisdiccionales nacionales, dispongan de toda la información necesaria para asegurarse de que sus decisiones no sean contrarias a una decisión adoptada por la Comisión con arreglo al presente Reglamento. Debe permitirse a los órganos jurisdiccionales nacionales pedir a la Comisión que les transmita información o dictámenes sobre cuestiones relativas a la aplicación del presente Reglamento. Al mismo tiempo, la Comisión debe poder presentar observaciones orales o escritas a los órganos jurisdiccionales nacionales. Esto se entiende sin perjuicio de la facultad de los órganos jurisdiccionales nacionales de solicitar una decisión prejudicial sobre la base del artículo 267 del TFUE.

(93) A fin de garantizar la coherencia y una complementariedad efectiva en la aplicación del presente Reglamento y de otras normas sectoriales aplicables a los guardianes de acceso, la Comisión debe beneficiarse de los conocimientos especializados de un grupo de alto nivel específico. Este grupo de alto nivel debe poder también prestar asistencia a la Comisión, ofreciéndole asesoramiento, conocimientos especializados y recomendaciones, cuando sea pertinente, en cuestiones generales relacionadas con la aplicación o la ejecución del presente Reglamento. El grupo de alto nivel debe estar compuesto por los organismos y las redes europeos pertinentes, y su composición debe garantizar un alto nivel de conocimientos especializados y un equilibrio geográfico. Los miembros del grupo de alto nivel deben informar periódicamente a los organismos y redes a los que representan sobre las tareas realizadas en el marco del grupo y consultarlos a este respecto.

(94) Dado que las decisiones adoptadas por la Comisión en virtud del presente Reglamento están sujetas al control del Tribunal de Justicia de conformidad con el TFUE, de conformidad con el artículo 261 de dicho Tratado el Tribunal de Justicia debe tener una competencia jurisdiccional plena respecto de las multas sancionadoras y las multas coercitivas.

(95) La Comisión debe poder elaborar directrices para proporcionar orientaciones adicionales sobre diferentes aspectos del presente Reglamento o para apoyar a las empresas prestadoras de servicios básicos de plataforma en el cumplimiento de las obligaciones en virtud del presente Reglamento. Dichas orientaciones deben poder basarse, en particular, en la experiencia obtenida por la Comisión en el marco del control del cumplimiento del presente Reglamento. La publicación de orientaciones con arreglo al presente Reglamento es una prerrogativa de la Comisión y queda a su entera discreción y no debe considerarse un elemento constitutivo a la hora de garantizar que la empresa o las asociaciones de empresas de que se trate cumplan las obligaciones en virtud del presente Reglamento.

(96) La utilización de normas técnicas puede facilitar el cumplimiento de algunas de las obligaciones de los guardianes de acceso, como las relacionadas con el acceso a los datos, la portabilidad de los datos o la interoperabilidad. A este respecto, cuando sea conveniente y necesario, la Comisión debe poder solicitar a las organizaciones europeas de normalización que las desarrollen.

(97) A fin de garantizar en toda la Unión la equidad y la disputabilidad de los mercados en el sector digital donde haya guardianes de acceso, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del TFUE por lo que respecta a modificar la metodología para determinar si se alcanzan los umbrales cuantitativos en relación con los usuarios finales activos y los usuarios profesionales activos para la designación de los guardianes de acceso, que figura en un anexo del presente Reglamento, por lo que respecta a especificar en mayor medida los elementos adicionales de la metodología que no se incluyen en dicho anexo para determinar si se alcanzan los umbrales cuantitativos para la designación de los guardianes de acceso, y por lo que respecta a completar las obligaciones existentes establecidas en el presente Reglamento cuando, basándose en una investigación de mercado, la Comisión haya determinado la necesidad de actualizar las obligaciones para hacer frente a prácticas que limitan la disputabilidad de los servicios básicos de plataforma o que son desleales y la actualización que se esté considerando entre dentro del ámbito de aplicación de la atribución establecida para dichos actos delegados en el presente Reglamento.

(98) En la adopción de actos delegados en virtud del presente Reglamento, reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (19). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(99) A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución para especificar medidas que los guardianes de acceso hayan de poner en práctica para cumplir efectivamente las obligaciones en virtud del presente Reglamento; suspender, total o parcialmente, una obligación específica impuesta a un guardián de acceso; eximir, total o parcialmente, a un guardián de acceso de una obligación específica; especificar las medidas que haya de aplicar un guardián de acceso cuando eluda las obligaciones establecidas en el presente Reglamento; concluir una investigación de mercado para designar a un guardián de acceso; imponer medidas correctoras en caso de incumplimiento sistemático; ordenar medidas cautelares contra un guardián de acceso; hacer que los compromisos sean vinculantes para un guardián de acceso; declarar un incumplimiento; fijar el importe definitivo de la multa coercitiva; determinar la forma, el contenido y otros detalles de las notificaciones, las presentaciones de información, las peticiones motivadas y los informes reglamentarios remitidos por los guardianes de acceso; establecer disposiciones operativas y técnicas con vistas a poner en práctica la interoperabilidad, así como la metodología y el procedimiento para la descripción auditada de las técnicas utilizadas para la elaboración de perfiles de los consumidores; establecer disposiciones prácticas para los procedimientos, la ampliación de plazos, el ejercicio de los derechos durante los procedimientos y las condiciones de revelación, así como para la cooperación y la coordinación entre la Comisión y las autoridades nacionales. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) nº 182/2011.

(100) El procedimiento de examen se debe emplear para la adopción de un acto de ejecución sobre las modalidades prácticas de la cooperación y la coordinación entre la Comisión y los Estados miembros. El procedimiento consultivo se debe emplear para los demás actos de ejecución previstos en el presente Reglamento, ya que estos actos de ejecución atañen a aspectos prácticos de los procedimientos establecidos en el presente Reglamento, tales como la forma, el contenido y otros detalles de diversas fases del procedimiento, a las modalidades prácticas de diversas fases del procedimiento, como, por ejemplo, la ampliación de los plazos del procedimiento o el derecho a ser oído, así como a decisiones de ejecución individuales dirigidas al guardián de acceso.

(101) De conformidad con el Reglamento (UE) nº 182/2011, cada Estado miembro debe estar representado en el comité consultivo y decidir la composición de su delegación. Pueden formar parte de la delegación, entre otros, los expertos de las autoridades competentes de los Estados miembros que posean los conocimientos especializados pertinentes sobre una cuestión específica presentada al comité consultivo.

(102) Los denunciantes pueden poner en conocimiento de las autoridades competentes información nueva que las ayude a detectar infracciones del presente Reglamento y les permita imponer sanciones. Debe garantizarse la existencia de mecanismos adecuados para que los denunciantes puedan alertar a las autoridades competentes acerca de infracciones reales o potenciales del presente Reglamento, y para protegerlos de represalias. A tal fin, debe disponerse en el presente Reglamento que la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo (20) se aplique a la denuncia de infracciones del presente Reglamento y a la protección de las personas que informen sobre tales infracciones.

(103) Para aumentar la seguridad jurídica, debe reflejarse en la Directiva (UE) 2019/1937 la aplicabilidad, con arreglo al presente Reglamento, de dicha Directiva a la denuncia de infracciones del presente Reglamento y a la protección de las personas que informen sobre tales infracciones. Procede, por tanto, modificar el anexo de la Directiva (UE) 2019/1937 en consecuencia. Corresponde a los Estados miembros garantizar que dicha modificación se refleje en sus medidas de transposición adoptadas de conformidad con la Directiva (UE) 2019/1937, aunque la adopción de medidas nacionales de transposición no es una condición para la aplicabilidad de dicha Directiva a la denuncia de infracciones del presente Reglamento y a la protección de las personas que informen sobre tales infracciones a partir de la fecha de aplicación del presente Reglamento.

(104) Los consumidores deben poder hacer valer sus derechos en relación con las obligaciones impuestas a los guardianes de acceso en virtud del presente Reglamento mediante acciones de representación de conformidad con la Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo (21). A tal fin, debe establecerse en el presente Reglamento que la Directiva (UE) 2020/1828 sea aplicable a las acciones de representación ejercitadas frente a actos de guardianes de acceso que infrinjan las disposiciones del presente Reglamento y perjudiquen o puedan perjudicar los intereses colectivos de los consumidores. Procede, por tanto, modificar el anexo de dicha Directiva en consecuencia. Corresponde a los Estados miembros garantizar que dicha modificación se refleje en sus medidas de transposición adoptadas de conformidad con la Directiva (UE) 2020/1828, aunque la adopción de medidas nacionales de transposición a este respecto no es una condición para la aplicabilidad de dicha Directiva a las acciones de representación. La aplicabilidad de la Directiva (UE) 2020/1828 a las acciones de representación ejercitadas frente a actos de guardianes de acceso que infrinjan las disposiciones del presente Reglamento y perjudiquen o puedan perjudicar los intereses colectivos de los consumidores debe comenzar a partir de la fecha de aplicación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros necesarias para transponer dicha Directiva, o a partir de la fecha de aplicación del presente Reglamento, si esta fecha es posterior.

(105) La Comisión debe evaluar periódicamente el presente Reglamento y seguir de cerca sus efectos sobre la disputabilidad y la equidad de las relaciones comerciales en la economía de las plataformas en línea, en particular para determinar si es preciso modificarlo teniendo en cuenta los avances tecnológicos o comerciales relevantes. Esa evaluación debe incluir la revisión periódica de la lista de servicios básicos de plataforma y las obligaciones dirigidas a los guardianes de acceso, así como su cumplimiento, con vistas a garantizar que los mercados digitales en toda la Unión sean disputables y equitativos. En ese contexto, la Comisión también debe evaluar el alcance de la obligación relativa a la interoperabilidad de los servicios de comunicaciones interpersonales independientes de la numeración. A fin de obtener una visión amplia de la evolución del sector digital, la evaluación debe tener en cuenta las experiencias de los Estados miembros y las partes interesadas pertinentes. A este respecto, la Comisión debe poder tomar también en consideración los dictámenes e informes que le haya presentado el Observatorio de la Economía de las Plataformas en Línea, creado en virtud de la Decisión C(2018)2393 de la Comisión, de 26 de abril de 2018. Tras la evaluación, la Comisión debe adoptar las medidas oportunas. A la hora de realizar las evaluaciones y revisiones de las prácticas y obligaciones establecidas en el presente Reglamento, la Comisión debe tener el objetivo de mantener un alto nivel de protección y respeto de los derechos y valores comunes, en particular la igualdad y la no discriminación.

(106) Sin perjuicio del procedimiento presupuestario y a través de los instrumentos financieros existentes, se deben asignar a la Comisión recursos humanos, financieros y técnicos suficientes para garantizar que pueda desempeñar eficazmente sus cometidos y ejercer sus competencias en lo que atañe al control del cumplimiento del presente Reglamento.

(107) Dado que el objetivo del presente Reglamento, a saber, garantizar la disputabilidad y equidad del sector digital en general y de los servicios básicos de plataforma en particular, con el fin de promover la innovación, unos productos y servicios digitales de alta calidad, unos precios justos y competitivos, la variedad y una alta calidad para los usuarios finales en el sector digital, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido al modelo de negocio y las operaciones de los guardianes de acceso, y a las dimensiones y efectos de estas, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del TUE. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.

(108) El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42 del Reglamento (UE) 2018/1725, emitió su dictamen el 10 de febrero de 2021 (22).

(109) El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea, en particular en sus artículos 16, 47 y 50. En consecuencia, la interpretación y la aplicación del presente Reglamento deben respetar dichos derechos y principios.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I. OBJETO, ÁMBITO DE APLICACIÓN Y DEFINICIONES

Artículo 1. Objeto y ámbito de aplicación

1.   La finalidad del presente Reglamento es contribuir al correcto funcionamiento del mercado interior estableciendo normas armonizadas que garanticen a todas las empresas, en toda la Unión, la equidad y la disputabilidad de los mercados en el sector digital donde haya guardianes de acceso, en beneficio de los usuarios profesionales y los usuarios finales.

2.   El presente Reglamento se aplicará a los servicios básicos de plataforma prestados u ofrecidos por guardianes de acceso a usuarios profesionales establecidos en la Unión o a usuarios finales establecidos o situados en la Unión, independientemente del lugar de establecimiento o residencia de los guardianes de acceso y del Derecho que, por lo demás, sea aplicable a la prestación del servicio.

3.   El presente Reglamento no se aplicará a mercados relacionados con:

a) redes de comunicaciones electrónicas, tal como se definen en el artículo 2, punto 1, de la Directiva (UE) 2018/1972;

b) servicios de comunicaciones electrónicas, tal como se definen en el artículo 2, punto 4, de la Directiva (UE) 2018/1972, que no sean los relacionados con los servicios de comunicaciones interpersonales independientes de la numeración.

4.   Por lo que se refiere a los servicios de comunicaciones interpersonales, tal como se definen en el artículo 2, punto 5, de la Directiva (UE) 2018/1972, el presente Reglamento se entiende sin perjuicio de las competencias y responsabilidades conferidas a las autoridades nacionales reguladoras y a otras autoridades competentes en virtud del artículo 61 de dicha Directiva.

5.   Para evitar la fragmentación del mercado interior, los Estados miembros no impondrán a los guardianes de acceso obligaciones adicionales mediante disposiciones legales, reglamentarias o administrativas encaminadas a garantizar unos mercados disputables y equitativos. Nada de lo dispuesto en el presente Reglamento impide a los Estados miembros imponer a las empresas, incluidas las empresas prestadoras de servicios básicos de plataforma, obligaciones relativas a cuestiones que quedan fuera del ámbito de aplicación del presente Reglamento, siempre que estas obligaciones sean compatibles con el Derecho de la Unión y no deriven de la consideración de las empresas afectadas como guardianes de acceso en el sentido del presente Reglamento.

6.   El presente Reglamento se entiende sin perjuicio de la aplicación de los artículos 101 y 102 del TFUE. También se entiende sin perjuicio de la aplicación de:

a) normas nacionales de competencia que prohíban los acuerdos contrarios a la competencia, las decisiones de asociaciones de empresas, las prácticas concertadas y los abusos de posición dominante;

b) normas nacionales de competencia que prohíban otras formas de conducta unilateral en la medida en que se apliquen a empresas que no sean guardianes de acceso o equivalgan a imponer obligaciones adicionales a los guardianes de acceso, y

c) el Reglamento (CE) nº 139/2004 del Consejo (23) y de normas nacionales relativas al control de las concentraciones.

7.   Las autoridades nacionales no tomarán decisiones que sean contrarias a una decisión adoptada por la Comisión en virtud del presente Reglamento. La Comisión y los Estados miembros trabajarán en estrecha cooperación y coordinarán sus medidas de ejecución basándose en los principios establecidos en los artículos 37 y 38.

Artículo 2. Definiciones

A los efectos del presente Reglamento, se entenderá por:

1) «guardián de acceso», una empresa prestadora de servicios básicos de plataforma, designada de conformidad con el artículo 3;

2) «servicio básico de plataforma», cualquiera de los siguientes elementos:

a) servicios de intermediación en línea;

b) motores de búsqueda en línea;

c) servicios de redes sociales en línea;

d) servicios de plataforma de intercambio de vídeos;

e) servicios de comunicaciones interpersonales independientes de la numeración;

f) sistemas operativos;

g) navegadores web;

h) asistentes virtuales;

i) servicios de computación en nube;

j) servicios de publicidad en línea, incluidas las redes de publicidad, las plataformas de intercambio de publicidad y cualquier otro servicio de intermediación publicitaria, prestados por una empresa que preste cualquiera de los servicios básicos de plataforma enumerados en las letras a) a i);

3) «servicio de la sociedad de la información», cualquier «servicio» tal como se define en el artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535;

4) «sector digital», el sector de los productos suministrados y servicios prestados mediante servicios de la sociedad de la información o a través de estos;

5) «servicios de intermediación en línea», los «servicios de intermediación en línea» tal como se definen en el artículo 2, punto 2, del Reglamento (UE) 2019/1150;

6) «motor de búsqueda en línea», un «motor de búsqueda en línea» tal como se define en el artículo 2, punto 5, del Reglamento (UE) 2019/1150;

7) «servicio de redes sociales en línea», una plataforma que permite que los usuarios finales se conecten y se comuniquen entre sí, compartan contenidos y descubran contenidos y a otros usuarios a través de múltiples dispositivos y, en particular, mediante chats, publicaciones, vídeos y recomendaciones;

8) «servicio de plataforma de intercambio de vídeos», un «servicio de intercambio de vídeos a través de plataforma» tal como se define en el artículo 1, apartado 1, letra a bis), de la Directiva 2010/13/UE;

9) «servicio de comunicaciones interpersonales independiente de la numeración», un «servicio de comunicaciones interpersonales independiente de la numeración» tal como se define en el artículo 2, punto 7, de la Directiva (UE) 2018/1972;

10) «sistema operativo», software de sistema que controla las funciones básicas del hardware o del software y permite que se ejecuten en él aplicaciones informáticas;

11) «navegador web», una aplicación informática que permite a los usuarios finales acceder a contenidos web alojados en servidores que están conectados a redes como internet e interactuar con dichos contenidos, incluidos los navegadores web independientes y los navegadores web integrados en software o similares;

12) «asistente virtual», un software que puede procesar peticiones, tareas o preguntas, también las formuladas mediante sonidos, imágenes, texto, gestos o movimientos y que, basándose en dichas peticiones, tareas o preguntas, proporciona acceso a otros servicios o controla dispositivos físicos conectados;

13) «servicio de computación en nube», un «servicio de computación en nube» tal como se define en el artículo 4, punto 19, de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo (24);

14) «tiendas de aplicaciones informáticas», un tipo de servicios de intermediación en línea centrado en las aplicaciones informáticas como producto o servicio intermediado;

15) «aplicación informática», cualquier producto o servicio digital que se ejecute en un sistema operativo;

16) «servicio de pago», un «servicio de pago» tal como se define en el artículo 4, punto 3, de la Directiva (UE) 2015/2366;

17) «servicio técnico de apoyo a un servicio de pago», un servicio en el sentido del artículo 3, letra j), de la Directiva (UE) 2015/2366;

18) «sistema de pago de compras integradas en la aplicación», una aplicación informática, un servicio o una interfaz de usuario que facilita la compra de contenido digital o de servicios digitales dentro de una aplicación informática, por ejemplo, de contenidos, suscripciones, prestaciones o funcionalidades, así como el pago de estas compras;

19) «servicio de identificación», un tipo de servicio prestado junto con los servicios básicos de plataforma o en apoyo de tales servicios que permite cualquier tipo de verificación de la identidad de los usuarios finales o los usuarios profesionales, independientemente de la tecnología utilizada;

20) «usuario final», toda persona física o jurídica que utilice servicios básicos de plataforma y que no lo haga como usuario profesional;

21) «usuario profesional», toda persona física o jurídica que, a título comercial o profesional, utilice servicios básicos de plataforma para suministrar productos o prestar servicios a los usuarios finales o utilice dichos servicios en el marco del suministro de productos o la prestación de servicios a los usuarios finales;

22) «clasificación», la preeminencia relativa atribuida a los productos o servicios ofrecidos mediante servicios de intermediación en línea, servicios de redes sociales en línea, servicios de plataforma de intercambio de vídeos o asistentes virtuales, o la pertinencia atribuida a los resultados de búsqueda por los motores de búsqueda en línea, tal y como los presentan, organizan o comunican las empresas prestadoras de servicios de intermediación en línea, servicios de redes sociales en línea, servicios de plataforma de intercambio de vídeos, asistentes virtuales o motores de búsqueda en línea, con independencia de los medios tecnológicos empleados para tal presentación, organización o comunicación y con independencia de si se presenta o comunica solo un resultado;

23) «resultados de búsqueda», cualquier información en cualquier formato, incluidos los resultados textuales, gráficos, de voz o de otro tipo, ofrecida en respuesta y con relación a una consulta de búsqueda, independientemente de si la información ofrecida es un resultado de pago o no, una respuesta directa o cualquier producto, servicio o información ofrecido en relación con los resultados orgánicos, o mostrado junto con ellos, o integrado parcial o totalmente en ellos;

24) «datos», cualquier representación digital de actos, hechos o información y cualquier compilación de tales actos, hechos o información, también en forma de grabación sonora, visual o audiovisual;

25) «datos personales», los «datos personales» tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679;

26) «datos no personales», los datos que no sean datos personales;

27) «empresa», una entidad que ejerce una actividad económica, con independencia de su estatuto jurídico y de su modo de financiación, incluidas todas las empresas relacionadas o vinculadas que forman un grupo a través del control directo o indirecto de una empresa por otra;

28) «control», la posibilidad de ejercer una influencia decisiva sobre una empresa, en el sentido del artículo 3, apartado 2, del Reglamento (CE) nº 139/2004;

29) «interoperabilidad», la capacidad de intercambiar información y utilizar mutuamente la información que se ha intercambiado mediante interfaces u otras soluciones, de manera que todos los elementos de hardware o software funcionen con hardware y software distintos y con los usuarios de todas las maneras en que deben funcionar;

30) «volumen de negocios», los importes obtenidos por una empresa en el sentido del artículo 5, apartado 1, del Reglamento (CE) nº 139/2004;

31) «elaboración de perfiles», la «elaboración de perfiles» tal como se define en el artículo 4, punto 4, del Reglamento (UE) 2016/679;

32) «consentimiento», el «consentimiento» tal como se define en el artículo 4, punto 11, del Reglamento (UE) 2016/679;

33) «órgano jurisdiccional nacional», un órgano jurisdiccional de un Estado miembro en el sentido del artículo 267 del TFUE.

CAPÍTULO II. GUARDIANES DE ACCESO

Artículo 3. Designación de los guardianes de acceso

1.   Una empresa será designada como guardián de acceso si:

a) tiene una gran influencia en el mercado interior;

b) presta un servicio básico de plataforma que es una puerta de acceso importante para que los usuarios profesionales lleguen a los usuarios finales, y

c) tiene una posición afianzada y duradera, por lo que respecta a sus operaciones, o es previsible que alcance dicha posición en un futuro próximo.

2.   Se presumirá que una empresa cumple los respectivos requisitos establecidos en el apartado 1:

a) en relación con el apartado 1, letra a), cuando la empresa consiga un volumen de negocios anual en la Unión igual o superior a 7 500 000 000 EUR en cada uno de los tres últimos ejercicios, o cuando su capitalización bursátil media o su valor justo de mercado equivalente ascienda como mínimo a 75 000 000 000 EUR en el último ejercicio, y preste el mismo servicio básico de plataforma en al menos tres Estados miembros;

b) en relación con el apartado 1, letra b), cuando proporcione un servicio básico de plataforma que, en el último ejercicio, haya tenido al menos 45 millones mensuales de usuarios finales activos establecidos o situados en la Unión y al menos 10 000 usuarios profesionales activos anuales establecidos en la Unión, identificados y calculados de conformidad con la metodología y los indicadores establecidos en el anexo;

c) en relación con el apartado 1, letra c), cuando se hayan alcanzado los umbrales establecidos en la letra b) del presente apartado en cada uno de los últimos tres ejercicios.

3.   Cuando una empresa prestadora de servicios básicos de plataforma alcance todos los umbrales establecidos en el apartado 2, lo notificará a la Comisión sin demora y, en cualquier caso, en un plazo de dos meses a partir de la fecha en que se hayan alcanzado dichos umbrales y le facilitará la información pertinente indicada en el apartado 2. Se incluirá en dicha notificación la información pertinente indicada en el apartado 2 para cada uno de los servicios básicos de plataforma de la empresa que alcance los umbrales establecidos en el apartado 2, letra b). Cada vez que un nuevo servicio básico de plataforma prestado por una empresa que haya sido designada previamente como guardián de acceso alcance los umbrales establecidos en el apartado 2, letras b) y c), la empresa lo notificará a la Comisión en un plazo de dos meses a partir de la fecha en que se hayan alcanzado dichos umbrales.

Cuando la empresa prestadora del servicio básico de plataforma no cumpla el requisito de notificación a la Comisión establecido en el párrafo primero del presente apartado y no proporcione en el plazo fijado por la Comisión en la solicitud de información de conformidad con el artículo 21 toda la información pertinente necesaria para que la Comisión designe a la empresa afectada como guardián de acceso de conformidad con el apartado 4 del presente artículo, la Comisión seguirá teniendo la facultad de designar a dicha empresa como guardián de acceso, basándose en la información de la que disponga.

Cuando la empresa prestadora de servicios básicos de plataforma dé cumplimiento a la solicitud de información con arreglo a lo dispuesto en el párrafo segundo del presente apartado o cuando la información se proporcione después de que venza el plazo al que se refiere dicho párrafo, la Comisión aplicará el procedimiento establecido en el apartado 4.

4.   La Comisión designará como guardián de acceso, sin demora indebida y a más tardar 45 días hábiles después de recibir la información completa a que se refiere el apartado 3, a una empresa prestadora de servicios básicos de plataforma que alcance todos los umbrales establecidos en el apartado 2.

5.   La empresa prestadora de servicios básicos de plataforma podrá presentar, junto con su notificación, argumentos suficientemente fundamentados para demostrar que, excepcionalmente, pese a haber alcanzado todos los umbrales establecidos en el apartado 2, dadas las circunstancias en las que opera el servicio básico de plataforma de que se trate, no cumple los requisitos enumerados en el apartado 1.

Cuando la Comisión considere que los argumentos presentados con arreglo al párrafo primero por la empresa prestadora de servicios básicos de plataforma no están suficientemente fundamentados porque no ponen en entredicho de forma manifiesta las presunciones establecidas en el apartado 2 del presente artículo, podrá rechazarlos en el plazo a que se refiere el apartado 4, sin aplicar el procedimiento establecido en el artículo 17, apartado 3.

Cuando la empresa prestadora de servicios básicos de plataforma presente unos argumentos suficientemente fundamentados que pongan en entredicho de forma manifiesta las presunciones establecidas en el apartado 2 del presente artículo, la Comisión podrá, no obstante lo dispuesto en el párrafo primero del presente apartado, dentro del plazo a que se refiere el apartado 4 del presente artículo, iniciar el procedimiento establecido en el artículo 17, apartado 3.

Si la Comisión concluye que la empresa prestadora de servicios básicos de plataforma no ha logrado demostrar que los servicios básicos de plataforma pertinentes que proporciona no cumplen los requisitos establecidos en el apartado 1 del presente artículo, designará a dicha empresa como guardián de acceso con arreglo al procedimiento establecido en el artículo 17, apartado 3.

6.   La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 49 con el fin de completar el presente Reglamento especificando la metodología para determinar si se alcanzan los umbrales cuantitativos establecidos en el apartado 2 del presente artículo y ajustar periódicamente dicha metodología a la evolución del mercado y de la tecnología, cuando sea necesario.

7.   La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 49 para modificar el presente Reglamento actualizando la metodología y la lista de indicadores que figuran en el anexo.

8.   La Comisión designará como guardián de acceso, de conformidad con el procedimiento establecido en el artículo 17, a cualquier empresa prestadora de servicios básicos de plataforma que cumpla todos los requisitos del apartado 1 del presente artículo, pero no alcance todos los umbrales establecidos en el apartado 2 del presente artículo.

A tal fin, la Comisión tendrá en cuenta algunos de los elementos siguientes, o todos ellos, en la medida en que sean pertinentes para la empresa prestadora de servicios básicos de plataforma de que se trate:

a) el tamaño, incluidos el volumen de negocios y la capitalización bursátil, las operaciones y la posición de dicha empresa;

b) el número de usuarios profesionales que utilizan el servicio básico de plataforma para llegar a los usuarios finales y el número de usuarios finales;

c) los efectos de red y las ventajas derivadas de los datos, en particular en relación con el acceso de dicha empresa a los datos personales y los datos no personales, con la recopilación de esos datos por parte de la empresa o con sus capacidades de análisis;

d) cualesquiera efectos relacionados con la escala o el alcance de los que se beneficie la empresa, en particular con respecto a los datos y, en su caso, a sus actividades fuera de la Unión;

e) la cautividad de los usuarios profesionales o finales, incluidos los costes que conlleva el cambio de empresa prestadora y los sesgos de comportamiento que reducen la capacidad de los usuarios profesionales y los usuarios finales para cambiar de empresa prestadora o recurrir a varias para un mismo servicio;

f) una estructura de conglomerado empresarial o una integración vertical de la empresa que, por ejemplo, le permita compensar ganancias y pérdidas entre actividades, combinar datos procedentes de distintas fuentes o aprovechar su posición, o

g) otras características estructurales de las empresas o servicios.

Al realizar su valoración de conformidad con lo dispuesto en el presente apartado, la Comisión tendrá en cuenta la evolución previsible por lo que respecta a los elementos enumerados en el párrafo segundo, en particular cualquier concentración prevista que afecte a otra empresa prestadora de servicios básicos de plataforma o de cualquier otro servicio en el sector digital o que posibilite la recopilación de datos.

Cuando una empresa prestadora de un servicio básico de plataforma que no alcance los umbrales cuantitativos establecidos en el apartado 2 incumpla las medidas de investigación impuestas por la Comisión de manera significativa, y siga incumpliéndolas después de haber sido invitada a cumplirlas en un plazo razonable y a presentar observaciones, la Comisión podrá, basándose en los datos de los que disponga, designar como guardián de acceso a dicha empresa.

9.   En relación con cada empresa designada como guardián de acceso con arreglo al apartado 4 o al apartado 8, la Comisión enumerará en la decisión de designación los servicios básicos de plataforma pertinentes que preste esa empresa y que sean individualmente una puerta de acceso importante para que los usuarios profesionales lleguen a los usuarios finales tal como se menciona en el apartado 1, letra b).

10.   El guardián de acceso cumplirá las obligaciones establecidas en los artículos 5, 6 y 7 en un plazo de seis meses a partir de que un servicio básico de plataforma se enumere en la decisión de designación en virtud del apartado 9 del presente artículo.

Artículo 4. Revisión de la condición de guardián de acceso

1.   La Comisión podrá, previa petición o por iniciativa propia, reconsiderar, modificar o derogar en cualquier momento una decisión de designación adoptada de conformidad con el artículo 3 por una de las siguientes razones:

a) cualquiera de los hechos en que se basó la decisión de designación ha cambiado sustancialmente;

b) la decisión de designación se basó en información incompleta, incorrecta o engañosa.

2.   Periódicamente, y al menos cada tres años, la Comisión revisará si los guardianes de acceso siguen cumpliendo los requisitos establecidos en el artículo 3, apartado 1. En dicha revisión también se examinará si procede modificar la lista de servicios básicos de plataforma del guardián de acceso que son individualmente una puerta de acceso importante para que los usuarios profesionales lleguen a los usuarios finales, tal como se menciona en el artículo 3, apartado 1, letra b). Tal revisión no tendrá efecto suspensivo alguno por lo que respecta a las obligaciones del guardián de acceso.

Asimismo, la Comisión examinará, al menos cada año, si nuevas empresas prestadoras de servicios básicos de plataforma cumplen dichos requisitos.

La Comisión adoptará una decisión por la que se confirme, modifique o derogue la decisión de designación cuando considere, basándose en las revisiones con arreglo al párrafo primero, que han cambiado los hechos en los que se basó la designación de las empresas prestadoras de servicios básicos de plataforma como guardianes de acceso.

3.   La Comisión publicará y actualizará una lista de guardianes de acceso y la lista de servicios básicos de plataforma respecto de los que los guardianes de acceso deben cumplir las obligaciones establecidas en el capítulo III de manera continuada.

CAPÍTULO III. PRACTICAS DE LOS GUARDIANES DE ACCESO QUE LIMITAN LA DISPUTABILIDAD O SON DESLEALES

Artículo 5. Obligaciones de los guardianes de acceso

1.   El guardián de acceso dará cumplimiento a todas las obligaciones establecidas en el presente artículo para cada uno de sus servicios básicos de plataforma enumerados en la decisión de designación con arreglo al artículo 3, apartado 9.

2.   El guardián de acceso se abstendrá de realizar lo siguiente:

a) tratar, con el fin de prestar servicios de publicidad en línea, los datos personales de los usuarios finales que utilicen servicios de terceros que hagan uso de servicios básicos de plataforma del guardián de acceso;

b) combinar datos personales procedentes de los servicios básicos de plataforma pertinentes con datos personales procedentes de cualesquiera servicios básicos de plataforma adicionales o de cualquier otro servicio que proporcione el guardián de acceso o con datos personales procedentes de servicios de terceros;

c) cruzar datos personales procedentes del servicio básico de plataforma pertinente con otros servicios que proporcione el guardián de acceso por separado, entre ellos otros servicios básicos de plataforma, y viceversa, y

d) iniciar la sesión de usuarios finales en otros servicios del guardián de acceso para combinar datos personales;

salvo que se le haya presentado al usuario final esa opción específica y este haya dado su consentimiento en el sentido del artículo 4, punto 11, y del artículo 7 del Reglamento (UE) 2016/679.

Cuando el usuario final haya denegado o retirado el consentimiento prestado a los fines del párrafo primero, el guardián de acceso no solicitará el consentimiento para el mismo fin más de una vez en el plazo de un año.

El presente apartado se entiende sin perjuicio de la posibilidad de que el guardián de acceso se base en el artículo 6, apartado 1, letras c), d) y e), del Reglamento (UE) 2016/679, cuando sea aplicable.

3.   El guardián de acceso se abstendrá de aplicar obligaciones que impidan a los usuarios profesionales ofrecer los mismos productos o servicios a usuarios finales a través de servicios de intermediación en línea de terceros o de su propio canal de venta directa en línea a precios o condiciones que sean diferentes de los ofrecidos a través de los servicios de intermediación en línea del guardián de acceso.

4.   El guardián de acceso permitirá a los usuarios profesionales, de forma gratuita, comunicar y promover ofertas, en particular con condiciones diferentes, entre los usuarios finales adquiridos a través de su servicio básico de plataforma u otros canales y celebrar contratos con esos usuarios finales, independientemente de si, para este fin, utilizan los servicios básicos de plataforma del guardián de acceso.

5.   El guardián de acceso permitirá a los usuarios finales, a través de sus servicios básicos de plataforma, acceder a contenidos, suscripciones, prestaciones u otros elementos y hacer uso de ellos mediante aplicaciones informáticas de un usuario profesional, también cuando dichos usuarios finales hayan adquirido estos elementos a través del usuario profesional pertinente sin utilizar los servicios básicos de plataforma del guardián de acceso.

6.   El guardián de acceso no impedirá directa o indirectamente que los usuarios profesionales o usuarios finales puedan presentar ante cualquier autoridad pública pertinente, incluidos los órganos jurisdiccionales nacionales, reclamaciones por incumplimiento del guardián de acceso del Derecho de la Unión o el Derecho nacional pertinente, en relación con cualquier práctica del guardián de acceso, o de limitar su posibilidad de hacerlo. Esto se entiende sin perjuicio del derecho de los usuarios profesionales y de los guardianes de acceso a establecer en sus contratos las condiciones de uso de mecanismos legales para la tramitación de reclamaciones.

7.   El guardián de acceso no exigirá a los usuarios finales que utilicen un servicio de identificación, un motor de navegación web o un servicio de pago o servicios técnicos de ese guardián de acceso que permitan la prestación de servicios de pago, como los sistemas de pago para realizar compras integradas en una aplicación de dicho guardián de acceso, en el marco de los servicios prestados por los usuarios profesionales que utilicen los servicios básicos de plataforma de dicho guardián de acceso; y, en el caso de los usuarios profesionales, el guardián de acceso no les exigirá que utilicen y ofrezcan estos servicios ni que interoperen con ellos.

8.   El guardián de acceso no exigirá a los usuarios profesionales o a los usuarios finales que se suscriban o registren en cualquier servicio básico de plataforma adicional enumerado en la decisión de designación con arreglo al artículo 3, apartado 9, o que cumpla los umbrales establecidos en el artículo 3, apartado 2, letra b), como condición para poder utilizar cualquiera de los servicios básicos de plataforma de ese guardián de acceso enumerados con arreglo a ese artículo, así como acceder a ellos, inscribirse o registrarse en ellos.

9.   El guardián de acceso proporcionará a cada anunciante al que preste servicios de publicidad en línea, o a terceros autorizados por los anunciantes, a petición del anunciante, información diaria y gratuita sobre cada anuncio del anunciante, en relación con:

a) el precio y las comisiones pagados por ese anunciante, incluidas todas las deducciones y recargos, por cada uno de los servicios de publicidad en línea pertinentes prestados por el guardián de acceso;

b) la remuneración recibida por el editor con su consentimiento, incluidas todas las deducciones y recargos, y

c) las medidas a partir de las que se calculan cada uno de los precios, comisiones y remuneraciones.

En caso de que un editor no dé su consentimiento a que se comparta información relativa a la remuneración recibida, a que se refiere el párrafo primero, letra b), el guardián de acceso proporcionará gratuitamente a cada anunciante información relativa a la remuneración media diaria recibida por dicho editor, incluidas todas las deducciones y recargos, por los anuncios pertinentes.

10.   El guardián de acceso proporcionará a cada editor al que preste servicios de publicidad en línea, o a terceros autorizados por los editores, a petición del editor, información diaria y gratuita sobre cada anuncio que aparezca en el inventario del editor, en relación con:

a) la remuneración recibida y las comisiones pagadas por ese editor, incluidas todas las deducciones y recargos, por cada uno de los servicios de publicidad en línea pertinentes prestados por el guardián de acceso;

b) el precio pagado por el anunciante con su consentimiento, incluidas todas las deducciones y recargos, y

c) la métrica a partir de la que se calcula cada uno de los precios y remuneraciones.

En caso de que un anunciante no dé su consentimiento a que se comparta información, el guardián de acceso proporcionará gratuitamente a cada editor información relativa al precio medio diario pagado por dicho anunciante, incluidas todas las deducciones y recargos, por los anuncios pertinentes.

Artículo 6. Obligaciones de los guardianes de acceso que pueden ser especificadas con mayor detalle en virtud del artículo 8

1.   El guardián de acceso dará cumplimiento a todas las obligaciones establecidas en el presente artículo para cada uno de sus servicios básicos de plataforma enumerados en la decisión de designación con arreglo al artículo 3, apartado 9.

2.   El guardián de acceso no utilizará, en competencia con los usuarios profesionales, ningún dato que no sea públicamente accesible generado o proporcionado por dichos usuarios profesionales en el contexto de su uso de los servicios básicos de plataforma pertinentes o de los servicios prestados junto con los servicios básicos de plataforma pertinentes, o en apoyo de tales servicios, incluidos los datos generados o proporcionados por los clientes de dichos usuarios profesionales.

A los efectos del párrafo primero, los datos que no sean públicamente accesibles incluirán todos los datos agregados y desagregados generados por los usuarios profesionales que puedan inferirse o recopilarse a través de las actividades comerciales de los usuarios profesionales o sus usuarios finales, entre ellos los datos sobre los clics, las búsquedas, las visualizaciones y la voz, en los servicios básicos de plataforma pertinentes o en los servicios prestados junto con los servicios básicos de plataforma del guardián de acceso pertinentes, o en apoyo de tales servicios.

3.   El guardián de acceso permitirá y posibilitará técnicamente a los usuarios finales desinstalar con facilidad cualquier aplicación informática del sistema operativo de dicho guardián de acceso, sin perjuicio de la posibilidad de que dicho guardián de acceso restrinja la desinstalación de aplicaciones informáticas preinstaladas que sean esenciales para el funcionamiento del sistema operativo o el dispositivo y que, desde un punto de vista técnico, no puedan ser ofrecidos de manera autónoma por terceros.

El guardián de acceso permitirá y posibilitará técnicamente a los usuarios finales modificar con facilidad la configuración por defecto del sistema operativo, del asistente virtual y del navegador web del guardián de acceso cuando estos dirijan u orienten a los usuarios finales hacia productos o servicios que ofrezca el guardián de acceso. Eso incluye solicitar a los usuarios finales, en el momento en que estos utilicen por primera vez un motor de búsqueda en línea, un asistente virtual o un navegador web del guardián de acceso que se enumere en la decisión de designación con arreglo al artículo 3, apartado 9, que elijan, de entre una lista de los principales prestadores de servicios disponibles, el motor de búsqueda en línea, el asistente virtual o el navegador al que el sistema operativo del guardián de acceso dirija u oriente a los usuarios por defecto, y el motor de búsqueda en línea al que el asistente virtual y el navegador del guardián de acceso dirijan u orienten a los usuarios por defecto.

4.   El guardián de acceso permitirá y posibilitará técnicamente la instalación y el uso efectivo de aplicaciones informáticas o tiendas de aplicaciones informáticas de terceros que utilicen su sistema operativo o interoperen con él, y permitirá el acceso a estas aplicaciones informáticas o tiendas de aplicaciones informáticas por medios distintos a los servicios básicos de plataforma pertinentes de dicho guardián de acceso. El guardián de acceso, no impedirá, en su caso, que las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros descargadas soliciten a los usuarios finales que decidan si desean configurar dicha aplicación informática o tienda de aplicaciones informáticas descargada como opción por defecto. El guardián de acceso posibilitará técnicamente que los usuarios finales que decidan configurar esa aplicación informática o tienda de aplicaciones informáticas descargada como opción por defecto puedan efectuar el cambio con facilidad.

En la medida en que estas sean estrictamente necesarias y proporcionadas, no se impedirá al guardián de acceso adoptar medidas para garantizar que las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros no pongan en peligro la integridad del hardware o del sistema operativo proporcionado por el guardián de acceso, siempre que tales medidas no excedan de lo estrictamente necesario y proporcionado y estén debidamente justificadas por el guardián de acceso.

Asimismo, en la medida en que estas sean estrictamente necesarias y proporcionadas tampoco se impedirá al guardián de acceso aplicar unas medidas y una configuración distintas a la configuración por defecto que permitan a los usuarios finales proteger con eficacia la seguridad en relación con las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros, siempre que tales medidas y tal configuración distintas a la configuración por defecto estén debidamente justificadas por el guardián de acceso.

5.   El guardián de acceso no tratará más favorablemente, ni en la clasificación ni en las funciones relacionadas de indexado y rastreo, a los servicios y productos ofrecidos por el propio guardián de acceso que a los servicios o productos similares de terceros. El guardián de acceso aplicará condiciones transparentes, equitativas y no discriminatorias a dicha clasificación.

6.   El guardián de acceso no restringirá, técnicamente o de otra manera, la capacidad de los usuarios finales para cambiar entre diferentes aplicaciones informáticas y servicios accesibles mediante los servicios básicos de plataforma del guardián de acceso, y suscribirse a ellos, también en lo que respecta a la elección de los servicios de acceso a internet para los usuarios finales.

7.   El guardián de acceso permitirá a los prestadores de servicios y a los suministradores de hardware interoperar de forma gratuita y efectiva con las mismas funciones del hardware y el software accesibles o controlables a través del sistema operativo o del asistente virtual enumerado en la decisión de designación con arreglo al artículo 3, apartado 9, que se encuentren disponibles para los servicios o el hardware prestados o suministrados por el guardián de acceso; y permitirá también el acceso a esas funciones con fines de interoperabilidad. Asimismo, el guardián de acceso permitirá a los usuarios profesionales y prestadores alternativos de servicios prestados junto con los servicios básicos de plataforma, o en apoyo de tales servicios, la interoperabilidad gratuita y efectiva con las mismas funciones del sistema operativo, el hardware o el software, y el acceso a esas funciones con fines de interoperabilidad, con independencia de si tales funciones forman o no parte del sistema operativo, de si están disponibles para ese guardián de acceso o de si las utiliza a la hora de prestar tales servicios.

No se impedirá al guardián de acceso adoptar medidas estrictamente necesarias y proporcionadas para garantizar que la interoperabilidad no comprometa la integridad de las funciones del sistema operativo, el asistente virtual, el hardware o el software suministrados por el guardián de acceso, siempre que este justifique debidamente estas medidas.

8.   El guardián de acceso proporcionará a los anunciantes y los editores, así como a terceros autorizados por los anunciantes y los editores, a petición de estos y de forma gratuita, acceso a los instrumentos de medición del rendimiento del guardián de acceso y a los datos necesarios para que los anunciantes y los editores puedan realizar su propia verificación independiente del inventario de anuncios, incluidos los datos agregados y desagregados. Esos datos se proporcionarán de tal manera que se posibilite a los anunciantes y los editores utilizar sus propios instrumentos de verificación y medición para valorar el rendimiento de los servicios básicos de plataforma prestados por el guardián de acceso.

9.   El guardián de acceso proporcionará a los usuarios finales y a terceros autorizados por un usuario final, a petición de estos y de forma gratuita, la portabilidad efectiva de los datos proporcionados por el usuario final o generados por la actividad del usuario final en el contexto del uso del servicio básico de plataforma pertinente, por ejemplo proporcionando instrumentos gratuitos para facilitar el ejercicio efectivo de dicha portabilidad de los datos, así como acceso continuo y en tiempo real a tales datos.

10.   El guardián de acceso proporcionará a los usuarios profesionales y a terceros autorizados por un usuario profesional, a petición de estos y de forma gratuita, el acceso efectivo, de calidad, continuo y en tiempo real a los datos agregados o desagregados, y el uso de tales datos, incluidos los datos personales, que se proporcionen o se generen en el contexto de la utilización de los servicios básicos de plataforma o de los servicios prestados junto con los servicios básicos de plataforma pertinentes, o en apoyo de tales servicios, por parte de dichos usuarios profesionales y de los usuarios finales que recurran a los productos o servicios prestados por dichos usuarios profesionales. En relación con los datos personales, el guardián de acceso proporcionará tal acceso a los datos personales o su uso únicamente cuando tales datos estén directamente relacionados con el uso que los usuarios finales hayan hecho con respecto a los productos o servicios ofrecidos por el usuario profesional de que se trate a través del servicio básico de plataforma pertinente, y cuando el usuario final opte por tal intercambio prestando su consentimiento.

11.   El guardián de acceso proporcionará a terceras empresas proveedoras de motores de búsqueda en línea, a petición de estas, el acceso en condiciones equitativas, razonables y no discriminatorias a datos sobre clasificaciones, consultas, clics y visualizaciones en relación con la búsqueda gratuita y de pago generados por los usuarios finales en sus motores de búsqueda en línea. Cualesquiera de tales datos sobre consultas, clics y visualizaciones que sean datos personales se anonimizarán.

12.   El guardián de acceso aplicará a los usuarios profesionales condiciones generales equitativas, razonables y no discriminatorias de acceso a sus tiendas de aplicaciones informáticas, motores de búsqueda en línea y servicios de redes sociales en línea enumerados en la decisión de designación de conformidad con el artículo 3, apartado 9.

A tal fin, el guardián de acceso publicará las condiciones generales de acceso, incluido un mecanismo alternativo de resolución de litigios.

La Comisión valorará si las condiciones generales de acceso publicadas cumplen lo dispuesto en el presente apartado.

13.   El guardián de acceso no establecerá condiciones generales para poner fin a la prestación de un servicio básico de plataforma que sean desproporcionadas. El guardián de acceso garantizará que las condiciones para la resolución puedan ejercerse sin dificultades indebidas.

Artículo 7. Obligación de los guardianes de acceso en materia de interoperabilidad de los servicios de comunicaciones interpersonales independientes de la numeración

1.   Cuando un guardián de acceso preste servicios de comunicaciones interpersonales independientes de la numeración que se enumeren en la decisión de designación con arreglo al artículo 3, apartado 9, hará que las funcionalidades básicas de sus servicios de comunicaciones interpersonales independientes de la numeración sean interoperables con los servicios de comunicaciones interpersonales independientes de la numeración de otro proveedor que ofrezca o tenga intención de ofrecer tales servicios en la Unión, proporcionando las interfaces técnicas necesarias o soluciones similares que faciliten la interoperabilidad, previa solicitud y de forma gratuita.

2.   El guardián de acceso garantizará al menos la interoperabilidad de las siguientes funcionalidades básicas a que se refiere el apartado 1 cuando él mismo proporcione dichas funcionalidades a sus propios usuarios finales:

a) tras la inclusión en la lista de la decisión de designación con arreglo al artículo 3, apartado 9:

i) los mensajes de texto de extremo a extremo entre dos usuarios finales individuales,

ii) el intercambio de imágenes, mensajes de voz, vídeos y otros archivos que se adjunten a la comunicación de extremo a extremo entre dos usuarios finales individuales;

b) en el plazo de dos años a partir de la designación:

i) los mensajes de texto de extremo a extremo entre grupos de usuarios finales individuales,

ii) el intercambio de imágenes, mensajes de voz, vídeos y otros archivos que se adjunten a la comunicación de extremo a extremo entre un chat en grupo y un usuario final individual;

c) en el plazo de cuatro años a partir de la designación:

i) las llamadas de voz de extremo a extremo entre dos usuarios finales individuales,

ii) las videollamadas de extremo a extremo entre dos usuarios finales individuales,

iii) las llamadas de voz de extremo a extremo entre un chat en grupo y un usuario final individual,

iv) las videollamadas de extremo a extremo entre un chat en grupo y un usuario final individual.

3.   El nivel de seguridad, incluido el cifrado de extremo a extremo, en su caso, que proporcione el guardián de acceso a sus propios usuarios finales se mantendrá en todos los servicios interoperables.

4.   El guardián de acceso publicará una oferta de referencia que establezca los detalles técnicos y los principios y condiciones generales de la interoperabilidad con sus servicios de comunicaciones interpersonales independientes de la numeración, entre ellos los detalles necesarios en relación con el nivel de seguridad y el cifrado de extremo a extremo. El guardián de acceso publicará dicha oferta de referencia en el plazo establecido en el artículo 3, apartado 10, y la actualizará cuando sea necesario.

5.   Tras la publicación de la oferta de referencia con arreglo al apartado 4, cualquier proveedor de servicios de comunicaciones interpersonales independientes de la numeración que ofrezca o tenga intención de ofrecer tales servicios en la Unión podrá solicitar la interoperabilidad con los servicios de comunicaciones interpersonales independientes de la numeración prestados por el guardián de acceso. Dicha solicitud podrá incluir algunas de las funcionalidades básicas enumeradas en el apartado 2 o todas ellas. El guardián de acceso dará curso a toda solicitud de interoperabilidad razonable en un plazo de tres meses desde la recepción de esta, haciendo operativas las funcionalidades básicas solicitadas.

6.   Con carácter excepcional, la Comisión podrá, previa petición motivada del guardián de acceso, prorrogar los plazos de cumplimiento establecidos en los apartados 2 o 5 cuando el guardián de acceso demuestre que tal prórroga es necesaria para garantizar la interoperabilidad efectiva y para mantener el nivel de seguridad exigido, incluido el cifrado de extremo a extremo, en su caso.

7.   Los usuarios finales de los servicios de comunicaciones interpersonales independientes de la numeración del guardián de acceso y del proveedor de servicios de comunicaciones interpersonales independientes de la numeración solicitante seguirán teniendo libertad para decidir si hacen uso de las funcionalidades básicas interoperables que puede proporcionar el guardián de acceso con arreglo al apartado 1.

8.   El guardián de acceso solo recopilará e intercambiará con el proveedor de servicios de comunicaciones interpersonales independientes de la numeración que presente una solicitud de interoperabilidad los datos personales de los usuarios finales que sean estrictamente necesarios para proporcionar una interoperabilidad efectiva. Tal recopilación e intercambio de datos personales de los usuarios finales será plenamente conforme con lo dispuesto en el Reglamento (UE) 2016/679 y en la Directiva 2002/58/CE.

9.   No se impedirá al guardián de acceso adoptar medidas para garantizar que los proveedores terceros de servicios de comunicaciones interpersonales independientes de la numeración que soliciten la interoperabilidad no pongan en peligro la integración, seguridad y confidencialidad de sus servicios, siempre que dichas medidas sean estrictamente necesarias y proporcionadas, y estén debidamente justificadas por el guardián de acceso.

Artículo 8. Cumplimiento de las obligaciones de los guardianes de acceso

1.   El guardián de acceso garantizará y demostrará el cumplimiento de las obligaciones establecidas en los artículos 5, 6 y 7 del presente Reglamento. Las medidas aplicadas por el guardián de acceso para garantizar el cumplimiento de dichos artículos deberán ser eficaces para alcanzar los objetivos del presente Reglamento y de la obligación correspondiente. El guardián de acceso garantizará que la aplicación de esas medidas sea conforme con el Derecho aplicable, en particular con el Reglamento (UE) 2016/679, la Directiva 2002/58/CE, la legislación sobre seguridad cibernética, protección de los consumidores y seguridad de los productos, y con los requisitos de accesibilidad.

2.   La Comisión podrá, por iniciativa propia o previa petición de un guardián de acceso con arreglo al apartado 3 del presente artículo, incoar un procedimiento en virtud del artículo 20.

La Comisión podrá adoptar un acto de ejecución en el que se especifiquen las medidas que deberá aplicar el guardián de acceso de que se trate para cumplir efectivamente las obligaciones establecidas en los artículos 6 y 7. Dicho acto de ejecución se adoptará en un plazo de seis meses a partir de la incoación del procedimiento previsto en el artículo 20 de conformidad con el procedimiento consultivo a que se refiere el artículo 50, apartado 2.

Al incoar un procedimiento, por motivos de elusión, en virtud del artículo 13, tales medidas podrán referirse a las obligaciones establecidas en los artículos 5, 6 y 7.

3.   Un guardián de acceso podrá pedir a la Comisión participar en un procedimiento para determinar si las medidas que ese guardián de acceso pretende aplicar o ha aplicado para garantizar el cumplimiento de lo dispuesto en los artículos 6 y 7 son eficaces para alcanzar el objetivo de la obligación correspondiente en las circunstancias específicas del guardián de acceso. La Comisión tendrá facultad discrecional para decidir si participa en tal procedimiento, respetando los principios de igualdad de trato, proporcionalidad y buena administración.

En su petición, el guardián de acceso presentará un escrito motivado para explicar las medidas que pretende aplicar o que ha aplicado. Además, el guardián de acceso facilitará una versión no confidencial de su escrito motivado que podrá compartirse con terceros con arreglo al apartado 6.

4.   Los apartados 2 y 3 del presente artículo se entenderán sin perjuicio de las competencias atribuidas a la Comisión en virtud de los artículos 29, 30 y 31.

5.   Con vistas a la adopción de la decisión prevista en el apartado 2, la Comisión comunicará sus conclusiones preliminares al guardián de acceso en un plazo de tres meses a partir de la incoación del procedimiento previsto en el artículo 20. En las conclusiones preliminares, la Comisión explicará las medidas que considere que debe adoptar o que considere que el guardián de acceso de que se trate debe adoptar para atender eficazmente a las conclusiones preliminares.

6.   Para que los terceros interesados puedan formular observaciones de forma efectiva, al comunicar sus conclusiones preliminares al guardián de acceso con arreglo a lo dispuesto en el apartado 5, o a la mayor brevedad posible después de comunicarlas, la Comisión publicará un resumen no confidencial del asunto y las medidas que esté considerando adoptar o que considere que el guardián de acceso de que se trate debe adoptar. La Comisión marcará un plazo razonable para la presentación de dichas observaciones.

7.   Al especificar las medidas previstas en el apartado 2, la Comisión garantizará que las medidas sean eficaces para alcanzar los objetivos del presente Reglamento y la obligación correspondiente, y proporcionadas en las circunstancias específicas del guardián de acceso y el servicio de que se trate.

8.   A efectos de especificar las obligaciones previstas en el artículo 6, apartados 11 y 12, la Comisión valorará también si las medidas previstas o aplicadas garantizan que no permanezca ningún desequilibrio entre los derechos y las obligaciones de los usuarios profesionales y que las medidas no confieren en sí mismas una ventaja para el guardián de acceso que sea desproporcionada en comparación con el servicio prestado por el guardián de acceso a los usuarios profesionales.

9.   Con respecto al procedimiento previsto en el apartado 2, la Comisión, previa petición o por iniciativa propia, podrá decidir volver a incoar el procedimiento cuando:

a) se haya producido un cambio significativo en cualquiera de los hechos en los que se basó la decisión, o

b) la decisión se haya basado en información incompleta, incorrecta o engañosa, o

c) las medidas especificadas en la decisión no sean eficaces.

Artículo 9. Suspensión

1.   Cuando el guardián de acceso demuestre en una petición motivada que el cumplimiento de una obligación específica establecida en los artículos 5, 6 o 7 para un servicio básico de plataforma enumerado en la decisión de designación con arreglo al artículo 3, apartado 9, pondría en peligro, debido a circunstancias excepcionales que escapan a su control, la viabilidad económica de sus operaciones en la Unión, la Comisión podrá adoptar un acto de ejecución en el que establezca su decisión de suspender total o parcialmente, de manera excepcional, la obligación específica a que se refiere dicha petición motivada (en lo sucesivo, «decisión de suspensión»). En ese acto de ejecución, la Comisión fundamentará su decisión de suspensión indicando las circunstancias excepcionales que justifican la suspensión. Tal acto de ejecución se limitará en la medida y la duración necesarias para hacer frente a dicha amenaza a la viabilidad del guardián de acceso. La Comisión procurará adoptar ese acto de ejecución sin demora y a más tardar tres meses después de la recepción de una petición motivada completa. Dicho acto de ejecución se adoptará de conformidad con el procedimiento consultivo contemplado en el artículo 50, apartado 2.

2.   Cuando la suspensión se conceda con arreglo al apartado 1, la Comisión revisará anualmente su decisión de suspensión, a menos que en la decisión se especifique un período más breve. Tras dicha revisión, la Comisión levantará total o parcialmente la suspensión o decidirá que las condiciones establecidas en el apartado 1 deben seguir cumpliéndose.

3.   En caso de urgencia y previa petición motivada de un guardián de acceso, la Comisión podrá suspender provisionalmente la aplicación de una obligación específica contemplada en el apartado 1 para uno o varios servicios básicos de plataforma individuales ya antes de adoptar la decisión prevista en ese apartado. Dicha petición podrá ser presentada y concedida en cualquier momento en espera de la valoración de la Comisión con arreglo al apartado 1.

4.   Al examinar la petición a que se refieren los apartados 1 y 3, la Comisión tendrá en cuenta, en particular, la repercusión del cumplimiento de la obligación específica en la viabilidad económica de las operaciones del guardián de acceso en la Unión y en terceros, en particular pymes y consumidores. La suspensión podrá estar supeditada a las condiciones y obligaciones que defina la Comisión para garantizar un equilibrio justo entre esos intereses y los objetivos del presente Reglamento.

Artículo 10. Exención por motivos de salud pública y de seguridad pública

1.   Previa petición motivada de un guardián de acceso o por iniciativa propia, la Comisión podrá adoptar un acto de ejecución que establezca su decisión de eximir a ese guardián de acceso, total o parcialmente, de una obligación específica establecida en los artículos 5, 6 o 7 en relación con un servicio básico de plataforma enumerado en la decisión de designación con arreglo al artículo 3, apartado 9, cuando dicha exención esté justificada por los motivos que figuran en el apartado 3 del presente artículo (en lo sucesivo, «decisión de exención»). La Comisión adoptará la decisión de exención en un plazo de tres meses después de la recepción de una petición motivada completa y facilitará una declaración motivada en la que explique los motivos de exención. Dicho acto de ejecución se adoptará de conformidad con el procedimiento consultivo contemplado en el artículo 50, apartado 2.

2.   Cuando se conceda una exención con arreglo al apartado 1, la Comisión revisará su decisión de exención cuando deje de existir el motivo de dicha exención o al menos cada año. Tras dicha revisión, la Comisión levantará total o parcialmente la exención o decidirá que deben seguir cumpliéndose las condiciones establecidas en el apartado 1.

3.   La exención en virtud del apartado 1 solo podrá concederse por motivos de salud pública o seguridad pública.

4.   En caso de urgencia y previa petición motivada de un guardián de acceso o por iniciativa propia, la Comisión podrá suspender provisionalmente la aplicación de una obligación específica contemplada en el apartado 1 para uno o varios servicios básicos de plataforma individuales ya antes de adoptar la decisión prevista en ese apartado. Dicha petición podrá ser presentada y concedida en cualquier momento en espera de la valoración de la Comisión con arreglo al apartado 1.

5.   Al examinar la petición a que se refieren los apartados 1 y 4, la Comisión tendrá en cuenta, en particular, la repercusión del cumplimiento de la obligación específica por los motivos previstos en el apartado 3, así como las consecuencias para el guardián de acceso correspondiente y para terceros. La Comisión podrá supeditar la suspensión a las condiciones y obligaciones para garantizar un equilibrio justo entre los objetivos que persiguen los motivos previstos en el apartado 3 y los objetivos del presente Reglamento.

Artículo 11. Informes

1.   En un plazo de seis meses tras su designación con arreglo al artículo 3, y de conformidad el artículo 3, apartado 10, el guardián de acceso proporcionará a la Comisión un informe en el que se describan de manera detallada y transparente las medidas que ha aplicado para garantizar el cumplimiento de las obligaciones establecidas en los artículos 5, 6 y 7.

2.   En el plazo a que se refiere el apartado 1, el guardián de acceso publicará un resumen no confidencial de dicho informe y se lo proporcionará a la Comisión.

El guardián de acceso actualizará el informe y el resumen no confidencial al menos una vez al año.

La Comisión facilitará en su sitio web un enlace a ese resumen no confidencial.

Artículo 12. Actualización de las obligaciones de los guardianes de acceso

1.   La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 49 por los que se complete el presente Reglamento respecto a las obligaciones establecidas en los artículos 5 y 6. Estos actos delegados se basarán en una investigación de mercado con arreglo al artículo 19 que haya determinado la necesidad de actualizar dichas obligaciones para hacer frente a las prácticas que limitan la disputabilidad de los servicios básicos de plataforma o que son desleales de la misma manera que las prácticas a que se refieren las obligaciones establecidas en los artículos 5 y 6.

2.   El alcance de un acto delegado adoptado de conformidad con el apartado 1 se limitará a:

a) ampliar una obligación que solo se aplica en relación con determinados servicios básicos de plataforma a otros servicios básicos de plataforma enumerados en el artículo 2, punto 2;

b) ampliar una obligación que beneficia a determinados usuarios profesionales o usuarios finales, de modo que beneficie a otros usuarios profesionales o usuarios finales;

c) especificar la forma en que los guardianes de acceso deben atender a las obligaciones establecidas en los artículos 5 y 6, a fin de garantizar el cumplimiento efectivo de las mismas;

d) ampliar una obligación que solo se aplica en relación con determinados servicios prestados junto con los servicios básicos de plataforma, o en apoyo de estos, a otros servicios prestados junto con los servicios básicos de plataforma, o en apoyo de estos;

e) ampliar una obligación que solo se aplica en relación con determinados tipos de datos a otros tipos de datos;

f) introducir nuevas condiciones cuando una obligación imponga determinadas condiciones con respecto al comportamiento del guardián de acceso, o

g) aplicar una obligación que rija la relación entre varios servicios básicos de plataforma del guardián de acceso a la relación entre un servicio básico de plataforma y otros servicios del guardián de acceso.

3.   La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 49 por los que se modifique el presente Reglamento en lo que respecta a la lista de funcionalidades básicas indicadas en el artículo 7, apartado 2, añadiendo o suprimiendo funcionalidades de los servicios de comunicaciones interpersonales independientes de la numeración.

Esos actos delegados se basarán en una investigación de mercado con arreglo al artículo 19 que haya determinado la necesidad de actualizar dichas obligaciones para hacer frente a las prácticas que limitan la disputabilidad de los servicios básicos de plataforma o que son desleales de la misma manera que las prácticas a que se refieren las obligaciones establecidas en el artículo 7.

4.   La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 49 por los que se complete el presente Reglamento en lo que respecta a las obligaciones establecidas en el artículo 7 especificando la forma en que debe atenderse a dichas obligaciones a fin de garantizar su cumplimiento efectivo. Estos actos delegados se basarán en una investigación de mercado con arreglo al artículo 19 que determine la necesidad de actualizar dichas obligaciones para hacer frente a las prácticas que limitan la disputabilidad de los servicios básicos de plataforma o que son desleales de la misma manera que las prácticas a que se refieren las obligaciones establecidas en el artículo 7.

5.   Se considerará que una práctica contemplada en los apartados 1, 3 y 4 limita la disputabilidad de los servicios básicos de plataforma o es desleal cuando:

a) dicha práctica sea ejercida por los guardianes de acceso y pueda obstaculizar la innovación y limitar las posibilidades de elección de los usuarios profesionales y los usuarios finales debido a que:

i) afecte o amenace con afectar a la disputabilidad de un servicio básico de plataforma u otros servicios del sector digital de forma duradera debido a la creación o la consolidación de obstáculos a la entrada de otras empresas o a su desarrollo como prestadoras de un servicio básico de plataforma o de otros servicios del sector digital, o

ii) impida que otros operadores tengan el mismo acceso a un insumo clave que el guardián de acceso, o

b) exista un desequilibrio entre los derechos y las obligaciones de los usuarios profesionales y el guardián de acceso obtenga de los usuarios profesionales una ventaja que sea desproporcionada en comparación con el servicio que preste a dichos usuarios profesionales.

Artículo 13. Antielusión

1.   Una empresa prestadora de servicios básicos de plataforma no segmentará, dividirá, subdividirá, fragmentará o separará servicios a través de medios contractuales, comerciales, técnicos o de otro tipo con el fin de eludir los umbrales cuantitativos establecidos en el artículo 3, apartado 2. Ninguna de estas prácticas de una empresa impedirá que la Comisión la designe guardián de acceso con arreglo al artículo 3, apartado 4.

2.   La Comisión, cuando sospeche que una empresa prestadora de servicios básicos de plataforma incurre en alguna de las prácticas establecidas en el apartado 1, podrá exigir a dicha empresa toda información que considere necesaria para determinar si la empresa de que se trate ha incurrido en dicha práctica.

3.   Los guardianes de acceso garantizarán que se cumplen plena y eficazmente las obligaciones establecidas en los artículos 5, 6 y 7.

4.   Los guardianes de acceso no incurrirán en ningún comportamiento que menoscabe el cumplimiento eficaz de las obligaciones establecidas en los artículos 5, 6 y 7, con independencia de que ese comportamiento sea contractual, comercial, técnico o de cualquier otra naturaleza, o consista en el recurso a técnicas basadas en el comportamiento o al diseño de interfaces.

5.   Cuando se requiera el consentimiento para la recogida, el tratamiento, el cruce y la puesta en común de datos personales para garantizar el cumplimiento del presente Reglamento, los guardianes de acceso adoptarán las medidas necesarias para permitir a los usuarios profesionales obtener directamente el consentimiento necesario para su tratamiento, cuando dicho consentimiento se exija en virtud del Reglamento (UE) 2016/679 o de la Directiva 2002/58/CE, o para cumplir con las normas y principios de protección de datos y privacidad de la Unión de otras maneras, por ejemplo proporcionando a los usuarios profesionales datos debidamente anonimizados cuando sea conveniente. Los guardianes de acceso no harán que la obtención de ese consentimiento por parte del usuario profesional sea más gravosa que para sus propios servicios.

6.   Los guardianes de acceso no degradarán las condiciones o la calidad de ninguno de los servicios básicos de plataforma prestados a los usuarios profesionales o los usuarios finales que se acojan a los derechos u opciones establecidos en los artículos 5, 6 y 7, ni dificultará indebidamente el ejercicio de esos derechos u opciones, incluido el hecho de ofrecer a los usuarios finales opciones de una manera que no sea neutra, o de subvertir la autonomía y la toma de decisiones o la capacidad de elección de los usuarios finales o de los usuarios profesionales a través de la estructura, el diseño, la función o el modo de funcionamiento de la interfaz de usuario o sus componentes.

7.   Cuando los guardianes de acceso eludan o intenten eludir cualesquiera de las obligaciones establecidas en los artículos 5, 6 o 7 de la forma descrita en los apartados 4, 5 y 6 del presente artículo, la Comisión podrá incoar un procedimiento con arreglo al artículo 20 y adoptar un acto de ejecución con arreglo al artículo 8, apartado 2, en el que se especifiquen las medidas que deberán adoptar los guardianes de acceso.

8.   El apartado 6 del presente artículo se entenderá sin perjuicio de las competencias atribuidas a la Comisión en virtud de los artículos 29, 30 y 31.

Artículo 14. Obligación de informar sobre las concentraciones

1.   Los guardianes de acceso informarán a la Comisión de cualquier concentración prevista en el sentido del artículo 3 del Reglamento (CE) nº 139/2004, cuando las entidades fusionadas o la empresa resultante de la concentración presten servicios básicos de plataforma o cualesquiera otros servicios en el sector digital o permitan la recogida de datos, independientemente de que sea notificable a la Comisión en virtud de dicho Reglamento o a una autoridad nacional competente en materia de competencia con arreglo a las normas nacionales sobre concentraciones.

Los guardianes de acceso informarán a la Comisión de dicha concentración antes de su ejecución y tras la celebración del acuerdo, el anuncio de la licitación pública o la adquisición de una participación mayoritaria.

2.   La información facilitada por los guardianes de acceso con arreglo al apartado 1 describirá al menos las empresas afectadas por la concentración, sus volúmenes de negocio anuales en la Unión y en todo el mundo, sus ámbitos de actividad, incluidas las actividades relacionadas directamente con la concentración y el valor de transacción del contrato o una estimación de los mismos, junto con un resumen sobre la concentración, incluida su naturaleza y justificación, así como una lista de los Estados miembros afectados por la concentración.

La información facilitada por los guardianes de acceso también describirá, respecto de cualquier servicio básico de plataforma pertinente, su volumen de negocio anual en la Unión, el número de usuarios profesionales activos anuales y el número de usuarios finales activos mensuales, respectivamente.

3.   Si, tras cualquier concentración contemplada en el apartado 1 del presente artículo, los servicios básicos de plataforma adicionales alcanzan individualmente los umbrales establecidos en el artículo 3, apartado 2, letra b), el guardián de acceso de que se trate informará de ello a la Comisión en un plazo de dos meses a partir de la ejecución de la concentración y facilitará a la Comisión la información a que se refiere el artículo 3, apartado 2.

4.   La Comisión transmitirá a las autoridades competentes de los Estados miembros toda información recibida con arreglo al apartado 1 y publicará anualmente la lista de adquisiciones de las que ha sido informada por los guardianes de acceso con arreglo a dicho apartado.

La Comisión tendrá en cuenta los intereses legítimos de las empresas respecto a la protección de sus secretos comerciales.

5.   Las autoridades competentes de los Estados miembros podrán utilizar la información recibida con arreglo al apartado 1 del presente artículo para solicitar a la Comisión que examine la concentración de conformidad con el artículo 22 del Reglamento (CE) nº 139/2004.

Artículo 15. Obligación de auditoría

1.   Dentro de los seis meses siguientes a su designación en virtud del artículo 3, los guardianes de acceso presentarán a la Comisión una descripción auditada independientemente de las técnicas para elaborar perfiles de los consumidores que apliquen en sus servicios básicos de plataforma enumerados en la decisión de designación con arreglo al artículo 3, apartado 9. La Comisión transmitirá esa descripción auditada al Comité Europeo de Protección de Datos.

2.   La Comisión podrá adoptar un acto de ejecución tal como se contempla en el artículo 46, apartado 1, letra g), para desarrollar la metodología y el procedimiento de la auditoría.

3.   Los guardianes de acceso harán público un resumen de la descripción auditada a que se refiere el apartado 1. Al hacerlo, tendrán derecho a considerar la necesidad de respetar sus secretos comerciales. Los guardianes de acceso actualizarán la descripción y el resumen al menos una vez al año.

CAPÍTULO IV. INVESTIGACIÓN DE MERCADO

Artículo 16. Apertura de una investigación de mercado

1.   Cuando la Comisión se proponga llevar a cabo una investigación de mercado con vistas a la posible adopción de decisiones con arreglo a los artículos 17, 18 y 19, adoptará una decisión de apertura de una investigación de mercado.

2.   No obstante lo dispuesto en el apartado 1, la Comisión podrá ejercer sus competencias de investigación en virtud del presente Reglamento antes de abrir una investigación de mercado con arreglo a dicho apartado.

3.   La decisión a que se refiere el apartado 1 especificará:

a) la fecha de apertura de la investigación de mercado;

b) la descripción del problema al que se refiere la investigación de mercado;

c) la finalidad de la investigación de mercado.

4.   La Comisión podrá reabrir una investigación de mercado que haya concluido cuando:

a) se haya producido un cambio significativo en cualesquiera de los hechos en los que esté basada alguna decisión adoptada con arreglo a los artículos 17, 18 o 19, o

b) la decisión adoptada con arreglo a los artículos 17, 18 o 19 esté basada en información incompleta, incorrecta o engañosa.

5.   La Comisión podrá pedir a una o varias autoridades nacionales competentes que la ayuden en su investigación de mercado.

Artículo 17. Investigación de mercado para designar a los guardianes de acceso

1.   La Comisión podrá llevar a cabo una investigación de mercado con el fin de examinar si debe designarse guardián de acceso de conformidad con el artículo 3, apartado 8, a una empresa prestadora de servicios básicos de plataforma, o para determinar qué servicios básicos de plataforma han de enumerarse en la decisión de designación con arreglo al artículo 3, apartado 9. La Comisión procurará concluir su investigación de mercado en un plazo de doce meses a partir de la fecha que se menciona en el artículo 16, apartado 3, letra a). Al objeto de concluir su investigación de mercado, la Comisión adoptará una decisión mediante un acto de ejecución. Dicho acto de ejecución se adoptará de conformidad con el procedimiento consultivo contemplado en el artículo 50, apartado 2.

2.   Mientras lleva a cabo una investigación de mercado con arreglo al apartado 1 del presente artículo, la Comisión procurará comunicar sus conclusiones preliminares a la empresa prestadora de servicios básicos de plataforma de que se trate en un plazo de seis meses a partir de la fecha que se menciona en el artículo 16, apartado 3, letra a). En las conclusiones preliminares, la Comisión explicará si considera apropiado, con carácter provisional, que se designe a dicha empresa guardián de acceso con arreglo al artículo 3, apartado 8, y que se enumeren los servicios básicos de plataforma correspondientes con arreglo al artículo 3, apartado 9.

3.   Cuando la empresa prestadora de servicios básicos de plataforma respete los umbrales establecidos en el artículo 3, apartado 2, pero haya presentado argumentos suficientemente fundamentados de conformidad con el artículo 3, apartado 5, que hayan puesto en entredicho de forma manifiesta la presunción del artículo 3, apartado 2, la Comisión procurará concluir la investigación de mercado en un plazo de cinco meses a partir de la fecha que se menciona en el artículo 16, apartado 3, letra a).

En tal caso, la Comisión procurará comunicar sus conclusiones preliminares con arreglo al apartado 2 del presente artículo a la empresa de que se trate en un plazo de tres meses a partir de la fecha que se menciona en el artículo 16, apartado 3, letra a).

4.   Cuando la Comisión, con arreglo a artículo 3, apartado 8, designe guardián de acceso a una empresa prestadora de servicios básicos de plataforma que aún no goce de una posición afianzada y duradera en sus operaciones, pero que previsiblemente va a gozar de tal posición en un futuro próximo, podrá declarar aplicables a ese guardián de acceso únicamente una o varias de las obligaciones establecidas en el artículo 5, apartados 3 a 6, y en el artículo 6, apartados 4, 7, 9, 10 y 13, tal como se especifica en la decisión de designación. La Comisión solo declarará aplicables las obligaciones que sean adecuadas y necesarias para evitar que el guardián de acceso de que se trate logre, por medios desleales, una posición afianzada y duradera en sus operaciones. La Comisión revisará tal designación de conformidad con el procedimiento previsto en el artículo  4.

Artículo 18. Investigación de mercado sobre un incumplimiento sistemático

1.   La Comisión podrá llevar a cabo una investigación de mercado con el fin de examinar si un guardián de acceso ha incurrido en un incumplimiento sistemático. La Comisión concluirá dicha investigación de mercado en el plazo de doce meses a partir de la fecha que se menciona en el artículo 16, apartado 3, letra a). La Comisión adoptará mediante un acto de ejecución la decisión de conclusión de la investigación de mercado. Cuando la investigación de mercado ponga de manifiesto que un guardián de acceso ha incumplido sistemáticamente una o varias de las obligaciones establecidas en los artículos 5, 6 o 7 y ha mantenido, reforzado o ampliado su posición de guardián de acceso en relación con los requisitos establecidos en el artículo 3, apartado 1, la Comisión podrá adoptar un acto de ejecución por el que imponga a dicho guardián de acceso cualquier medida correctora del comportamiento o estructural que sea proporcionada y necesaria para garantizar el cumplimiento efectivo del presente Reglamento. Dicho acto de ejecución se adoptará de conformidad con el procedimiento consultivo a que se refiere el artículo 50, apartado 2.

2.   La medida correctora que se imponga de conformidad con el apartado 1 del presente artículo, en la medida en que sea proporcionada y necesaria para mantener o restablecer la equidad y la disputabilidad cuando estas se hayan visto afectadas por un incumplimiento sistemático, podrá incluir la prohibición, durante un tiempo limitado, al guardián de acceso de tomar parte en una concentración en el sentido del artículo 3 del Reglamento (CE) nº 139/2004 en relación con los servicios básicos de plataforma, otros servicios prestados en el sector digital o los servicios que posibiliten la recopilación de datos que se hayan visto afectados por el incumplimiento sistemático.

3.   Se considerará que un guardián de acceso ha incurrido en un incumplimiento sistemático de las obligaciones establecidas en los artículos 5, 6 y 7 cuando la Comisión haya adoptado al menos tres decisiones de incumplimiento con arreglo a artículo 29 contra el guardián de acceso de que se trate en relación con cualesquiera de sus servicios básicos de plataforma dentro de los ocho años anteriores a la adopción de la decisión de apertura de una investigación de mercado en vista de la posible adopción de una decisión con arreglo al presente artículo.

4.   La Comisión comunicará sus conclusiones preliminares al guardián de acceso de que se trate en el plazo de seis meses a partir de la fecha que se menciona en el artículo 16, apartado 3, letra a) En sus conclusiones preliminares, la Comisión explicará si considera, de manera preliminar, que se cumplen las condiciones del apartado 1 del presente artículo y qué medida o medidas correctoras considera, de manera preliminar, necesarias y proporcionadas.

5.   Para que los terceros interesados puedan formular observaciones de manera efectiva, al mismo tiempo que comunica sus conclusiones preliminares sobre el guardián de acceso con arreglo al apartado 4, o a la mayor brevedad posible después de comunicarlas, la Comisión publicará un resumen no confidencial del asunto y las medidas correctoras que esté considerando aplicar. La Comisión fijará un plazo razonable para la presentación de dichas observaciones.

6.   En caso de que la Comisión vaya a adoptar una decisión con arreglo al apartado 1 del presente artículo por la que haga vinculantes los compromisos ofrecidos por el guardián de acceso con arreglo al artículo 25, publicará un resumen no confidencial del caso y el contenido principal de dichos compromisos. Los terceros interesados podrán presentar sus observaciones en un plazo razonable que fijará la Comisión.

7.   Mientras se lleva a cabo la investigación de mercado, la Comisión podrá prorrogar su duración cuando tal prórroga esté justificada por razones objetivas y sea proporcionada. La prórroga podrá aplicarse al plazo en que la Comisión debe formular sus conclusiones preliminares o al plazo de adopción de la decisión definitiva. La duración total de toda prórroga o prórrogas con arreglo al presente apartado no excederá de seis meses.

8.   Con el fin de garantizar que el guardián de acceso cumple efectivamente las obligaciones establecidas en los artículos 5, 6 y 7, la Comisión revisará periódicamente las medidas correctoras que imponga de conformidad con los apartados 1 y 2 del presente artículo. La Comisión tendrá la facultad de modificar tales medidas correctoras si, tras una nueva investigación de mercado, comprueba que estas no son eficaces.

Artículo 19. Investigación de mercado sobre nuevos servicios y nuevas prácticas

1.   La Comisión podrá llevar a cabo una investigación de mercado con el fin de examinar si deben añadirse a la lista de servicios básicos de plataforma establecida en el artículo 2, apartado 2, uno o varios servicios del sector digital, o con el fin de detectar prácticas que limiten la disputabilidad de los servicios básicos de plataforma o que no sean equitativas y no se aborden de forma eficaz en el presente Reglamento. En su examen, la Comisión tendrá en cuenta las conclusiones correspondientes de los procedimientos desarrollados en virtud de los artículos 101 y 102 del TFUE en relación con los mercados digitales, así como cualquier otra circunstancia pertinente.

2.   Cuando lleve a cabo una investigación de mercado con arreglo al apartado 1, la Comisión podrá consultar a terceros, entre los que se incluyen usuarios profesionales y usuarios finales de servicios del sector digital que estén siendo investigados y usuarios profesionales y usuarios finales sujetos a prácticas que estén siendo investigadas.

3.   La Comisión publicará sus conclusiones en un informe en el plazo de dieciocho meses a partir de la fecha que se menciona en el artículo 16, apartado 3, letra a).

Dicho informe se presentará al Parlamento Europeo y al Consejo y, en su caso, irá acompañado de:

a) una propuesta legislativa de modificación del presente Reglamento para incluir servicios adicionales del sector digital en la lista de servicios básicos de plataforma establecida en artículo 2, apartado 2, o para incluir nuevas obligaciones en el capítulo III, o

b) un proyecto de acto delegado que complete el presente Reglamento por cuanto se refiere a las obligaciones establecidas en los artículos 5 y 6, o un proyecto de acto delegado que modifique o complete el presente Reglamento en lo que respecta a las obligaciones previstas en el artículo 7, tal como se dispone en el artículo 12.

En su caso, la propuesta legislativa de modificación del presente Reglamento en virtud de la letra a) del párrafo segundo podrá también proponer la supresión de servicios presentes en la lista de servicios básicos de plataforma establecida en artículo 2, punto 2, o la supresión de obligaciones vigentes de los artículos 5, 6 o 7.

CAPÍTULO V. COMPETENCIAS DE INVESTIGACION, EJECUCION Y SUPERVISION

Artículo 20. Incoación de un procedimiento

1.   Cuando la Comisión se proponga incoar un procedimiento con vistas a la posible adopción de decisiones de conformidad con los artículos 8, 29 y 30, adoptará una decisión de incoación de un procedimiento.

2.   No obstante lo dispuesto en el apartado 1, la Comisión podrá ejercer sus competencias de investigación en virtud del presente Reglamento antes de incoar un procedimiento con arreglo a dicho apartado.

Artículo 21. Solicitudes de información

1.   A fin de ejercer sus funciones en virtud del presente Reglamento, la Comisión podrá, por medio de una simple solicitud o de una decisión, exigir a las empresas y asociaciones de empresas que faciliten toda la información necesaria. La Comisión también podrá, por medio de una simple solicitud o de una decisión, exigir el acceso a cualesquiera datos o algoritmos de las empresas e información sobre las pruebas, así como solicitar explicaciones sobre ellos.

2.   Al enviar una simple solicitud de información a una empresa o asociación de empresas, la Comisión indicará la base jurídica y la finalidad de la solicitud, especificará qué información se requiere y fijará el plazo en el que se debe facilitar la información, así como las multas sancionadoras previstas en el artículo 30 aplicables por proporcionar información o explicaciones incompletas, incorrectas o engañosas.

3.   Cuando por medio de una decisión la Comisión exija a las empresas y asociaciones de empresas que faciliten información, indicará la finalidad de la solicitud, especificará qué información se requiere y fijará el plazo en el que debe facilitarse la información. Cuando la Comisión exija a las empresas que faciliten el acceso a cualesquiera datos y algoritmos y a información sobre las pruebas, indicará la finalidad de la solicitud y fijará el plazo en el que debe facilitarse. Asimismo, indicará las multas sancionadoras previstas en el artículo 30 e indicará o impondrá las multas coercitivas previstas en el artículo 31. Asimismo, indicará el derecho a que la decisión se someta al control del Tribunal de Justicia.

4.   Las empresas o asociaciones de empresas o sus representantes facilitarán la información solicitada en nombre de la empresa o de la asociación de empresas de que se trate. Los abogados debidamente habilitados podrán facilitar la información en nombre de sus clientes. Estos últimos seguirán siendo plenamente responsables si la información proporcionada es incompleta, incorrecta o engañosa.

5.   A petición de la Comisión, las autoridades competentes de los Estados miembros proporcionarán a la Comisión toda la información necesaria que obre en su poder para el desempeño de las funciones que le atribuye el presente Reglamento.

Artículo 22. Competencia para realizar entrevistas y tomar declaraciones

1.   A fin de ejercer sus funciones en virtud del presente Reglamento, la Comisión podrá entrevistar a toda persona física o jurídica que dé su consentimiento para ser entrevistada, a efectos de la recopilación de información, en relación con el objeto de una investigación. La Comisión tendrá la facultad de dejar constancia de dichas entrevistas por cualquier medio técnico.

2.   Cuando una entrevista con arreglo al apartado 1 del presente artículo se realice en los locales de una empresa, la Comisión informará a la autoridad nacional competente del Estado miembro que esté encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, y en cuyo territorio tenga lugar la entrevista. Si así lo solicita dicha autoridad, sus funcionarios podrán ayudar a los funcionarios y demás personas que los acompañen con autorización de la Comisión para realizar la entrevista.

Artículo 23. Competencias para realizar inspecciones

1.   A fin de ejercer sus funciones en virtud del presente Reglamento, la Comisión podrá realizar todas las inspecciones necesarias de las empresas o asociaciones de empresas.

2.   Los funcionarios y demás personas que los acompañen con autorización de la Comisión para realizar una inspección estarán facultados para:

a) acceder a cualquier local, terreno y medio de transporte de las empresas y asociaciones de empresas;

b) examinar los libros y otros documentos relativos a la actividad empresarial, con independencia del soporte en que estén guardados;

c) hacer u obtener copias o extractos, en cualquier formato, de dichos libros o documentos;

d) exigir a la empresa o asociación de empresas que facilite acceso y explicaciones sobre su organización, funcionamiento, sistema informático, algoritmos, gestión de datos y prácticas empresariales, y grabar o documentar las explicaciones obtenidas mediante cualquier medio técnico;

e) precintar todos los locales y libros o documentos de la empresa mientras dure la inspección y en la medida en que sea necesario para esta;

f) solicitar a cualquier representante o miembro del personal de la empresa o de la asociación de empresas explicaciones sobre hechos o documentos relacionados con el objeto y la finalidad de la inspección y dejar constancia de sus respuestas mediante cualquier medio técnico.

3.   Para llevar a cabo las inspecciones, la Comisión podrá solicitar la ayuda de auditores o expertos nombrados por la Comisión de conformidad con el artículo 26, apartado 2, así como la ayuda de la autoridad nacional competente del Estado miembro en cuyo territorio se deba llevar a cabo la inspección que esté encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6.

4.   Durante las inspecciones, la Comisión, los auditores o expertos designados por ella y la autoridad nacional competente del Estado miembro en cuyo territorio se deba realizar la inspección que esté encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, podrán exigir a la empresa o asociación de empresas que facilite acceso y explicaciones sobre su organización, funcionamiento, sistema informático, algoritmos, gestión de datos y prácticas empresariales. La Comisión y los auditores o expertos nombrados por ella y la autoridad nacional competente del Estado miembro en cuyo territorio se deba realizar la inspección que esté encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, podrán formular preguntas a cualquier representante o miembro del personal.

5.   Los funcionarios y demás personas que los acompañen con autorización de la Comisión para realizar una inspección ejercerán sus competencias previa presentación de una autorización escrita que indique el objeto y la finalidad de la inspección, así como las multas sancionadoras previstas en el artículo 30 para el supuesto de que los libros u otros documentos requeridos relativos a la actividad empresarial se presenten de manera incompleta o en caso de que las respuestas a las preguntas formuladas en aplicación de los apartados 2 y 4 del presente artículo sean inexactas o engañosas. La Comisión advertirá de la inspección a la autoridad nacional competente del Estado miembro encargada de hacer cumplir las normas a las que se refiere el artículo 1, apartado 6, en cuyo territorio se haya de realizar con suficiente antelación.

6.   Las empresas o asociaciones de empresas tendrán la obligación de someterse a una inspección que haya sido ordenada por una decisión de la Comisión. En dicha decisión se especificará el objeto y la finalidad de la inspección, se fijará la fecha de inicio y se indicarán las multas sancionadoras y multas coercitivas previstas respectivamente en los artículos 30 y 31, así como el derecho a que la decisión se someta al control del Tribunal de Justicia.

7.   Los funcionarios de la autoridad nacional competente del Estado miembro en cuyo territorio se deba realizar la inspección que esté encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, y toda persona autorizada o nombrada por dicha autoridad nacional, ayudarán activamente, a petición de dicha autoridad o de la Comisión, a los funcionarios y demás personas que los acompañen con autorización de la Comisión. A tal fin, gozarán de las competencias que se establecen en los apartados 2 y 4 del presente artículo.

8.   Cuando los funcionarios y demás personas que los acompañen con autorización de la Comisión constaten que una empresa o asociación de empresas se opone a una inspección ordenada con arreglo al presente artículo, el Estado miembro interesado les prestará la asistencia necesaria, requiriendo, cuando proceda, la acción de la policía o de una fuerza o cuerpo de seguridad equivalente, para permitirles realizar la inspección.

9.   Si, conforme a la normativa nacional, la asistencia prevista en el apartado 8 del presente artículo requiere una autorización judicial, la Comisión o la autoridad nacional competente del Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, o los funcionarios autorizados por dichas autoridades la solicitarán. Esta autorización también podrá ser solicitada como medida cautelar.

10.   Cuando se solicite la autorización prevista en el apartado 9 del presente artículo, la autoridad judicial nacional verificará la autenticidad de la decisión de la Comisión y que las medidas coercitivas previstas no son arbitrarias ni desproporcionadas en relación con el objeto de la inspección. En su control de la proporcionalidad de las medidas coercitivas, la autoridad judicial nacional podrá pedir a la Comisión, directamente o a través de la autoridad nacional competente del Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, explicaciones detalladas referentes en particular a los motivos que tenga la Comisión para sospechar que se ha infringido el presente Reglamento, así como sobre la gravedad de la supuesta infracción y la naturaleza de la participación de la empresa de que se trate. Sin embargo, la autoridad judicial nacional no podrá poner la necesidad de la inspección, ni exigir que se le presente la información que consta en el expediente de la Comisión. La legalidad de la decisión de la Comisión solo estará sujeta al control del Tribunal de Justicia.

Artículo 24. Medidas cautelares

En caso de urgencia debido al riesgo de daños graves e irreparables para los usuarios profesionales o los usuarios finales de los guardianes de acceso, la Comisión podrá adoptar un acto de ejecución en el que se ordenen medidas cautelares contra un guardián de acceso sobre la base de una comprobación de la existencia prima facie de una infracción de los artículos 5, 6 o 7. Únicamente se adoptará dicho acto de ejecución en el marco de un procedimiento iniciado con vistas a la posible adopción de una decisión con arreglo al artículo 29, apartado 1. Se aplicará únicamente durante un período de tiempo determinado y podrá renovarse en la medida en que sea necesario y apropiado. Dicho acto de ejecución se adoptará de conformidad con el procedimiento consultivo a que se refiere el artículo 50, apartado 2.

Artículo 25. Compromisos

1.   Si, durante el procedimiento previsto en el artículo 18, el guardián de acceso ofrece adoptar compromisos para los correspondientes servicios básicos de plataforma con el fin de garantizar el cumplimiento de las obligaciones establecidas en los artículos 5, 6 y 7, la Comisión podrá adoptar un acto de ejecución en el que hará vinculantes esos compromisos para dicho guardián de acceso y declarará que no hay ya motivos para actuar. Dicho acto de ejecución se adoptará de conformidad con el procedimiento consultivo a que se refiere el artículo 50, apartado 2.

2.   La Comisión, previa solicitud o por iniciativa propia, podrá reabrir el procedimiento cuando:

a) se haya producido la modificación la situación de hecho respecto de un elemento esencial de la decisión;

b) el guardián de acceso de que se trate no cumpla sus compromisos;

c) la decisión se haya basado en informaciones incompletas, inexactas o engañosas facilitadas por las partes;

d) los compromisos no se hagan efectivos.

3.   Si la Comisión considera que los compromisos presentados por el guardián de acceso de que se trate no pueden garantizar el cumplimiento efectivo de las obligaciones establecidas en los artículos 5, 6 y 7, explicará los motivos para no hacer que dichos compromisos sean vinculantes en la correspondiente decisión de conclusión del procedimiento.

Artículo 26, Control de las obligaciones y medidas

1.   La Comisión adoptará las acciones necesarias para controlar la aplicación y el cumplimiento efectivos de las obligaciones establecidas en los artículos 5, 6 y 7 y de las decisiones adoptadas en virtud de los artículos 8, 18, 24, 25 y 29. Entre tales acciones se incluye, en particular, la imposición a los guardianes de acceso de la obligación de conservar todos los documentos que se consideren pertinentes para comprobar la aplicación y el cumplimiento de dichas obligaciones y decisiones.

2.   Las acciones previstas en el apartado 1 podrán incluir el nombramiento de expertos y auditores externos independientes, así como el nombramiento de funcionarios de las autoridades nacionales competentes de los Estados miembros, para ayudar a la Comisión a controlar las obligaciones y medidas y proporcionarle experiencia o conocimientos específicos.

Artículo 27. Información de terceros

1.   Cualquier tercero, incluidos los usuarios profesionales, los competidores o los usuarios finales de los servicios básicos de plataforma enumerados en la decisión de designación con arreglo al artículo 3, apartado 9, así como sus representantes, podrá informar a la autoridad nacional competente del Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, o directamente a la Comisión, de cualquier práctica o comportamiento de los guardianes de acceso que entre dentro del ámbito de aplicación del presente Reglamento.

2.   La autoridad nacional competente del Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, y la Comisión tendrán plena discrecionalidad por cuanto se refiere a las medidas adecuadas y no estarán obligadas a hacer un seguimiento de la información recibida.

3.   Cuando la autoridad nacional competente del Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, determine, sobre la base de la información recibida con arreglo al apartado 1 del presente artículo, que puede existir un problema de incumplimiento del presente Reglamento, transmitirá dicha información a la Comisión.

Artículo 28. Función de comprobación del cumplimiento

1.   Los guardianes de acceso establecerán una función de comprobación del cumplimiento que sea independiente de sus funciones operativas y esté integrada por uno o varios agentes de cumplimiento, entre los que se encontrará el responsable de la función de comprobación del cumplimiento.

2.   El guardián de acceso se asegurará de que la función de comprobación del cumplimiento que se contempla en el apartado 1 cuente con la autoridad, la dimensión y los recursos suficientes, así como con acceso al órgano de dirección del guardián de acceso para controlar el cumplimiento del presente Reglamento por parte del guardián de acceso.

3.   El órgano de dirección del guardián de acceso se asegurará de que los agentes de verificación designados con arreglo al apartado 1 posean las cualificaciones profesionales, los conocimientos, la experiencia y la capacidad necesarios para desempeñar las funciones que se contemplan en el apartado 5.

El órgano de dirección del guardián de acceso velará también por que el citado responsable de la función de comprobación del cumplimiento sea un alto directivo independiente con responsabilidad específica por lo que respecta a dicha función de comprobación.

4.   El responsable de la función de verificación del cumplimiento informará directamente al órgano de dirección del guardián de acceso y podrá comunicarle sus preocupaciones y advertencias cuando exista un riesgo de incumplimiento del presente Reglamento, sin perjuicio de las responsabilidades del órgano de dirección en sus funciones de supervisión y gestión.

El responsable de la función de comprobación del cumplimiento no será sustituido sin la aprobación previa del órgano de dirección del guardián de acceso.

5.   Los agentes de cumplimiento que designe el guardián de acceso de conformidad con el apartado 1 tendrán los siguientes cometidos:

a) organizar, supervisar y controlar las medidas y las actividades de los guardianes de acceso encaminadas a garantizar el cumplimiento del presente Reglamento;

b) informar y asesorar a la dirección y los empleados del guardián de acceso respecto al cumplimiento del presente Reglamento;

c) en su caso, controlar el cumplimiento de los compromisos que se hayan hecho vinculantes con arreglo al artículo 25, sin perjuicio de la capacidad de la Comisión para nombrar expertos externos independientes de conformidad con el artículo 26, apartado 2;

d) cooperar con la Comisión a los efectos del presente Reglamento.

6.   Los guardianes de acceso comunicarán a la Comisión el nombre y los datos de contacto del responsable de la función de comprobación del cumplimiento.

7.   El órgano de dirección del guardián de acceso definirá y supervisará la aplicación de los mecanismos de gobernanza del guardián de acceso que garanticen la independencia de la función de comprobación del cumplimiento, y responderá de la aplicación de tales mecanismos, incluido el reparto de responsabilidades en la organización del guardián de acceso y la prevención de conflictos de intereses.

8.   El órgano de dirección aprobará y revisará periódicamente, al menos una vez al año, las estrategias y políticas encaminadas a asumir, gestionar y controlar el cumplimiento del presente Reglamento.

9.   El órgano de dirección dedicará tiempo suficiente a la gestión y control del cumplimiento del presente Reglamento. Participará activamente en las decisiones relativas a la gestión y la ejecución del presente Reglamento y velará por que se les asignen a dichas tareas los recursos adecuados.

Artículo 29. Incumplimiento

1.   La Comisión adoptará un acto de ejecución en el que se recojan las conclusiones a las que llegue en materia de incumplimiento (en lo sucesivo, «decisión de incumplimiento») cuando constate que un guardián de acceso no cumple una o varias de las siguientes condiciones:

a) cualquiera de las obligaciones establecidas en los artículos 5, 6 o 7;

b) las medidas que la Comisión especifique en una decisión adoptada con arreglo al artículo 8, apartado 2;

c) las medidas correctoras impuestas con arreglo al artículo 18, apartado 1;

d) las medidas cautelares ordenadas con arreglo al artículo 24, o

e) los compromisos que se hayan hecho jurídicamente vinculantes con arreglo al artículo 25.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 50, apartado 2.

2.   La Comisión procurará adoptar su decisión de incumplimiento en un plazo de doce meses a partir del inicio del procedimiento con arreglo al artículo 20.

3.   Antes de adoptar la decisión de incumplimiento, la Comisión comunicará sus conclusiones preliminares al guardián de acceso de que se trate. En dichas conclusiones preliminares, la Comisión explicará las medidas que esté considerando adoptar o que considere que el guardián de acceso debe adoptar para atender de forma efectiva a las conclusiones preliminares.

4.   La Comisión podrá consultar a terceros cuando se proponga adoptar una decisión de incumplimiento.

5.   En la decisión de incumplimiento, la Comisión ordenará al guardián de acceso que cese el incumplimiento dentro de un plazo apropiado y que dé explicaciones sobre la forma en que tiene previsto cumplir dicha decisión.

6.   El guardián de acceso facilitará a la Comisión la descripción de las medidas que haya adoptado para garantizar el cumplimiento de la decisión de incumplimiento.

7.   Cuando la Comisión decida no adoptar una decisión de incumplimiento, pondrá fin al procedimiento mediante una decisión.

Artículo 30. Multas sancionadoras

1.   En la decisión de incumplimiento, la Comisión podrá imponer a un guardián de acceso multas sancionadoras que no excedan del 10 % de su volumen de negocios total a nivel mundial en el ejercicio anterior cuando haya constatado que el guardián de acceso incumple, de forma intencionada o por negligencia:

a) cualquiera de las obligaciones establecidas en los artículos 5, 6 y 7;

b) las medidas especificadas por la Comisión en una decisión adoptada con arreglo al artículo 8, apartado 2;

c) las medidas correctoras impuestas con arreglo al artículo 18, apartado 1;

d) las medidas cautelares ordenadas con arreglo al artículo 24, o

e) los compromisos que se hayan hecho jurídicamente vinculantes con arreglo al artículo 25.

2.   No obstante lo dispuesto en el apartado 1 del presente artículo, en la decisión de incumplimiento, la Comisión podrá imponer a un guardián de acceso multas sancionadoras de hasta el 20 % de su volumen de negocios total a nivel mundial en el ejercicio anterior cuando haya constatado en una decisión de incumplimiento que un guardián de acceso ha cometido la misma infracción de una obligación establecida en los artículo 5, 6 o 7 en relación con el mismo servicio básico de plataforma que ya se hubiera constatado en una decisión de incumplimiento adoptada durante los ocho años anteriores, o una infracción similar.

3.   La Comisión podrá adoptar una decisión en la que imponga a las empresas, incluidos en su caso los guardianes de acceso, y a las asociaciones de empresas multas sancionadoras que no excedan del 1 % de su volumen de negocios total a nivel mundial en el ejercicio anterior cuando, de forma intencionada o por negligencia:

a) no proporcionen dentro del plazo la información necesaria para comprobar su designación como guardianes de acceso con arreglo al artículo 3 o proporcionen información incorrecta, incompleta o engañosa;

b) no cumplan la obligación de notificar a la Comisión con arreglo al artículo 3, apartado 3;

c) no notifiquen la información requerida con arreglo artículo 14 o la información que proporcionen con arreglo a dicho artículo sea incorrecta, incompleta o engañosa;

d) no presenten la descripción requerida con arreglo al artículo 15 o la información que proporcionen sea incorrecta, incompleta o engañosa;

e) no faciliten el acceso a las bases de datos, los algoritmos o a la información sobre las pruebas en respuesta a una solicitud con arreglo al artículo 21, apartado 3;

f) no proporcionen dentro del plazo fijado con arreglo al artículo 21, apartado 3, la información solicitada o proporcionen información o explicaciones incorrectas, incompletas o engañosas solicitadas con arreglo a los artículos 21 o las hayan proporcionado en una entrevista con arreglo al artículo 22;

g) no rectifiquen, dentro de un plazo establecido por la Comisión, la información incorrecta, incompleta o engañosa facilitada por un representante o un miembro del personal, o no proporcionen o se nieguen a proporcionar información completa sobre hechos relativos al objeto y finalidad de una inspección con arreglo al artículo 23;

h) se nieguen a someterse a una inspección con arreglo al artículo 23;

i) no cumplan las obligaciones impuestas por la Comisión con arreglo al artículo 26;

j) no establezcan la función de comprobación del cumplimiento con arreglo al artículo 28, o

k) no cumplan las condiciones de acceso al expediente de la Comisión con arreglo al artículo 34, apartado 4.

4.   Al fijar el importe de una multa, la Comisión tendrá en cuenta la gravedad, la duración, la reiteración y, en el caso de las multas sancionadoras impuestas con arreglo al apartado 3, la demora causada al procedimiento.

5.   Cuando se imponga una multa a una asociación de empresas teniendo en cuenta el volumen de negocios de sus miembros a nivel mundial y dicha asociación no sea solvente, esta estará obligada a pedir contribuciones a sus miembros para cubrir el importe de la multa.

Cuando no se hayan hecho esas contribuciones a la asociación de empresas en un plazo fijado por la Comisión, esta podrá exigir el pago de la multa directamente a cualquiera de las empresas cuyos representantes hayan sido miembros de los órganos de gobierno correspondientes de dicha asociación.

Después de haber exigido el pago de conformidad con el párrafo segundo, la Comisión podrá exigir el pago del saldo a cualquiera de los miembros de la asociación de empresas, cuando sea necesario para garantizar el pago íntegro de la multa.

No obstante, la Comisión no exigirá el pago con arreglo a los párrafos segundo o tercero a las empresas que demuestren que no han aplicado la decisión de la asociación de empresas que infringía el presente Reglamento, y que bien no tenían conocimiento de su existencia, o bien se habían distanciado activamente de ella antes de que la Comisión incoase el procedimiento con arreglo al artículo 20.

La responsabilidad financiera de cada empresa en cuanto al pago de la multa no excederá del 20 % de su volumen de negocios total a nivel mundial en el ejercicio anterior.

Artículo 31. Multas coercitivas

1.   La Comisión podrá adoptar una decisión por la que se imponga a las empresas, incluidos en su caso los guardianes de acceso, y a las asociaciones de empresas multas coercitivas diarias que no excedan del 5 % del promedio diario del volumen de negocios a nivel mundial en el ejercicio anterior, calculado a partir de la fecha fijada por esa decisión, para obligarlas a:

a) cumplir las medidas que especifique la Comisión sobre la base de una decisión adoptada en virtud del artículo 8, apartado 2;

b) cumplir la decisión adoptada con arreglo al artículo 18, apartado 1;

c) proporcionar información correcta y completa en el plazo requerido por una solicitud de información realizada mediante una decisión adoptada con arreglo al artículo 21;

d) garantizar el acceso a las bases de datos, los algoritmos e información sobre las pruebas en respuesta a una solicitud hecha de conformidad con el artículo 21, apartado 3, y proporcionar las explicaciones sobre los mismos que se soliciten mediante una decisión adoptada con arreglo al artículo 21;

e) someterse a una inspección ordenada mediante una decisión adoptada con arreglo al artículo 23;

f) cumplir una decisión que ordene medidas cautelares adoptada con arreglo al artículo 24;

g) cumplir los compromisos que se hayan hecho jurídicamente vinculantes mediante una decisión adoptada con arreglo al artículo 25, apartado 1;

h) cumplir una decisión adoptada con arreglo al artículo 29, apartado 1.

2.   Cuando las empresas, o asociaciones de empresas, hayan cumplido la obligación que pretendía hacer cumplir la multa coercitiva, la Comisión podrá adoptar un acto de ejecución en el que fije el importe definitivo de la multa coercitiva en una cifra inferior a la que resultaría de la decisión original. Dicho acto de ejecución se adoptará de conformidad con el procedimiento consultivo a que se refiere el artículo 50, apartado 2.

Artículo 32. Plazos de prescripción para la imposición de sanciones

1.   Las competencias conferidas a la Comisión por los artículos 30 y 31 estarán sujetas a un plazo de prescripción de cinco años.

2.   El plazo comenzará a contar a partir del día en que se cometa la infracción. No obstante, en el caso de infracciones continuadas o reiteradas, el plazo comenzará a contar el día en que cese la infracción.

3.   Toda medida adoptada por la Comisión a efectos de una investigación de mercado o un procedimiento relativo a una infracción interrumpirá el plazo de prescripción para la imposición de multas sancionadoras o multas coercitivas. El plazo de prescripción se interrumpirá con efectos a partir de la fecha en que la acción se notifique al menos a una empresa o asociación de empresas que haya participado en la infracción. Entre las acciones que interrumpen el transcurso del plazo se incluirán, en particular, las siguientes:

a) las solicitudes de información de la Comisión;

b) las autorizaciones escritas para realizar inspecciones expedidas por la Comisión a sus funcionarios;

c) la incoación de un procedimiento por parte de la Comisión con arreglo al artículo 20.

4.   Tras cada interrupción, el plazo comenzará a contarse desde el principio. No obstante, el plazo de prescripción expirará a más tardar el día en que haya transcurrido un plazo igual al doble del plazo de prescripción sin que la Comisión haya impuesto una multa o una multa coercitiva. Ese plazo se prorrogará por el tiempo que se suspenda el plazo de prescripción con arreglo al apartado 5.

5.   El plazo de prescripción para la imposición de multas sancionadoras o multas coercitivas se suspenderá mientras la decisión de la Comisión sea objeto de un procedimiento pendiente ante el Tribunal de Justicia.

Artículo 33. Plazos de prescripción para la ejecución de sanciones

1.   Las competencias de la Comisión para hacer cumplir las decisiones adoptadas con arreglo a los artículos 30 y 31 estarán sujetas a un plazo de prescripción de cinco años.

2.   El plazo comenzará a contar a partir del día en que la decisión sea definitiva.

3.   El plazo de prescripción para la ejecución de las sanciones se interrumpirá:

a) por la notificación de una decisión por la que se modifique el importe inicial de la multa o de la multa coercitiva o por la que se deniegue una solicitud de modificación, o

b) por cualquier acto de la Comisión o de un Estado miembro que actúe a instancia de la Comisión que esté destinado a la recaudación por vía ejecutiva de la multa o de la multa coercitiva.

4.   Tras cada interrupción, el plazo comenzará a contarse desde el principio.

5.   El plazo de prescripción para la ejecución de sanciones quedará suspendido mientras:

a) dure el plazo concedido para efectuar el pago, o

b) dure la suspensión de la recaudación por vía ejecutiva en virtud de una resolución del Tribunal de Justicia o de una resolución de un órgano jurisdiccional nacional.

Artículo 34. Derecho a ser oído y de acceso al expediente

1.   Antes de adoptar una decisión con arreglo al artículo 8, el artículo 9, apartado 1, el artículo 10, apartado 1, los artículos 17, 18, 24, 25, 29 y 30 y el artículo 31, apartado 2, la Comisión dará al guardián de acceso o a la empresa o asociación de empresas de que se trate la oportunidad de ser oído con respecto a lo siguiente:

a) las conclusiones preliminares de la Comisión, incluido cualquier asunto respecto del cual la Comisión haya formulado objeciones, y

b) las medidas que la Comisión se proponga adoptar en vista de las conclusiones preliminares con arreglo a la letra a) del presente apartado.

2.   Los guardianes de acceso, las empresas y las asociaciones de empresas de que se trate podrán presentar a la Comisión sus observaciones relativas a las conclusiones preliminares de la Comisión en un plazo que esta fijará en sus conclusiones preliminares y que no podrá ser inferior a catorce días.

3.   La Comisión basará sus decisiones únicamente en las conclusiones preliminares, incluida cualquier cuestión sobre la que haya formulado alguna objeción, sobre las que los guardianes de acceso, las empresas y las asociaciones de empresas de que se trate hayan podido formular observaciones.

4.   En todo procedimiento se respetarán plenamente los derechos de defensa del guardián de acceso, la empresa o asociación de empresas de que se trate. El guardián de acceso, la empresa o la asociación de empresas de que se trate tendrá derecho a acceder al expediente de la Comisión en las condiciones de revelación, sin perjuicio del interés legítimo de las empresas de proteger sus secretos comerciales. En caso de desacuerdo entre las partes, la Comisión podrá adoptar decisiones en las que se establezcan esas condiciones de revelación. El derecho de acceso al expediente de la Comisión no se hará extensivo a la información confidencial ni a los documentos internos de la Comisión o de las autoridades competentes de los Estados miembros. En particular, el derecho de acceso no se hará extensivo a los intercambios de correspondencia entre la Comisión y las autoridades competentes de los Estados miembros. Nada de lo dispuesto en el presente apartado impedirá que la Comisión revele y utilice la información necesaria para probar una infracción.

Artículo 35. Informes anuales

1.   La Comisión presentará al Parlamento Europeo y al Consejo un informe anual sobre la aplicación del presente Reglamento y los progresos realizados en la consecución de sus objetivos.

2.   El informe a que se refiere el apartado 1 incluirá:

a) un resumen de las actividades de la Comisión, incluidas todas las medidas o decisiones adoptadas y las investigaciones de mercado en curso que estén relacionadas con el presente Reglamento;

b) las conclusiones que se extraigan del control del cumplimiento por parte de los guardianes de acceso de sus obligaciones en virtud del presente Reglamento;

c) una valoración de la descripción auditada que se contempla en el artículo 15;

d) una sinopsis de la cooperación entre la Comisión y las autoridades nacionales en torno al presente Reglamento;

e) una sinopsis de las actividades y tareas realizadas por el Grupo de Alto Nivel de Reguladores Digitales, que indique la manera en que deben aplicarse sus recomendaciones por cuanto se refiere a la ejecución del presente Reglamento.

3.   La Comisión publicará el informe en su sitio web.

Artículo 36. Secreto profesional

1.   La información recopilada con arreglo al presente Reglamento se utilizará a efectos del presente Reglamento.

2.   La información recopilada con arreglo al artículo 14 se utilizará a los efectos del presente Reglamento, del Reglamento (CE) nº 139/2004 y de las normas nacionales sobre concentraciones.

3.   La información recopilada con arreglo al artículo 15 se utilizará a los efectos del presente Reglamento y del Reglamento (UE) 2016/679.

4.   Sin perjuicio del intercambio y utilización de la información facilitada a efectos de su utilización con arreglo a los artículos 38, 39, 41 y 43, la Comisión, las autoridades competentes de los Estados miembros, sus funcionarios, agentes y demás personas que trabajen bajo la supervisión de dichas autoridades, así como cualquier persona física o jurídica, incluidos los auditores y expertos nombrados con arreglo al artículo 26, apartado 2, estarán obligados a no revelar la información que hayan recopilado o intercambiado en aplicación del presente Reglamento y que, por su naturaleza, esté amparada por el secreto profesional.

Artículo 37. Cooperación con las autoridades nacionales

1.   La Comisión y los Estados miembros trabajarán en estrecha cooperación y coordinarán sus medidas de ejecución para garantizar una ejecución coherente, eficaz y complementaria de los instrumentos jurídicos disponibles aplicables a los guardianes de acceso en el sentido del presente Reglamento.

2.   En su caso, la Comisión podrá consultar a las autoridades nacionales acerca de cualquier asunto relacionado con la aplicación del presente Reglamento.

Artículo 38. Cooperación y coordinación con las autoridades nacionales competentes encargadas de hacer cumplir las normas en materia de competencia

1.   La Comisión y las autoridades nacionales competentes de los Estados miembros encargadas de hacer cumplir las normas contempladas en el artículo 1, apartado 6, cooperarán y se informarán entre sí sobre sus respectivas medidas de ejecución a través de la Red Europea de Competencia (REC). Estarán facultadas para comunicarse entre sí cualquier información sobre cuestiones de hecho y de derecho, incluida información confidencial. Cuando la autoridad competente no sea miembro de la REC, la Comisión adoptará las disposiciones necesarias para la cooperación y el intercambio de información sobre asuntos relacionados con la ejecución del presente Reglamento y las normas contempladas en el artículo 1, apartado 6. La Comisión podrá establecer tales disposiciones en un acto de ejecución, tal como se contempla en el artículo 46, apartado 1, letra l).

2.   Cuando la autoridad nacional competente de un Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, tenga la intención de iniciar una investigación sobre los guardianes de acceso sobre la base de la legislación nacional que se contempla en el artículo 1, apartado 6, informará por escrito a la Comisión de su primera medida formal de investigación, antes o inmediatamente después del inicio de dicha medida. Esta información podrá ponerse también a disposición de las autoridades nacionales competentes de los demás Estados miembros encargadas de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6.

3.   Cuando la autoridad nacional competente de un Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, tenga la intención de imponer obligaciones a los guardianes de acceso sobre la base de la legislación nacional que se contempla en el artículo 1, apartado 6, comunicará a la Comisión, en un plazo no superior a treinta días antes de su adopción, el proyecto de medidas, indicando los motivos de la medida. En el caso de las medidas cautelares, la autoridad nacional competente de un Estado miembro encargada de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6, comunicará a la Comisión el proyecto de medidas previstas lo antes posible, y a más tardar inmediatamente después de la adopción de dichas medidas. Esta información podrá ponerse también a disposición de las autoridades nacionales competentes de los demás Estados miembros encargadas de hacer cumplir las normas que se contemplan en el artículo 1, apartado 6.

4.   Los mecanismos de información previstos en los apartados 2 y 3 no se aplicarán a las decisiones previstas en virtud de las normas nacionales sobre concentraciones.

5.   La información intercambiada con arreglo a los apartados 1 a 3 del presente artículo solo se intercambiará y utilizará a efectos de coordinar la ejecución del presente Reglamento y de las normas a que se refiere el artículo 1, apartado 6.

6.   La Comisión podrá pedir a las autoridades nacionales competentes de los Estados miembros encargadas de hacer cumplir las normas a que se refiere el artículo 1, apartado 6, que apoyen cualquiera de sus investigaciones de mercado con arreglo al presente Reglamento.

7.   Cuando, en virtud del Derecho nacional, tenga la potestad y las competencias de investigación para ello, la autoridad nacional competente de un Estado miembro encargada de hacer cumplir las normas a que se refiere el artículo 1, apartado 6, podrá, por propia iniciativa, investigar casos de posible incumplimiento de los artículos 5, 6 y 7 del presente Reglamento en su territorio. Antes de adoptar la primera medida formal de investigación, dicha autoridad informará por escrito a la Comisión.

La incoación de un procedimiento por parte de la Comisión con arreglo al artículo 20 privará a las autoridades nacionales competentes de los Estados miembros encargadas de hacer cumplir las normas a que se refiere el artículo 1, apartado 6, de la potestad de llevar a cabo tal investigación, o pondrá término a dicha investigación si esta ya se halla en curso. Esas autoridades informarán a la Comisión de las conclusiones de dicha investigación con el fin de apoyar a la Comisión en su función de única responsable de hacer cumplir el presente Reglamento.

Artículo 39. Cooperación con los órganos jurisdiccionales nacionales

1.   En los procedimientos para la aplicación del presente Reglamento, los órganos jurisdiccionales nacionales podrán pedir a la Comisión que les remita la información que obre en su poder o un dictamen sobre cuestiones relativas a la aplicación del presente Reglamento.

2.   Los Estados miembros remitirán a la Comisión una copia de toda sentencia dictada por un órgano jurisdiccional nacional que se pronuncie sobre la aplicación del presente Reglamento. Dicha copia se remitirá sin dilación tras la notificación a las partes del texto íntegro de la sentencia.

3.   Cuando la aplicación coherente del presente Reglamento así lo exija, la Comisión podrá dirigir de oficio observaciones escritas a los órganos jurisdiccionales nacionales. Con la autorización del correspondiente órgano jurisdiccional podrán presentar también observaciones verbales.

4.   Solamente al objeto de elaborar sus observaciones, la Comisión podrá solicitar al órgano jurisdiccional nacional de que se trate que le transmita o le garantice la transmisión de toda la documentación necesaria para valorar el asunto.

5.   Los órganos jurisdiccionales nacionales no adoptarán resoluciones que sean contrarias a una decisión adoptada por la Comisión en virtud del presente Reglamento. Evitarán asimismo adoptar resoluciones que puedan entrar en conflicto con una decisión prevista por la Comisión en un procedimiento que ya haya incoado con arreglo al presente Reglamento. A tal fin, corresponde a los órganos jurisdiccionales nacionales apreciar si procede suspender su procedimiento. Lo anterior se entiende sin perjuicio de la posibilidad de que los órganos jurisdiccionales nacionales planteen una petición de decisión prejudicial en virtud del artículo 267 del TFUE.

Artículo 40. El Grupo de Alto Nivel

1.   La Comisión establecerá un Grupo de Alto Nivel sobre el Reglamento de Mercados Digitales (en lo sucesivo, «Grupo de Alto Nivel»).

2.   El Grupo de Alto Nivel estará compuesto por las redes y los organismos europeos siguientes:

a) Organismo de Reguladores Europeos de las Comunicaciones Electrónicas;

b) Supervisor Europeo de Protección de Datos y Comité Europeo de Protección de Datos;

c) Red Europea de Competencia;

d) Red de cooperación en materia de protección de los consumidores, y

e) Grupo de Entidades Reguladoras Europeas para los Servicios de Comunicación Audiovisual.

3.   Las redes y los organismos europeos a que se refiere el apartado 2 tendrán cada uno un número igual de representantes en el Grupo de Alto Nivel. Los miembros del Grupo de Alto Nivel serán como máximo treinta.

4.   La Comisión proporcionará servicios de secretaría al Grupo de Alto Nivel para facilitar su labor. El Grupo de Alto Nivel estará presidido por la Comisión, que participará en sus reuniones. El Grupo de Alto Nivel se reunirá a solicitud de la Comisión al menos una vez por año natural. La Comisión convocará también una reunión del grupo cuando así lo solicite la mayoría de sus miembros para tratar una cuestión concreta.

5.   El Grupo de Alto Nivel podrá proporcionar a la Comisión asesoramiento y conocimientos especializados en los ámbitos que sean competencia de sus miembros, en particular:

a) asesoramiento y recomendaciones a partir de sus conocimientos especializados que sean pertinentes para cualquier asunto de carácter general en relación con la aplicación o la ejecución del presente Reglamento, o

b) asesoramiento y conocimientos especializados que promuevan un planteamiento normativo coherente entre los diferentes instrumentos normativos.

6.   El Grupo de Alto Nivel podrá, en particular, determinar y examinar las interacciones actuales y potenciales entre el presente Reglamento y las normas sectoriales aplicadas por las autoridades nacionales que componen las redes y los organismos europeos a que se refiere el apartado 2, y presentar un informe anual a la Comisión que recoja dicho examen y deje constancia de las posibles dificultades inter-normativas. Dicho informe podrá ir acompañado de recomendaciones destinadas a la convergencia de sinergias y planteamientos interdisciplinares coherentes entre la aplicación del presente Reglamento y otras normas sectoriales. El informe se pondrá en conocimiento del Parlamento Europeo y del Consejo.

7.   En el contexto de las investigaciones de mercado sobre nuevos servicios y nuevas prácticas, el Grupo de Alto Nivel podrá aportar conocimientos especializados a la Comisión sobre la necesidad de añadir normas al presente Reglamento o modificar o suprimir normas de este, a fin de garantizar que los mercados digitales de toda la Unión sean disputables y equitativos.

Artículo 41. Solicitud de investigación de mercado

1.   Tres o más Estados miembros podrán solicitar a la Comisión la apertura de una investigación de mercado con arreglo al artículo 17 por considerar que existen motivos razonables para suponer que una empresa debe ser designada guardián de acceso.

2.   Uno o varios Estados miembros podrán solicitar a la Comisión que inicie una investigación de mercado con arreglo al artículo 18 por considerar que existen motivos razonables para suponer que un guardián de acceso ha incumplido sistemáticamente una o varias de las obligaciones establecidas en los artículos 5, 6 y 7, y ha mantenido, reforzado o ampliado su posición de guardián de acceso en relación con los requisitos previstos en el artículo 3, apartado 1.

3.   Tres o más Estados miembros podrán solicitar a la Comisión que lleve a cabo una investigación de mercado con arreglo al artículo 19 por considerar que existen motivos razonables para suponer que:

a) deben añadirse a la lista de servicios básicos de plataforma establecida en el artículo 2, punto 2, uno o más servicios del sector digital, o

b) no se abordan de forma eficaz en el presente Reglamento una o varias prácticas que podrían limitar la disputabilidad de los servicios básicos de plataforma o no ser equitativos.

4.   Los Estados miembros aportarán pruebas para respaldar sus solicitudes, con arreglo a los apartados 1, 2 y 3. En el caso de las solicitudes con arreglo al apartado 3, dichas pruebas podrán incluir información sobre ofertas introducidas recientemente de productos, servicios, software o prestaciones que susciten problemas de disputabilidad o de equidad, tanto si se aplican en el contexto de los servicios básicos de plataforma existentes como si se aplican en otro contexto.

5.   En un plazo de cuatro meses a partir de la recepción de una solicitud con arreglo al presente artículo, la Comisión examinará si existen motivos razonables para la apertura de una investigación de mercado con arreglo a los apartados 1, 2 o 3. La Comisión publicará los resultados de su examen.

Artículo 42. Acciones de representación

La Directiva (UE) 2020/1828 se aplicará a las acciones de representación ejercitadas frente a actos de guardianes de acceso que infrinjan las disposiciones del presente Reglamento y perjudiquen o puedan perjudicar los intereses colectivos de los consumidores.

Artículo 43. Denuncia de infracciones y protección de los denunciantes

La Directiva (UE) 2019/1937 se aplicará a la denuncia de todas las infracciones del presente Reglamento y a la protección de las personas que informen sobre tales infracciones.

CAPÍTULO VI. DISPOSICIONES FINALES

Artículo 44. Publicación de las decisiones

1.   La Comisión publicará las decisiones que adopte con arreglo a los artículos 3 y 4, el artículo 8, apartado 2, los artículos 9, 10, 16 a 20 y 24, el artículo25, apartado 1, y los artículos 29, 30 y 31. Dicha publicación mencionará los nombres de las partes y el contenido principal de la decisión, incluidas las sanciones impuestas.

2.   En la publicación se deberá tener en cuenta el interés legítimo de los guardianes de acceso o de cualesquiera terceros en la protección de su información confidencial.

Artículo 45. Control del Tribunal de Justicia

De conformidad con el artículo 261 del TFUE, el Tribunal de Justicia tiene competencia jurisdiccional plena para revisar las decisiones por las que la Comisión ha impuesto multas sancionadoras o multas coercitivas. Puede anular, reducir o aumentar la multa o la multa coercitiva impuesta.

Artículo 46. Normas de desarrollo

1.   La Comisión podrá adoptar actos de ejecución por los que se establezcan disposiciones pormenorizadas para la aplicación de lo que sigue:

a) la forma, el contenido y otros detalles de las notificaciones y la información presentada con arreglo al artículo 3;

b) la forma, el contenido y otros detalles de las medidas técnicas que los guardianes de acceso deben aplicar para garantizar el cumplimiento de los artículos 5, 6 o 7;

c) los aspectos operativos y técnicos con vistas a poner en práctica la interoperabilidad de los servicios de comunicaciones interpersonales independientes de la numeración con arreglo al artículo 7;

d) la forma, el contenido y otros detalles de la petición motivada con arreglo al artículo 8, apartado 3;

e) la forma, el contenido y otros detalles de las peticiones motivadas con arreglo a los artículos 9 y 10;

f) la forma, el contenido y otros detalles de los informes reglamentarios presentados con arreglo al artículo 11;

g) la metodología y el procedimiento para la descripción auditada de las técnicas utilizadas para la elaboración de perfiles de los consumidores que contempla el artículo 15, apartado 1. Cuando la Comisión elabore a estos efectos un proyecto de acto de ejecución, consultará al Supervisor Europeo de Protección de Datos y podrá consultar al Comité Europeo de Protección de Datos, a la sociedad civil y a otros expertos pertinentes;

h) la forma, el contenido y otros detalles de las notificaciones y la información presentada con arreglo a los artículos 14 y 15;

i) las disposiciones prácticas de los procedimientos relativos a las investigaciones de mercado con arreglo a los artículos 17, 18 y 19 y los procedimientos con arreglo a los artículos 24, 25 y 29;

j) los aspectos prácticos del ejercicio del derecho a ser oído previsto en el artículo 34;

k) los aspectos prácticos de las condiciones de revelación previstas en el artículo 34;

l) los aspectos prácticos de la cooperación y la coordinación entre la Comisión y las autoridades nacionales a que se refieren los artículos 37 y 38, y

m) los aspectos prácticos del cálculo y la ampliación de los plazos.

2.   Los actos de ejecución a que se refiere el apartado 1, letras a) a k) y letra m), del presente artículo, se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 50, apartado 2.

El acto de ejecución a que se refiere el apartado 1, letra l), del presente artículo, se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 50, apartado 3.

3.   Antes de adoptar cualquier acto de ejecución en virtud del apartado 1, la Comisión publicará un proyecto de acto e invitará a todas las partes interesadas a presentar sus observaciones en un plazo que no podrá ser inferior a un mes.

Artículo 47. Directrices

La Comisión podrá adoptar directrices sobre cualquiera de los aspectos del presente Reglamento con el fin de facilitar su aplicación y ejecución efectivas.

Artículo 48. Normalización

Cuando sea conveniente y necesario, la Comisión podrá ordenar a las organizaciones europeas de normalización que faciliten el cumplimiento de las obligaciones establecidas en el presente Reglamento mediante el desarrollo de las normas adecuadas.

Artículo 49. Ejercicio de la delegación

1.   Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2.   Los poderes para adoptar actos delegados mencionados en el artículo 3, apartados 6 y 7, y en el artículo 12, apartados 1, 3 y 4, se otorgan a la Comisión por un período de cinco años a partir del 1 de noviembre de 2022. La Comisión elaborará un informe sobre la delegación de poderes a más tardar nueve meses antes de que finalice el período de cinco años. La delegación de poderes se prorrogará tácitamente por períodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada período.

3.   La delegación de poderes mencionada en el artículo 3, apartados 6 y 7, y en el artículo 12, apartados 1, 3 y 4, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4.   Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5.   Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6.   Los actos delegados adoptados en virtud del artículo 3, apartados 6 y 7, y el artículo 12, apartados 1, 3 y 4 entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 50. Procedimiento de comité

1.   La Comisión estará asistida por un comité («Comité Consultivo sobre Mercados Digitales»). Dicho comité será un comité en el sentido del Reglamento (UE) nº 182/2011.

2.   En los casos en que se haga referencia al presente apartado, se aplicará el artículo 4 del Reglamento (UE) nº 182/2011.

Cuando el dictamen del comité deba obtenerse mediante procedimiento escrito, se pondrá fin a dicho procedimiento sin resultado si, en el plazo para la emisión del dictamen, el presidente del comité así lo decide o si una mayoría simple de los miembros del comité así lo solicita.

3.   En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) nº 182/2011.

4.   La Comisión comunicará el dictamen del comité al destinatario de una decisión individual, junto con dicha decisión. Hará público el dictamen junto con la decisión individual, teniendo en cuenta el interés legítimo en la protección del secreto profesional.

Artículo 51. Modificación de la Directiva (UE) 2019/1937

En la parte I, sección J, del anexo de la Directiva (UE) 2019/1937 se añade el inciso siguiente:

«iv) Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales) (DO L 265 de 21.9.2022, p. 1).».

Artículo 52. Modificación de la Directiva (UE) 2020/1828

En el anexo I de la Directiva (UE) 2020/1828 se añade el punto siguiente:

«67) Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales) (DO L 265 de 21.9.2022, p. 1).».

Artículo 53. Revisión

1.   A más tardar el 3 de mayo de 2026, y posteriormente cada tres años, la Comisión evaluará el presente Reglamento e informará de ello al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo.

2.   En las evaluaciones se valorará tanto si se han logrado los objetivos del presente Reglamento, consistentes en garantizar unos mercados disputables y equitativos, como las repercusiones del presente Reglamento para los usuarios profesionales, especialmente las pymes, y los usuarios finales. Además, la Comisión evaluará si el ámbito de aplicación del artículo 7 puede ampliarse a los servicios de redes sociales en línea.

3.   Las evaluaciones establecerán si es necesario modificar las normas, en particular en relación con la lista de servicios básicos de plataforma establecida en el artículo 2, punto 2, o las obligaciones establecidas en los artículos 5, 6 y 7 y su ejecución, a fin de garantizar que los mercados digitales de toda la Unión sean disputables y equitativos. Tras las evaluaciones, la Comisión adoptará las medidas adecuadas, que podrán incluir propuestas legislativas.

4.   Las autoridades competentes de los Estados miembros proporcionarán a la Comisión toda la información pertinente de la que dispongan y que esta pueda necesitar para elaborar el informe a que se refiere el apartado 1.

Artículo 54. Entrada en vigor y aplicación

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Se aplicará a partir del 2 de mayo de 2023.

No obstante, el artículo 3, apartados 6 y 7, y los artículos 40, 46, 47, 48, 49 y 50 serán aplicables a partir del 1 de noviembre de 2022 y el artículo 42 y el artículo 43 serán aplicables a partir del 25 de junio de 2023.

Sin embargo, si la fecha del 25 de junio de 2023 es anterior a la fecha de aplicación a que se refiere el párrafo segundo del presente artículo, la aplicación del artículo 42 y del artículo 43 se aplazará hasta la fecha de aplicación a que se refiere el párrafo segundo del presente artículo.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Estrasburgo, el 14 de septiembre de 2022.

Por el Parlamento Europeo, La Presidenta, R. METSOLA

Por el Consejo, El Presidente, M. BEK

 ————————————————

(1)  DO C 286 de 16.7.2021, p. 64.

(2)  DO C 440 de 29.10.2021, p. 67.

(3)  Posición del Parlamento Europeo de 5 de julio de 2022 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 18 de julio de 2022.

(4)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(5)  Reglamento (UE) 2019/1150 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre el fomento de la equidad y la transparencia para los usuarios profesionales de servicios de intermediación en línea (DO L 186 de 11.7.2019, p. 57).

(6)  Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).

(7)  Directiva 2005/29/CE del Parlamento Europeo y del Consejo, de 11 de mayo de 2005, relativa a las prácticas comerciales desleales de las empresas en sus relaciones con los consumidores en el mercado interior, que modifica la Directiva 84/450/CEE del Consejo, las Directivas 97/7/CE, 98/27/CE y 2002/65/CE del Parlamento Europeo y del Consejo y el Reglamento (CE) nº 2006/2004 del Parlamento Europeo y del Consejo («Directiva sobre las prácticas comerciales desleales») (DO L 149 de 11.6.2005, p. 22).

(8)  Directiva 2010/13/UE del Parlamento Europeo y del Consejo, de 10 de marzo de 2010, sobre la coordinación de determinadas disposiciones legales, reglamentarias y administrativas de los Estados miembros relativas a la prestación de servicios de comunicación audiovisual (Directiva de servicios de comunicación audiovisual) (DO L 95 de 15.4.2010, p. 1).

(9)  Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) nº 1093/2010 y se deroga la Directiva 2007/64/CE (DO L 337 de 23.12.2015, p. 35).

(10)  Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital y por la que se modifican las Directivas 96/9/CE y 2001/29/CE (DO L 130 de 17.5.2019, p. 92).

(11)  Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los requisitos de accesibilidad de los productos y servicios (DO L 151 de 7.6.2019, p. 70).

(12)  Directiva 93/13/CEE del Consejo, de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores (DO L 95 de 21.4.1993, p. 29).

(13)  Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo, de 9 de septiembre de 2015, por la que se establece un procedimiento de información en materia de reglamentaciones técnicas y de reglas relativas a los servicios de la sociedad de la información (DO L 241 de 17.9.2015, p. 1).

(14)  Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, por la que se establece el Código Europeo de las Comunicaciones Electrónicas (DO L 321 de 17.12.2018, p. 36).

(15)  Directiva (UE) 2016/2102 del Parlamento Europeo y del Consejo, de 26 de octubre de 2016, sobre la accesibilidad de los sitios web y aplicaciones para dispositivos móviles de los organismos del sector público (DO L 327 de 2.12.2016, p. 1).

(16)  Reglamento (UE) nº 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

(17)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) nº 45/2001 y la Decisión nº 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(18)  Reglamento (CE) nº 1/2003 del Consejo, de 16 de diciembre de 2002, relativo a la aplicación de las normas sobre competencia previstas en los artículos 81 y 82 del Tratado (DO L 1 de 4.1.2003, p. 1).

(19)  DO L 123 de 12.5.2016, p. 1.

(20)  Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (DO L 305 de 26.11.2019, p. 17).

(21)  Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2020, relativa a las acciones de representación para la protección de los intereses colectivos de los consumidores, y por la que se deroga la Directiva 2009/22/CE (DO L 409 de 4.12.2020, p. 1).

(22)  DO C 147 de 26.4.2021, p. 4.

(23)  Reglamento (CE) nº 139/2004 del Consejo, de 20 de enero de 2004, sobre el control de las concentraciones entre empresas («Reglamento comunitario de concentraciones») (DO L 24 de 29.1.2004, p. 1).

(24)  Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (DO L 194 de 19.7.2016, p. 1).

ANEXO

A.   «Consideraciones generales»

1. El presente anexo tiene por objeto establecer una metodología para determinar y calcular los «usuarios finales activos» y «usuarios profesionales activos» de cada servicio básico de plataforma, enumerados en el artículo 2, punto 2. Constituye un punto de referencia para que una empresa pueda valorar si sus servicios básicos de plataforma alcanzan los umbrales cuantitativos que figuran en el artículo 3, apartado 2, letra b); de ser así, se presumiría que cumplen el requisito del artículo 3, apartado 1, letra b). Por lo tanto, dicho punto de referencia será también pertinente para toda valoración más amplia con arreglo al artículo 3, apartado 8. Es responsabilidad de la empresa llegar a la mejor aproximación posible, en consonancia con los principios comunes y la metodología específica establecidos en el presente anexo. Ninguna disposición del presente anexo impide que la Comisión, en los plazos establecidos en las disposiciones pertinentes del presente Reglamento, exija a la empresa prestadora de servicios básicos de plataforma que facilite la información necesaria para determinar y calcular los «usuarios finales activos» y «usuarios profesionales activos». Ninguna disposición del presente anexo debe considerarse fundamento jurídico para rastrear a los usuarios. La metodología que figura en el presente anexo se entiende asimismo sin perjuicio de las obligaciones establecidas en el presente Reglamento, en especial en el artículo 3, apartados 3 y 8, y en el artículo 13, apartado 3. En particular, el necesario cumplimiento del artículo 13, apartado 3, implica también determinar y calcular los «usuarios finales activos» y «usuarios profesionales activos» sobre la base de una medición precisa o bien de la mejor aproximación disponible, en consonancia con las capacidades reales de determinación y cálculo de que disponga la empresa prestadora de servicios básicos de plataforma en el momento de que se trate. Dichas mediciones o la mejor aproximación disponible deberán ser coherentes con los datos comunicados con arreglo al artículo 15 e incluirlos.

2. En el artículo 2, puntos 20 y 21, figuran las definiciones de «usuario final» y «usuario profesional», que son comunes a todos los servicios básicos de plataforma.

3. Al objeto de determinar y calcular el número de «usuarios finales activos» y «usuarios profesionales activos», el presente anexo se remite al concepto de «usuarios únicos». El concepto de «usuarios únicos» comprende los «usuarios finales activos» y los «usuarios profesionales activos» del servicio básico de plataforma de que se trate, contabilizados una sola vez durante un período de tiempo determinado (un mes en el caso de los «usuarios finales activos» y un año en el caso de los «usuarios profesionales activos»), independientemente del número de veces que hayan interactuado con dicho servicio básico de plataforma durante ese período. Esto se entiende sin perjuicio del hecho de que una misma persona física o jurídica pueda ser simultáneamente usuario final activo y usuario profesional activo de diferentes servicios básicos de plataforma.

B.   «Usuarios finales activos»

1. El número de «usuarios únicos» en relación con los «usuarios finales activos» se determinará a partir del cómputo más preciso comunicado por la empresa prestadora de servicios básicos de plataforma, en concreto:

a. Se considera que la recopilación de datos sobre el uso de los servicios básicos de plataforma en entornos donde sea preciso registrarse o iniciar sesión presenta, en principio, el riesgo más bajo de duplicidades, por ejemplo en relación con el comportamiento de los usuarios en distintos dispositivos o plataformas. Por este motivo, la empresa presentará datos agregados anonimizados sobre el número de usuarios finales únicos de cada servicio básico de plataforma, extraídos de entornos donde sea preciso registrarse o iniciar sesión, si existen tales datos.

b. En el caso de los servicios básicos de plataforma a los que también accedan usuarios finales fuera de entornos con registro o inicio de sesión, la empresa presentará de forma adicional datos agregados anonimizados sobre el número de usuarios finales únicos del servicio básico de plataforma de que se trate, a partir de un cómputo alternativo que capte también a usuarios finales fuera de entornos con registro o inicio de sesión, por ejemplo basándose en las direcciones IP, identificadores de sesión en forma de cookies u otros identificadores, como etiquetas de identificación por radiofrecuencia, siempre que dichas direcciones o identificadores sean objetivamente necesarios para la prestación de los servicios básicos de plataforma.

2. El número de «usuarios finales activos mensuales» se establece en función del número medio de usuarios finales activos mensuales durante la mayor parte del ejercicio. La expresión «la mayor parte del ejercicio» tiene por objeto permitir a una empresa prestadora de servicios básicos de plataforma descontar las cifras atípicas de un año determinado. Las cifras atípicas se refieren, como su propio nombre indica, a cifras que se sitúan significativamente lejos de las cifras normales y previsibles. Una subida o caída drástica e inesperada en la interacción de los usuarios durante un solo mes del ejercicio es un ejemplo de lo que podría constituir una cifra atípica. Las cifras relacionadas con acontecimientos que se producen cada año, como las promociones anuales de ventas, no constituyen cifras atípicas.

C.   «Usuarios profesionales activos»

El número de «usuarios únicos» en relación con los «usuarios profesionales activos» se ha de determinar, en su caso, en el nivel de las cuentas, en el que cada cuenta comercial diferenciada asociada al uso de un servicio básico de plataforma prestado por la empresa se considera un usuario profesional único del servicio básico de plataforma respectivo. Si el concepto «cuenta comercial» no resulta aplicable a un determinado servicio básico de plataforma, la empresa prestadora de servicios básicos de plataforma de que se trate determinará el número de usuarios profesionales únicos con referencia a la empresa pertinente.

D.   «Presentación de información»

1. Será responsabilidad de la empresa que, con arreglo al artículo 3, apartado 3, presente a la Comisión la información relativa al número de usuarios finales activos y usuarios profesionales activos por servicio básico de plataforma garantizar la exhaustividad y exactitud de dicha información. En este sentido:

a. Será responsabilidad de la empresa presentar unos datos del servicio básico de plataforma respectivo que eviten la subestimación o sobreestimación del número de usuarios finales activos y usuarios profesionales activos (por ejemplo, si los usuarios acceden a los servicios básicos de plataforma a través de diferentes plataformas o dispositivos).

b. Será responsabilidad de la empresa aportar explicaciones precisas y sucintas sobre la metodología utilizada para obtener la información y sobre cualquier riesgo de subestimación o sobreestimación del número de usuarios finales activos y usuarios profesionales activos del servicio básico de plataforma respectivo, así como sobre las soluciones adoptadas para atajar dicho riesgo.

c. La empresa proporcionará datos basados en un cómputo alternativo cuando la Comisión tenga dudas sobre la exactitud de los datos facilitados por la empresa prestadora de servicios básicos de plataforma.

2. A efectos del cálculo del número de «usuarios finales activos» y «usuarios profesionales activos»:

a. La empresa prestadora de servicios básicos de plataforma no considerará diferentes los servicios básicos de plataforma que pertenezcan a la misma categoría de servicios básicos de plataforma con arreglo al artículo 2, punto 2, por el hecho de que se presten utilizando diferentes nombres de dominio, ya sean dominios territoriales de primer nivel (ccTLD) o dominios genéricos de primer nivel (gTLD), o cualquier atributo geográfico.

b. La empresa prestadora de servicios básicos de plataforma considerará servicios básicos de plataforma diferentes aquellos que sean utilizados para fines diferentes por sus usuarios finales, usuarios profesionales o ambos, incluso si resultan ser los mismos usuarios finales o usuarios profesionales e incluso si pertenecen a la misma categoría de servicios básicos de plataforma con arreglo al artículo 2, punto 2.

c. La empresa prestadora de servicios básicos de plataforma considerará servicios básicos de plataforma diferentes aquellos servicios que la empresa de que se trate ofrezca de forma integrada, pero que:

i) no pertenezcan a la misma categoría de servicios básicos de plataforma de conformidad con el artículo 2, punto 2, o

ii) sean utilizados para fines diferentes por sus usuarios finales, usuarios profesionales o ambos, incluso si resultan ser los mismos usuarios finales y usuarios profesionales e incluso si pertenecen a la misma categoría de servicios básicos de plataforma con arreglo al artículo 2, punto 2.

E.   «Definiciones específicas»

El cuadro que figura a continuación establece definiciones específicas de «usuarios finales activos» y «usuarios profesionales activos» para cada servicio básico de plataforma.

Servicios básicos de plataformaUsuarios finales activosUsuarios profesionales activos
Servicios de intermediación en líneaNúmero de usuarios finales únicos que han interactuado con el servicio de intermediación en línea al menos una vez durante el mes, por ejemplo mediante el inicio activo de sesión, una consulta, un clic, un desplazamiento por la página o una transacción a través del servicio de intermediación en línea al menos una vez durante el mes.Número de usuarios profesionales únicos que han tenido al menos un artículo incluido en el servicio de intermediación en línea durante todo el año o realizado una transacción posibilitada por el servicio de intermediación en línea durante el año.
Motores de búsqueda en líneaNúmero de usuarios finales únicos que han interactuado con el motor de búsqueda en línea al menos una vez durante el mes, por ejemplo haciendo una consulta.Número de usuarios profesionales únicos con sitios web profesionales (es decir, sitios web utilizados a título comercial o profesional) incorporados al índice del motor de búsqueda en línea o que ya figuren en este durante el año.
Servicios de redes sociales en líneaNúmero de usuarios finales únicos que han interactuado con el servicio de redes sociales en línea al menos una vez durante el mes, por ejemplo mediante el inicio activo de sesión, la apertura de una página, el desplazamiento dentro de una ventana, un clic, un «me gusta», una consulta, una publicación o un comentario.Número de usuarios profesionales únicos que han anunciado un producto o servicio o disponen de una cuenta comercial en el servicio de redes sociales en línea y que han interactuado de algún modo con dicho servicio al menos una vez durante el año, por ejemplo mediante el inicio activo de sesión, la apertura de una página, el desplazamiento dentro de una ventana, un clic, un «me gusta», una consulta, una publicación, un comentario o el uso de las herramientas disponibles para empresas.
Servicios de plataforma de intercambio de vídeosNúmero de usuarios finales únicos que han interactuado con el servicio de plataforma de intercambio de vídeos al menos una vez durante el mes, por ejemplo reproduciendo un fragmento de contenido audiovisual, realizando una consulta o cargando contenido audiovisual, incluidos los vídeos generados por los usuarios.Número de usuarios profesionales únicos que han facilitado al menos un elemento de contenido audiovisual cargado o reproducido en el servicio de plataforma de intercambio de vídeos durante el año.
Servicios de comunicaciones interpersonales independientes de la numeraciónNúmero de usuarios finales únicos que han iniciado una comunicación o participado de alguna manera en una comunicación a través del servicio de comunicaciones interpersonales independientes de la numeración al menos una vez durante el mes.Número de usuarios profesionales únicos que han utilizado una cuenta comercial o que han iniciado una comunicación o participado de alguna manera en una comunicación a través del servicio de comunicaciones interpersonales independientes de la numeración para comunicarse directamente con un usuario final al menos una vez durante el año.
Sistemas operativosNúmero de usuarios finales únicos que han utilizado un dispositivo con el sistema operativo y lo han activado, actualizado o utilizado al menos una vez durante el mes.Número de desarrolladores únicos que han publicado, actualizado u ofrecido al menos una aplicación informática o programa informático que utilice el lenguaje de programación o cualquier herramienta de desarrollo del sistema operativo, o se ejecute de alguna manera en el sistema operativo durante el año.
Asistentes virtualesNúmero de usuarios finales únicos que han interactuado de algún modo con el asistente virtual al menos una vez durante el mes, por ejemplo activándolo, formulando una pregunta, accediendo a un servicio a través de un comando o controlando un dispositivo domótico.Número de desarrolladores únicos que, durante el año, han ofrecido al menos una aplicación informática de asistente virtual o una funcionalidad para que una aplicación informática existente sea accesible a través del asistente virtual.
Navegadores webNúmero de usuarios finales únicos que han interactuado con el navegador web al menos una vez durante el mes, por ejemplo introduciendo una consulta o la dirección de un sitio web en la barra de direcciones del navegador web.Número de usuarios profesionales únicos a cuyos sitios web profesionales (es decir, sitios web utilizados a título comercial o profesional) se ha accedido a través del navegador web al menos una vez durante el año o que han ofrecido un complemento, una extensión o accesorios utilizados en el navegador web durante el año.
Servicios de computación en nubeNúmero de usuarios finales únicos que han interactuado con cualquier servicio de computación en nube del proveedor de que se trate al menos una vez durante el mes, a cambio de cualquier tipo de remuneración, con independencia de que dicha remuneración se satisfaga o no en el mismo mes.Número de usuarios profesionales únicos que han prestado cualquier servicio de computación en nube alojados en la infraestructura de nube del proveedor de que se trate durante el año.
Servicios de publicidad en líneaPara la venta de espacios publicitarios propios: Número de usuarios finales únicos expuestos al menos una vez durante el mes a una impresión publicitaria. Para servicios de intermediación publicitaria (incluidas las redes publicitarias, los intercambios publicitarios y cualquier otro servicio de intermediación publicitaria): Número de usuarios finales únicos expuestos al menos una vez durante el mes a una impresión publicitaria que activó el servicio de intermediación publicitaria.Para la venta de espacios publicitarios propios: Número de anunciantes únicos que mostraron al menos una impresión publicitaria durante el año. Para servicios de intermediación publicitaria (incluidas las redes publicitarias, los intercambios publicitarios y cualquier otro servicio de intermediación publicitaria): Número de usuarios profesionales únicos (incluidos anunciantes, editores u otros intermediarios) que han interactuado a través del servicio de intermediación publicitaria o a los que este ha servido anuncios durante el año.
23Ene/24

Reglamento (UE) 2022/868 del Parlamento Europeo y del Consejo de 30 de mayo de 2022

Reglamento (UE) 2022/868 del Parlamento Europeo y del Consejo de 30 de mayo de 2022 relativo a la gobernanza europea de datos y por el que se modifica el Reglamento (UE) 2018/1724 (Reglamento de Gobernanza de Datos). (DOUE núm. 152, de 3 de junio de 2022)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (1),

Previa consulta al Comité de las Regiones,

De conformidad con el procedimiento legislativo ordinario (2),

Considerando lo siguiente:

(1)El Tratado de Funcionamiento de la Unión Europea (TFUE) prevé la creación de un mercado interior y la instauración de un sistema que garantice que no se falsee la competencia en dicho mercado. La introducción de normas y prácticas comunes en los Estados miembros en relación con la creación de un marco para la gobernanza de datos debe contribuir a la consecución de estos objetivos, respetando plenamente los derechos fundamentales. También debe garantizar el fortalecimiento de la autonomía estratégica abierta de la Unión y promover, al mismo tiempo, la libre circulación internacional de datos.
(2)A lo largo de la última década, las tecnologías digitales han transformado la economía y la sociedad, lo que ha tenido efectos en todos los sectores de actividad y la vida cotidiana. Los datos son elementos centrales de esa transformación: la innovación basada en los datos reportará enormes beneficios tanto a los ciudadanos de la Unión como a la economía, por ejemplo, mejorando y personalizando la medicina, proporcionando una nueva movilidad y contribuyendo a la Comunicación de la Comisión, de 11 de diciembre de 2019, sobre el Pacto Verde Europeo. Con el fin de hacer partícipes a todos los ciudadanos de la Unión en la economía basada en los datos, debe prestarse especial atención a reducir la brecha digital, a impulsar la participación de las mujeres en la economía de los datos y a promover los conocimientos técnicos europeos de vanguardia en el sector tecnológico. La economía de los datos se tiene que desarrollar de manera que permita prosperar a las empresas, especialmente las microempresas y las pequeñas y medianas empresas (pymes), tal como se definen en el anexo de la Recomendación 2003/361/CE de la Comisión (3), y a las empresas emergentes, garantizando la neutralidad en el acceso a los datos y su portabilidad e interoperabilidad, y evitando los efectos de dependencia. En su Comunicación de 19 de febrero de 2020 sobre una Estrategia Europea de Datos (en lo sucesivo, «Estrategia Europea de Datos»), la Comisión describía la visión de un espacio común europeo de datos, como un mercado interior de datos en el que estos pudieran utilizarse independientemente de su ubicación física de almacenamiento en la Unión de conformidad con el Derecho aplicable, lo que, entre otras cosas, podría resultar fundamental para el rápido desarrollo de las tecnologías de inteligencia artificial. Además, la Comisión instaba al flujo libre y seguro de datos con terceros países, con sujeción a las excepciones y restricciones en materia de seguridad pública, orden público y otros objetivos legítimos de política pública de la Unión, en consonancia con sus obligaciones internacionales, también en materia de derechos fundamentales. A fin de hacer realidad esta visión, la Comisión propuso crear espacios comunes europeos de datos en ámbitos específicos para el intercambio de datos y su puesta en común. Tal como se propone en la Estrategia Europea de Datos, esos espacios comunes europeos de datos pueden abarcar ámbitos como la salud, la movilidad, la producción industrial, los servicios financieros, la energía o la agricultura, o una combinación de esos ámbitos, como, por ejemplo, la energía y el clima, así como áreas temáticas como el Pacto Verde Europeo, los espacios europeos de datos para la administración pública o las capacidades. Los espacios comunes europeos de datos deben hacer que los datos sean fáciles de encontrar, accesibles, interoperables y reutilizables («principios FAIR»), y garantizar, al mismo tiempo, un alto nivel de ciberseguridad. Cuando existen unas condiciones de competencia equitativas en la economía de los datos, las empresas compiten en la calidad de los servicios que ofrecen y no en la cantidad de datos que controlan. Para poder concebir, establecer y mantener unas condiciones de competencia equitativas en la economía de los datos es necesario contar con unas buenas bases de gobernanza, en la que las partes interesadas de un espacio común europeo de datos participen y estén representadas.
(3)Resulta necesario mejorar las condiciones para el intercambio de datos en el mercado interior, mediante la creación de un marco armonizado para los intercambios de datos y el establecimiento de ciertos requisitos básicos para la gobernanza de datos, prestando especial atención a facilitar la cooperación entre los Estados miembros. El presente Reglamento debe tener como objetivo desarrollar en mayor medida el mercado interior digital sin fronteras y una sociedad y economía de los datos centradas en el ser humano, fiables y seguras. La normativa sectorial de la Unión puede crear, adaptar y proponer elementos nuevos y complementarios, dependiendo de las particularidades de cada sector, como sucede con la normativa de la Unión prevista en torno a un espacio europeo de datos sobre la salud o el acceso a los datos integrados en los vehículos. Además, algunos sectores de la economía ya están regulados por normativa sectorial de la Unión que incluye normas relativas al intercambio de datos o al acceso a estos con carácter transfronterizo o en toda la Unión, por ejemplo, la Directiva 2011/24/UE del Parlamento Europeo y del Consejo (4) en el contexto del espacio europeo de datos sanitarios, y los actos legislativos pertinentes en materia de transporte, como los Reglamentos (UE) 2019/1239 (5) y (UE) 2020/1056 (6) y la Directiva 2010/40/UE (7) del Parlamento Europeo y del Consejo en el contexto del espacio común europeo de datos sobre movilidad. El presente Reglamento debe entenderse, por lo tanto, sin perjuicio de los Reglamentos (CE) nº223/2009 (8), (UE) 2018/858 (9) y (UE) 2018/1807 (10), así como de las Directivas 2000/31/CE (11), 2001/29/CE (12), 2004/48/CE (13), 2007/2/CE (14), 2010/40/UE, (UE) 2015/849 (15), (UE) 2016/943 (16), (UE) 2017/1132 (17), (UE) 2019/790 (18) y (UE) 2019/1024 (19) del Parlamento Europeo y del Consejo, y de cualquier otra normativa sectorial de la Unión que regule el acceso a los datos y su reutilización. El presente Reglamento debe entenderse sin perjuicio del Derecho de la Unión y nacional sobre el acceso a los datos y su utilización con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, así como de la cooperación internacional en ese contexto. El presente Reglamento debe entenderse sin perjuicio de las competencias de los Estados miembros respecto de las actividades que efectúen en materia de seguridad pública, defensa y seguridad nacional. No debe incluirse en el presente Reglamento la reutilización de datos protegidos por tales motivos y que obren en poder de organismos del sector público, incluidos los datos obtenidos en procedimientos de contratación pública que entren dentro del ámbito de aplicación de la Directiva 2009/81/CE del Parlamento Europeo y del Consejo (20). Debe crearse un régimen horizontal para la reutilización de determinadas categorías de datos protegidos en poder de organismos del sector público, y la prestación de servicios de intermediación de datos y de servicios basados en la cesión altruista de datos en la Unión. Puede que las características específicas de los distintos sectores requieran la concepción de sistemas sectoriales de datos, que se fundamenten al mismo tiempo en los requisitos establecidos en el presente Reglamento. Los proveedores de servicios de intermediación de datos que cumplan los requisitos del presente Reglamento deben poder utilizar la denominación «proveedor de servicios de intermediación de datos reconocido en la Unión». Cualquier persona jurídica que trate de apoyar objetivos de interés general mediante la cesión con fines altruistas de datos pertinentes a gran escala y que cumpla los requisitos exigidos en el presente Reglamento debe poder registrarse como «organización de gestión de datos con fines altruistas reconocida en la Unión» y debe poder emplear dicha denominación. Cuando la normativa sectorial de la Unión o nacional exija a los organismos del sector público, a ese tipo de servicios de intermediación de datos o a esas personas jurídicas (organizaciones reconocidas de gestión de datos con fines altruistas) el cumplimiento de determinados requisitos específicos adicionales de carácter técnico, administrativo u organizativo, entre otros modos, mediante un régimen de autorización o certificación, también deben aplicarse las disposiciones de dicha normativa sectorial de la Unión o nacional.
(4)El presente Reglamento se entiende sin perjuicio de lo dispuesto en los Reglamentos (UE) 2016/679 (21) y (UE) 2018/1725 (22) del Parlamento Europeo y del Consejo, así como en las Directivas 2002/58/CE (23) y (UE) 2016/680 (24) del Parlamento Europeo y del Consejo y las correspondientes disposiciones del Derecho nacional, incluyendo los datos personales y los no personales de un conjunto de datos que estén inextricablemente ligados. En particular, el presente Reglamento no debe interpretarse en el sentido de que establezca una nueva base jurídica para el tratamiento de los datos personales para cualquiera de las actividades reguladas o que modifique los requisitos de información dispuestos en el Reglamento (UE) 2016/679. La aplicación del presente Reglamento no debe impedir las transferencias transfronterizas de datos de conformidad con lo dispuesto en el capítulo V del Reglamento (UE) 2016/679. En caso de conflicto entre lo dispuesto en el presente Reglamento y el Derecho de la Unión en materia de protección de datos personales o el Derecho nacional adoptado de conformidad con el Derecho de la Unión en la materia, debe prevalecer el Derecho de la Unión o nacional que sea aplicable en la materia. Debe ser posible considerar a las autoridades responsables de la protección de datos como autoridades competentes con arreglo al presente Reglamento. Cuando otras autoridades actúen como autoridades competentes con arreglo al presente Reglamento, lo deben hacer sin perjuicio de las facultades y competencias de supervisión de las autoridades responsables de la protección de datos con arreglo al Reglamento (UE) 2016/679.
(5)Se requieren medidas de la Unión para incrementar la confianza en el intercambio de datos mediante el establecimiento de mecanismos adecuados que permitan a los interesados y los titulares de datos ejercer control sobre los datos que les conciernen y para abordar otros obstáculos al buen funcionamiento y la competitividad de la economía basada en los datos. Esta acción debe entenderse sin perjuicio de las obligaciones y los compromisos establecidos en los acuerdos comerciales internacionales celebrados por la Unión. Un marco de gobernanza de la Unión debe tener como objetivo generar confianza entre los particulares y las empresas en relación con el acceso a los datos, su control, intercambio, utilización y reutilización, especialmente mediante el establecimiento de mecanismos adecuados que permitan a los interesados conocer y ejercer de forma significativa sus derechos y, en lo relativo a la reutilización de determinados tipos de datos que obren en poder de organismos del sector público, la prestación de servicios a los interesados, a los titulares de datos y a los usuarios de datos, por parte de los proveedores de servicios de intermediación de datos, así como la recogida y el tratamiento de datos cedidos con fines altruistas por personas físicas y jurídicas. En particular, una mayor transparencia en cuanto a la finalidad de la utilización de los datos y las condiciones en que las empresas los almacenan puede contribuir a aumentar la confianza.
(6)La idea de que los datos que hayan sido generados o recogidos por organismos del sector público u otras entidades con cargo a los presupuestos públicos deban beneficiar a la sociedad ha formado parte de las estrategias de la Unión durante mucho tiempo. La Directiva (UE) 2019/1024 y la normativa sectorial de la Unión garantizan que los organismos del sector público hagan que una mayor cantidad de los datos que generan estén fácilmente disponibles para su utilización y reutilización. No obstante, las bases de datos públicas contienen determinadas categorías de datos (como los datos comerciales confidenciales, las informaciones amparadas por el secreto estadístico y los datos protegidos por derechos de propiedad intelectual de terceros, incluidos los secretos comerciales y los datos personales) que a menudo no están disponibles, ni siquiera para actividades de investigación o innovación de interés público, a pesar de que podrían estarlo con arreglo al Derecho de la Unión aplicable, en concreto, con arreglo al Reglamento (UE) 2016/679 y las Directivas 2002/58/CE y (UE) 2016/680. Dado el carácter sensible de esos datos, antes de facilitarlos deben cumplirse algunos requisitos de procedimiento técnicos y jurídicos, en particular, a fin de garantizar el respeto de los derechos de terceros en torno a ellos o de limitar los efectos negativos sobre los derechos fundamentales, el principio de no discriminación y la protección de datos. En general, el cumplimiento de tales requisitos necesita mucho tiempo y conocimientos amplios. Esto ha supuesto una utilización insuficiente de este tipo de datos. Mientras que algunos Estados miembros están creando estructuras, estableciendo procedimientos o legislando para facilitar la mencionada reutilización, esta situación no se da en toda la Unión. Con el fin de facilitar la utilización de los datos para la investigación y la innovación europeas por entidades privadas y públicas, se necesitan condiciones claras para el acceso a tales datos y su utilización en toda la Unión.
(7)Existen técnicas que permiten realizar análisis en las bases de datos que contienen datos personales, como la anonimización, la privacidad diferencial, la generalización, la supresión y la aleatorización, el uso de datos sintéticos o de métodos similares, y otros métodos punteros de protección de la privacidad que pueden contribuir a un tratamiento de datos más respetuoso de la privacidad. Los Estados miembros deben prestar apoyo a los organismos del sector público con el fin de hacer un uso óptimo de dichas técnicas y, de este modo, facilitar el mayor número posible de datos para su intercambio. La aplicación de estas técnicas, junto con evaluaciones de impacto globales de protección de datos y otras salvaguardias, puede contribuir a una mayor seguridad en la utilización y reutilización de los datos personales y debe garantizar la reutilización segura de los datos comerciales confidenciales con fines de investigación, innovación y estadísticos. En muchos casos, la aplicación de dichas técnicas, evaluaciones de impacto y otras salvaguardias implica que los datos pueden usarse y reutilizarse solo en un entorno de tratamiento seguro creado o supervisado por el organismo del sector público. A nivel de la Unión, existe experiencia con estos entornos de tratamiento seguros que se utilizan para la investigación sobre microdatos estadísticos al amparo del Reglamento (UE) nº557/2013 de la Comisión (25). En general, en la medida en que se trate de datos personales, su tratamiento debe basarse en una o varias de las bases jurídicas de tratamiento previstas en los artículos 6 y 9 del Reglamento (UE) 2016/679.
(8)De conformidad con el Reglamento (UE) 2016/679, los principios de protección de datos no deben aplicarse a la información anónima, es decir, a la información que no guarda relación con una persona física identificada o identificable ni a los datos convertidos en anónimos de forma que el interesado no sea identificable o deje de serlo. Debe prohibirse la reidentificación de los interesados a partir de conjuntos de datos anonimizados. Ello no debe afectar a la posibilidad de realizar investigaciones sobre técnicas de anonimización, en particular, para garantizar la seguridad de la información, mejorar las técnicas de anonimización existentes y contribuir a la solidez general de la anonimización, emprendida de conformidad con lo dispuesto en el Reglamento (UE) 2016/679.
(9)Con el fin de facilitar la protección de los datos personales y confidenciales, y de agilizar el proceso de proporcionar tales datos para su reutilización con arreglo al presente Reglamento, los Estados miembros deben animar a los organismos del sector público a crear y poner a disposición datos de conformidad con el principio de «documentos abiertos desde el diseño y por defecto» mencionado en el artículo 5, apartado 2, de la Directiva (UE) 2019/1024 y promover la creación y la adquisición de datos en formatos y con estructuras que faciliten una rápida anonimización en ese sentido.
(10)Las categorías de datos que obren en poder de los organismos del sector público que deben ser reutilizadas con arreglo al presente Reglamento quedan fuera del ámbito de aplicación de la Directiva (UE) 2019/1024, que excluye los datos que no sean accesibles por razones de confidencialidad comercial o estadística, y los datos incluidos en obras o en otros materiales protegidos por derechos de propiedad intelectual de terceros. Los datos comerciales confidenciales incluyen datos protegidos por secretos comerciales, conocimientos técnicos protegidos y cualquier otra información cuya divulgación indebida afectaría a la posición en el mercado o la solvencia financiera de la empresa. El presente Reglamento debe aplicarse a los datos personales que no estén sujetos a la Directiva (UE) 2019/1024 en la medida en que el régimen de acceso excluya o restrinja el acceso a ellos por razones de protección de datos, privacidad e integridad de la persona, en particular de conformidad con las normas de protección de datos. La reutilización de datos que puedan contener secretos comerciales debe llevarse a cabo sin perjuicio de lo dispuesto en la Directiva (UE) 2016/943, que establece el marco para la obtención, la utilización o la revelación lícitas de secretos comerciales.
(11)El presente Reglamento no debe crear la obligación de permitir la reutilización de los datos que obren en poder de organismos del sector público. En concreto, cada Estado miembro debe poder decidir, por lo tanto, si se proporciona acceso a los datos para su reutilización, así como sobre los fines y el alcance de dicho acceso. El presente Reglamento debe completar las obligaciones más específicas de los organismos del sector público de permitir la reutilización de datos establecidas en la normativa sectorial de la Unión o nacional, y debe entenderse sin perjuicio de estas obligaciones. El acceso del público a documentos oficiales puede considerarse de interés público. Teniendo en cuenta la función del acceso público a los documentos oficiales y la transparencia en una sociedad democrática, el presente Reglamento también debe entenderse sin perjuicio del Derecho de la Unión o nacional sobre la concesión de acceso a documentos oficiales y su divulgación. El acceso a documentos oficiales puede concederse, en concreto, de conformidad con el Derecho nacional sin imponer condiciones específicas o imponiendo condiciones específicas no previstas en el presente Reglamento.
(12)El régimen de reutilización que regula el presente Reglamento ha de aplicarse a los datos cuyo suministro forme parte de la misión de servicio público de los organismos del sector público de que se trate con arreglo a la legislación u otras normas vinculantes de los Estados miembros. En defecto de tales normas, la misión de servicio público debe definirse de conformidad con la práctica administrativa común de los Estados miembros, siempre y cuando el ámbito de la misión de servicio público sea transparente y se someta a revisión. La misión de servicio público puede definirse con carácter general o caso por caso para cada organismo del sector público. Puesto que las empresas públicas no se incluyen en la definición de organismo del sector público, el presente Reglamento no debe ser aplicable a los datos que obren en poder de empresas públicas. El presente Reglamento no debe ser aplicable a los datos que obren en poder de centros culturales, como bibliotecas, archivos, museos, orquestas, óperas, ballets y teatros, o por centros de enseñanza, ya que las obras y otros documentos que obren en su poder están protegidos principalmente por derechos de propiedad intelectual de terceros. Las organizaciones que realizan actividades de investigación y las organizaciones que financian la investigación también se pueden constituir como organismos del sector público o como organismos de Derecho público. El presente Reglamento debe ser aplicable a dichas organizaciones híbridas únicamente en su condición de organizaciones que realizan actividades de investigación. Si una organización que realiza actividades de investigación posee datos como parte de una asociación público-privada específica con organizaciones del sector privado u otros organismos del sector público, organismos de Derecho público u organismos híbridos que realizan actividades de investigación (es decir, organizados como organismos del sector público o como empresas públicas) con el objetivo principal de realizar investigaciones, esos datos tampoco deben estar incluidos en el ámbito de aplicación del presente Reglamento. Cuando proceda, los Estados miembros deben poder aplicar el presente Reglamento a las empresas públicas o a las empresas privadas que ejerzan funciones del sector público o presten servicios de interés general. El intercambio de datos entre organismos del sector público en la Unión exclusivamente con el fin de cumplir su misión de servicio público, o entre organismos del sector público en la Unión y organismos del sector público en terceros países u organizaciones internacionales, así como el intercambio de datos entre investigadores con fines de investigación científica no comercial, no debe estar sujeto a las disposiciones del presente Reglamento relativas a la reutilización de determinadas categorías de datos protegidos que obren en poder de organismos del sector público.
(13)Los organismos del sector público deben respetar el Derecho de la competencia cuando determinen los principios para la reutilización de los datos en su poder y han de evitar la celebración de acuerdos que puedan tener por objeto o como efecto la creación de derechos exclusivos para la reutilización de determinados datos. Este tipo de acuerdos debe ser posible solamente cuando esté justificado y sea necesario para prestar servicios de interés general o para suministrar productos de interés general. Este puede ser el caso cuando la utilización exclusiva de los datos sea el único modo de optimizar sus ventajas sociales, por ejemplo, cuando solo haya una entidad (especializada en el tratamiento de un conjunto de datos específico) capaz de prestar el servicio o de suministrar el producto que permita al organismo del sector público prestar un servicio de interés general o suministrar un producto de interés general. No obstante, es preciso que tales acuerdos se celebren de conformidad con el Derecho aplicable de la Unión o nacional y sean objeto de una revisión periódica basada en un análisis del mercado a fin de determinar si dicha exclusividad sigue siendo necesaria. Además, los acuerdos deben respetar las normas pertinentes sobre ayudas estatales, cuando proceda, y deben ser de duración limitada, como máximo de doce meses. A fin de garantizar la transparencia, tales acuerdos exclusivos deben publicarse en línea, en una forma acorde con el Derecho de la Unión aplicable en materia de contratación pública. Cuando un derecho exclusivo de reutilización de datos no cumpla el presente Reglamento, dicho derecho exclusivo debe ser nulo.
(14)Los acuerdos exclusivos prohibidos y otras prácticas o acuerdos relativos a la reutilización de datos que obren en poder de organismos del sector público que no concedan de forma expresa derechos exclusivos, pero de los que quepa esperar razonablemente que restrinjan la disponibilidad de datos para su reutilización, que se hayan celebrado o ya existieran con anterioridad a la fecha de entrada en vigor del presente Reglamento, no deben renovarse tras la expiración de su período de vigencia. Los acuerdos indefinidos o a más largo plazo deben resolverse en un máximo de treinta meses a partir de la fecha de entrada en vigor del presente Reglamento.
(15)El presente Reglamento debe establecer las condiciones de reutilización de datos protegidos aplicables a los organismos del sector público designados como competentes con arreglo al Derecho nacional para autorizar o denegar el acceso para la reutilización, y que deben entenderse sin perjuicio de los derechos u obligaciones relativos al acceso a tales datos. Estas condiciones no deben ser discriminatorias, deben ser transparentes y proporcionadas y estar justificadas objetivamente, y no deben restringir la competencia, con especial énfasis en promover el acceso de las pymes y las empresas emergentes a dichos datos. Las condiciones para la reutilización deben concebirse de forma que promuevan la investigación científica para que, por ejemplo, no se considere discriminatorio, por regla general, dar prioridad a la investigación científica. Los organismos del sector público que permitan la reutilización han de disponer de los medios técnicos necesarios para garantizar la protección de los derechos y los intereses de terceros y deben estar facultados para solicitar al reutilizador la información necesaria. Las condiciones asociadas a la reutilización de datos deben limitarse a lo necesario para proteger los derechos e intereses de terceros en relación con los datos y la integridad de las tecnologías de la información y los sistemas de comunicación de los organismos del sector público. Es preciso que los organismos del sector público apliquen las condiciones que mejor sirvan a los intereses del reutilizador, sin que ello suponga una carga desproporcionada para los organismos del sector público. Deben determinarse las condiciones ligadas a la reutilización de los datos para garantizar de forma efectiva la protección de los datos personales. Antes de su transmisión, los datos personales deben anonimizarse, con el fin de que la identificación de los interesados sea imposible, y los datos que contengan información comercial confidencial deben modificarse para que esta no se divulgue. Cuando el suministro de datos anonimizados o modificados no responda a las necesidades del reutilizador, siempre que se hayan cumplido los posibles requisitos de realizar una evaluación de impacto relativa a la protección de datos y de consultar a la autoridad de control en virtud de los artículos 35 y 36 del Reglamento (UE) 2016/679, y se haya constatado que los riesgos para los derechos y los intereses de los interesados son mínimos, podría permitirse su reutilización presencial o remota en un entorno de tratamiento seguro. Este podría ser un mecanismo adecuado para la reutilización de datos seudonimizados. Los análisis de datos en estos entornos de tratamiento seguros deben ser supervisados por el organismo del sector público, de forma que los derechos y los intereses de terceros queden protegidos. En concreto, los datos personales solo han de transmitirse a un tercero para su reutilización cuando exista una base jurídica en la normativa en materia de protección de datos que lo permita. Los datos no personales solo deben transmitirse cuando no haya motivos para creer que la combinación de conjuntos de datos no personales conduzca a la identificación de los interesados. Esto debe aplicarse también a los datos seudonimizados que conserven su condición de datos personales. En caso de reidentificación de los interesados, debe exigirse una obligación de notificar dicha violación de la seguridad de los datos al organismo del sector público, además de una obligación de notificarla a una autoridad de control y al interesado de conformidad con lo dispuesto en el Reglamento (UE) 2016/679. En su caso, los organismos del sector público deben facilitar, a través de los medios técnicos adecuados, la reutilización de datos sobre la base del consentimiento de los interesados o del permiso de los titulares de esos datos para que se reutilicen sus datos. A este respecto, el organismo del sector público ha de hacer todo lo posible por prestar asistencia a los potenciales reutilizadores para obtener el consentimiento o permiso estableciendo mecanismos técnicos que permitan transmitir las oportunas solicitudes de los reutilizadores pidiendo consentimiento o permiso, cuando resulte factible en la práctica. No deben facilitarse datos de contacto que permitan a los reutilizadores dirigirse directamente a los interesados o a los titulares de datos. Si el organismo del sector público transmite una solicitud de consentimiento o de permiso, debe garantizar que el interesado o el titular de datos esté claramente informado de la posibilidad de negarse a dar su consentimiento o permiso.
(16)Con miras a facilitar y fomentar la utilización con fines de investigación científica de los datos que obren en poder de los organismos del sector público, se anima a estos a que elaboren un planteamiento y procesos armonizados que permitan que esos datos sean fácilmente accesibles para fines de investigación científica por razones de interés público. Esto podría significar, entre otras cosas, la creación de procedimientos administrativos racionalizados, formatos normalizados de datos, metadatos informativos sobre las opciones metodológicas y de recogida de datos, y campos de datos normalizados que permitan unir de forma fácil conjuntos de datos procedentes de diferentes fuentes de datos del sector público cuando sea pertinente con fines de análisis. El objetivo de dichas prácticas debe consistir en promover los datos financiados y producidos con fondos públicos con fines de investigación científica, de conformidad con el principio de «tan abiertos como sea posible, tan cerrados como sea necesario».
(17)El presente Reglamento no ha de afectar a los derechos de propiedad intelectual de terceros. El presente Reglamento tampoco debe afectar a la existencia de derechos de propiedad intelectual de los organismos del sector público ni a su titularidad, ni debe restringir en modo alguno el ejercicio de esos derechos. Es preciso que las obligaciones impuestas de conformidad con el presente Reglamento solo se apliquen en la medida en que sean compatibles con los acuerdos internacionales sobre la protección de los derechos de propiedad intelectual, en particular el Convenio de Berna para la Protección de las Obras Literarias y Artísticas (Convenio de Berna), el Acuerdo sobre los Aspectos de los Derechos de Propiedad Intelectual relacionados con el Comercio (Acuerdo sobre los ADPIC) y el Tratado relativo a los derechos de autor de la Organización Mundial de la Propiedad Intelectual, así como con el Derecho de la Unión o nacional en materia de propiedad intelectual. No obstante, los organismos del sector público deben ejercer sus derechos de autor de una manera que facilite la reutilización.
(18)Los datos protegidos por derechos de propiedad intelectual o que contengan secretos comerciales solo deben transmitirse a un tercero cuando dicha transmisión sea lícita en virtud del Derecho de la Unión o nacional, o cuando se cuente con el acuerdo del titular de los derechos. Cuando los organismos del sector público sean titulares del derecho que se otorga a los fabricantes de bases de datos establecido en el artículo 7, apartado 1, de la Directiva 96/9/CE del Parlamento Europeo y del Consejo (26), no deben ejercerlo para impedir la reutilización de datos o para restringirla más allá de los límites previstos en el presente Reglamento.
(19)Las empresas y los interesados deben poder confiar en que la reutilización de determinadas categorías de datos protegidos que obren en poder de organismos del sector público tenga lugar respetando sus derechos e intereses. Por lo tanto, se requiere introducir garantías adicionales para las situaciones en las que la reutilización de esos datos del sector público se realice en el marco de un tratamiento de datos fuera del sector público, como, por ejemplo, el requisito de que los organismos del sector público garanticen que los derechos e intereses de las personas físicas y jurídicas se respetan plenamente, especialmente, en lo que respecta a los datos personales, los datos comerciales sensibles y los derechos de propiedad intelectual, en todos los casos, incluidos aquellos en que dichos datos se transfieran a terceros países. Los organismos del sector público no deben permitir que las compañías de seguros o cualquier otro proveedor de servicios reutilicen la información almacenada en aplicaciones de sanidad electrónica con el fin de discriminar en la fijación de precios, puesto que esto iría en contra del derecho fundamental de acceso a la salud.
(20)Además, a fin de preservar la competencia leal y la economía de mercado abierta, resulta de vital importancia salvaguardar los datos protegidos de carácter no personal, en particular, los secretos comerciales, pero también los datos no personales que constituyan contenidos protegidos por derechos de propiedad intelectual, frente a un acceso ilícito que entrañe riesgo de robo de esta última o de espionaje industrial. A fin de garantizar la protección de los derechos o los intereses de los titulares de datos, los datos no personales que deban protegerse del acceso ilícito o no autorizado de conformidad con el Derecho de la Unión o nacional y que obren en poder de organismos del sector público, deben poder transferirse a terceros países únicamente cuando ofrezcan garantías adecuadas para su utilización. Dichas garantías adecuadas deben incluir como requisito que el organismo del sector público transmita los datos protegidos a un reutilizador únicamente cuando este contraiga obligaciones contractuales en interés de la protección de los datos. Todo reutilizador que tenga intención de transferir los datos protegidos a un tercer país debe cumplir las obligaciones establecidas en el presente Reglamento, incluso después de dicha transferencia. A fin de velar por el correcto cumplimiento de estas obligaciones, el reutilizador también ha de aceptar, por lo que respecta a la resolución judicial de litigios, las competencias del Estado miembro al que pertenezca el organismo del sector público que haya permitido la reutilización.
(21)Debe considerarse también que se aplican unas garantías adecuadas cuando en un tercer país al que se estén transfiriendo datos no personales haya medidas equivalentes que ofrezcan un grado de protección de los datos similar al garantizado por el Derecho de la Unión, en particular, por lo que se refiere a la protección de los secretos comerciales y de los derechos de propiedad intelectual. A tal fin, la Comisión debe poder declarar, mediante actos de ejecución, cuando así lo justifique un número sustancial de solicitudes, en toda la Unión, relativas a la reutilización de datos no personales en terceros países concretos, que un tercer país ofrece un grado de protección sustancialmente equivalente al previsto en el Derecho de la Unión. La Comisión debe evaluar la necesidad de dichos actos de ejecución sobre la base de la información facilitada por los Estados miembros a través del Comité Europeo de Innovación en materia de Datos. Tales actos de ejecución garantizarían a los organismos del sector público que la reutilización de datos que obren en poder de organismos del sector público en el tercer país en cuestión no pondría en peligro la naturaleza protegida de dichos datos. La evaluación del grado de protección ofrecido en el tercer país en cuestión debe tomar en consideración, en particular, la normativa pertinente, tanto general como sectorial, también en relación con la seguridad pública, la defensa, la seguridad nacional y el Derecho penal, relativa al acceso a datos no personales y la protección de dichos datos, a cualquier acceso por parte de las autoridades públicas de ese tercer país a los datos transferidos, a la existencia y el funcionamiento eficaz de una o varias autoridades de control independientes en el tercer país, responsables de hacer cumplir el régimen jurídico por el que se garantiza el acceso a dichos datos, o los compromisos internacionales suscritos por el tercer país en relación con la protección de los datos, u otras obligaciones que emanen de convenciones o instrumentos jurídicamente vinculantes o de su participación en sistemas multilaterales o regionales. La existencia de vías de recurso efectivas para los titulares de datos, los organismos del sector público o los proveedores de servicios de intermediación de datos en el tercer país reviste especial importancia en el contexto de la transferencia de datos no personales a este último. Por tanto, estas garantías deben incluir la existencia de derechos exigibles y de vías de recurso efectivas. Dichos actos de ejecución deben entenderse sin perjuicio de cualquier obligación legal o disposición contractual ya asumidas por el reutilizador en interés de la protección de datos no personales, en particular, datos industriales, o del derecho de los organismos del sector público a obligar a los reutilizadores a cumplir las condiciones de reutilización, de conformidad con el presente Reglamento.
(22)Algunos terceros países adoptan leyes, reglamentos y otros actos legislativos destinados a transferir directamente o facilitar el acceso de las administraciones públicas a datos no personales en la Unión bajo el control de personas físicas y jurídicas sobre las que los Estados miembros pueden ejercer sus derechos soberanos. Aquellas resoluciones y sentencias de los órganos jurisdiccionales de terceros países o resoluciones de las autoridades administrativas de terceros países que requieran la transferencia de datos no personales o el acceso a estos deben tener fuerza de ley cuando se basen en un acuerdo internacional, como un tratado de asistencia judicial mutua, en vigor entre el tercer país solicitante y la Unión o un Estado miembro. En algunos casos, pueden darse situaciones en las que la obligación de transferir datos no personales o facilitar el acceso a estos derivada de la legislación de un tercer país entre en conflicto con una obligación concurrente de proteger tales datos con arreglo al Derecho de la Unión o nacional, en particular, en lo que se refiere a la protección de los derechos fundamentales de las personas y de los intereses fundamentales de un Estado miembro en relación con la seguridad nacional o la defensa, así como la protección de datos comerciales sensibles y de derechos de propiedad intelectual, incluidas las obligaciones contractuales en materia de confidencialidad conforme a dicha legislación. Cuando no existan acuerdos internacionales que regulen estas cuestiones, la transferencia de datos no personales o su acceso solo han de permitirse si, en particular, se ha verificado que el sistema jurídico del tercer país exige que se establezcan los motivos y la proporcionalidad de la resolución o sentencia, que la resolución o sentencia revista un carácter específico, y que la oposición motivada del destinatario sea examinada por un órgano jurisdiccional competente del tercer país, facultado para tener debidamente en cuenta los intereses jurídicos pertinentes del proveedor de los datos. Además, los organismos del sector público, las personas físicas o jurídicas a las que se les concede el derecho de reutilización de los datos, los proveedores de servicios de intermediación de datos y las organizaciones reconocidas de gestión de datos con fines altruistas deben garantizar, al suscribir acuerdos contractuales con otras partes privadas, que solo se acceda a los datos no personales que obran en poder de la Unión o se transmitan estos a terceros países de conformidad con el Derecho de la Unión o con el Derecho nacional del Estado miembro pertinente.
(23)Para impulsar la confianza en la economía de los datos de la Unión es esencial que las garantías relativas a los ciudadanos de la Unión y al sector público y las empresas de la Unión garanticen que se ejerza control sobre sus datos estratégicos y sensibles, y que se respeta el Derecho, los valores y las normas de la Unión en cuanto a la seguridad, la protección de datos y la protección de los consumidores, entre otros aspectos. A fin de impedir el acceso ilícito a los datos no personales, los organismos del sector público, las personas físicas o jurídicas a las que se haya concedido el derecho a reutilizar datos, los proveedores de servicios de intermediación de datos y las organizaciones reconocidas de gestión de datos con fines altruistas deben adoptar todas las medidas razonables para impedir el acceso a los sistemas en los que se almacenen los datos no personales, tales como el cifrado de datos o las políticas corporativas. Para ello, debe garantizarse que los organismos del sector público, las personas físicas o jurídicas a las que se haya concedido el derecho a reutilizar datos, los proveedores de servicios de intermediación de datos y las organizaciones reconocidas de gestión de datos con fines altruistas deben acatar todas las normas técnicas, códigos de conducta y certificaciones pertinentes de la Unión.
(24)Para generar confianza en los mecanismos de reutilización, puede resultar necesario imponer condiciones más estrictas en relación con ciertos tipos de datos no personales que se pueden considerar muy sensibles, en futuros actos legislativos específicos de la Unión, en lo que se refiere a la transferencia a terceros países, cuando esta pueda poner en peligro objetivos de política pública de la Unión, de conformidad con los compromisos internacionales. Por ejemplo, en el ámbito de la salud, algunos conjuntos de datos en poder de los agentes del sistema de salud pública, como los hospitales públicos, pueden considerarse muy sensibles. Otros sectores pertinentes incluyen el transporte, la energía, el medio ambiente y las finanzas. Con el fin de garantizar unas prácticas armonizadas en toda la Unión, el Derecho de la Unión debe definir estos tipos de datos públicos no personales muy sensibles, por ejemplo, en el contexto del espacio europeo de datos sanitarios o de otra normativa sectorial. Es preciso establecer en actos delegados las condiciones asociadas a la transferencia de dichos datos a terceros países. Dichas condiciones deben ser proporcionadas, no discriminatorias y necesarias para proteger objetivos legítimos identificados de política pública de la Unión, como la protección de la salud pública, la seguridad, el medio ambiente, la moralidad pública, la protección de los consumidores, y la protección de la privacidad y de los datos personales. Las condiciones deben corresponder a los riesgos detectados en relación con la sensibilidad de dichos datos, especialmente en términos del riesgo de reidentificación de las personas. Dichas condiciones pueden incluir algunas aplicables a la transferencia de datos o disposiciones técnicas, como el requisito de emplear un entorno de tratamiento seguro, limitaciones relativas a la reutilización de datos en terceros países, o las categorías de personas facultadas para transferir los datos a terceros países o acceder a ellos en estos últimos. En casos excepcionales, dichas condiciones también pueden incluir restricciones a la transferencia de datos a terceros países para proteger el interés público.
(25)Los organismos del sector público deben poder cobrar tasas por la reutilización de datos, pero también deben poder permitir la reutilización con un descuento en las tasas o de forma gratuita, por ejemplo, en el caso de determinadas categorías de reutilización, como la reutilización no comercial con fines de investigación científica o la reutilización por parte de pymes y empresas emergentes, la sociedad civil y centros educativos, a fin de incentivar esta reutilización para fomentar la investigación y la innovación y apoyar a aquellas empresas que sean una importante fuente de innovación y suelan encontrar más dificultades para recopilar los datos pertinentes por sí mismas, de conformidad con las normas sobre ayudas estatales. En ese contexto concreto, debe entenderse por fines de investigación científica aquellos que incluyan cualquier tipo de fin relacionado con la investigación, independientemente de la estructura organizativa o financiera del centro de investigación en cuestión, a excepción de la investigación que lleve a cabo una empresa con el objetivo de desarrollar, mejorar u optimizar productos o servicios. Las tasas deben ser transparentes, no discriminatorias y limitarse a los costes ocasionados y no deben restringir la competencia. Debe publicarse una lista de las categorías de reutilizadores a los que se aplican descuentos en las tasas rebajadas o no se aplica ninguna tasa, junto con los criterios utilizados para la elaboración de dicha lista.
(26)A fin de incentivar la reutilización de categorías específicas de datos que obren en poder de organismos del sector público, los Estados miembros han de establecer un punto de información único que actúe como interfaz para los reutilizadores que deseen reutilizar dichos datos. El punto de información único debe tener un mandato intersectorial y complementar, cuando proceda, las disposiciones sectoriales. El punto de información único debe poder contar con medios automatizados cuando transmita consultas o solicitudes de reutilización. Debe garantizarse una supervisión humana suficiente en el proceso de transmisión. A tales efectos, podrían usarse modalidades prácticas ya existentes, como los portales de datos abiertos. El punto de información único debe contar con una lista de activos que contenga un resumen de todos los recursos de datos disponibles y que incluya, en su caso, aquellos recursos de datos que estén disponibles en los puntos de información sectoriales, regionales o locales, junto con información relevante que describa los datos disponibles. Además, es preciso que los Estados miembros designen, establezcan o faciliten la creación de organismos competentes para respaldar las actividades de los organismos del sector público que se ocupen de autorizar la reutilización de determinadas categorías de datos protegidos. Entre sus tareas puede figurar la concesión de acceso a los datos, cuando así lo exija la normativa sectorial de la Unión o nacional. Estos organismos competentes deben prestar asistencia a los organismos del sector público mediante técnicas punteras, entre otros, sobre la mejor manera de estructurar y almacenar los datos para que sean fácilmente accesibles —en particular, a través de interfaces de programación de aplicaciones—, y sobre cómo hacer que los datos sean interoperables, transferibles y consultables, teniendo en cuenta las normas técnicas y de regulación vigentes y las mejores prácticas sobre tratamiento de datos y sobre entornos seguros de tratamiento de datos que permitan analizar los datos de forma que se preserve la privacidad de la información. Los organismos competentes deben actuar de conformidad con las instrucciones recibidas del organismo del sector público. Dicha estructura de asistencia podría servir de ayuda a los interesados y a los titulares de datos en la gestión del consentimiento o el permiso de reutilización, incluido el consentimiento y el permiso para determinados ámbitos de investigación científica cuando se respeten las normas éticas reconocidas en la materia. Los organismos competentes no deben tener una función de control, ya que está reservada a las autoridades de control previstas en el Reglamento (UE) 2016/679. Sin perjuicio de las competencias de control de las autoridades responsables de la protección de datos, el tratamiento debe efectuarse bajo la responsabilidad del organismo del sector público a cargo del registro que contenga los datos, que sigue siendo el responsable del tratamiento según la definición del Reglamento (UE) 2016/679 en la medida en que afecte a datos personales. Los Estados miembros deben poder contar con uno o varios organismos competentes, que podrían actuar en distintos sectores. Los servicios internos de los organismos del sector público también podrían actuar como organismos competentes. Un organismo competente podría ser un organismo del sector público que preste asistencia a otros organismos del sector público para autorizar la reutilización de datos, según proceda, o un organismo del sector público que autorice por sí mismo la reutilización. Prestar asistencia a otros organismos del sector público debe conllevar informarles, previa solicitud, sobre las mejores prácticas para cumplir los requisitos establecidos en el presente Reglamento, por ejemplo, en lo que respecta a los medios técnicos que permiten facilitar un entorno de tratamiento seguro o garantizar la privacidad y confidencialidad cuando se proporciona acceso a la reutilización de datos que entran en el ámbito de aplicación del presente Reglamento.
(27)Se espera que los servicios de intermediación de datos desempeñen un papel clave en la economía de los datos, en particular, apoyando y fomentando las prácticas de intercambio voluntario de datos entre empresas o facilitando el intercambio de datos en el contexto de las obligaciones establecidas en el Derecho de la Unión o nacional. Podrían llegar a ser una herramienta para facilitar el intercambio de cantidades sustanciales de datos pertinentes. Los proveedores de servicios de intermediación de datos, entre los que se pueden incluir organismos del sector público, que ofrezcan servicios que conecten a los diferentes agentes tienen el potencial de contribuir a la puesta en común eficiente de datos y a su intercambio bilateral. Los servicios de intermediación de datos especializados que sean independientes de los interesados, de los titulares de datos y de sus usuarios podrían desempeñar un papel facilitador en la aparición de nuevos ecosistemas basados en datos independientes de cualquier operador con un nivel importante de poder de mercado, al mismo tiempo que posibilitan el acceso no discriminatorio a la economía de los datos para todas las empresas, independientemente de su tamaño, en particular, para las pymes y las empresas emergentes con limitados medios financieros, jurídicos o administrativos. Ello será especialmente importante en el contexto del establecimiento de espacios comunes europeos de datos, a saber, marcos interoperables de normas y prácticas comunes, específicos para un fin o un sector o intersectoriales, con el fin de compartir o tratar conjuntamente los datos para, entre otros, el desarrollo de nuevos productos y servicios, la investigación científica o las iniciativas de la sociedad civil. Los servicios de intermediación de datos podrían incluir el intercambio bilateral o multilateral de datos o la creación de plataformas o bases de datos que posibiliten el intercambio o la explotación conjunta de datos, así como el establecimiento de una infraestructura específica para la interconexión de los interesados y los titulares de datos con los usuarios de datos.
(28)El presente Reglamento debe aplicarse a los servicios cuyo objeto sea establecer relaciones comerciales con el fin de intercambiar datos entre un número indeterminado de interesados y titulares de datos, por una parte, y usuarios de datos, por otra, a través de medios técnicos, jurídicos o de otro tipo, también con el fin de ejercer los derechos de los interesados en relación con los datos personales. Cuando las empresas u otras entidades ofrezcan múltiples servicios relacionados con los datos, solo las actividades que se refieren directamente a la prestación de servicios de intermediación de datos deben quedar comprendidas en el ámbito de aplicación del presente Reglamento. Los servicios de almacenamiento en la nube, de análisis, el software de intercambio de datos, los navegadores, los complementos para navegadores o los servicios de correo electrónico no deben considerarse servicios de intermediación de datos en el sentido de lo dispuesto en el presente Reglamento, siempre que dichos servicios solo suministren herramientas técnicas para que los interesados o los titulares de datos intercambien datos con terceros, pero el suministro de dichas herramientas no se use con el objeto de establecer una relación comercial entre titulares de datos y usuarios de datos, ni permita al proveedor de servicios de intermediación de datos obtener información sobre el establecimiento de relaciones comerciales con el fin de intercambiar datos. Algunos ejemplos de servicios de intermediación de datos serían los mercados de datos en los que las empresas podrían poner datos a disposición de terceros, facilitadores de ecosistemas de intercambio de datos abiertos a todas las partes interesadas, por ejemplo, en el contexto de espacios comunes europeos de datos, así como conjuntos de datos creados en común por varias personas físicas o jurídicas con la intención de conceder licencias para la utilización de dichos conjuntos de datos a todas las partes interesadas, de manera que todos los participantes que contribuyan a su puesta en común reciban una gratificación por su contribución. Esto excluiría los servicios que obtienen datos de titulares de datos y que los agregan, enriquecen o transforman con el fin de añadirles un valor sustancial y conceden licencias a los usuarios de datos para la utilización de los datos resultantes, sin establecer una relación comercial entre los titulares de datos y los usuarios de datos. Esto excluiría también los servicios que utilice exclusivamente un único titular de datos para permitir la utilización de los datos que obren en poder de dicho titular de datos, o los que utilicen múltiples personas jurídicas en un grupo cerrado, incluida la utilización en las relaciones con proveedores o con clientes o las colaboraciones establecidas contractualmente, en particular, los que tienen como objetivo principal garantizar las funcionalidades de los objetos y dispositivos conectados al internet de las cosas.
(29)No deben incluirse en el ámbito de aplicación del presente Reglamento los servicios dedicados a la intermediación de contenidos protegidos por derechos de autor, como los prestadores de servicios para compartir contenidos en línea tal como se definen en el artículo 2, punto 6, de la Directiva (UE) 2019/790. Los proveedores de información consolidada tal como se definen en el artículo 2, apartado 1, punto 35, del Reglamento (UE) nº600/2014 del Parlamento Europeo y del Consejo (27), y los proveedores de servicios de información sobre cuentas tal como se definen en el artículo 4, punto 19, de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo (28), no deben considerarse proveedores de servicios de intermediación de datos a efectos del presente Reglamento. El presente Reglamento no debe aplicarse a los servicios ofrecidos por organismos del sector público para facilitar la reutilización de datos protegidos que obren en poder de organismos del sector público de conformidad con el presente Reglamento o la utilización de otros datos, en la medida en que esos servicios no estén destinados a establecer relaciones comerciales. No debe considerarse que las organizaciones reconocidas de gestión de datos con fines altruistas reguladas en el presente Reglamento ofrecen servicios de intermediación de datos, cuando esos servicios no estén destinados a establecer relaciones comerciales entre los posibles usuarios de datos, por una parte, y los interesados y los titulares de datos que ceden los datos con fines altruistas, por otra. No deben considerarse servicios de intermediación de datos en el sentido del presente Reglamento otros servicios que no estén destinados a establecer relaciones comerciales, tales como los repositorios destinados a permitir la reutilización de datos de investigación científica de acuerdo con los principios de acceso abierto.
(30)Una categoría específica de servicios de intermediación de datos engloba a los proveedores de servicios que ofrecen sus servicios a los interesados. Estos proveedores de servicios de intermediación de datos tratan de mejorar la actuación de los interesados y, en particular, el control de las personas sobre los datos que les conciernen. Dichos proveedores les ayudarían a ejercer sus derechos con arreglo al Reglamento (UE) 2016/679, especialmente la concesión y retirada de su consentimiento al tratamiento de datos, el derecho de acceso a sus propios datos, el derecho a la rectificación de los datos personales inexactos, el derecho de supresión o «derecho al olvido», el derecho a limitar el tratamiento y el derecho a la portabilidad de los datos, que permite a los interesados trasladar sus datos personales de un responsable del tratamiento a otro. En ese contexto, es importante que el modelo empresarial de dichos proveedores garantice que no existan incentivos incoherentes que animen a las personas a usar dichos servicios para facilitar más datos que les conciernen para su tratamiento que lo que redundaría en su propio interés. Tal modelo podría incluir el asesoramiento a las personas sobre las posibles utilizaciones de sus datos y la realización de controles de diligencia debida a los usuarios de datos antes de permitirles ponerse en contacto con los interesados, a fin de evitar prácticas fraudulentas. En determinadas situaciones, puede resultar conveniente recopilar datos reales en un espacio de datos personales, de forma que el tratamiento pueda efectuarse dentro de este, sin que se deban transmitir los datos personales a terceros, a fin de maximizar la protección de los datos personales y la privacidad. Estos espacios de datos personales podrían contener datos personales estáticos, como el nombre, la dirección o la fecha de nacimiento, así como datos dinámicos que genera una persona, por ejemplo, a través del uso de un servicio en línea o un objeto conectado al internet de las cosas. También podrían utilizarse para almacenar información de identidad verificada, como, por ejemplo, el número de pasaporte o la información sobre seguridad social, y credenciales (por ejemplo, permiso de conducir, diplomas o información sobre cuentas bancarias).
(31)Las cooperativas de datos tratan de alcanzar varios objetivos, en particular, reforzar la capacidad de las personas para que tomen decisiones con conocimiento de causa antes de dar su consentimiento a la utilización de los datos, influyendo en las condiciones contractuales de las organizaciones usuarias de datos en relación con la utilización de los datos de tal manera que se proporcionen mejores opciones a los distintos miembros del grupo o, en su caso, encontrando soluciones a las posiciones en conflicto de los miembros de un grupo sobre la manera de utilizar los datos cuando estos atañen a varios interesados de ese grupo. En dicho contexto, es importante reconocer que los derechos en virtud del Reglamento (UE) 2016/679 son derechos personales de los interesados y que los interesados no pueden renunciar a ellos. Las cooperativas de datos también pueden facilitar medios útiles a las empresas unipersonales y a las pymes que, por lo que respecta a los conocimientos sobre el intercambio de datos, a menudo son comparables a personas físicas.
(32)A fin de aumentar la confianza en dichos servicios de intermediación de datos, concretamente en relación con la utilización de los datos y el cumplimiento de las condiciones impuestas por los interesados y los titulares de datos, es necesario crear un marco regulador a escala de la Unión que establezca requisitos muy armonizados relativos a la prestación fiable de dichos servicios de intermediación de datos, y que sea aplicado por las autoridades competentes. Dicho marco contribuirá a garantizar que los interesados y los titulares de datos, así como los usuarios de datos, tengan un mayor control sobre el acceso a sus datos y su utilización, conforme al Derecho de la Unión. La Comisión también podría fomentar y facilitar la elaboración de códigos de conducta a escala de la Unión, en los que participen las partes interesadas pertinentes, en concreto sobre la interoperabilidad. Independientemente de que el intercambio de datos tenga lugar entre empresas o entre una empresa y el consumidor, los proveedores de servicios de intermediación de datos deben ofrecer una forma novedosa y «europea» de gobernanza de datos, que establezca una separación, en la economía de los datos, entre el suministro, la intermediación y la utilización. Los proveedores de servicios de intermediación de datos también podrían ofrecer una infraestructura técnica específica para la interconexión de los interesados y los titulares de datos con los usuarios de datos. A este respecto, reviste especial importancia configurar dicha infraestructura de tal manera que las pymes y las empresas emergentes no encuentren obstáculos técnicos o de otro tipo para su participación en la economía de los datos. Debe permitirse a los proveedores de servicios de intermediación de datos ofrecer herramientas y servicios específicos adicionales a los titulares de datos o a los interesados con el fin específico de facilitar el intercambio de datos, como el almacenamiento temporal, la organización, la conversión, la anonimización y la seudonimización. Tales herramientas y servicios solo se deben utilizar previa solicitud o aprobación expresas del titular de datos o el interesado, y las herramientas de terceros ofrecidas en ese contexto no deben utilizar datos para otros fines. Al mismo tiempo, debe permitirse a los proveedores de servicios de intermediación de datos adaptar los datos intercambiados con el fin de facilitar su utilización por el usuario, cuando este así lo desee, o de mejorar la interoperabilidad mediante, por ejemplo, su conversión a formatos específicos.
(33)Resulta importante posibilitar un entorno competitivo para el intercambio de datos. Para mejorar la confianza en los servicios de intermediación de datos y el control de los titulares de datos, los interesados y los usuarios de datos resulta clave la neutralidad de los proveedores de esos servicios respecto a los datos intercambiados entre los titulares de datos o los interesados y los usuarios de datos. Por consiguiente, es necesario que los proveedores de servicios de intermediación de datos actúen únicamente como intermediarios en las transacciones y no usen los datos intercambiados para ningún otro fin. Las condiciones contractuales, incluidos los precios, de la prestación de servicios de intermediación de datos no deben depender de si el potencial titular de datos o usuario de datos emplea otros servicios prestados por el mismo proveedor de servicios de intermediación de datos o por una entidad relacionada con él, tales como el almacenamiento en la nube, el análisis, la inteligencia artificial u otras aplicaciones basadas en datos, ni tampoco puede depender de cómo emplee esos otros servicios el titular de datos o el usuario de datos. Ello también exige una separación estructural entre el servicio de intermediación de datos y cualquier otro servicio prestado, a fin de evitar conflictos de intereses. Esto supone que los servicios de intermediación de datos deben prestarse a través de una entidad jurídica que sea independiente de las demás actividades del proveedor de dichos servicios. No obstante, los proveedores de servicios de intermediación de datos deben poder usar los datos facilitados por el titular de datos para la mejora de sus servicios de intermediación de datos. Los proveedores de servicios de intermediación de datos deben poder poner a disposición de los titulares de datos, los interesados o los usuarios de datos herramientas propias o de terceros a fin de facilitar el intercambio de datos como, por ejemplo, herramientas para la conversión o la organización de datos, únicamente previa solicitud o aprobación expresas del interesado o del titular de datos. Las herramientas de terceros ofrecidas en ese contexto no deben utilizar datos con fines ajenos a los relacionados con los servicios de intermediación de datos. Los proveedores de servicios de intermediación de datos que actúen de intermediarios entre personas físicas en calidad de interesados y personas jurídicas en calidad de usuarios de datos deben estar sujetos, además, a obligaciones fiduciarias para con las personas físicas, a fin de asegurar que actúen en el mejor interés de los interesados. Las cuestiones de responsabilidad por todos los daños y perjuicios materiales e inmateriales derivados de cualquier conducta del proveedor de servicios de intermediación de datos podrían abordarse en el contrato pertinente, con arreglo a los regímenes nacionales de responsabilidad.
(34)Los proveedores de servicios de intermediación de datos deben adoptar medidas razonables para garantizar la interoperabilidad dentro de un sector y entre distintos sectores con el fin de garantizar el correcto funcionamiento del mercado interior. Las medidas razonables podrían incluir el cumplimiento de las normas de uso común existentes en el sector en el que operen los proveedores de servicios de intermediación de datos. El Comité Europeo de Innovación en materia de Datos debe facilitar la creación de normas adicionales para el sector cuando sea necesario. Los proveedores de servicios de intermediación de datos deben aplicar a su debido tiempo las medidas de interoperabilidad entre los servicios de intermediación de datos adoptadas por el Comité Europeo de Innovación en materia de Datos.
(35)El presente Reglamento debe entenderse sin perjuicio de la obligación de los proveedores de servicios de intermediación de datos de cumplir lo dispuesto en el Reglamento (UE) 2016/679 y la responsabilidad de las autoridades de control de asegurar el cumplimiento de este último. Cuando los proveedores de servicios de intermediación de datos traten datos personales, el presente Reglamento no debe afectar a la protección de los datos personales. Cuando los proveedores de servicios de intermediación de datos sean los responsables o encargados del tratamiento de datos tal como se definen en el Reglamento (UE) 2016/679, deben estar sujetos a las normas establecidas en dicho Reglamento.
(36)Se espera que los proveedores de servicios de intermediación de datos dispongan de procedimientos y medidas para imponer sanciones contra las prácticas fraudulentas o abusivas en relación con los terceros que traten de obtener acceso a través de sus servicios de intermediación de datos, entre otras, mediante medidas como la exclusión de los usuarios de datos que infrinjan las condiciones del servicio o el Derecho vigente.
(37)Los proveedores de servicios de intermediación de datos deben adoptar, asimismo, medidas para garantizar el cumplimiento del Derecho de la competencia y disponer de procedimientos a tal efecto. Este es el caso de determinadas situaciones en las que el intercambio de datos permite a las empresas estar al corriente de las estrategias de mercado de sus competidores reales o potenciales. La información sensible desde el punto de vista de la competencia suele incluir detalles sobre datos de clientes, precios futuros, costes de producción, cantidades, facturación, ventas o capacidades.
(38)Debe establecerse un procedimiento de notificación en relación con los servicios de intermediación de datos a fin de garantizar que la gobernanza de los datos dentro de la Unión se base en un intercambio de datos de confianza. Con el fin de obtener más fácilmente las ventajas de un entorno fiable, convendría imponer una serie de requisitos para la prestación de servicios de intermediación de datos, pero sin exigir ninguna decisión o acto administrativo expreso por parte de la autoridad competente en materia de servicios de intermediación de datos de cara a la prestación de los servicios. El procedimiento de notificación no debe imponer obstáculos indebidos a las pymes, empresas emergentes y organizaciones de la sociedad civil, y debe respetar el principio de no discriminación.
(39)A fin de apoyar una prestación transfronteriza de servicios eficaz, procede solicitar al proveedor de servicios de intermediación de datos que envíe una notificación únicamente a la autoridad competente en materia de servicios de intermediación de datos del Estado miembro en el que se encuentre su establecimiento principal o su representante legal. Esta notificación no debe ser más que la mera declaración de la intención de prestar los mencionados servicios, completada únicamente con la información que se exige en el presente Reglamento. Tras la correspondiente notificación, el proveedor de servicios de intermediación de datos debe poder iniciar su actividad en cualquier Estados miembro sin ulteriores obligaciones de notificación.
(40)El procedimiento de notificación establecido en el presente Reglamento ha de entenderse sin perjuicio de las normas adicionales específicas para la prestación de servicios de intermediación de datos que sean aplicables con arreglo a la normativa sectorial.
(41)El establecimiento principal de un proveedor de servicios de intermediación de datos en la Unión debe ser aquel en el que se encuentre su administración central en la Unión. El establecimiento principal de un proveedor de servicios de intermediación de datos en la Unión debe determinarse de conformidad con criterios objetivos e implicar el ejercicio efectivo y real de las actividades de gestión. Las actividades de un proveedor de servicios de intermediación de datos deben cumplir el Derecho nacional del Estado miembro en el que tenga su establecimiento principal.
(42)Para garantizar que los prestadores de servicios de intermediación de datos cumplan el presente Reglamento, deben estar establecidos en la Unión. Cuando un proveedor de servicios de intermediación de datos que no esté establecido en la Unión ofrezca servicios en ella, debe designar a un representante legal. En esos casos, la designación de un representante legal es necesaria, dado que dichos proveedores de servicios de intermediación de datos manejan datos personales y datos comerciales confidenciales, y ello requiere una estrecha supervisión del cumplimiento del presente Reglamento por parte de los proveedores de servicios de intermediación de datos. Para determinar si el proveedor de servicios de intermediación de datos ofrece servicios en la Unión, debe averiguarse si hay constancia de que dicho proveedor tiene la intención de ofrecer servicios de intermediación a personas de uno o varios Estados miembros. La mera accesibilidad en la Unión del sitio web o de una dirección de correo electrónico y otros datos de contacto del proveedor de servicios de intermediación de datos o el uso de una lengua comúnmente utilizada en el tercer país en el que el proveedor de servicios de intermediación de datos esté establecido deben considerarse insuficientes para determinar tal intención. No obstante, factores como el empleo de una lengua o una moneda de uso común en uno o varios Estados miembros, con la posibilidad de encargar servicios en esa lengua, o la mención de usuarios que estén en la Unión, podría revelar que el proveedor de servicios de intermediación de datos tiene la intención de ofrecer servicios en la Unión. Un representante legal designado debe actuar en nombre del proveedor de servicios de intermediación de datos, y las autoridades competentes en materia de servicios de intermediación de datos han de poder ponerse en contacto con él además de o en lugar del proveedor de servicios de intermediación de datos, también en caso de infracción, a fin de iniciar un procedimiento de ejecución contra el proveedor de servicios de intermediación de datos no establecido en la Unión que no cumpla las normas. El representante legal debe haber sido designado mediante un mandato por escrito del proveedor de servicios de intermediación de datos para actuar en nombre de este en lo que respecta a las obligaciones del proveedor con arreglo al presente Reglamento.
(43)Para ayudar a los interesados y a los titulares de datos a identificar fácilmente a los proveedores de servicios de intermediación de datos reconocidos en la Unión y, así, aumentar su confianza en ellos, debe establecerse un logotipo común que sea reconocible en toda la Unión, además de la denominación «proveedor de servicios de intermediación de datos reconocido en la Unión».
(44)Las autoridades competentes en materia de servicios de intermediación de datos designadas para supervisar que los proveedores de servicios de intermediación de datos cumplen los requisitos establecidos en el presente Reglamento han de ser elegidas en función de su capacidad y experiencia en relación con el intercambio de datos horizontal o sectorial. Deben ser independientes de cualquier proveedor de servicios de intermediación de datos, transparentes e imparciales en el ejercicio de sus funciones. Los Estados miembros deben notificar a la Comisión la identidad de dichas autoridades competentes en materia de servicios de intermediación de datos. Las facultades y competencias de las autoridades competentes en materia de servicios de intermediación de datos designadas deben entenderse sin perjuicio de las facultades de las autoridades responsables de la protección de datos. En particular, cuando una cuestión requiera evaluar el cumplimiento del Reglamento (UE) 2016/679, la autoridad competente en materia de servicios de intermediación de datos debe solicitar un dictamen o una decisión, según proceda, a la autoridad de control competente establecida con arreglo a dicho Reglamento.
(45)Existe un importante potencial de objetivos de interés general en la utilización de datos facilitados voluntariamente por los interesados a través de su consentimiento informado o, en lo que se refiere a los datos no personales, facilitados por titulares de datos. Entre esos objetivos se incluyen la asistencia sanitaria, la lucha contra el cambio climático, la mejora de la movilidad, la facilitación del desarrollo, elaboración y difusión de estadísticas oficiales, la mejora de la prestación de servicios públicos o la elaboración de políticas públicas. El respaldo a la investigación científica debe considerarse también un objetivo de interés general. El presente Reglamento debe tener por objeto contribuir a la creación de conjuntos de datos de tamaño suficiente disponibles de manera altruista para permitir el análisis de datos y el aprendizaje automático, también a través de toda la Unión. Con el fin de lograr ese objetivo, los Estados miembros deben poder poner en práctica disposiciones organizativas, técnicas o ambas que faciliten la cesión altruista de datos. Entre esas disposiciones podrían incluirse la disponibilidad de herramientas de fácil uso para que los interesados o los titulares de datos den su consentimiento o permiso para la utilización altruista de sus datos, la organización de campañas de sensibilización o un intercambio estructurado entre autoridades competentes sobre la forma en que las políticas públicas (por ejemplo, la mejora del tráfico, la salud pública y la lucha contra el cambio climático) se benefician de la cesión altruista de datos. A tales efectos, los Estados miembros deben poder establecer políticas nacionales en materia de cesión altruista de datos. Los interesados deben poder recibir compensación relacionada únicamente con los costes en que incurran cuando faciliten sus datos con objetivos de interés general.
(46)Se espera que la inscripción de las organizaciones reconocidas de gestión de datos con fines altruistas en un registro y la utilización de dicha denominación desemboquen en la creación de repositorios de datos. La inscripción en un Estado miembro tendría validez en toda la Unión y se espera que facilite la utilización transfronteriza de los datos dentro de esta y la aparición de conjuntos de datos que den cobertura a varios Estados miembros. Los titulares de datos podrían autorizar el tratamiento de sus datos no personales para diversos fines no determinados en el momento de dar su permiso. El cumplimiento de un conjunto de requisitos tal como dispone el presente Reglamento, por parte de dichas organizaciones reconocidas de gestión de datos con fines altruistas debería generar confianza en que los datos facilitados con fines altruistas sirvan a un objetivo de interés general. En concreto, esta confianza debe derivarse del hecho de tener un lugar de establecimiento o un representante legal en la Unión, así como a través del requisito de que las organizaciones reconocidas de gestión de datos con fines altruistas tengan carácter no lucrativo, de los requisitos de transparencia y de las garantías concretas establecidas para proteger los derechos e intereses de los interesados y las empresas. Además, las medidas de prevención han de incluir la posibilidad de tratar los datos pertinentes en un entorno de tratamiento seguro gestionado por la entidad registrada, mecanismos de control, tales como consejos o comités éticos, que incluyan a representantes de la sociedad civil, que garanticen que el responsable del tratamiento respete unas elevadas normas de ética científica y protección de los derechos fundamentales, medios técnicos eficaces y comunicados de forma clara para retirar o modificar el consentimiento en cualquier momento, sobre la base de las obligaciones de información de los encargados del tratamiento de datos con arreglo al Reglamento (UE) 2016/679, así como medios para que los interesados estén informados sobre la utilización de los datos que hayan facilitado. La inscripción como organización reconocida de gestión de datos con fines altruistas no debe ser una condición previa para el ejercicio de actividades de gestión de datos con fines altruistas. La Comisión debe preparar, por medio de actos delegados, un código normativo en estrecha cooperación con organizaciones de gestión de datos con fines altruistas y partes interesadas pertinentes. El cumplimiento de ese código normativo debe constituir un requisito para la inscripción en el registro como organización reconocida de gestión de datos con fines altruistas.
(47)Para ayudar a los interesados y a los titulares de datos a identificar fácilmente las organizaciones reconocidas de gestión de datos con fines altruistas, y aumentar así su confianza en ellas, debe establecerse un logotipo común que sea reconocible en toda la Unión. El logotipo común debe ir acompañado de un código QR con un enlace al registro público de la Unión de las organizaciones reconocidas de gestión de datos con fines altruistas.
(48)El presente Reglamento debe entenderse sin perjuicio de la creación, la organización y el funcionamiento de entidades que busquen participar en la cesión altruista de datos conforme a la legislación nacional y sustentarse en los requisitos de la legislación nacional para operar lícitamente en un Estado miembro como organización sin ánimo de lucro.
(49)El presente Reglamento debe entenderse sin perjuicio del establecimiento, la organización y el funcionamiento de otras entidades distintas de los organismos del sector público que se dediquen al intercambio de datos y de contenidos sobre la base de licencias abiertas, contribuyendo así a la creación de recursos comunes a disposición del público. Entre ellas deben incluirse las plataformas de intercambio abierto de conocimientos colaborativos, los repositorios científicos y académicos de acceso abierto, las plataformas de desarrollo de software de código abierto y las plataformas de agregación de contenidos de acceso abierto.
(50)Las organizaciones reconocidas de gestión de datos con fines altruistas han de poder recopilar los datos pertinentes directamente de las personas físicas y jurídicas o tratar los datos recopilados por terceros. El tratamiento de los datos recogidos podría ser realizado directamente por organizaciones de gestión de datos con fines altruistas para fines que ellas establezcan o, según proceda, podrían permitir el tratamiento por parte de terceros para esos fines. Cuando las organizaciones reconocidas de gestión de datos con fines altruistas sean las responsables o encargadas del tratamiento de datos tal como se definen en el Reglamento (UE) 2016/679, deben cumplir dicho Reglamento. Por lo general, la cesión altruista de datos se fundamentaría en el consentimiento de los interesados en el sentido del artículo 6, apartado 1, letra a), y del artículo 9, apartado 2, letra a), del Reglamento (UE) 2016/679, y se deben cumplir los requisitos de consentimiento legal conforme a los artículos 7 y 8 del citado Reglamento. De acuerdo con el Reglamento (UE) 2016/679, los fines de investigación científica pueden respaldarse mediante el consentimiento para determinados ámbitos de investigación científica que respeten las normas éticas reconocidas para la investigación científica o solamente para determinadas áreas de investigación o partes de proyectos de investigación. El artículo 5, apartado 1, letra b), del Reglamento (UE) 2016/679 especifica que el tratamiento ulterior de los datos personales con fines de investigación científica e histórica o fines estadísticos no debe considerarse, conforme al artículo 89, apartado 1, del mismo Reglamento, incompatible con los fines iniciales. Las limitaciones a la utilización de los datos no personales deben figurar en el permiso otorgado por el titular de los datos.
(51)Las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas designadas para supervisar el cumplimiento de los requisitos del presente Reglamento por las organizaciones reconocidas de gestión de datos con fines altruistas han de ser elegidas en función de su capacidad y conocimientos especializados. Deben ser independientes de cualquier organización de gestión de datos con fines altruistas, así como transparentes e imparciales en el ejercicio de sus funciones. Los Estados miembros deben notificar a la Comisión la identidad de esas autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas. Las facultades y competencias de las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas deben entenderse sin perjuicio de las facultades de las autoridades responsables de la protección de datos. En particular, cuando una cuestión requiera evaluar el cumplimiento del Reglamento (UE) 2016/679, la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas debe solicitar un dictamen o una decisión, según proceda, a la autoridad de control competente establecida con arreglo a dicho Reglamento.
(52)A fin de fomentar la confianza y aportar seguridad jurídica adicional y facilidad de uso al proceso de concesión o retirada del consentimiento, en particular, en el contexto de la investigación científica y la utilización estadística de los datos cedidos con fines altruistas, debe elaborarse un formulario europeo de consentimiento para la cesión altruista de datos y emplearse en el marco del intercambio de datos con fines altruistas. Este formulario debe contribuir a aumentar la transparencia para los interesados, en el sentido de que se accederá a sus datos y estos se utilizarán de conformidad con su consentimiento y respetando plenamente las normas de protección de datos. Además, debe facilitar la concesión y la retirada del consentimiento y emplearse para generalizar la cesión altruista de datos efectuada por las empresas y proporcionar un mecanismo que permita a estas retirar su permiso para la utilización de los datos. A fin de tener en cuenta las particularidades de los distintos sectores, especialmente desde la perspectiva de la protección de datos, el formulario europeo de consentimiento para la cesión altruista de datos debe adoptar un diseño modular que permita su adaptación a sectores específicos y distintos fines.
(53)Con el objetivo de aplicar satisfactoriamente el marco de gobernanza de los datos, debe crearse un Comité Europeo de Innovación en materia de Datos, en forma de grupo de expertos. Dicho Comité ha de estar compuesto por representantes de las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de todos los Estados miembros, por el Comité Europeo de Protección de Datos, el Supervisor Europeo de Protección de Datos, la Agencia de la Unión Europea para la Ciberseguridad (ENISA), la Comisión, el representante de la UE para las pymes o un representante designado por la red de representantes nacionales para las pymes y otros representantes de los organismos pertinentes de sectores específicos, así como organismos con conocimientos especializados. El Comité Europeo de Innovación en materia de Datos debe constar de una serie de subgrupos, incluido un subgrupo para la participación de las partes interesadas y compuesto por representantes pertinentes del sector correspondiente (como la salud, el medio ambiente, la agricultura, el transporte, la energía, la fabricación industrial, los medios de comunicación, los sectores cultural y creativo y la estadística), así como de los sectores de la investigación, el mundo académico, la sociedad civil, los organismos de normalización, los correspondientes espacios comunes europeos de datos y otras partes interesadas pertinentes y terceros interesados, entre otros, los organismos con conocimientos específicos (como las oficinas nacionales de estadística).
(54)El Comité Europeo de Innovación en materia de Datos debe prestar asistencia a la Comisión para coordinar las prácticas y estrategias nacionales sobre los temas contemplados en el presente Reglamento, y para promover la utilización intersectorial de datos mediante la suscripción de los principios del Marco Europeo de Interoperabilidad y el uso de normas y especificaciones europeas e internacionales, también mediante la Plataforma Europea Multilateral de Normalización de las TIC, los vocabularios básicos y los módulos del Mecanismo «Conectar Europa», y debe tener en cuenta las labores de normalización que se realicen en sectores o ámbitos específicos. Entre las labores de normalización técnica, podrían incluirse la identificación de las prioridades para el desarrollo de normas, así como el establecimiento y mantenimiento de un conjunto de normas técnicas y jurídicas para la transmisión de datos entre dos entornos de tratamiento que permita organizar los espacios de datos, en particular, aclarando y distinguiendo las normas y prácticas intersectoriales de las sectoriales. El Comité Europeo de Innovación en materia de Datos debe cooperar con los organismos, las redes o los grupos de expertos sectoriales, u otras organizaciones intersectoriales que se ocupen de la reutilización de datos. En lo que se refiere a la cesión altruista de datos, es preciso que el Comité Europeo de Innovación en materia de Datos ayude a la Comisión a elaborar el formulario de consentimiento para la cesión altruista de datos, previa consulta al Comité Europeo de Protección de Datos. A la hora de proponer directrices sobre los espacios comunes europeos de datos, el Comité Europeo de Innovación en materia de Datos debe apoyar el desarrollo de una economía europea de los datos que funcione sobre la base de esos espacios de datos, tal como se establece en la Estrategia Europea de Datos.
(55)Los Estados miembros deben establecer los regímenes sancionadores aplicables a las infracciones del presente Reglamento y tomar todas las medidas necesarias para garantizar que se apliquen. Las sanciones previstas deben ser efectivas, proporcionadas y disuasorias. La existencia de grandes discrepancias entre los regímenes sancionadores podría distorsionar la competencia en el mercado único digital. La armonización de tales normas podría ser beneficiosa a este respecto.
(56)A fin de garantizar una aplicación eficaz del presente Reglamento y que los proveedores de servicios de intermediación de datos, así como las entidades que deseen inscribirse como organizaciones reconocidas de gestión de datos con fines altruistas, puedan acceder a los procedimientos de notificación y registro y completarlos íntegramente en línea y de forma transfronteriza, dichos procedimientos deben ofrecerse a través de la pasarela digital única establecida de conformidad con el Reglamento (UE) 2018/1724 del Parlamento Europeo y del Consejo (29). Dichos procedimientos deben añadirse a la lista de procedimientos incluidos en el anexo II del Reglamento (UE) 2018/1724.
(57)Por lo tanto, debe modificarse el Reglamento (UE) 2018/1724 en consecuencia.
(58)A fin de garantizar la eficacia del presente Reglamento, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del TFUE, con la finalidad de completar el presente Reglamento con condiciones especiales aplicables a la transferencia a terceros países de determinadas categorías de datos no personales consideradas muy sensibles, a través de actos legislativos específicos de la Unión y con un código normativo, que las organizaciones reconocidas de gestión de datos con fines altruistas deben cumplir, que contenga los requisitos informativos, técnicos y de seguridad, así como las hojas de ruta sobre comunicación y las normas de interoperabilidad. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo Interinstitucional de 13 de abril de 2016 sobre la Mejora de la Legislación (30). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.
(59)A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución para prestar asistencia a los organismos del sector público y a los reutilizadores en su cumplimiento de las condiciones de reutilización establecidas en el presente Reglamento mediante cláusulas contractuales tipo para la transferencia de datos no personales por parte de reutilizadores a terceros países, para declarar que las disposiciones jurídicas, de supervisión y de ejecución de un tercer país son equivalentes a la protección concedida por el Derecho de la Unión, para diseñar el logotipo común para los proveedores de servicios de intermediación de datos y el logotipo común para las organizaciones de gestión de datos con fines altruistas reconocidas, y para establecer y elaborar el formulario europeo de consentimiento para la cesión altruista de datos. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) nº182/2011 del Parlamento Europeo y del Consejo (31).
(60)El presente Reglamento no debe afectar a la aplicación de la normativa sobre competencia, y en particular a los artículos 101 y 102 del TFUE. Las disposiciones del presente Reglamento no deben utilizarse para restringir la competencia de forma contraria al TFUE. Esto se refiere, en particular, a las normas sobre el intercambio de información sensible desde el punto de vista de la competencia entre competidores reales o potenciales a través de los servicios de intermediación de datos.
(61)El Supervisor Europeo de Protección de Datos y el Comité Europeo de Protección de Datos, a los que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitieron su dictamen el 10 de marzo de 2021.
(62)El presente Reglamento utiliza como principios rectores el respeto de los derechos fundamentales y los principios reconocidos, en particular, en la Carta de los Derechos Fundamentales de la Unión Europea, incluidos el derecho a la intimidad, la protección de los datos de carácter personal, la libertad de empresa, el derecho a la propiedad y la integración de personas con discapacidad. En el contexto de este último, los organismos del sector público y los servicios en el marco del presente Reglamento deben cumplir, según proceda, lo dispuesto en las Directivas (UE) 2016/2102 (32) y (UE) 2019/882 (33) del Parlamento Europeo y del Consejo. Asimismo, debe tenerse en cuenta el diseño para todos en el contexto de la tecnología de la información y la comunicación, que es el esfuerzo consciente y sistemático por aplicar de forma proactiva principios, métodos y herramientas que fomenten el diseño universal en tecnologías relacionadas con la informática, incluidas las tecnologías basadas en internet, evitando de esa forma la necesidad de realizar adaptaciones posteriormente o un diseño especializado.
(63)Dado que los objetivos del presente Reglamento, a saber, la reutilización, dentro de la Unión, de determinadas categorías de datos que obren en poder de organismos del sector público, así como el establecimiento de un marco de notificación y supervisión para la prestación de los servicios de intermediación de datos, un marco para la inscripción voluntaria en un registro de las entidades que cedan datos con fines altruistas y un marco para la creación de un Comité Europeo de Innovación en materia de Datos, no pueden ser alcanzados de manera suficiente por los Estados miembros, sino que, debido a sus dimensiones y efectos, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dichos objetivos.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I. Disposiciones generales

Artículo 1. Objeto y ámbito de aplicación

1.   El presente Reglamento establece:

 a) las condiciones para la reutilización, dentro de la Unión, de determinadas categorías de datos que obren en poder de organismos del sector público;

 b) un marco de notificación y supervisión para la prestación de servicios de intermediación de datos;

 c) un marco para la inscripción voluntaria en un registro de las entidades que recojan y traten datos cedidos con fines altruistas, y

 d) un marco para la creación de un Comité Europeo de Innovación en materia de Datos.

2.   El presente Reglamento no obliga a los organismos del sector público a permitir la reutilización de datos ni los exime de sus obligaciones en materia de confidencialidad que les imponga el Derecho de la Unión o el nacional.

El presente Reglamento se entenderá sin perjuicio:

 a) de las disposiciones específicas previstas en el Derecho de la Unión o nacional en lo referente al acceso a determinadas categorías de datos o a su reutilización, en particular, con respecto a la concesión de acceso a documentos oficiales y su divulgación, ni

 b) de las obligaciones de los organismos del sector público con arreglo al Derecho de la Unión o nacional de permitir la reutilización de datos, ni de los requisitos relacionados con el tratamiento de datos no personales.

Cuando la normativa de la Unión o nacional específica de un sector exija a los organismos del sector público, los proveedores de servicios de intermediación de datos o las organizaciones reconocidas de gestión de datos con fines altruistas cumplir requisitos específicos adicionales de carácter técnico, administrativo u organizativo, también mediante un régimen de autorización o certificación, las disposiciones de dicha normativa de la Unión o nacional serán igualmente de aplicación. Cualquier requisito específico adicional de ese tipo deberá ser no discriminatorio y proporcionado y estar justificado objetivamente.

3.   El Derecho de la Unión y nacional en materia de protección de datos personales se aplicará a todos los datos personales tratados en relación con el presente Reglamento. En particular, el presente Reglamento se entenderá sin perjuicio de los Reglamentos (UE) 2016/679 y (UE) 2018/1725, y de las Directivas 2002/58/CE y (UE) 2016/680, incluidas las facultades y competencias de las autoridades de control. En caso de conflicto entre el presente Reglamento y el Derecho de la Unión en materia de protección de datos personales o el Derecho nacional adoptado de conformidad con el Derecho de la Unión en la materia, prevalecerá el Derecho de la Unión o nacional que sea aplicable en materia de protección de datos personales. El presente Reglamento no crea una base jurídica para el tratamiento de datos personales ni afecta a ninguna obligación ni derecho establecidos en los Reglamentos (UE) 2016/679 o (UE) 2018/1725, o en las Directivas 2002/58/CE o (UE) 2016/680.

4.   El presente Reglamento se entenderá sin perjuicio de la aplicación del Derecho de la competencia.

5.   El presente Reglamento se entenderá sin perjuicio de las competencias de los Estados miembros respecto a las actividades relativas a la seguridad pública, la defensa y la seguridad nacional.

Artículo 2. Definiciones

A efectos del presente Reglamento, se entenderá por:

1)«datos», toda representación digital de actos, hechos o información, así como su recopilación, incluso como grabación sonora, visual o audiovisual;
2)«reutilización», la utilización, por personas físicas o jurídicas, de los datos que obren en poder de organismos del sector público, con fines comerciales o no comerciales distintos del propósito inicial englobado en la misión de servicio público para el que se hayan producido tales datos, excepto en el caso del intercambio de datos entre organismos del sector público con la única finalidad de desempeñar sus actividades de servicio público;
3)«datos personales», los datos personales tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679;
4)«datos no personales», aquellos que no sean datos personales;
5)«consentimiento», el consentimiento tal como se define en el artículo 4, punto 11, del Reglamento (UE) 2016/679;
6)«permiso», la concesión a los usuarios de datos del derecho al tratamiento de datos no personales;
7)«interesado», el interesado tal como se indica en el artículo 4, punto 1, del Reglamento (UE) 2016/679;
8)«titular de datos», toda persona jurídica, incluidos los organismos del sector público y organizaciones internacionales, o persona física que no sea el interesado con respecto a los datos específicos en cuestión, que, de conformidad con el Derecho de la Unión o nacional aplicable, tenga derecho a conceder acceso a determinados datos personales o no personales o a compartirlos;
9)«usuario de datos», toda persona física o jurídica que tenga acceso legítimo a determinados datos personales o no personales y el derecho, incluido el que le otorga el Reglamento (UE) 2016/679 en el caso de los datos personales, a usarlos con fines comerciales o no comerciales;
10)«intercambio de datos», la facilitación de datos por un interesado o titular de datos a un usuario de datos, directamente o a través de un intermediario y en virtud de un acuerdo voluntario o del Derecho de la Unión o nacional, con el fin de hacer un uso en común o individual de tales datos, por ejemplo, mediante licencias abiertas o mediante licencias comerciales de pago o gratuitas;
11)«servicio de intermediación de datos», todo servicio cuyo objeto sea establecer relaciones comerciales para el intercambio de datos entre un número indeterminado de interesados y titulares de datos, por una parte, y usuarios de datos, por otra, a través de medios técnicos, jurídicos o de otro tipo, incluidos los servicios destinados al ejercicio de los derechos de los interesados en relación con los datos personales, pero excluidos, al menos, los servicios siguientes: a) los servicios que obtengan datos de titulares de datos y que los agreguen, enriquezcan o transformen con el fin de añadirles un valor sustancial y concedan licencias a los usuarios de datos para la utilización de los datos resultantes, sin establecer una relación comercial entre los titulares de datos y los usuarios de datos; b) los servicios dedicados a la intermediación de contenido protegido por derechos de autor; c) los servicios utilizados exclusivamente por un único titular de datos para permitir la utilización de los datos que obren en poder de dicho titular de datos, o los utilizados por múltiples personas jurídicas en un grupo cerrado, incluyendo también los utilizados en las relaciones con proveedores o con clientes o las colaboraciones establecidas contractualmente, en particular, los que tienen como objetivo principal garantizar las funcionalidades de los objetos y dispositivos conectados al internet de las cosas; d) los servicios de intercambio de datos ofrecidos por organismos del sector público sin la intención de establecer relaciones comerciales;
12)«tratamiento», el tratamiento tal como se define en el artículo 4, punto 2, del Reglamento (UE) 2016/679 en lo que respecta a los datos personales, o en el artículo 3, punto 2, del Reglamento (UE) 2018/1807 en lo que respecta a los datos no personales;
13)«acceso», toda utilización de datos de conformidad con unos requisitos específicos de carácter técnico, jurídico u organizativo, sin que ello implique necesariamente la transmisión o la descarga de los datos;
14)«establecimiento principal» de una persona jurídica, el lugar de su administración central en la Unión;
15)«servicios de cooperativas de datos», los servicios de intermediación de datos ofrecidos por una estructura organizativa constituida por interesados, empresas unipersonales o pymes pertenecientes a dicha estructura, cuyos objetivos principales sean prestar asistencia a sus miembros en el ejercicio de los derechos de estos con respecto a determinados datos, incluida la asistencia por lo que respecta a la adopción de decisiones informadas antes de consentir el tratamiento de datos, intercambiar opiniones sobre los fines del tratamiento de datos y las condiciones que mejor representen los intereses de sus miembros en relación con los datos de estos, y negociar las condiciones contractuales para el tratamiento de datos en nombre de sus miembros antes de conceder permiso para el tratamiento de datos no personales o antes de dar su consentimiento para el tratamiento de datos personales;
16)«cesión altruista de datos», todo intercambio voluntario de datos basado en el consentimiento de los interesados para que se traten sus datos personales, o en el permiso de los titulares de datos para que se usen sus datos no personales, sin ánimo de obtener o recibir una gratificación que exceda de una compensación relativa a los costes en que incurran a la hora de facilitar sus datos, con objetivos de interés general tal como se disponga en el Derecho nacional, en su caso, como, por ejemplo, la asistencia sanitaria, la lucha contra el cambio climático, la mejora de la movilidad, la facilitación del desarrollo, elaboración y difusión de estadísticas oficiales, la mejora de la prestación de servicios públicos, la elaboración de políticas públicas o la investigación científica de interés general;
17)«organismo del sector público», las autoridades estatales, regionales o locales, los organismos de Derecho público o las asociaciones constituidas por una o más de dichas autoridades o por uno o más de dichos organismos de Derecho público;
18)«organismo de Derecho público», todo organismo que reúna las características siguientes: a) haber sido creado específicamente para satisfacer necesidades de interés general y no tener carácter industrial ni mercantil; b) estar dotado de personalidad jurídica; c) estar financiado, mayoritariamente, por autoridades estatales, regionales o locales, u otros organismos de Derecho público, cuya gestión esté sujeta a la supervisión de dichas autoridades u organismos, o más de la mitad de los miembros de su órgano de administración, de dirección o de supervisión hayan sido nombrados por las autoridades estatales, regionales o locales, o por otros organismos de Derecho público;
19)«empresa pública», toda empresa en la que los organismos del sector público puedan ejercer, directa o indirectamente, una influencia dominante por el hecho de tener la propiedad o una participación financiera en la empresa, o en virtud de las normas que la rigen; a los fines de la presente definición, se considerará que los organismos del sector público ejercen una influencia dominante en cualquiera de los casos siguientes en que, directa o indirectamente: a) posean la mayoría del capital suscrito de la empresa; b) controlen la mayoría de los votos correspondientes a las participaciones emitidas por la empresa; c) puedan nombrar a más de la mitad de los miembros del órgano de administración, de dirección o de supervisión de la empresa;
20)«entorno de tratamiento seguro», el entorno físico o virtual y los medios organizativos para garantizar el cumplimiento del Derecho de la Unión, como, por ejemplo, el Reglamento (UE) 2016/679, en particular, por lo que respecta a los derechos de los interesados, los derechos de propiedad intelectual y la confidencialidad comercial y estadística, la integridad y la accesibilidad, así como para garantizar el cumplimiento del Derecho nacional aplicable y permitir que la entidad encargada de proporcionar el entorno de tratamiento seguro determine y supervise todas las acciones de tratamiento, incluida la presentación, el almacenamiento, la descarga y la exportación de datos, así como el cálculo de datos derivados mediante algoritmos computacionales;
21)«representante legal», toda persona física o jurídica establecida en la Unión y designada expresamente para actuar en nombre de un proveedor de servicios de intermediación de datos no establecido en la Unión o en nombre de una entidad no establecida en la Unión que recoja, para objetivos de interés general, datos cedidos de forma altruista por personas físicas o jurídicas, y que es la persona a la que podrán dirigirse las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas, además de o en lugar de dicho proveedor o entidad, por lo que respecta a las obligaciones que impone el presente Reglamento, incluido el supuesto en que se inicie un procedimiento de ejecución por algún incumplimiento de un proveedor de servicios de intermediación de datos o entidad que no estén establecidos en la Unión.

CAPÍTULO II. Reutilización de determinadas categorías de datos protegidos que obren en poder de organismos del sector público

Artículo 3. Categorías de datos

1.   El presente capítulo se aplica a aquellos datos que obren en poder de organismos del sector público que estén protegidos por motivos de:

 a) confidencialidad comercial, incluidos los secretos comerciales, profesionales o empresariales;

 b) confidencialidad estadística;

 c) protección de los derechos de propiedad intelectual de terceros, o

 d) protección de los datos personales, en la medida en que tales datos queden excluidos del ámbito de aplicación de la Directiva (UE) 2019/1024.

2.   El presente capítulo no se aplica a:

 a) los datos que obren en poder de empresas públicas;

 b) los datos que obren en poder de organismos públicos de radiodifusión y sus filiales, así como los datos que obren en poder de otros organismos o sus filiales para el cumplimiento de una misión de servicio público de radiodifusión;

 c) los datos que obren en poder de centros culturales y de enseñanza;

 d) aquellos datos que obren en poder de organismos del sector público que estén protegidos por motivos de seguridad pública, defensa o seguridad nacional, o

 e) los datos cuya facilitación constituya una actividad ajena al ámbito de la misión de servicio público de los organismos del sector público de que se trate, según se determine ese ámbito en la legislación o en otras normas de obligado cumplimiento del Estado miembro correspondiente, o, a falta de tales normas, según se determine de acuerdo con la práctica administrativa común de dicho Estado miembro, siempre y cuando el ámbito de la misión de servicio público sea transparente y esté sometido a revisión.

3.   El presente capítulo se entenderá sin perjuicio de:

 a) el Derecho de la Unión y nacional y los acuerdos internacionales en los que sean parte la Unión o los Estados miembros relativos a la protección de las categorías de datos enumeradas en el apartado 1, y

 b) el Derecho de la Unión y nacional relativo al acceso a documentos.

Artículo 4. Prohibición de los acuerdos de exclusividad

1.   Se prohíben los acuerdos u otras prácticas relativos a la reutilización de aquellos datos que obren en poder de organismos del sector público que contengan categorías de datos de las enumeradas en el artículo 3, apartado 1, por los que se concedan derechos exclusivos o cuyo objetivo o efecto sea conceder derechos exclusivos o restringir la disponibilidad de los datos para su reutilización por entidades distintas de las partes en tales acuerdos o prácticas.

2.   Como excepción a lo dispuesto en el apartado 1, podrá concederse un derecho exclusivo para la reutilización de los datos mencionados en dicho apartado en la medida en que así lo exija la prestación de un servicio o el suministro de un producto de interés general que, de otro modo, no sería posible.

3.   Se concederá un derecho exclusivo, en aplicación del apartado 2, mediante un acto administrativo o disposición contractual de conformidad con el Derecho aplicable de la Unión o nacional y respetando los principios de transparencia, igualdad de trato y no discriminación.

4.   El tiempo máximo de duración de un derecho exclusivo a reutilizar los datos será de doce meses. Cuando se celebre un contrato, la duración de este será la misma que la del derecho exclusivo.

5.   La concesión de un derecho exclusivo en aplicación de los apartados 2, 3 y 4, incluidas las razones por las que sea necesaria su concesión, se hará de forma transparente y se dará a conocer públicamente en línea, de una forma compatible con el Derecho de la Unión pertinente en materia de contratación pública.

6.   Los acuerdos u otras prácticas a los que se aplique la prohibición del apartado 1 que no reúnan las condiciones de los apartados 2 y 3, y hayan sido celebrados antes del 23 de junio de 2022, finalizarán al término del contrato aplicable y, en cualquier caso, a más tardar el 24 de diciembre de 2024.

Artículo 5. Condiciones de la reutilización

1.   Los organismos del sector público que, con arreglo al Derecho nacional, sean competentes para conceder o denegar acceso para la reutilización de una o varias de las categorías de datos enumeradas en el artículo 3, apartado 1, publicarán las condiciones en las que se permite tal reutilización y el procedimiento para solicitarla por medio del punto único de información a que se refiere el artículo 8. Cuando concedan o denieguen acceso para la reutilización, podrán prestarle asistencia los organismos competentes a que se refiere el artículo 7, apartado 1.

Los Estados miembros velarán por que los organismos del sector público dispongan de los recursos necesarios para cumplir lo dispuesto en el presente artículo.

2.   Las condiciones de la reutilización no podrán ser discriminatorias, deberán ser transparentes y proporcionadas, y estar justificadas objetivamente respecto de las categorías de datos, los fines de la reutilización y la naturaleza de los datos cuya reutilización se permita. Dichas condiciones no podrán utilizarse para restringir la competencia.

3.   Los organismos del sector público velarán, de conformidad con el Derecho de la Unión y nacional, por preservar la naturaleza protegida de los datos. Podrán establecer los requisitos siguientes:

a)que se conceda acceso para la reutilización de los datos únicamente cuando el organismo del sector público o el organismo competente, tras una solicitud de reutilización, haya garantizado que los datos se han: i) anonimizado, en el caso de los datos personales, y ii) modificado, agregado o tratado por cualquier otro método de control de la divulgación, en el caso de la información comercial de carácter confidencial, incluidos los secretos comerciales o los contenidos protegidos por derechos de propiedad intelectual;
b)que el acceso y reutilización a distancia de los datos se lleven a cabo en un entorno de tratamiento seguro facilitado o controlado por el organismo del sector público;
c)que el acceso y reutilización de los datos se lleven a cabo en los locales físicos en los que se encuentre el entorno de tratamiento seguro de conformidad con unas normas de seguridad estrictas, siempre que no pueda habilitarse el acceso a distancia sin que ello ponga en peligro los derechos e intereses de terceros.

4.   En el caso en que se permita la reutilización de conformidad con el apartado 3, letras b) y c), los organismos del sector público impondrán condiciones que preserven la integridad del funcionamiento de los sistemas técnicos del entorno de tratamiento seguro utilizado. El organismo del sector público se reservará el derecho a verificar el proceso, los medios y los resultados del tratamiento de datos efectuado por el reutilizador para preservar la integridad de la protección de los datos y se reservará el derecho a prohibir la utilización de aquellos resultados que contengan información que ponga en peligro los derechos e intereses de terceros. La decisión de prohibir la utilización de los resultados deberá ser comprensible y transparente para el reutilizador.

5.   A menos que el Derecho nacional establezca garantías específicas respecto de las obligaciones de confidencialidad aplicables en relación con la reutilización de los datos a los que se refiere el artículo 3, apartado 1, el organismo del sector público supeditará la utilización de los datos facilitados de conformidad con el apartado 3 del presente artículo a la observancia por parte del reutilizador de una obligación de confidencialidad que prohíba la divulgación de cualquier información que ponga en peligro los derechos e intereses de terceros, que el reutilizador pueda haber adquirido a pesar de las garantías establecidas. Se prohibirá a los reutilizadores reidentificar a cualquier interesado al que se refieran los datos y estarán obligados a adoptar medidas técnicas y operativas para evitar la reidentificación y para notificar al organismo del sector público cualquier violación de la seguridad de los datos que dé lugar a la reidentificación de los interesados de que se trate. En caso de reutilización no autorizada de datos no personales, el reutilizador informará sin demora y, en su caso, con la ayuda del organismo del sector público, a las personas jurídicas cuyos derechos e intereses puedan verse afectados.

6.   Cuando no pueda permitirse la reutilización de los datos de conformidad con las obligaciones establecidas en los apartados 3 y 4 del presente artículo y no exista ninguna otra base jurídica para transmitir los datos con arreglo al Reglamento (UE) 2016/679, el organismo del sector público hará todo lo posible, de conformidad con el Derecho de la Unión y nacional, para prestar asistencia a los reutilizadores potenciales en la obtención del consentimiento de los interesados o del permiso de los titulares de datos cuyos derechos e intereses puedan verse afectados por la reutilización, siempre que ello sea factible sin acarrear cargas desproporcionadas para el organismo del sector público. Cuando preste dicha asistencia, el organismo del sector público podrá ser asistido por los organismos competentes a que se refiere el artículo 7, apartado 1.

7.   Solo se permitirá la reutilización de datos con la condición de cumplir los derechos de propiedad intelectual. Los organismos del sector público no ejercerán el derecho que el artículo 7, apartado 1, de la Directiva 96/9/CE otorga a los fabricantes de bases de datos para impedir la reutilización de datos o para restringirla más allá de los límites previstos en el presente Reglamento.

8.   Cuando los datos solicitados se consideren confidenciales, de conformidad con el Derecho de la Unión o nacional en materia de confidencialidad comercial o estadística, los organismos del sector público velarán por que los datos confidenciales no se divulguen como consecuencia de permitir la reutilización, a menos que dicha reutilización se permita de conformidad con el apartado 6.

9.   Cuando un reutilizador tenga la intención de transferir a un tercer país datos no personales protegidos por los motivos expuestos en el artículo 3, apartado 1, informará al organismo del sector público de su intención de transferirlos y de la finalidad de la transferencia en el momento de solicitar la reutilización de dichos datos. En caso de reutilización de conformidad con el apartado 6 del presente artículo, el reutilizador informará, en su caso, asistido por el organismo del sector público, a la persona jurídica cuyos derechos e intereses puedan verse afectados de tal intención, de la finalidad y de las garantías adecuadas. El organismo del sector público no permitirá la reutilización a menos que la persona jurídica conceda su permiso a dicha transferencia.

10.   Los organismos del sector público transmitirán datos no personales confidenciales o protegidos por derechos de propiedad intelectual a un reutilizador que tenga la intención de transferirlos a un tercer país distinto de los países designados de conformidad con el apartado 12 solo si el reutilizador se obliga contractualmente a:

 a) cumplir las obligaciones que se le exijan de conformidad con los apartados 7 y 8, incluso después de transferir los datos al tercer país, y

 b) aceptar la competencia de los órganos jurisdiccionales del Estado miembro del organismo del sector público transmisor respecto de los litigios que puedan surgir en relación con el cumplimiento de los apartados 7 y 8.

11.   Los organismos del sector público proporcionarán, cuando proceda y en la medida de sus capacidades, orientaciones y asistencia a los reutilizadores para que cumplan las obligaciones a las que se refiere el apartado 10 del presente artículo.

Con el fin de prestar asistencia a los organismos del sector público y a los reutilizadores, la Comisión podrá adoptar actos de ejecución por los que se establezcan cláusulas contractuales tipo para cumplir las obligaciones a las que se refiere el apartado 10 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 33, apartado 3.

12.   Cuando así lo justifique un número considerable de solicitudes en toda la Unión relativas a la reutilización de datos no personales en terceros países concretos, la Comisión podrá adoptar actos de ejecución en los que se declare que las disposiciones jurídicas, de supervisión y de ejecución de un tercer país:

 a) garantizan una protección de la propiedad intelectual y de los secretos comerciales esencialmente equivalente a la garantizada por el Derecho de la Unión;

 b) se aplican y hacen cumplir de manera efectiva, y

 c) ofrecen vías de recurso judicial efectivas.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 33, apartado 3.

13.   Los actos legislativos específicos de la Unión podrán considerar que determinadas categorías de datos no personales que obren en poder de organismos del sector público son muy sensibles a efectos del presente artículo cuando su transferencia a terceros países pueda poner en peligro objetivos de las políticas públicas de la Unión, entre otros, la seguridad y salud públicas, o pueda entrañar el riesgo de la reidentificación de datos no personales anonimizados. Cuando se adopte dicho acto, la Comisión adoptará actos delegados de conformidad con el artículo 32 que completen el presente Reglamento con condiciones especiales aplicables a las transferencias de tales datos a terceros países.

Dichas condiciones especiales se basarán en la naturaleza de las categorías de datos no personales señaladas en el acto legislativo específico de la Unión y en los motivos para considerar dichas categorías como muy sensibles, teniendo en cuenta los riesgos de reidentificación de los datos no personales anonimizados. No podrán ser discriminatorias y se limitarán a lo necesario para alcanzar los objetivos de las políticas públicas de la Unión determinados en dicho acto, de conformidad con las obligaciones internacionales de la Unión.

Si los actos legislativos específicos de la Unión a que se refiere el párrafo primero así lo exigen, dichas condiciones especiales podrán incluir las condiciones contractuales aplicables a la transferencia de datos o disposiciones técnicas a ese respecto, limitaciones relativas a la reutilización de los datos en terceros países o relativas a las categorías de personas facultadas para transferir los datos a terceros países, o, en casos excepcionales, restricciones relativas a la transferencia de los datos a terceros países.

14.   La persona física o jurídica a la que se haya concedido el derecho a reutilizar datos no personales solo podrá transferir los datos a terceros países en los que se cumplan los requisitos de los apartados 10, 12 y 13.

Artículo 6. Tasas

1.   Los organismos del sector público que permitan la reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1, podrán cobrar tasas por permitir dicha reutilización.

2.   Las tasas aplicadas en virtud del apartado 1 deberán ser transparentes, no discriminatorias y proporcionadas, estarán justificadas objetivamente y no podrán restringir la competencia.

3.   Los organismos del sector público garantizarán que el pago de las tasas también pueda efectuarse en línea, a través de servicios transfronterizos de pago de uso generalizado, sin discriminación por razón del lugar de establecimiento del proveedor del servicio de pago, el lugar de emisión del instrumento de pago o la ubicación de la cuenta de pago dentro de la Unión.

4.   Cuando los organismos del sector público apliquen tasas, adoptarán medidas para incentivar la reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1, con fines no comerciales, como la investigación científica, y la reutilización por parte de las pymes y las empresas emergentes, de conformidad con las normas sobre ayudas estatales. A este respecto, los organismos del sector público también podrán ofrecer los datos con un descuento en las tasas o de forma gratuita, en particular, a las pymes y empresas emergentes, la sociedad civil y los centros educativos. A tal fin, los organismos del sector público podrán elaborar una lista de categorías de reutilizadores a los que se faciliten los datos para reutilización con un descuento en las tasas o de forma gratuita. Se publicará dicha lista junto con los criterios seguidos para elaborarla.

5.   Las tasas se calcularán en función de los costes relacionados con la tramitación de las solicitudes de reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1, y se limitarán a los costes necesarios en relación con:

 a) la reproducción, la entrega y la difusión de los datos;

 b) la adquisición de derechos;

 c) la anonimización u otras formas de preparación de los datos personales y de los datos comerciales confidenciales con arreglo a lo dispuesto en el artículo 5, apartado 3;

 d) el mantenimiento del entorno de tratamiento seguro;

 e) la adquisición, por parte de terceros ajenos al sector público, del derecho de terceros de permitir la reutilización de conformidad con el presente capítulo, y

 f) la asistencia a los reutilizadores en la obtención del consentimiento de los interesados y del permiso de los titulares de datos cuyos derechos e intereses puedan verse afectados por la reutilización.

6.   Los Estados miembros establecerán y publicarán los criterios y la metodología para calcular las tasas. Los organismos del sector público publicarán una descripción de las principales categorías de costes y las normas para su asignación.

Artículo 7. Organismos competentes

1.   A efectos de llevar a cabo los cometidos a que se refiere el presente artículo, cada Estado miembro designará uno o varios organismos competentes, que podrán ser competentes para determinados sectores, para prestar asistencia a los organismos del sector público que concedan o denieguen acceso para la reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1. Los Estados miembros podrán crear uno o más organismos competentes nuevos o servirse de organismos del sector público existentes o de servicios internos de organismos del sector público que cumplan las condiciones establecidas en el presente Reglamento.

2.   Podrá confiarse a los organismos competentes la facultad de conceder acceso para la reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1, con arreglo al Derecho de la Unión o nacional que prevea la concesión de dicho acceso. Cuando dichos organismos competentes concedan o denieguen el acceso para la reutilización, les serán aplicables los artículos 4, 5, 6 y 9.

3.   Los organismos competentes dispondrán de los recursos jurídicos, financieros, técnicos y humanos adecuados para desempeñar las funciones que se les asignen, incluidos los conocimientos técnicos necesarios para poder cumplir con el Derecho de la Unión o nacional aplicable en lo referente a los regímenes de acceso relativos a las categorías de datos enumeradas en el artículo 3, apartado 1.

4.   La asistencia a que se refiere el apartado 1 comprenderá, cuando sea necesario, lo siguiente:

 a) apoyo técnico mediante la habilitación de un entorno de tratamiento seguro a fin de facilitar el acceso para la reutilización de los datos;

 b) orientación y apoyo técnico sobre la mejor manera de estructurar y almacenar los datos para que sean fácilmente accesibles;

 c) apoyo técnico para la seudonimización y para garantizar que el tratamiento de los datos pueda llevarse a cabo de manera que se preserve de manera efectiva la privacidad, la confidencialidad, la integridad y la accesibilidad de la información contenida en los datos cuya reutilización se permite, incluidas las técnicas de anonimización, generalización, supresión y aleatorización de datos personales u otros métodos de vanguardia para la protección de la privacidad, y la eliminación de información comercial confidencial, incluidos los secretos comerciales o los contenidos protegidos por derechos de propiedad intelectual;

 d) asistencia a los organismos del sector público, cuando corresponda, para prestar asistencia a los reutilizadores a solicitar el consentimiento de los interesados para la reutilización o el permiso de los titulares de datos en consonancia con sus decisiones específicas, lo que incluye asistencia sobre el territorio en el que se prevea efectuar el tratamiento de los datos y asistencia a los organismos del sector público en el establecimiento de mecanismos técnicos que permitan a los reutilizadores transmitir las solicitudes de consentimiento o permiso, cuando resulte factible en la práctica;

 e) asistencia a los organismos del sector público en la evaluación de la idoneidad de las obligaciones contractuales contraídas por un reutilizador, en virtud del artículo 5, apartado 10.

5.   Cada Estado miembro notificará a la Comisión la identidad de los organismos competentes designados en virtud del apartado 1 a más tardar el 24 de septiembre de 2023. Asimismo, cada Estado miembro notificará a la Comisión toda modificación posterior de la identidad de dichos organismos competentes.

Artículo 8. Puntos únicos de información

1.   Los Estados miembros velarán por que toda la información pertinente en relación con la aplicación de los artículos 5 y 6 esté disponible y sea fácilmente accesible a través de un punto único de información. Los Estados miembros crearán un organismo nuevo o designarán un organismo existente como punto único de información. El punto único de información podrá estar vinculado a puntos de información sectorial, regional o local. Las funciones del punto único de información podrán automatizarse, siempre que el organismo del sector público garantice un apoyo adecuado.

2.   El punto único de información será competente para recibir las consultas o solicitudes de reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1, y las transmitirá, cuando resulte posible y adecuado, a través de medios automatizados, a los organismos del sector público competentes, o, en su caso, a los organismos competentes a los que se refiere el artículo 7, apartado 1, cuando proceda. El punto único de información pondrá a disposición, por medios electrónicos, una lista de activos consultable que contenga un resumen de todos los recursos de datos disponibles, entre ellos, en su caso, los recursos de datos que estén disponibles en puntos sectoriales, regionales o locales, con información pertinente en la que se describan los datos disponibles, que incluya, al menos, el formato y el tamaño de los datos y las condiciones para su reutilización.

3.   El punto único de información podrá crear un canal de información específico, simplificado y bien documentado para las pymes y las empresas emergentes, que aborde sus necesidades y capacidades a la hora de solicitar la reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1.

4.   La Comisión creará un punto único europeo de acceso que ofrezca un registro electrónico de datos consultable en los puntos únicos de información nacionales e información adicional sobre cómo solicitar datos a través de dichos puntos únicos de información nacionales.

Artículo 9. Procedimiento de solicitud de reutilización

1.   Salvo que se prevean plazos más breves en el Derecho nacional, los organismos del sector público competentes o los organismos competentes a que se refiere el artículo 7, apartado 1, adoptarán las decisiones sobre la solicitud de reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1, en el plazo de dos meses a partir de la fecha de recepción de la solicitud.

En caso de solicitudes de reutilización excepcionalmente extensas y complejas, el plazo de dos meses podrá ampliarse un máximo de treinta días. En tales casos, los organismos del sector público competentes o los organismos competentes a que se refiere el artículo 7, apartado 1, notificarán al solicitante lo antes posible que se necesita más tiempo para tramitar la solicitud y los motivos de la demora.

2.   Toda persona física o jurídica directamente afectada por una decisión adoptada de conformidad con el apartado 1 dispondrá de un derecho efectivo de recurso en el Estado miembro en el que se encuentre el organismo en cuestión. Ese derecho de recurso se establecerá en el Derecho nacional e incluirá la posibilidad de revisión por un órgano imparcial con los conocimientos especializados adecuados, como, por ejemplo, la autoridad nacional de defensa de la competencia, la autoridad reguladora del acceso a los documentos correspondiente, la autoridad de control establecida de conformidad con el Reglamento (UE) 2016/679 o un órgano jurisdiccional nacional, cuyas decisiones sean vinculantes para el organismo del sector público o el organismo competente en cuestión.

CAPÍTULO III. Requisitos aplicables a los servicios de intermediación de datos

Artículo 10. Servicios de intermediación de datos

La prestación de los siguientes servicios de intermediación de datos deberá cumplir lo dispuesto en el artículo 12 y estará sujeta a un procedimiento de notificación:

a) servicios de intermediación entre los titulares de datos y los potenciales usuarios de datos, incluida la facilitación de los medios técnicos o de otro tipo para habilitar dichos servicios; estos servicios podrán comprender el intercambio bilateral o multilateral de datos o la creación de plataformas o bases de datos que posibiliten el intercambio o la utilización en común de datos, así como el establecimiento de otra infraestructura específica para la interconexión de los titulares de datos con los usuarios de datos;

b) servicios de intermediación entre los interesados que deseen facilitar sus datos personales o las personas físicas que deseen facilitar datos no personales y los potenciales usuarios de datos, incluida la facilitación de los medios técnicos o de otro tipo necesarios para habilitar dichos servicios, y, en particular, posibilitar el ejercicio de los derechos de los interesados previstos en el Reglamento (UE) 2016/679;

c) servicios de cooperativas de datos.

Artículo 11. Notificación por los proveedores de servicios de intermediación de datos

1.   Todo proveedor de servicios de intermediación de datos con la intención de prestar los servicios de intermediación de datos a que se refiere el artículo 10 presentará una notificación a la autoridad competente en materia de servicios de intermediación de datos.

2.   A efectos del presente Reglamento, se considerará que un prestador de servicios de intermediación de datos establecido en más de un Estado miembro está sometido al ordenamiento jurídico del Estado miembro de su establecimiento principal, sin perjuicio del Derecho de la Unión que regula las acciones transfronterizas de indemnización por daños y perjuicios y los procedimientos conexos.

3.   Los proveedores de servicios de intermediación de datos que no estén establecidos en la Unión y que ofrezcan en ella los servicios de intermediación de datos a que se refiere el artículo 10 deberán designar un representante legal en uno de los Estados miembros en los que se ofrezcan dichos servicios.

A efectos de garantizar el cumplimiento del presente Reglamento, el proveedor de servicios de intermediación de datos otorgará un mandato al representante legal para que las autoridades competentes en materia de servicios de intermediación de datos o los interesados y los titulares de datos se dirijan a él en lugar o además de dirigirse al proveedor, en todos aquellos aspectos relacionados con los servicios de intermediación de datos prestados. El representante legal cooperará con las autoridades competentes en materia de servicios de intermediación de datos y les demostrará de forma exhaustiva, previa solicitud, las medidas y disposiciones adoptadas por el proveedor de servicios de intermediación de datos para garantizar el cumplimiento del presente Reglamento.

Se considerará que el proveedor de servicios de intermediación de datos queda sometido al ordenamiento jurídico del Estado miembro en el que esté ubicado su representante legal. La designación de un representante legal por el proveedor de servicios de intermediación de datos se entenderá sin perjuicio de las acciones judiciales que puedan ejercitarse contra el proveedor de servicios de intermediación de datos.

4.   Tras haber remitido una notificación de conformidad con lo dispuesto en el apartado 1, el proveedor de servicios de intermediación de datos podrá iniciar su actividad con arreglo a las condiciones establecidas en el presente capítulo.

5.   La notificación a que se refiere el apartado 1 dará al proveedor de servicios de intermediación de datos el derecho a prestar servicios de intermediación de datos en todos los Estados miembros.

6.   La notificación a que se refiere el apartado 1 incluirá la información siguiente:

 a) nombre del proveedor de servicios de intermediación de datos;

 b) naturaleza jurídica del proveedor de servicios de intermediación de datos, así como su forma jurídica, estructura de propiedad, filiales pertinentes y, cuando el proveedor de servicios de intermediación de datos esté inscrito en un registro mercantil u otro registro público nacional similar, su número de registro;

 c) dirección del eventual establecimiento principal del proveedor de servicios de intermediación de datos en la Unión y, en su caso, de cualquier sucursal en otro Estado miembro, o dirección de su representante legal;

 d) sitio web público en el que se recoja información completa y actualizada sobre el proveedor de servicios de intermediación de datos y sobre sus actividades, incluida, como mínimo, la información a que se refieren las letras a), b), c) y f);

 e) personas de contacto del proveedor de servicios de intermediación de datos y datos de contacto;

 f) descripción del servicio de intermediación de datos que el proveedor de servicios de intermediación de datos tenga intención de prestar e indicación de las categorías enumeradas en el artículo 10 a las que corresponda el servicio de intermediación de datos;

 g) estimación de la fecha de inicio de la actividad, si fuera distinta de la fecha de notificación.

7.   La autoridad competente en materia de servicios de intermediación de datos se asegurará de que el procedimiento de notificación no sea discriminatorio y no falsee la competencia.

8.   A petición del proveedor de servicios de intermediación de datos, la autoridad competente en materia de servicios de intermediación de datos expedirá, en el plazo de una semana desde que se presente la notificación de forma debida e íntegra, una declaración normalizada en la que se confirme que el proveedor de servicios de intermediación de datos ha presentado la notificación a que se refiere el apartado 1 y que esa notificación contiene la información enumerada en el apartado 6.

9.   A petición del proveedor de servicios de intermediación de datos, la autoridad competente en materia de servicios de intermediación de datos confirmará que el proveedor de servicios de intermediación de datos cumple el presente artículo y el artículo 12. Tras la recepción de dicha confirmación, el proveedor de servicios de intermediación de datos podrá usar, en sus comunicaciones orales y escritas, la denominación «proveedor de servicios de intermediación de datos reconocido en la Unión», así como un logotipo común.

Con objeto de garantizar que los proveedores de servicios de intermediación de datos reconocidos en la Unión sean fácilmente identificables en toda la Unión, la Comisión establecerá, mediante actos de ejecución, un diseño para el logotipo común. Los proveedores de servicios de intermediación de datos reconocidos en la Unión mostrarán el logotipo común de forma clara en todas las publicaciones en línea y fuera de ella relativas a sus actividades de intermediación de datos.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 33, apartado 2.

10.   La autoridad competente en materia de servicios de intermediación de datos informará por vía electrónica y sin demora a la Comisión sobre cada nueva notificación. La Comisión llevará y actualizará periódicamente un registro público de todos los proveedores de servicios de intermediación de datos que presten servicios en la Unión. La información exigida en el apartado 6, letras a), b), c), d), f) y g), será publicada en el registro público.

11.   La autoridad competente en materia de servicios de intermediación de datos podrá cobrar tasas por la notificación de conformidad con el Derecho nacional. Las tasas deberán ser proporcionadas y objetivas, y se calcularán en función de los costes administrativos relacionados con la supervisión del cumplimiento y otras actividades de control del mercado que lleven a cabo las autoridades competentes en materia de servicios de intermediación de datos en relación con las notificaciones hechas por los proveedores de servicios de intermediación de datos. En el caso de las pymes y las empresas emergentes, la autoridad competente en materia de servicios de intermediación de datos podrá aplicar descuentos en las tasas o eximirlas de su pago.

12.   Los proveedores de servicios de intermediación de datos notificarán a la autoridad competente en materia de servicios de intermediación de datos cualquier modificación de la información presentada en virtud del apartado 6 en un plazo de catorce días a partir del día de la modificación.

13.   Cuando un proveedor de servicios de intermediación de datos cese sus actividades, lo notificará a la autoridad competente en materia de servicios de intermediación de datos determinada con arreglo a los apartados 1, 2 y 3 en un plazo de quince días.

14.   La autoridad competente en materia de servicios de intermediación de datos informará por vía electrónica y sin demora a la Comisión sobre cada notificación de las previstas en los apartados 12 y 13. La Comisión actualizará en consecuencia el registro público de los proveedores de servicios de intermediación de datos de la Unión.

Artículo 12. Condiciones para la prestación de servicios de intermediación de datos

La prestación de servicios de intermediación de datos a que se refiere el artículo 10 estará sujeta a las condiciones siguientes:

a)los proveedores de servicios de intermediación de datos no podrán utilizar los datos en relación con los que presten sus servicios para fines diferentes de su puesta a disposición de los usuarios de datos y prestarán los servicios de intermediación de datos a través de una persona jurídica distinta;
b)las condiciones contractuales comerciales, incluidas las relativas a los precios, para la prestación de servicios de intermediación de datos a un titular de datos o a un usuario de datos no podrán depender de que el titular de datos o el usuario de datos utilice otros servicios prestados por el mismo proveedor de servicios de intermediación de datos o por una entidad relacionada con él, y, de utilizarlos, no podrán depender de en qué grado el titular de datos o el usuario de datos utilice dichos servicios;
c)los datos recogidos sobre cualquier actividad de una persona física o jurídica a efectos de la prestación de un servicio de intermediación de datos, incluidas la fecha, hora y geolocalización, la duración de la actividad y las conexiones que el usuario del servicio de intermediación de datos establezca con otras personas físicas o jurídicas, solo se utilizarán para el desarrollo de ese servicio de intermediación de datos, lo que puede implicar la utilización de datos para la detección de fraudes o para fines de ciberseguridad, y se pondrán a disposición de los titulares de datos, previa petición;
d)los proveedores de servicios de intermediación de datos intercambiarán los datos en el mismo formato en el que los reciban de parte del interesado o del titular de datos, únicamente los convertirán en formatos específicos con el fin de mejorar la interoperabilidad intrasectorial e intersectorial o si así lo solicita el usuario de datos o si así lo exige el Derecho de la Unión o si es necesario a efectos de la armonización con las normas internacionales o europeas en materia de datos y ofrecerán a los interesados o a los titulares de datos una posibilidad de exclusión en relación con dichas conversiones, a menos que el Derecho de la Unión obligue a realizar dicha conversión;
e)los servicios de intermediación de datos podrán incluir la oferta de herramientas y servicios específicos adicionales a los titulares de datos o los interesados con el objetivo específico de facilitar el intercambio de los datos, por ejemplo, el almacenamiento temporal, la organización, la conversión, la anonimización y la seudonimización, siempre que tales herramientas y servicios solo se utilicen previa solicitud o aprobación expresas del titular de datos o del interesado, y que las herramientas de terceros ofrecidas en ese contexto no se utilicen para otros fines;
f)los proveedores de servicios de intermediación de datos velarán por que el procedimiento de acceso a sus servicios, incluidos los precios y las condiciones de servicio, sea equitativo, transparente y no discriminatorio, tanto para los interesados como para los titulares de datos y los usuarios de datos;
g)los proveedores de servicios de intermediación de datos dispondrán de procedimientos para impedir prácticas fraudulentas o abusivas de las partes que deseen obtener acceso a través de sus servicios de intermediación de datos;
h)los proveedores de servicios de intermediación de datos se asegurarán en caso de insolvencia, de la continuidad razonable de la prestación de sus servicios de intermediación de datos y, cuando esos servicios de intermediación de datos incluyan el almacenamiento de datos, dispondrán de los mecanismos de garantía necesarios para que los titulares de datos y los usuarios de datos puedan acceder a sus datos, transferirlos o recuperarlos y, cuando presten esos servicios de intermediación entre interesados y usuarios de datos, para permitir que los interesados ejerzan sus derechos;
i)los proveedores de servicios de intermediación de datos adoptarán las medidas adecuadas para garantizar la interoperabilidad con otros servicios de intermediación de datos, entre otros, mediante normas abiertas de uso común en el sector en el que operen los proveedores de servicios de intermediación de datos;
j)los proveedores de servicios de intermediación de datos aplicarán las medidas técnicas, jurídicas y organizativas adecuadas para impedir el acceso a datos no personales o su transferencia cuando dicho acceso o transferencia sean ilícitos con arreglo al Derecho de la Unión o al Derecho nacional del Estado miembro correspondiente;
k)los proveedores de servicios de intermediación de datos informarán sin demora a los titulares de datos en caso de transferencia, acceso o utilización no autorizados de los datos no personales que haya compartido;
l)los proveedores de servicios de intermediación de datos tomarán las medidas necesarias para garantizar un nivel de seguridad adecuado en relación con el almacenamiento, el tratamiento y la transmisión de los datos no personales, y también garantizarán el más elevado nivel de seguridad en relación con el almacenamiento y la transmisión de información sensible desde el punto de vista de la competencia;
m)los proveedores de servicios de intermediación de datos que ofrezcan servicios a los interesados actuarán en el mejor interés de estos cuando faciliten el ejercicio de sus derechos, en particular, informándolos y, cuando corresponda, asesorándolos de manera concisa, transparente, inteligible y fácilmente accesible sobre los usos previstos de los datos por los usuarios de datos y las condiciones generales aplicables a dichos usos antes de que los interesados presten su consentimiento;
n)cuando los proveedores de servicios de intermediación de datos proporcionen herramientas para obtener el consentimiento de los interesados o el permiso para tratar los datos facilitados por los titulares de datos, especificarán, cuando corresponda, el territorio del tercer país en el que se pretenda usar los datos y proporcionarán a los interesados herramientas tanto para otorgar como para retirar su consentimiento, y a los titulares de datos, herramientas tanto para conceder como para retirar los permisos para tratar los datos;
o)los proveedores de servicios de intermediación de datos conservarán un registro de la actividad de intermediación de datos.

Artículo 13. Autoridades competentes en materia de servicios de intermediación de datos

1.   Cada Estado miembro designará a una o varias autoridades competentes para desempeñar las funciones relacionadas con el procedimiento de notificación en materia de servicios de intermediación de datos y notificará a la Comisión la identidad de dichas autoridades competentes a más tardar el 24 de septiembre de 2023. Asimismo, cada Estado miembro notificará a la Comisión toda modificación posterior de la identidad de dichas autoridades competentes.

2.   Las autoridades competentes en materia de servicios de intermediación de datos cumplirán los requisitos del artículo 26.

3.   Las facultades de las autoridades competentes en materia de servicios de intermediación de datos se entenderán sin perjuicio de las facultades de las autoridades responsables de la protección de datos, las autoridades nacionales de defensa de la competencia, las autoridades encargadas de la ciberseguridad y otras autoridades sectoriales pertinentes. Con arreglo a sus competencias respectivas con arreglo al Derecho de la Unión y nacional, dichas autoridades construirán entre sí una sólida cooperación e intercambiarán la información necesaria para el desempeño de sus funciones en relación con los proveedores de servicios de intermediación de datos, y procurarán mantener una coherencia entre las decisiones adoptadas cuando apliquen el presente Reglamento.

Artículo 14. Supervisión del cumplimiento

1.   Las autoridades competentes en materia de servicios de intermediación de datos controlarán y supervisarán el cumplimiento de los requisitos del presente capítulo por los proveedores de servicios de intermediación de datos. Las autoridades competentes en materia de servicios de intermediación de datos también podrán controlar y supervisar, a petición de una persona física o jurídica, dicho cumplimiento por los proveedores de servicios de intermediación de datos.

2.   Las autoridades competentes en materia de servicios de intermediación de datos estarán facultadas para solicitar a los proveedores de servicios de intermediación de datos o a sus representantes legales toda la información necesaria a fin de comprobar el cumplimiento de los requisitos del presente capítulo. Las solicitudes de información deberán ser proporcionadas al cumplimiento de sus funciones y estar motivadas.

3.   Cuando la autoridad competente en materia de servicios de intermediación de datos considere que un proveedor de servicios de intermediación de datos no cumple uno o varios de los requisitos del presente capítulo, le notificará sus observaciones y le dará la oportunidad de manifestar su opinión al respecto en un plazo de treinta días a partir de la recepción de la notificación.

4.   La autoridad competente en materia de servicios de intermediación de datos estará facultada para exigir el cese de la infracción mencionada en el apartado 3 dentro de un plazo razonable o, en caso de infracciones graves, de inmediato, y adoptará medidas adecuadas y proporcionadas para garantizar el cumplimiento. A este respecto, la autoridad competente en materia de servicios de intermediación de datos estará facultada, en su caso:

 a) para imponer, mediante procedimientos administrativos, sanciones económicas disuasorias, que podrán incluir multas coercitivas y sanciones con efectos retroactivos, iniciar procedimientos legales para la imposición de multas, o ambas cosas;

 b) para exigir un aplazamiento del inicio o una suspensión de la prestación del servicio de intermediación de datos hasta que las condiciones se hayan modificado con arreglo a lo solicitado por la autoridad competente en materia de servicios de intermediación de datos, o

 c) para exigir el cese de la prestación del servicio de intermediación de datos en caso de infracciones graves o reiteradas que no hayan sido corregidas a pesar de la notificación previa de conformidad con el apartado 3.

La autoridad competente en materia de servicios de intermediación de datos solicitará a la Comisión que cancele la inscripción relativa al proveedor de servicios de intermediación de datos del registro de proveedores de tales servicios, una vez que haya ordenado el cese de la prestación del servicio de intermediación de datos de conformidad con el párrafo primero, letra c).

Si el proveedor de servicios de intermediación de datos pone remedio a las infracciones, efectuará una nueva notificación a la autoridad competente en materia de servicios de intermediación de datos. La autoridad competente en materia de servicios de intermediación de datos notificará a la Comisión de toda nueva repetición de notificación.

5.   Cuando un proveedor de servicios de intermediación de datos que no esté establecido en la Unión no designe un representante legal o el representante legal no facilite, previa solicitud de la autoridad competente en materia de servicios de intermediación de datos, la información necesaria que demuestre de forma exhaustiva el cumplimiento del presente Reglamento, la autoridad competente en materia de servicios de intermediación de datos estará facultada para aplazar el inicio o suspender la prestación del servicio de intermediación de datos hasta que se designe un representante legal o se facilite la información necesaria.

6.   Las autoridades competentes en materia de servicios de intermediación de datos notificarán sin demora al proveedor de servicios de intermediación de datos afectado las medidas impuestas en virtud de los apartados 4 y 5, los motivos en los que se base y las medidas necesarias que deban tomarse para remediar las deficiencias de que se trate, y fijará un plazo razonable, no superior a 30 días, para que el proveedor de servicios de intermediación de datos dé cumplimiento a las medidas impuestas.

7.   Si el establecimiento principal o el representante legal de un proveedor de servicios de intermediación de datos se encuentra en un Estado miembro, pero el proveedor presta sus servicios en otros Estados miembros, la autoridad competente en materia de servicios de intermediación de datos del Estado miembro de su establecimiento principal o en el que se ubica su representante legal y las autoridades competentes para los servicios de intermediación de datos de los otros Estados miembros cooperarán entre sí y se prestarán asistencia mutua. Dicha asistencia y cooperación podrán abarcar el intercambio de información entre las autoridades competentes en materia de servicios de intermediación de datos de que se trate para fines relacionados con sus funciones con arreglo al presente Reglamento y las peticiones motivadas de que se adopten las medidas a que se refiere el presente artículo.

Cuando una autoridad competente en materia de servicios de intermediación de datos de un Estado miembro solicite asistencia a una autoridad competente en materia de servicios de intermediación de datos de otro Estado miembro, presentará una solicitud motivada. La autoridad competente en materia de servicios de intermediación de datos que reciba dicha solicitud responderá sin demora y en un plazo proporcionado a la urgencia de la solicitud.

Toda la información intercambiada en el contexto de la solicitud y de la prestación de asistencia con arreglo al presente apartado se utilizará únicamente en relación con el asunto para el que se solicitó.

Artículo 15. Excepciones

El presente capítulo no será aplicable a las organizaciones reconocidas de gestión de datos con fines altruistas ni a otras entidades sin ánimo de lucro, en la medida en que sus actividades consistan en la recopilación de datos cedidos con fines altruistas por personas físicas o jurídicas para el cumplimiento de objetivos de interés general, salvo que dichas organizaciones y entidades tengan por objeto establecer relaciones comerciales entre un número indeterminado de interesados y titulares de datos, por una parte, y usuarios de datos, por otra.

CAPÍTULO IV. Cesión altruista de datos

Artículo 16. Disposiciones nacionales para la cesión altruista de datos

Los Estados miembros podrán establecer disposiciones organizativas, técnicas o ambos tipos para facilitar la cesión altruista de datos. A tales efectos, los Estados miembros podrán elaborar políticas nacionales en materia de cesión altruista de datos. Estas políticas nacionales podrán, en particular, ayudar a los interesados a la hora de ceder voluntariamente, con fines altruistas, datos personales que les conciernan y que obren en poder de organismos del sector público, y establecer la información necesaria que deba facilitarse a los interesados en relación con la reutilización de sus datos con fines de interés general.

Si un Estado miembro elabora tales políticas nacionales, lo notificará a la Comisión.

Artículo 17. Registros públicos de organizaciones reconocidas de gestión de datos con fines altruistas

1.   Cada autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas llevará y actualizará periódicamente un registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas.

2.   La Comisión llevará un registro público de la Unión de organizaciones reconocidas de gestión de datos con fines altruistas a efectos informativos. Siempre que las entidades estén inscritas en el registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas de conformidad con el artículo 18 podrán utilizar, en sus comunicaciones orales y escritas, la denominación «organización de gestión de datos con fines altruistas reconocida en la Unión», así como un logotipo común.

Con objeto de garantizar que las organizaciones reconocidas de gestión de datos con fines altruistas sean fácilmente identificables en toda la Unión, la Comisión establecerá, mediante actos de ejecución, un diseño para el logotipo común. Las organizaciones reconocidas de gestión de datos con fines altruistas mostrarán el logotipo común de forma clara en todas las publicaciones en línea y fuera de ella relativas a sus actividades de cesión altruista de datos. El logotipo común irá acompañado de un código QR con un enlace al registro público de la Unión de organizaciones reconocidas de gestión de datos con fines altruistas.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 33, apartado 2.

Artículo 18. Requisitos generales de inscripción en el registro

Para poder inscribirse en un registro público nacional de organizaciones de gestión de datos con fines altruistas, la entidad deberá:

a) ejercer actividades de cesión altruista de datos;

b) ser una entidad jurídica constituida con arreglo al Derecho nacional para cumplir objetivos de interés general, según se disponga en el Derecho nacional, cuando corresponda;

c) ejercer su actividad sin ánimo de lucro y ser jurídicamente independiente de cualquier entidad que ejerza su actividad con fines lucrativos;

d) ejercer las actividades de cesión altruista de datos a través de una estructura que esté funcionalmente separada de sus restantes actividades;

e) cumplir el código normativo al que se refiere el artículo 22, apartado 1, a más tardar dieciocho meses después de la fecha de entrada en vigor de los actos delegados a que se refiere dicho apartado.

Artículo 19. Inscripción en el registro de organizaciones reconocidas de gestión de datos con fines altruistas

1.   Toda entidad que cumpla los requisitos del artículo 18 podrá solicitar su inscripción en el registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas en el Estado miembro en el que esté establecida.

2.   Toda entidad que cumpla los requisitos del artículo 18 y tenga establecimientos en más de un Estado miembro podrá solicitar su inscripción en el registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas del Estado miembro en el que tenga su establecimiento principal.

3.   Toda entidad que cumpla los requisitos del artículo 18 pero que no esté establecida en la Unión deberá designar un representante legal en uno de los Estados miembros en los que ofrezca sus servicios de gestión de datos con fines altruistas.

A efectos de garantizar el cumplimiento del presente Reglamento, la entidad otorgará un mandato al representante legal para que las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas o los interesados y los titulares de datos se dirijan a él en lugar o además de dirigirse a la entidad, en todos aquellos aspectos que tengan que ver con la entidad. El representante legal cooperará con las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas y les demostrará de forma exhaustiva, previa solicitud, las medidas y las disposiciones adoptadas por la entidad para garantizar el cumplimiento del presente Reglamento.

Se considerará que la entidad queda sometida al ordenamiento jurídico del Estado miembro en el que esté ubicado su representante legal. Dicha entidad podrá solicitar su inscripción en el registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas en ese Estado miembro. La designación de un representante legal por la entidad se entenderá sin perjuicio de las acciones judiciales que puedan ejercitarse contra la entidad.

4.   Las solicitudes de inscripción a que se refieren los apartados 1, 2 y 3 deberán incluir los datos siguientes:

a)nombre de la entidad;
b)naturaleza jurídica de la entidad, así como su forma jurídica y, cuando esté inscrita en un registro público nacional, su número de registro;
c)estatutos de la entidad, en su caso;
d)fuentes de ingresos de la entidad;
e)dirección del eventual establecimiento principal de la entidad en la Unión y, en su caso, de cualquier sucursal en otro Estado miembro, o dirección de su representante legal;
f)sitio web público en el que se recoja información completa y actualizada sobre la entidad y sus actividades, incluida, como mínimo, la información a que se refieren las letras a), b), d), e) y h);
g)personas de contacto de la entidad y datos de contacto;
h)objetivos de interés general que la entidad se proponga promover con la recopilación de los datos;
i)naturaleza de los datos que la entidad pretende controlar o tratar y, en el caso de los datos personales, indicación de las categorías de datos personales;
j)cualquier otro documento que acredite el cumplimiento de los requisitos del artículo 18.

5.   Cuando la entidad haya presentado toda la información necesaria con arreglo al apartado 4 y una vez que la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas haya evaluado la solicitud de inscripción y constatado que la entidad cumple los requisitos del artículo 18, dicha autoridad procederá a inscribir a la entidad en el registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas en un plazo de doce semanas después de la recepción de la solicitud de inscripción. La inscripción será válida en todos los Estados miembros.

La autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas notificará toda inscripción a la Comisión. Esta la incluirá en el registro público de la Unión de organizaciones reconocidas de gestión de datos con fines altruistas.

6.   La información a que se refiere el apartado 4, letras a), b), f), g) y h), se publicará en el correspondiente registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas.

7.   Toda organización reconocida de gestión de datos con fines altruistas notificará a la correspondiente autoridad competente para la inscripción en el registro de organizaciones de gestión de datos con fines altruistas cualquier modificación de la información presentada en virtud del apartado 4 en un plazo de catorce días a partir del día de la modificación.

La autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas informará por vía electrónica y sin demora a la Comisión sobre cada notificación de ese tipo. Habida cuenta de dicha notificación, la Comisión actualizará sin demora el registro público de la Unión de organizaciones reconocidas de gestión de datos con fines altruistas.

Artículo 20. Requisitos de transparencia

1.   Toda organización reconocida de gestión de datos con fines altruistas llevará un registro completo y exacto de:

 a) todas las personas físicas o jurídicas a las que se haya permitido tratar datos que obren en poder de dicha organización reconocida de gestión de datos con fines altruistas, y sus datos de contacto;

 b) la fecha o la duración del tratamiento de los datos personales o la utilización de los datos no personales;

 c) la finalidad del tratamiento de datos declarada por las personas físicas o jurídicas a las que se haya permitido dicho tratamiento;

 d) las eventuales tasas abonadas por las personas físicas o jurídicas que efectúen el tratamiento de datos.

2.   Toda organización reconocida de gestión de datos con fines altruistas elaborará y transmitirá a la correspondiente autoridad competente para la inscripción en el registro de organizaciones de gestión de datos con fines altruistas un informe anual de actividades que contendrá, como mínimo, lo siguiente:

 a) información sobre las actividades de la organización reconocida de gestión de datos con fines altruistas;

 b) descripción de la manera en que se hayan promovido los objetivos de interés general para los que se hayan recogido los datos durante el ejercicio financiero en cuestión;

 c) lista de todas las personas físicas y jurídicas a las que se haya permitido tratar datos que obren en poder de la entidad, que incluya una breve descripción de los objetivos de interés general perseguidos con el tratamiento de los datos y la descripción de los medios técnicos empleados al efecto, con una descripción de las técnicas aplicadas para preservar la privacidad y la protección de los datos;

 d) resumen de los resultados del tratamiento de los datos permitido por la organización reconocida de gestión de datos con fines altruistas, en su caso;

 e) información sobre las fuentes de ingresos de la organización reconocida de gestión de datos con fines altruistas, en particular, todos los ingresos derivados de permitir el acceso a los datos, y sobre sus gastos.

Artículo 21. Requisitos específicos para proteger los derechos e intereses de los interesados y de los titulares de datos en lo que respecta a sus datos

1.   Toda organización reconocida de gestión de datos con fines altruistas informará a los interesados o a los titulares de datos, de una manera clara y sencilla de entender, antes de cualquier tratamiento de sus datos:

 a) sobre los objetivos de interés general y, en su caso, los fines específicos, explícitos y legítimos con que se tratarán los datos personales, y para los que permite que sus datos sean tratados por un usuario de datos;

 b) sobre la ubicación de cualquier actividad de tratamiento que se efectúe en un tercer país y sobre los objetivos de interés general para los que lo permita, cuando sea la propia organización reconocida de gestión de datos con fines altruistas la que efectúe el tratamiento.

2.   La organización reconocida de gestión de datos con fines altruistas no utilizará los datos para objetivos distintos de los de interés general para los que el interesado o el titular de datos permita el tratamiento. La organización reconocida de gestión de datos con fines altruistas no utilizará prácticas de mercadotecnia engañosas para solicitar la entrega de datos.

3.   La organización reconocida de gestión de datos con fines altruistas proporcionará herramientas para obtener el consentimiento de los interesados o el permiso para tratar datos facilitados por los titulares de datos. Asimismo, la organización reconocida de gestión de datos con fines altruistas proporcionará herramientas para retirar fácilmente dicho consentimiento o permiso.

4.   La organización reconocida de gestión de datos con fines altruistas tomará medidas para garantizar un nivel de seguridad adecuado en relación con el almacenamiento y el tratamiento de datos no personales que haya recogido con fines de cesión altruista de datos.

5.   La organización reconocida de gestión de datos con fines altruistas informará sin demora a los titulares de datos en caso de transferencia, acceso o utilización no autorizados de los datos no personales que haya compartido.

6.   Cuando la organización reconocida de gestión de datos con fines altruistas facilite el tratamiento de datos por terceros, en particular, proporcionando herramientas para obtener el consentimiento de los interesados o el permiso para tratar los datos facilitados por los titulares de datos, especificará, cuando corresponda, el territorio del tercer país en el que se pretenda utilizar los datos.

Artículo 22. Código normativo

1.   La Comisión adoptará actos delegados de conformidad con el artículo 32 con el fin de completar el presente Reglamento con un código normativo en el que se establezcan:

 a) requisitos de información adecuados para garantizar que se proporciona a los interesados y a los titulares de datos, antes de conceder su consentimiento o permiso para la cesión altruista de datos, información suficientemente detallada, clara y transparente sobre la utilización de los datos, las herramientas para la concesión y revocación del consentimiento o del permiso, y las medidas adoptadas para evitar el uso indebido de los datos compartidos con la organización de gestión de datos con fines altruistas;

 b) requisitos técnicos y de seguridad adecuados para garantizar un nivel de seguridad adecuado del almacenamiento y el tratamiento de datos, así como de las herramientas para conceder y retirar el consentimiento o el permiso;

 c) hojas de ruta sobre comunicación que adopten un enfoque multidisciplinar para sensibilizar a las partes interesadas pertinentes, en especial, a los titulares de datos y los interesados que podrían compartir sus datos, sobre la cesión altruista de datos, la designación como «organización de gestión de datos con fines altruistas reconocida en la Unión» y el código normativo;

 d) recomendaciones sobre las normas de interoperabilidad pertinentes.

2.   El código normativo a que se refiere el apartado 1 se preparará en estrecha cooperación con las organizaciones de gestión de datos con fines altruistas y las partes interesadas pertinentes.

Artículo 23. Autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas

1.   Cada Estado miembro designará una o varias autoridades competentes a efectos de la inscripción en el registro público nacional de las organizaciones reconocidas de gestión de datos con fines altruistas.

Las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas deberán cumplir los requisitos del artículo 26.

2.   Cada Estado miembro notificará a la Comisión la identidad de sus autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas a más tardar el 24 de septiembre de 2023. Asimismo, cada Estado miembro notificará a la Comisión toda modificación posterior de la identidad de dichas autoridades competentes.

3.   La autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de un Estado miembro desempeñará sus funciones en cooperación con la correspondiente autoridad de protección de datos, cuando dichas funciones estén relacionadas con el tratamiento de datos personales, y con las autoridades sectoriales pertinentes de ese Estado miembro.

Artículo 24. Supervisión del cumplimiento

1.   Las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas controlarán y supervisarán el cumplimiento de los requisitos del presente capítulo por las organizaciones reconocidas de gestión de datos con fines altruistas. Las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas también podrán controlar y supervisar, a petición de una persona física o jurídica, dicho cumplimiento por las organizaciones de gestión de datos con fines altruistas.

2.   Las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas estarán facultadas para solicitar a las organizaciones reconocidas de gestión de datos con fines altruistas toda la información necesaria a fin de comprobar el cumplimiento de los requisitos del presente capítulo. Las solicitudes de información deberán ser proporcionadas al cumplimiento de sus funciones y estar motivadas.

3.   Cuando la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas considere que una organización reconocida de gestión de datos con fines altruistas no cumple uno o varios de los requisitos del presente capítulo, le notificará sus observaciones y le dará la oportunidad de manifestar su opinión al respecto en un plazo de treinta días a partir de la recepción de la notificación.

4.   La autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas estará facultada para exigir el cese de la infracción mencionada en el apartado 3, bien inmediatamente, bien dentro de un plazo razonable, y adoptará medidas adecuadas y proporcionadas para garantizar el cumplimiento.

5.   Toda organización reconocida de gestión de datos con fines altruistas que no cumpla uno o varios de los requisitos del presente capítulo, incluso después de haber recibido de conformidad con el apartado 3 la notificación de la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas:

 a) perderá el derecho a utilizar la denominación «organización de gestión de datos con fines altruistas reconocida en la Unión», en sus comunicaciones orales y escritas;

 b) se cancelará su inscripción en el correspondiente registro público nacional de organizaciones reconocidas de gestión de datos con fines altruistas y en el registro público de la Unión de organizaciones reconocidas de gestión de datos con fines altruistas.

La autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas hará pública toda decisión de revocación del derecho a utilizar la denominación «organización de gestión de datos con fines altruistas reconocida en la Unión» con arreglo al párrafo primero, letra a).

6.   Si una organización reconocida de gestión de datos con fines altruistas tiene su establecimiento principal o su representante legal en un Estado miembro, pero ejerce su actividad en otros Estados miembros, la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas del Estado miembro de su establecimiento principal o de su representante legal y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de esos otros Estados miembros cooperarán entre sí y se prestarán asistencia mutua. Dicha asistencia y cooperación podrán abarcar el intercambio de información entre las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de que se trate para fines relacionados con sus funciones con arreglo al presente Reglamento y las peticiones motivadas de adopción de las medidas a que se refiere el presente artículo.

Cuando una autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de un Estado miembro solicite asistencia a una autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de otro Estado miembro, presentará una solicitud motivada. La autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas que reciba dicha solicitud responderá sin demora y en un plazo proporcionado a la urgencia de la solicitud.

Toda la información intercambiada en el contexto de la solicitud y de la prestación de asistencia con arreglo al presente apartado se utilizará únicamente en relación con el asunto para el que se solicitó.

Artículo 25. Formulario europeo de consentimiento para la cesión altruista de datos

1.   Con el fin de facilitar la recogida de datos cedidos con fines altruistas, la Comisión adoptará actos de ejecución en los que se establezca y elabore un formulario europeo de consentimiento para tal cesión, previa consulta al Comité Europeo de Protección de Datos, teniendo en cuenta el asesoramiento del Comité Europeo de Innovación en materia de Datos y contando debidamente con la participación de las partes interesadas pertinentes. El formulario permitirá recabar el consentimiento o el permiso en todos los Estados miembros en un formato uniforme. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 33, apartado 2.

2.   El formulario europeo de consentimiento para la cesión altruista de datos tendrá un diseño modular que permita su adaptación a sectores específicos y distintos fines.

3.   Cuando se faciliten datos personales, el formulario europeo de consentimiento para la cesión altruista de datos permitirá a los interesados otorgar o retirar su consentimiento respecto de una operación específica de tratamiento de datos de conformidad con los requisitos del Reglamento (UE) 2016/679.

4.   El formulario estará disponible de tal manera que permita su impresión en papel y que sea de fácil comprensión, así como en un formato electrónico y legible por máquina.

CAPÍTULO V. Autoridades competentes y disposiciones procedimentales

Artículo 26. Requisitos relativos a las autoridades competentes

1.   Las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas deberán ser jurídicamente distintas y funcionalmente independientes de cualquier proveedor de servicios de intermediación de datos u organización reconocida de gestión de datos con fines altruistas. Las funciones de las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas podrán ser desempeñadas por la misma autoridad. Los Estados miembros podrán crear una o varias autoridades nuevas a tales efectos o servirse de las existentes.

2.   Las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas ejercerán sus funciones de manera imparcial, transparente, coherente, fiable y oportuna. En el ejercicio de sus funciones, protegerán la competencia leal y garantizarán la no discriminación.

3.   Los máximos directivos y el personal responsables de desempeñar las funciones correspondientes de las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas no podrán ser el diseñador, el fabricante, el proveedor, el instalador, el comprador, el propietario, el usuario ni el encargado del mantenimiento de los servicios que evalúen, ni tampoco podrán ser el representante autorizado de ninguna de esas partes. Ello no será óbice para el uso de los servicios evaluados que sean necesarios para la actividad de la autoridad competente en materia de servicios de intermediación de datos y la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas o para el uso de dichos servicios con fines personales.

4.   Los máximos directivos y el personal de las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas se abstendrán de ejercer actividad alguna que pueda entrar en conflicto con su independencia de criterio o su integridad en relación con las actividades de evaluación que se les haya asignado.

5.   Las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas dispondrán de los recursos financieros y humanos adecuados para desempeñar las funciones que se les haya asignado, incluidos los conocimientos y recursos técnicos necesarios.

6.   Las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de un Estado miembro facilitarán a la Comisión y a las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de otros Estados miembros, previa solicitud motivada y sin demora, la información necesaria para el ejercicio de sus funciones con arreglo al presente Reglamento. Cuando una autoridad competente en materia de servicios de intermediación de datos o una autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas considere que la información solicitada es confidencial de conformidad con el Derecho de la Unión y nacional en materia de secretos comerciales y confidencialidad profesional, la Comisión y las correspondientes autoridades competentes en materia de servicios de intermediación de datos y autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas garantizarán la confidencialidad.

Artículo 27. Derecho a presentar una reclamación

1.   Toda persona física y jurídica tendrá derecho a presentar una reclamación en relación con cualquier cuestión comprendida en el ámbito de aplicación del presente Reglamento, a título individual o colectivo, según corresponda, ante la autoridad competente en materia de servicios de intermediación de datos pertinente contra un proveedor de servicios de intermediación de datos o ante la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas contra una organización reconocida de gestión de datos con fines altruistas.

2.   La autoridad competente en materia de servicios de intermediación de datos o la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas ante la que se haya presentado la reclamación informará a la parte reclamante sobre:

 a) el curso del procedimiento y la decisión tomada, y

 b) las vías de recurso judicial previstas en el artículo 28.

Artículo 28. Derecho a una tutela judicial efectiva

1.   No obstante cualquier recurso administrativo o extrajudicial, toda persona física o jurídica afectada tendrá derecho a una tutela judicial efectiva en lo que respecta a las decisiones jurídicamente vinculantes a que se refiere el artículo 14 adoptadas por las autoridades competentes en materia de servicios de intermediación de datos, en el marco de la gestión, el control y la ejecución del régimen de notificación para los proveedores de servicios de intermediación de datos, y las decisiones jurídicamente vinculantes a que se refieren los artículos 19 y 24 adoptadas por las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas, en el marco del control de las organizaciones reconocidas de gestión de datos con fines altruistas.

2.   Los recursos presentados en virtud del presente artículo se dirimirán ante los órganos jurisdiccionales del Estado miembro de la autoridad competente en materia de servicios de intermediación de datos o la autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas contra la cual se interponga el recurso a título individual o colectivo, según corresponda, por los representantes de una o varias personas físicas o jurídicas.

3.   Cuando una autoridad competente en materia de servicios de intermediación de datos o una autoridad competente para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas no dé curso a una reclamación, cualquier persona física o jurídica afectada tendrá derecho, de conformidad con el Derecho nacional, a una tutela judicial efectiva o acceso a revisión por un órgano imparcial que disponga de los conocimientos especializados adecuados.

CAPÍTULO VI. Comité Europeo de Innovación en materia de Datos

Artículo 29. Comité Europeo de Innovación en materia de Datos

1.   La Comisión creará un Comité Europeo de Innovación en materia de Datos, que adoptará la forma de un grupo de expertos integrado por representantes de las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas de todos los Estados miembros, el Comité Europeo de Protección de Datos, el Supervisor Europeo de Protección de Datos, ENISA, la Comisión, el representante de la UE para las pymes o un representante designado por la red de representantes nacionales para las pymes y otros representantes de los organismos pertinentes de sectores específicos, así como organismos con conocimientos especializados. A la hora de nombrar expertos individuales, la Comisión procurará lograr un equilibrio geográfico y de género en la composición del grupo de expertos.

2.   El Comité Europeo de Innovación en materia de Datos constará al menos de los tres subgrupos siguientes:

 a) un subgrupo compuesto por las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas, con el fin de llevar a cabo los cometidos que se recogen en el artículo 30, letras a), c), j) y k);

 b) un subgrupo de debates técnicos sobre normalización, portabilidad e interoperabilidad con arreglo al artículo 30, letras f) y g);

 c) un subgrupo para la participación de las partes interesadas, compuesto por representantes pertinentes de los sectores de la industria, la investigación, el mundo académico, la sociedad civil, los organismos de normalización, los correspondientes espacios comunes europeos de datos y otras partes interesadas y terceras partes pertinentes que asesoren al Comité Europeo de Innovación en materia de Datos sobre los cometidos que se recogen en el artículo 30, letras d), e), f), g) y h).

3.   La Comisión presidirá las reuniones del Comité Europeo de Innovación en materia de Datos.

4.   El Comité Europeo de Innovación en materia de Datos estará asistido por una secretaría proporcionada por la Comisión.

Artículo 30. Funciones del Comité Europeo de Innovación en materia de Datos

El Comité Europeo de Innovación en materia de Datos ejercerá las funciones siguientes:

a)asesorar y asistir a la Comisión en el desarrollo de una práctica coherente de los organismos del sector público y los organismos competentes mencionados en el artículo 7, apartado 1, a la hora de tramitar las solicitudes de reutilización de las categorías de datos enumeradas en el artículo 3, apartado 1;
b)asesorar y asistir a la Comisión en el desarrollo de una práctica coherente para la cesión altruista de datos en toda la Unión;
c)asesorar y asistir a la Comisión en el desarrollo de una práctica coherente de las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas en cuanto a la aplicación de los requisitos aplicables a los proveedores de servicios de intermediación de datos y a las organizaciones reconocidas de gestión de datos con fines altruistas;
d)asesorar y asistir a la Comisión en la elaboración de directrices coherentes sobre la mejor manera de proteger, en el contexto del presente Reglamento, los datos no personales comerciales sensibles, especialmente los secretos comerciales, pero también los datos no personales que constituyan contenidos protegidos por derechos de propiedad intelectual, frente a un acceso ilícito que entrañe riesgo de robo de la propiedad intelectual o de espionaje industrial;
e)asesorar y asistir a la Comisión en la elaboración de directrices coherentes para los requisitos de ciberseguridad aplicables al intercambio y almacenamiento de datos;
f)asesorar a la Comisión, en particular, teniendo en cuenta las aportaciones de las organizaciones de normalización, sobre la priorización de las normas intersectoriales que deban utilizarse y desarrollarse para la utilización de datos y el intercambio de datos entre diferentes sectores y entre espacios comunes europeos de datos emergentes, la comparación y el intercambio intersectoriales de las mejores prácticas con respecto a los requisitos sectoriales de seguridad y los procedimientos de acceso, teniendo en cuenta las actividades de normalización específicas de cada sector, en particular, la tarea de aclarar y distinguir qué normas y prácticas son intersectoriales y cuáles son sectoriales;
g)ayudar a la Comisión, en particular, teniendo en cuenta las aportaciones de las organizaciones de normalización, a abordar la fragmentación del mercado interior y la economía de los datos en dicho mercado mediante la mejora de la interoperabilidad trasfronteriza e intersectorial de los datos y los servicios de intercambio de datos entre diferentes sectores y ámbitos, tomando como referencia las normas europeas, internacionales o nacionales vigentes, entre otros, con el objetivo de promover la creación de espacios comunes europeos de datos;
h)proponer directrices para los espacios comunes europeos de datos, a saber, marcos interoperables de normas y prácticas comunes, específicos para un fin o un sector o intersectoriales, con el fin de compartir o tratar en común los datos para, entre otros, el desarrollo de nuevos productos y servicios, la investigación científica o las iniciativas de la sociedad civil; dichas normas y prácticas comunes tendrán en cuenta las normas existentes, deberán cumplir las normas en materia de competencia y garantizar un acceso no discriminatorio para todos los participantes, con el fin de facilitar el intercambio de datos en la Unión y aprovechar el potencial de los espacios de datos existentes y futuros, atendiendo, entre otras, a las siguientes cuestiones: i) las normas intersectoriales que deban utilizarse y desarrollarse para la utilización de datos y el intercambio de datos entre diferentes sectores, la comparación y el intercambio intersectoriales de las mejores prácticas con respecto a los requisitos sectoriales de seguridad y los procedimientos de acceso, teniendo en cuenta las actividades de normalización específicas de cada sector, en particular, aclarar y distinguir qué normas y prácticas son intersectoriales y cuáles son sectoriales, ii) los requisitos para contrarrestar las barreras de entrada al mercado y evitar los efectos de dependencia, con el fin de garantizar la competencia leal y la interoperabilidad, iii) una protección adecuada de las transferencias lícitas de datos a terceros países, incluidas garantías contra las transferencias prohibidas por el Derecho de la Unión, iv) una representación adecuada y no discriminatoria de las partes interesadas en la gobernanza de los espacios comunes europeos de datos, v) el cumplimiento de los requisitos de ciberseguridad de conformidad con el Derecho de la Unión;
i)facilitar la cooperación entre los Estados miembros con respecto al establecimiento de unas condiciones armonizadas que permitan la reutilización, en todo el mercado interior, de las categorías de datos enumeradas en el artículo 3, apartado 1, que obren en poder de organismos del sector público;
j)facilitar la cooperación entre las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas, mediante el desarrollo de capacidades y el intercambio de información, en particular, con el establecimiento de métodos para el intercambio eficiente de información relativa al procedimiento de notificación para los proveedores de servicios de intermediación de datos y a la inscripción y el seguimiento de las organizaciones reconocidas de gestión de datos con fines altruistas, incluida la coordinación por lo que respecta al establecimiento de tasas o sanciones, y facilitar también la cooperación entre las autoridades competentes en materia de servicios de intermediación de datos y las autoridades competentes para la inscripción en el registro de las organizaciones de gestión de datos con fines altruistas con respecto al acceso y la transferencia de datos internacionales;
k)asesorar y asistir a la Comisión en la evaluación de la conveniencia de adoptar los actos de ejecución a los que se refiere el artículo 5, apartados 11 y 12;
l)asesorar y asistir a la Comisión en la elaboración del formulario de consentimiento europeo para la cesión altruista de datos de conformidad con el artículo 25, apartado 1;
m)asesorar a la Comisión sobre la mejora del marco regulador internacional para datos no personales, incluida la normalización.

CAPÍTULO VII. Acceso y transferencia internacionales

Artículo 31. Acceso y transferencia internacionales

1.   El organismo del sector público, la persona física o jurídica a la que se haya concedido el derecho a reutilizar datos con arreglo al capítulo II, el proveedor de servicios de intermediación de datos o la organización reconocida de gestión de datos con fines altruistas tomará todas las medidas técnicas, jurídicas y organizativas razonables, incluidas disposiciones contractuales, para impedir la transferencia internacional de datos no personales que se hallen en la Unión, o el acceso a tales datos por parte de las administraciones públicas, cuando la transferencia o el acceso entren en conflicto con el Derecho de la Unión o con el Derecho nacional del Estado miembro de que se trate, sin perjuicio de lo dispuesto en los apartados 2 o 3.

2.   Aquellas resoluciones y sentencias de los órganos jurisdiccionales de terceros países y las resoluciones de las autoridades administrativas de terceros países que exijan a un organismo del sector público, a una persona física o jurídica a la que se haya concedido el derecho a reutilizar datos con arreglo al capítulo II, a un proveedor de servicios de intermediación de datos o a una organización reconocida de gestión de datos con fines altruistas, transferir datos no personales que se hallen en la Unión y que se incluyan en el ámbito de aplicación del presente Reglamento o dar acceso a dichos datos deberán ser reconocidas o ejecutadas de alguna manera, pero únicamente si se basan en un acuerdo internacional, como pueda ser un tratado de asistencia jurídica mutua, vigente entre el tercer país solicitante y la Unión, o cualquier acuerdo de esa índole entre el tercer país solicitante y un Estado miembro.

3.   A falta del acuerdo internacional al que se refiere el apartado 2 del presente artículo, cuando un organismo del sector público, una persona física o jurídica a la que se haya concedido el derecho a reutilizar datos con arreglo al capítulo II, un proveedor de servicios de intermediación de datos o una organización reconocida de gestión de datos con fines altruistas sea el destinatario de una resolución o sentencia de un órgano jurisdiccional de un tercer país o una resolución de una autoridad administrativa de un tercer país por la que se exija transferir datos no personales que se hallen en la Unión y se incluyan en el ámbito de aplicación del presente Reglamento o dar acceso a dichos datos, y el cumplimiento de dicha resolución o sentencia pueda poner al destinatario en una situación de conflicto con el Derecho de la Unión o con el Derecho nacional del Estado miembro pertinente, la transferencia o el acceso únicamente tendrá lugar si:

 a) el sistema del tercer país exige que se expongan los motivos y la proporcionalidad de dicha resolución o sentencia y que la resolución o sentencia sea de carácter específico, por ejemplo, estableciendo un vínculo suficiente con determinadas personas sospechosas o infracciones;

 b) la oposición motivada del destinatario se somete a la apreciación de un órgano jurisdiccional competente del tercer país, y

 c) el órgano jurisdiccional competente del tercer país que dicte la resolución o sentencia o revise la resolución de una autoridad administrativa está facultado, con arreglo al Derecho del tercer país, para tener debidamente en cuenta los intereses jurídicos pertinentes del proveedor de los datos protegidos por el Derecho de la Unión o por el Derecho nacional del Estado miembro pertinente.

4.   Si se cumplen las condiciones previstas en los apartados 2 o 3, el organismo del sector público, la persona física o jurídica a la que se haya concedido el derecho a reutilizar datos con arreglo al capítulo II, el proveedor de servicios de intermediación de datos o la organización reconocida de gestión de datos con fines altruistas facilitará la cantidad mínima de datos permitida en respuesta a una solicitud, con arreglo a una interpretación razonable de la solicitud.

5.   El organismo del sector público, la persona física o jurídica a la que se haya concedido el derecho a reutilizar datos con arreglo al capítulo II, el proveedor de servicios de intermediación de datos o la organización reconocida de gestión de datos con fines altruistas informará al titular de datos afectado de que una autoridad administrativa de un tercer país ha solicitado acceso a sus datos, antes de dar curso a dicha solicitud, excepto en los casos en que la solicitud sirva a fines de ejecución de las leyes y mientras sea necesario para preservar la eficacia de las actividades policiales correspondientes.

CAPÍTULO VIII. Delegación y procedimiento de comité

Artículo 32. Ejercicio de la delegación

1.   Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2.   Los poderes para adoptar actos delegados mencionados en el artículo 5, apartado 13, y el artículo 22, apartado 1, se otorgan a la Comisión por un período de tiempo indefinido a partir del 23 de junio de 2022.

3.   La delegación de poderes mencionada en el artículo 5, apartado 13, y el artículo 22, apartado 1, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4.   Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5.   Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6.   Los actos delegados adoptados en virtud del artículo 5, apartado 13, y el artículo 22, apartado 1, entrarán en vigor únicamente si, en un plazo de tres meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará tres meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 33. Procedimiento de comité

1.   La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) nº182/2011.

2.   En los casos en que se haga referencia al presente apartado, se aplicará el artículo 4 del Reglamento (UE) nº182/2011.

3.   En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) nº182/2011.

CAPÍTULO IX. Disposiciones finales y transitorias

Artículo 34. Sanciones

1.   Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier infracción de las obligaciones relativas a las transferencias de datos no personales a terceros países en virtud del artículo 5, apartado 14, y al artículo 31, la obligación de notificación que incumbe a los proveedores de servicios de intermediación de datos en virtud del artículo 11, las condiciones para prestar servicios de intermediación de datos con arreglo al artículo 12 y las condiciones para la inscripción en el registro como organización reconocida de gestión de datos con fines altruistas en virtud de los artículos 18, 20, 21 y 22, y adoptarán todas las medidas necesarias para garantizar su ejecución. Tales sanciones serán efectivas, proporcionadas y disuasorias. En sus regímenes de sanciones, los Estados miembros tendrán en cuenta las recomendaciones del Consejo Europeo de Innovación en materia de Datos. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, a más tardar el 24 de septiembre de 2023, y le notificarán sin demora toda modificación posterior.

2.   Los Estados miembros tendrán en cuenta los siguientes criterios no exhaustivos e indicativos para la imposición de sanciones a los proveedores de servicios de intermediación de datos y a las organizaciones reconocidas de gestión de datos con fines altruistas por las infracciones del presente Reglamento, cuando proceda:

 a) la naturaleza, gravedad, magnitud y duración de la infracción;

 b) cualquier medida adoptada por el proveedor de servicios de intermediación de datos o la organización reconocida de gestión de datos con fines altruistas para mitigar o reparar el daño causado por la infracción;

 c) cualquier infracción anterior del proveedor de servicios de intermediación de datos o de la organización reconocida de gestión de datos con fines altruistas;

 d) los beneficios financieros obtenidos o las pérdidas evitadas por el proveedor de servicios de intermediación de datos o la organización reconocida de gestión de datos con fines altruistas debido a la infracción, en la medida en que dichos beneficios o pérdidas puedan determinarse de forma fiable;

 e) cualquier otra circunstancia agravante o atenuante aplicable al caso.

Artículo 35. Evaluación y revisión

A más tardar el 24 de septiembre de 2025, la Comisión llevará a cabo una evaluación del presente Reglamento y presentará un informe sobre sus principales conclusiones al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo. El informe irá acompañado de propuestas legislativas, en caso necesario.

En el informe se analizarán, en particular:

a) la aplicación y el funcionamiento del régimen de sanciones establecido por los Estados miembros en virtud del artículo 34;

b) el grado de cumplimiento del presente Reglamento por los representantes legales de los proveedores de servicios de intermediación de datos y las organizaciones reconocidas de gestión de datos con fines altruistas que no estén establecidos en la Unión, así como el grado de aplicabilidad de las sanciones impuestas a dichos proveedores y organizaciones;

c) el tipo de organizaciones de gestión de datos con fines altruistas inscritas en el registro con arreglo al capítulo IV y una síntesis de los fines de interés general para los que se intercambien datos, con miras a determinar criterios inequívocos a ese respecto.

Los Estados miembros facilitarán a la Comisión la información necesaria para la elaboración del informe.

Artículo 36. Modificación del Reglamento (UE) 2018/1724

En el cuadro del anexo II del Reglamento (UE) 2018/1724, la entrada «Puesta en marcha, gestión y cierre de una empresa» se sustituye por el texto siguiente:

Sucesos vitalesProcedimientosResultado esperado sujeto a un examen de la solicitud por la autoridad competente de conformidad con su Derecho nacional, cuando corresponda
Puesta en marcha, gestión y cierre de una empresaNotificación de actividades empresariales, permisos para ejercer una actividad empresarial, cambios de actividad empresarial y cese de una actividad empresarial sin procedimientos de insolvencia o liquidación, excluidos el registro inicial de una actividad empresarial en el registro mercantil y los procedimientos relativos a la constitución o cualquier presentación posterior de sociedades en el sentido del artículo 54, párrafo segundo, del TFUEAcuse de recibo de la notificación o el cambio, o bien de la solicitud de permiso de actividad empresarial
 Alta de un empleador (persona física) en sistemas obligatorios de pensiones y segurosConfirmación del alta o número de registro de la seguridad social
Alta de empleados en sistemas obligatorios de pensiones y segurosConfirmación del alta o número de registro de la seguridad social 
Presentación de una declaración de impuesto sobre sociedadesAcuse de recibo de la declaración 
Notificación a los regímenes de la seguridad social de la finalización del contrato de un empleado, con exclusión de los procedimientos de despido colectivoAcuse de recibo de la notificación 
Pago de las cotizaciones sociales de los empleadosRecibo u otra forma de confirmación del pago de las cotizaciones sociales de los empleados 
Notificación de un proveedor de servicios de intermediación de datosAcuse de recibo de la notificación 
Inscripción como organización de gestión de datos con fines altruistas reconocida en la UniónConfirmación de la inscripción 

Artículo 37. Disposiciones transitorias

Las entidades que ya presten los servicios de intermediación de datos a los que se refiere el artículo 10 el 23 de junio de 2022 deberán cumplir las obligaciones establecidas en el capítulo III a más tardar el 24 de septiembre de 2025.

Artículo 38. Entrada en vigor y aplicación

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Será aplicable a partir del 24 de septiembre de 2023.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 30 de mayo de 2022.

Por el Parlamento Europeo, La Presidenta, R. METSOLA

Por el Consejo, El Presidente, B. LE MAIRE

————————————————–

(1)  DO C 286 de 16.7.2021, p. 38.

(2)  Posición del Parlamento Europeo de 6 de abril de 2022 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 16 de mayo de 2022.

(3)  Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas (DO L 124 de 20.5.2003, p. 36).

(4)  Directiva 2011/24/UE del Parlamento Europeo y del Consejo, de 9 de marzo de 2011, relativa a la aplicación de los derechos de los pacientes en la asistencia sanitaria transfronteriza (DO L 88 de 4.4.2011, p. 45).

(5)  Reglamento (UE) 2019/1239 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, por el que se crea un entorno europeo de ventanilla única marítima y se deroga la Directiva 2010/65/UE (DO L 198 de 25.7.2019, p. 64).

(6)  Reglamento (UE) 2020/1056 del Parlamento Europeo y del Consejo, de 15 de julio de 2020, sobre información electrónica relativa al transporte de mercancías (DO L 249 de 31.7.2020, p. 33).

(7)  Directiva 2010/40/UE del Parlamento Europeo y del Consejo, de 7 de julio de 2010, por la que se establece el marco para la implantación de los sistemas de transporte inteligentes en el sector del transporte por carretera y para las interfaces con otros modos de transporte (DO L 207 de 6.8.2010, p. 1).

(8)  Reglamento (CE) nº223/2009 del Parlamento Europeo y del Consejo, de 11 de marzo de 2009, relativo a la estadística europea y por el que se deroga el Reglamento (CE, Euratom) nº1101/2008 relativo a la transmisión a la Oficina Estadística de las Comunidades Europeas de las informaciones amparadas por el secreto estadístico, el Reglamento (CE) nº322/97 del Consejo sobre la estadística comunitaria y la Decisión 89/382/CEE, Euratom del Consejo por la que se crea un Comité del programa estadístico de las Comunidades Europeas (DO L 87 de 31.3.2009, p. 164).

(9)  Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo, de 30 de mayo de 2018, sobre la homologación y la vigilancia del mercado de los vehículos de motor y sus remolques y de los sistemas, los componentes y las unidades técnicas independientes destinados a dichos vehículos, por el que se modifican los Reglamentos (CE) nº715/2007 y (CE) nº595/2009 y por el que se deroga la Directiva 2007/46/CE (DO L 151 de 14.6.2018, p. 1).

(10)  Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a un marco para la libre circulación de datos no personales en la Unión Europea (DO L 303 de 28.11.2018, p. 59).

(11)  Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico) (DO L 178 de 17.7.2000, p. 1).

(12)  Directiva 2001/29/CE del Parlamento Europeo y del Consejo, de 22 de mayo de 2001, relativa a la armonización de determinados aspectos de los derechos de autor y derechos afines a los derechos de autor en la sociedad de la información (DO L 167 de 22.6.2001, p. 10).

(13)  Directiva 2004/48/CE del Parlamento Europeo y del Consejo, de 29 de abril de 2004, relativa al respeto de los derechos de propiedad intelectual (DO L 157 de 30.4.2004, p. 45).

(14)  Directiva 2007/2/CE del Parlamento Europeo y del Consejo, de 14 de marzo de 2007, por la que se establece una infraestructura de información espacial en la Comunidad Europea (Inspire) (DO L 108 de 25.4.2007, p. 1).

(15)  Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, relativa a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, y por la que se modifica el Reglamento (UE) nº648/2012 del Parlamento Europeo y del Consejo, y se derogan la Directiva 2005/60/CE del Parlamento Europeo y del Consejo y la Directiva 2006/70/CE de la Comisión (DO L 141 de 5.6.2015, p. 73).

(16)  Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas (DO L 157 de 15.6.2016, p. 1).

(17)  Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, de 14 de junio de 2017, sobre determinados aspectos del Derecho de sociedades (DO L 169 de 30.6.2017, p. 46).

(18)  Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital y por la que se modifican las Directivas 96/9/CE2001/29/CE (DO L 130 de 17.5.2019, p. 92).

(19)  Directiva (UE) 2019/1024 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativa a los datos abiertos y la reutilización de la información del sector público (DO L 172 de 26.6.2019, p. 56).

(20)  Directiva 2009/81/CE del Parlamento Europeo y del Consejo, de 13 de julio de 2009, sobre coordinación de los procedimientos de adjudicación de determinados contratos de obras, de suministro y de servicios por las entidades o poderes adjudicadores en los ámbitos de la defensa y la seguridad, y por la que se modifican las Directivas 2004/17/CE y 2004/18/CE (DO L 216 de 20.8.2009, p. 76).

(21)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(22)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) nº45/2001 y la Decisión nº1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(23)  Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).

(24)  Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).

(25)  Reglamento (UE) nº557/2013 de la Comisión, de 17 de junio de 2013, por el que se aplica el Reglamento (CE) nº223/2009 del Parlamento Europeo y del Consejo, relativo a la estadística europea, en lo que respecta al acceso a datos confidenciales con fines científicos, y por el que se deroga el Reglamento (CE) nº831/2002 de la Comisión (DO L 164 de 18.6.2013, p. 16).

(26)  Directiva 96/9/CE del Parlamento Europeo y del Consejo, de 11 de marzo de 1996, sobre la protección jurídica de las bases de datos (DO L 77 de 27.3.1996, p. 20).

(27)  Reglamento (UE) nº600/2014 del Parlamento Europeo y del Consejo, de 15 de mayo de 2014, relativo a los mercados de instrumentos financieros y por el que se modifica el Reglamento (UE) nº648/2012 (DO L 173 de 12.6.2014, p. 84).

(28)  Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) nº1093/2010 y se deroga la Directiva 2007/64/CE (DO L 337 de 23.12.2015, p. 35).

(29)  Reglamento (UE) 2018/1724 del Parlamento Europeo y del Consejo, de 2 de octubre de 2018, relativo a la creación de una pasarela digital única de acceso a información, procedimientos y servicios de asistencia y resolución de problemas y por el que se modifica el Reglamento (UE) nº1024/2012 (DO L 295 de 21.11.2018, p. 1).

(30)  DO L 123 de 12.5.2016, p. 1.

(31)  Reglamento (UE) nº182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

(32)  Directiva (UE) 2016/2102 del Parlamento Europeo y del Consejo, de 26 de octubre de 2016, sobre la accesibilidad de los sitios web y aplicaciones para dispositivos móviles de los organismos del sector público (DO L 327 de 2.12.2016, p. 1).

(33)  Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los requisitos de accesibilidad de los productos y servicios (DO L 151 de 7.6.2019, p. 70).

12May/21

Proyecto de Ley “de Protección de Datos Personales” 30 de abril de 2021.

PROYECTO-D-2162170. Presentación oficial del Proyecto de Ley “de Protección de Datos Personales” de la República del Paraguay, durante un evento organizada por la Comisión de Ciencia y Tecnología de la Cámara Baja el viernes 30 de abril de 2021.

Asunción, 30 de abril de 2021.-

Señor

Pedro Hércules Alliana Rodríguez, Presidente

Honorable Cámara de Diputados

Presente

De nuestra más distinguida consideración

Los abajo firmantes, Diputados Nacionales, nos dirigimos a Vuestra Honorabilidad y por su intermedio a los Miembros de la Honorable Cámara de Diputados para elevar a consideración el Proyecto de Ley de Protección de Datos Personales en Paraguay, en virtud del Artículo 203 de la Constitución Nacional.

El presente proyecto de ley tiene por objeto reglamentar los aspectos relativos a la “Protección General de los Datos Personales en la República del Paraguay”.

En espera de que la presente iniciativa legislativa tenga el tratamiento favorable y oportuno, hacemos propicia la oportunidad para saludar al Señor Presidente con el mayor respeto y consideración.

Se adjunta proyecto cuyos firmantes son los siguientes Diputados Nacionales;

1- Sebastián García

2- Edwin Reimer

3- Carlos Maria López

4- Kattya González

5- Sebastián Villarejo

6- Basilio Nuñez

7- Edgar Acosta Alcaraz

8- Antonio Buzarquis

EXPOSICIÓN DE MOTIVOS

Este proyecto de ley viene a llenar el actual vacío legal sobre una ley de protección de datos personales adecuada, integral y moderna. Con la derogación de la Ley 1682/2001 y sus leyes modificatorias, por la Ley nº 6534/2020 de Protección de Datos Personales Crediticios, se deja sin protección a los datos personales en general.

Este proyecto de ley enmarca la protección de datos personales como un derecho inherente a cada persona física, en relación al tratamiento de sus datos, ya sea a través de entes públicos o privados, con fines lucrativos o no, a través de cualquier medio de transmisión o divulgación existentes, incluyendo tecnologías existentes y nuevas tecnologías a ser desarrolladas.

Por ende, el proyecto de ley prevé ocuparse del tratamiento integral de datos personales, que constituye una asignatura pendiente. La visión integral resulta necesaria atendiendo a que los datos personales no son únicamente datos crediticios, sino que abarcan diversas facetas del individuo. La persona física debe tener el control de sus propios datos personales de manera eficaz para evitar una lesión en sus derechos más fundamentales.

La recopilación, procesamiento y comunicación inadecuada de datos personales puede significar una vulneración a derechos como la vida, la salud, la integridad física, psicológica o sexual, entre muchos otros; lesiones que ya se han familiarizado con la realidad paraguaya e internacional. Por ejemplo, se pueden alterar elecciones, determinar quién recibe servicios de salud o alimenticios, además de utilizar para trata de personas, narcotráfico, terrorismo, robo, ataque, o incluso exposiciones ilegítimas de bases de datos de carácter público o privado, generado grandes perjuicios sociales y económicos.

En Paraguay se volvió una práctica común que los abonados a servicios móviles, reciban innumerables mensajes o llamadas o para el ofrecimiento de cambio de aparatos celulares, créditos, planes de wi-fi, seguros odontológicos y un sinfín de ofertas, sin conocer cómo empresas con las que nunca tuvieron vínculo comercial obtienen su información. Toda esa información personal, puede ser tratada y abusada sin consentimiento, por falta de una regulación integral y por la falta de una autoridad de control independiente y efectiva.

La legislación nacional vigente es inadecuada y no ha sido actualizada según los usos modernos que se hacen de los datos y el desafío que esto representa. El creciente volumen y uso de datos personales, junto con la aparición de tecnologías que habilitan nuevas maneras de tratamiento y uso de los mismos, evidencia la importancia de regular un marco efectivo de protección de datos personales.

Por otro lado, en lo que respecta al contexto internacional, el Consejo de Derechos Humanos de la Asamblea General de Naciones Unidas, en Resolución 28/16Profundamente preocupado por los efectos negativos que pueden tener para el ejercicio y el goce de los derechos humanos la vigilancia y la interceptación de las comunicaciones, incluidas la vigilancia y la interceptación extraterritoriales de las comunicaciones y la recopilación de datos personales, en particular cuando se llevan a cabo a gran escala” nombró por primera vez a un Relator especial sobre derecho a la privacidad en la era digital en la era digital con la finalidad de que, entre otras tareas, presente informes que incluyan “observaciones importantes” sobre cómo garantizar este derecho fundamental, así como denuncias sobre posibles violaciones al mismo.

En América Latina, muchas legislaciones han introducido este derecho, tutelándolo legalmente, y creando un órgano contralor de protección de datos. En Paraguay en el año 2001 el Poder Legislativo inició el proceso de regulación específica en la materia, pero aún no se han incorporado al derecho positivo nacional, normas integrales que tutelen el derecho a la autodeterminación informativa de forma eficaz.

La Red Iberoamericana de Protección de Datos (RIPD) adoptó una declaración con motivo de su 6° Encuentro, celebrado en Colombia en mayo de 2008, en la que invitaba a todas las conferencias internacionales en materia de protección de datos, independientemente de su ámbito geográfico, a concentrar sus esfuerzos con vistas a adoptar un instrumento jurídico conjunto.

La Unión Europea ha adoptado un nuevo marco normativo en la materia, con el objetivo de modernizar sus disposiciones y garantizar mayor solidez y coherencia en la protección efectiva del derecho fundamental a la protección de datos personales en la Unión Europea y con el fin de generar confianza en la sociedad en general y, a su vez, facilitar el desarrollo de la economía digital, tanto en su mercado interior como en sus relaciones globales. Este marco se posiciona como un referente obligado y determinante para la elaboración de las legislaciones nacionales de protección de datos en Iberoamérica.

Paraguay no es parte del Convenio para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal suscrito en el ámbito del Consejo de Europa. Este convenio está abierto a la firma de otros Estados de la región y cabe destacar que Argentina y Uruguay sí lo han suscrito. La sanción de este proyecto de ley posibilitará al Paraguay a formar parte del mismo y dará herramientas para la colaboración internacional en investigación y cooperación.

Tomando en cuenta el acuerdo entre los bloques del Mercosur y la Unión Europea, aspiramos a transformar al Paraguay en un país que brinde un nivel de protección adecuado de acuerdo con los estándares promovidos por la Unión Europea, a efectos de acceder a la transferencia de datos personales desde esta y, con ello, facilitar la inversión de aquellos nichos de mercado que suponen tratamiento de datos provenientes de aquella. La inversión europea es superior en países “adecuados”, con relación a los países que no lo son. Además, estos estándares ayudarán a facilitar el desarrollo de la economía digital, promoviendo la innovación.

Para el intercambio de bienes o servicios, en la mayoría de los casos, se requiere que exista el flujo transfronterizo de datos personales, y al no tener normativa amparada por un ente controlador especializado en la materia, no le es posible al país ofrecer un nivel adecuado de protección. Esto desalienta el comercio y genera que se prefieran destinos como Argentina, Uruguay, Brasil u otros países que sí cuentan con Ley de Protección de Datos Personales, dando certidumbre y confianza a usuarios, empresas, organizaciones y Estados a través de un marco jurídico sólido.

En el contexto económico mundial, los Estados que no han desarrollado normativa alguna sobre la materia, o tienen normativa incompleta, dispersa o contradictoria, presentan mayor desventaja, no solo frente a los riesgos y peligros que trae consigo el manejo de datos personales, sino ante la imposibilidad de usarlos como insumos clave para su desarrollo económico y social.

Antecedentes del proyecto

El texto del proyecto de ley se originó en la Mesa de Trabajo de la Comisión de Ciencia y Tecnología de la Cámara de Diputados, liderado conjuntamente por su Presidente, el Diputado Sebastián García y la Coalición de Datos Personales (www.datospersonales.org.py), formada durante el cuarto Foro de Gobernanza de Internet del Paraguay – IGFPY en el año 2017 (www.igf.org.py).

En dicho foro se trataron temas de privacidad como expediente médico digital, computación en la nube y big data, así como el futuro en Internet en Paraguay. Luego del debate generado en varios de esos paneles se detectó la necesidad de adecuar la legislación nacional vigente que trata los datos personales, para adecuarla a la era de Internet, la economía digital, la Internet de las cosas (IoT) y la inteligencia artificial (IA).

El objetivo principal de la mesa de trabajo fue la redacción de un proyecto de ley sobre protección de datos personales que se adecuara a las nuevas tecnologías y al mundo globalizado, donde cada vez hay más transferencia internacional de datos.

La mesa de trabajo siguió los principios de la gobernanza de Internet, siendo abierto, colaborativo, voluntario, inclusivo y transparente, con la participación de múltiples partes interesadas. Se realizaron webinars de socialización y discusión con 9 expertos regionales y de la Unión Europea sobre datos personales, para debatir el anteproyecto de ley y compartir experiencias de los diferentes actores.

El proyecto de ley resultante está basado en la normativa y los estándares internacionales y se tuvieron en cuenta regulaciones existentes a nivel internacional específicas en la materia, como el Reglamento (UE) 2016/679, y legislación comparada que ha sido sancionada en los últimos años: Ley Orgánica de Protección de Datos de Carácter Personal de España, Anteproyecto de ley de Protección de Datos de Argentina, Lei Geral de Proteção de Dados de Brasil (LGPD), Ley de Protección de Datos Personales de Uruguay, Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados de México, Ley de Protección de Datos Personales para el Distrito Federal de México. Así también se tuvieron en cuenta los comentarios de expertos internacionales de la Unidad de datos transfronterizos de la Unión Europea y Access Now. También se incluyeron los Estándares de Protección de Datos Personales para los Estados Iberoamericanos establecidos por la Red Iberoamericana de Protección de Datos.

Además, se recibieron comentarios y contribuciones de la sociedad civil organizada, la comunidad empresarial, representantes del gobierno, del sector técnico y académico y ciudadanos interesados en el tema.

Se tuvieron 3017 visitas en la web www.datospersonales.org.py  y 103 comentarios recibidos en el borrador del proyecto de ley: https://proyecto.datospersonales.org.py/ Todos estos valiosos comentarios y sugerencias han sido debidamente valorados.

El proyecto de ley fue innovador al adoptar una plataforma que permitió una mayor interacción entre los participantes, asegurando que cada contribución fuera vista y comentada por todos los demás usuarios involucrados en el debate, asegurando una mejor sistematización del texto. El resultado de todo este proceso es el Proyecto que hoy se remite para su consideración.

Fundamento Jurídico

La protección de las personas físicas en relación con el tratamiento de sus datos personales es un derecho fundamental que se encuentra reconocido con rango máximo en la Constitución, artículos 33, 34 y 35 que refieren al derecho a la intimidad, la inviolabilidad de los recintos privados y los documentos identificatorios. El artículo 36 también hace referencia a la inviolabilidad del patrimonio documental y la comunicación privada.

Los datos personales que ampara el precepto constitucional del derecho a la intimidad, son datos absolutamente personalísimos, que sólo pueden pertenecer a un individuo en concreto. Se lo define desde dos pilares: por un lado, el derecho a la protección de datos otorga la potestad a la persona cuyos datos pertenecen, a conocer quién tiene información sobre ella, cuál es dicha información, de dónde proviene y para qué finalidad se van a tratar sus datos. Por otro lado, este derecho se configura como el control sobre el uso que se hace de sus datos personales. Este control es lo que nos permite conocer qué datos nuestros se tratan y de qué manera, y ello conlleva a la necesidad  de protección jurídica sobre los datos personales .

La Doctrina se refiere al derecho de autodeterminación informativa y a controlar la información personal como una nueva dimensión de la tradicional concepción del derecho a la privacidad .

El objeto de protección de datos no se reduce solo a los datos íntimos de la persona, sino a cualquier tipo de dato, sea o no íntimo. Su objeto no es solo la intimidad individual, sino todos los datos de carácter personal, los que identifiquen o permitan identificar a la persona, realizando perfilamientos que podrían causar lesiones a su intimidad.

En Paraguay, existen normas dispersas en diferentes cuerpos legales que protegen aisladamente diferentes aspectos del derecho a la privacidad, y de forma incompleta. Alguna de ellas son: el Código Penal en su Artículo 147 Revelación de un secreto de carácter privado, Artículo 148 Revelación de secretos privados por funcionarios o personas con obligación especial,  Artículo 149 Revelación de secretos privados por motivos económicos; la Ley 4083/2011 “Que crea el programa de acompañamiento y protección a testigos y víctimas en procesos penales” en su Artículo 4º; la Ley 5777/2018 Protección integral a las mujeres contra toda forma de violencia, en su Artículo 9º Confidencialidad; la  Ley 6534/2020 de protección de datos personales crediticios; la Ley n° 5282/14 De Acceso a la Información Pública y Decreto reglamentario 4064/15; la Ley n° 5830/17 Que Prohíbe la publicidad no autorizada por los usuarios titulares de telefonía móvil; la Ley n° 1334/1998 de Defensa del Consumidor, Código Civil y Comercial (cartas o misivas como prueba, al nombre de las personas físicas o jurídicas); la Ley n° 4017/10 de Firma electrónica y Firma Digital; la Ley n°4868/2013 de Comercio Electrónico y su decreto reglamentario n° 1165/14; la Ley n° 861/96 de Bancos y Entidades Financieras; la Ley n° 489 Orgánica del Banco Central y el Código de la Niñez y la Adolescencia. Además, leyes Tributarias y Reglamentaciones como: la Ley n° 125/1991 Nuevo Régimen Tributario, la Ley n° 2421/04 De Reordenamiento Administrativo y de Adecuación Fiscal, la Ley n° 6380/19 de Modernización y Simplificación del Sistema Tributario, la Ley n° 6446 Tipifica Delito de uso de información privilegiada, el Código de Organización Judicial, la Ley n° 1266/1987 Del Registro Civil y modificatorias, la Ley n° 834/96 Código Electoral Paraguayo y sus modificatorias, los Códigos Procesales (normas sobre audiencias o proceso privados, pruebas documentales, consistentes en cartas o misivas, etc.), la Ley n° 6495/19 Autoriza la implementación del sistema de audiencias por medios telemáticos en el Poder Judicial y el Ministerio Público. También leyes contra el Lavado de Dinero como: la Ley n°6399 de Transparencia de Sociedades por Acciones, la Ley n° 6452 Registro Administrativo de Personas y Estructuras Jurídicas y de Beneficiarios Finales, entre otras.

En la actualidad carecemos de una regulación específica, uniforme, consolidada y actualizada en la materia. Esta carencia se hace vital ante la inminente implementación del proyecto de la “Agenda Digital” financiado por el BID. Este proyecto prevé una informatización de procesos públicos y privados nunca antes vista y sin un marco robusto, podría habilitar a vulnerabilidades en detrimento de toda la ciudadanía paraguaya.

Este proyecto de ley es transversal a todos los sectores y en especial a los proyectos de leyes en actual estudio en el Congreso Nacional:  nro. Expediente: D-2059099 “De los servicios de confianza para las transacciones electrónicas, del documento electrónico y los documentos transmisibles electrónicos”, nro. Expediente: S-209516 proyecto de ley “Que crea la historia clínica electrónica y el registro nacional de historias clínicas electrónicas”, nro. Expediente: S-198840 Proyecto de ley “De procedimientos administrativos”.

Finalmente, el reciente acuerdo sobre Comercio Electrónico del Mercosur MERCOSUR/CMC/DEC. nº 15/20, en su artículo 6º habla sobre la protección de datos personales y de la adopción por los Estados partes, de leyes, regulaciones o medidas administrativas que protejan la información de los consumidores del comercio electrónico, actualmente en estudio.  

El objeto de la ley

El objetivo de la ley es crear un marco general y coherente para la protección de datos personales, mediante normas precisas y detalladas para todos los sectores y la creación de una agencia encargada de la supervisión y ejecución de las disposiciones.

Se busca dotar a nuestro país de una legislación más moderna que respete los derechos y garantías establecidos por nuestra Constitución Nacional y que al mismo tiempo se adapte a las nuevas tecnologías y a los cambios regulatorios ocurridos en el derecho comparado durante los últimos años, dotando de seguridad jurídica tanto a los responsables de los tratamientos de datos como a los ciudadanos.

Características de la ley

La protección de datos no se reduce a los datos íntimos, sino a cualquier tipo de dato personal, traspasando su objeto la intimidad personal e imponiendo a terceros deberes como requerir el consentimiento para la recogida y uso de los datos personales, ser informado sobre el destino y poder acceder, rectificar y cancelar los propios datos.

Los principios de protección de datos personales enumerados en el Título II de la presente ley se encuentran en el centro del marco de protección de datos. La codificación efectiva de estos principios exige el desarrollo de un conjunto de derechos de los usuarios, una base jurídica para el tratamiento de datos, medidas de seguridad de datos, mecanismos de supervisión, obligaciones para las entidades que procesen datos, y medidas que habiliten la transferencia de datos a países terceros.

Ningún marco de protección de datos puede estar completo sin un mecanismo robusto de aplicación de la ley. Una ley de protección de datos sería deficiente e inaplicable si no existiera una autoridad que tuviera los poderes y recursos para monitorear su implementación, llevar a cabo investigaciones, y sancionar a las entidades en caso de violaciones de protección de datos.

Los Estándares de Protección de Datos enfatizan en la imperiosa necesidad de que cada Estado iberoamericano cuente con una autoridad de control independiente e imparcial en sus potestades cuyas decisiones únicamente puedan ser recurribles por el control judicial, ajena a toda influencia externa. Además, tendrá facultades de supervisión e investigación en materia de protección de datos personales y será encargada de vigilar el cumplimiento de la legislación nacional en la materia.       

Debe además estar dotada de recursos humanos y materiales suficientes para garantizar el ejercicio de sus poderes y el desempeño efectivo de sus funciones.

Por ello se crea, la autoridad de protección de datos y del régimen de reclamaciones y sanciones. Caso contrario, se aumentará la judicialización de disputas para dirimir controversias vinculadas a la protección de datos personales en sede judicial, aumentando los costos transaccionales, y colocando la responsabilidad en los sujetos de derechos para hacer valer dichos derechos, yendo en contra de la tendencia a nivel internacional sobre marcos robustos en materia de protección de datos personales.

Análisis exegético del articulado

El texto del proyecto de ley contiene 10 títulos que hacen referencia a las disposiciones generales, los principios de protección de datos, las bases legales para el tratamiento de datos personales, el tratamiento de datos especiales (casos de datos sensibles, con fines de publicidad, video vigilancia, o en el ámbito de la administración pública o fuerzas de seguridad). También se ocupa de los derechos de los titulares de datos, del responsable y encargado de tratamiento, así como la transferencia internacional de datos personales.

El proyecto se refiere a la protección integral y consagra numerosos principios como el de exactitud (art. 6), licitud (art. 7), finalidad (art. 8), proporcionalidad (art. 9), lealtad (art. 10), transparencia (art. 11), límites a la conservación (art. 12), responsabilidad proactiva (art. 13), seguridad (art. 14) y confidencialidad (art. 15).

En el art. 16 se prevé que el tratamiento de datos personales sólo podrá realizarse en los siguientes casos:

1. con el consentimiento del titular;

2. para el cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento;

3. por la administración pública, para el tratamiento y uso compartido de los datos necesarios y proporcionales para la ejecución de las políticas públicas previstas en leyes y reglamentos, o sustentadas en convenios interinstitucionales, sujeto a lo dispuesto en el Capítulo I de esta Ley;

4. el tratamiento de datos se realice sobre datos que figuren en fuentes de acceso público;

5. cuando sea necesario para la ejecución de un contrato o trámites preliminares relacionados con un contrato del que el titular sea parte, a solicitud del interesado;

6. para el ejercicio regular de derechos en procedimientos judiciales, administrativos o arbitrales

7. para la protección de la vida o seguridad física del titular o de un tercero y para la protección de la salud, exclusivamente, en un procedimiento realizado por profesionales de la salud, servicios de salud o autoridad sanitaria;

8. cuando sea necesario para atender los intereses legítimos del responsable del tratamiento o de un tercero, excepto en el caso de que prevalezcan los derechos y libertades fundamentales del titular que requieran la protección de datos personales, en particular cuando el titular sea un niño, niña o adolescente.

Por lo dispuesto en el inciso 8 no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

A los efectos de proteger situaciones especiales, la ley se refiere también a los casos en los que pueden utilizarse datos personales con los fines expuestos en el Título IV. También se prevé que los titulares de datos puedan ejercer su derecho a la información (art. 36), acceso a los datos (art. 37), rectificación (art. 38), oposición (art. 39), supresión (art. 40), portabilidad (art. 41) y a no ser objeto de decisiones individuales automatizadas (art. 42).

Se prevé la figura de un responsable y encargado de tratamiento que deberá adoptar las medidas técnicas y organizativas para el cumplimiento de las disposiciones previstas en la ley.

Se legisla sobre la transferencia internacional de datos, considerando la posibilidad de que las informaciones sobre una persona sean requeridas por algún particular o empresa extranjera en el marco de diferentes operaciones, previendo que pueda realizarse si el Estado cuenta con un adecuado nivel de protección de datos personales.

Se dispone la creación de la Agencia de Protección de Datos personales como un ente de derecho público y con facultades de ejercer acciones ante las autoridades nacionales e internacionales y organismos privados o personas vinculadas a la protección de datos (art. 62).

Finalmente, se prevé el régimen de reclamaciones, faltas e imposición de sanciones.

Conclusión

El régimen de protección integral resulta necesario para la protección de los derechos de los habitantes del país y sus datos, brindándoles una protección adecuada equiparable a la de otros países de la región. Más aún, en el marco de una constante innovación tecnológica, el incremento del libre flujo de los datos personales que, en una economía global y digital, sobre los cuales se erigen las economías de los Estados.

En virtud de los antecedentes citados, y dada la urgencia de legislación especializada que se encargue de regular el tratamiento de datos personales, es necesario contar con una Ley, que salvaguarde los derechos, promueva la actividad económica, comercial, de innovación tecnológica, social, cultural, entre otras y que delimite los parámetros para un tratamiento adecuado en el ámbito público y privado.

Por los motivos que hemos desarrollado, solicitamos a las señoras diputadas y a los señores diputados que acompañen con su voto este proyecto.

Agradecimiento

A LAS PERSONAS QUE ENVIARON COMENTARIOS:

Marlene Samaniego, Bruno Duarte, Gaspar Pisanu, Gonzalo Fleitas, Jose Fernando Casañas Levi, Marcelo Galvan, Paloma Lara Castro, Miguel Candia, Pablo Palazzi, Stael Olmedo Cabral, Dolores Dozo, Ralf Sauer, Manuel García-Sánchez, Pablo Lacasa.

A LAS INSTITUCIONES PÚBLICAS QUE ENVIARON COMENTARIOS:

Asociación de Bancos del Paraguay, Banco Central del Paraguay, Comisión Nacional de Telecomunicaciones, Despacho del Dip. Edwin Reimer, Dirección Nacional de Propiedad Intelectual, Dirección General de los Registros Públicos, Ministerio de Hacienda, Ministerio de Relaciones Exteriores, Ministerio Público, Ministerio de Salud Pública y Bienestar Social, Ministerio de Tecnologías y Comunicaciones, Instituto de Previsión Social, Dirección General del Registro del Estado Civil.

REDACCIÓN DEL BORRADOR:

Cecilia Abente, Mariel Aranda, Natalia Enciso, Miguel Angel Gaspar, Adriana Marecos y Alberto Poletti.

EDICION FINAL:

Cecilia Abente, Luis Alonzo, Eduardo Carrillo, Natalia Enciso, Marlene Samaniego y Maricarmen Sequera.

Proyecto de Ley de Protección de Datos Personales en Paraguay

EL CONGRESO DE LA NACIÓN PARAGUAYA SANCIONA CON FUERZA DE LEY:

TÍTULO I. DISPOSICIONES GENERALES

Artículo 1. Objeto de La Ley.

La presente ley tiene por objeto la protección integral de los datos personales de las personas físicas a fin de garantizar el ejercicio pleno de los derechos de sus titulares, y la libre circulación de tales datos, de conformidad a lo establecido en la Constitución Nacional y los Tratados Internacionales de los cuales la República del Paraguay es parte.

Artículo 2. Ámbito de Aplicación.

Las normas de la presente ley serán de aplicación cuando:

a. El responsable o encargado del tratamiento se encuentre establecido en el territorio nacional, aun cuando el tratamiento de datos tenga lugar fuera de dicho territorio;

b. El responsable o encargado del tratamiento no se encuentre establecido en el territorio nacional, sino en un lugar en que se aplica la legislación nacional en virtud del derecho internacional o derivado de la celebración de un contrato;

c. El responsable o encargado no se encuentre establecido en territorio nacional y las actividades del tratamiento estén relacionadas con la oferta de bienes o servicios dirigidos a los residentes, o bien, estén relacionadas con el control de su comportamiento, en la medida en que éste tenga lugar en la República del Paraguay, excepto cuando la ley del lugar donde se encuentra el responsable del tratamiento sea más favorable para la protección del titular de los datos.

d. El responsable o encargado no se encuentre establecido en territorio nacional y utilice o recurra a medios, automatizados o no, situados en ese territorio para tratar datos personales, salvo que dichos medios se utilicen solamente con fines de tránsito.

Artículo 3. Excepciones a la ley

Se consideran exentos de aplicación de la presente ley, el tratamiento de datos cuando los datos personales estén destinados a actividades exclusivamente en el marco de la vida familiar o doméstica de una persona física, esto es, la utilización de datos personales en un entorno de amistad, parentesco o grupo personal cercano y que no tengan como propósito una divulgación o utilización comercial.

Artículo 4. Limitaciones al derecho de la protección de datos

La legislación nacional que se aplique al responsable o el encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en el Título V y los principios establecidos en el Título II, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar:

a) la seguridad del Estado;

b) la defensa;

c) la seguridad pública;

d) la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención;

e) otros objetivos de interés público, en particular un interés económico o financiero importante, inclusive en los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social;

f) la protección de la independencia judicial y de los procedimientos judiciales;

g) la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas;

h) una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos contemplados en los incisos a) al e) y g);

i) la protección del titular del dato o de los derechos y libertades de otros;

j) la ejecución de demandas civiles.

Cualquier ley que tenga como propósito limitar el derecho a la protección de datos personales contendrá, como mínimo, disposiciones relativas a:

1. La finalidad del tratamiento.

2. Las categorías de datos personales de que se trate.

3. El alcance de las limitaciones establecidas.

4. Las garantías adecuadas para evitar accesos o transferencias ilícitas o desproporcionadas.

5. La determinación del responsable o responsables.

6. Los plazos de conservación de los datos personales.

7. Los posibles riesgos para los derechos y libertades de los titulares.

8. El derecho de los titulares a ser informados sobre la limitación, salvo que resulte perjudicial o incompatible a los fines de ésta.

Artículo 5. Definiciones

A los efectos de la presente ley, se consideran las siguientes definiciones:

1. Titular de Datos: Persona física sobre la cual se realiza el tratamiento de sus datos.

2. Datos Personales: datos que colaboren para identificar a personas físicas determinadas o determinables. Se entenderá por determinable la persona que pueda ser identificada mediante algún identificador o por uno o varios elementos característicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Esto también incluye metadatos y fragmentos de datos.

3. Datos personales sensibles: son los referentes a pertenencias raciales o étnicas, preferencias políticas, convicciones religiosas, filosófica o morales; participación o afiliación en una organización sindical o política; información referente a la salud, la preferencia o vida sexual, datos biométricos y genéticos vinculados a una persona física y, en general, los que fomenten prejuicios y discriminaciones ilícitas o arbitrarias,

4. Datos Genéticos: Datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona.

5. Datos Biométricos: Datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.

6. Tratamiento: cualquier operación o conjunto de operaciones efectuadas mediante procedimientos manuales, automatizados o parcialmente automatizados realizadas sobre datos personales, relacionadas de manera enunciativa más no limitativa, con la obtención, acceso, registro, organización, estructuración, adaptación, indexación, modificación, extracción, consulta, almacenamiento, conservación, bloqueo, elaboración, transferencia, cesión, difusión, posesión, aprovechamiento y en general cualquier uso o disposición de datos personales.

7. Consentimiento: toda manifestación de voluntad libre, específica, informada e inequívoca por la que una persona física acepta y autoriza, ya sea mediante una declaración o una clara acción afirmativa realizada por escrito o por medios electrónicos, así como por cualquier forma similar que la tecnología permita, el tratamiento de los datos personales que le conciernen.

8. Responsable Del Tratamiento: La persona física o jurídica, autoridad pública u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento de los datos.

9. Encargado Del Tratamiento: La persona física o jurídica, autoridad pública, u otro organismo que trate datos personales en representación o mandato del responsable del tratamiento.

10. Representante: persona física o jurídica establecida en la República del Paraguay que, habiendo sido designada por escrito por el responsable o el encargado del tratamiento, represente a los mismos en lo que respecta a sus respectivas obligaciones en virtud de la presente ley.

11. Transferencia internacional: la transmisión de datos personales fuera del territorio nacional.

12. Elaboración De Perfiles: toda forma de tratamiento automatizado y parcialmente automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos de una persona física, en particular para analizar o predecir cuestiones relativas al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación, etnia, raza, sexo o movimientos de dicha persona física.

13. Normas de autorregulación Vinculantes: Las políticas de protección de datos personales asumidas por un responsable o encargado del tratamiento establecido en el territorio nacional para transferencias de datos personales a un responsable o encargado en uno o más países terceros, dentro de un grupo empresarial o una unión de empresas dedicadas a una actividad económica conjunta.

14. Evaluación De Impacto Relativa A La Protección De Datos: Análisis de carácter previo de aquellos tratamientos de datos que puedan suponer un alto riesgo para los derechos y libertades de las personas.

15. Bloqueo de datos: La identificación y reserva de datos personales con el fin de impedir su tratamiento.

16. Fuente de acceso público: la que contiene información destinada a ser difundida al público, de libre acceso e intercambio por razones de interés general, conforme a la Ley nº 5282/2014 “De libre acceso ciudadano a la información pública y transparencia gubernamental”.

TÍTULO II. PRINCIPIOS DE PROTECCIÓN DE DATOS

Artículo 6. Principio de exactitud de los datos

Los datos personales serán exactos, completos y actualizados. Los responsables y encargados del tratamiento deben adoptar todas las medidas razonables para corregir errores, modificar los datos que resulten ser inexactos o incompletos y garantizar la certeza de la información objeto de tratamiento.

Cuando los datos personales hubieren dejado de ser necesarios para el cumplimiento de las finalidades que motivaron su tratamiento, el responsable los suprimirá o eliminará de sus archivos, registros, bases de datos, expedientes o sistemas de información, o en su caso, los someterá a un procedimiento de anonimización o seudonimización. En la supresión de los datos personales, el responsable implementará métodos y técnicas orientadas a la eliminación definitiva y segura de éstos.

Artículo 7. Principio de licitud del tratamiento

Para que el tratamiento sea lícito, los datos personales deben ser tratados conforme a las bases jurídicas previstas en la presente ley en el artículo 16.

Artículo 8. Principio de finalidad

Los datos personales deben ser recogidos y procesados con fines determinados, explícitos, legítimos y de duración limitada, y no serán tratados, posteriormente, de manera incompatible o distinta con dichos fines.

Artículo 9. Principio de proporcionalidad

El responsable y el encargado tratará únicamente los datos personales que resulten adecuados, pertinentes y limitados al mínimo necesario con relación a las finalidades que justifican su tratamiento.

Asimismo, los datos deberán someterse a revisión periódica para determinar si continúan cumpliendo la finalidad.

Artículo 10. Principio de lealtad

No podrán recabarse datos personales por medios o métodos fraudulentos, engañosos, desleales e ilícitos. Para los efectos de la presente ley, se considerarán desleales aquellos tratamientos de datos personales que den lugar a una discriminación injusta o arbitraria contra los titulares.

Artículo 11. Principio de transparencia

El responsable informará al titular sobre la existencia misma y características principales del tratamiento al que serán sometidos sus datos personales, a fin de que pueda tomar decisiones informadas al respecto.

Artículo 12. Limitación del plazo de conservación

No podrán conservarse o mantenerse los datos durante más tiempo del necesario para los fines del tratamiento. La Autoridad de Control deberá establecer los plazos para la supresión y/o revisión periódica.

El tratamiento ulterior de los datos personales con fines de archivo e interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales, siempre que se encuentren anonimizados o seudonimizado.

Artículo 13. Principio de responsabilidad proactiva

El responsable o encargado del tratamiento debe adoptar las medidas técnicas y organizativas apropiadas a fin de garantizar un tratamiento adecuado de los datos personales y el cumplimiento de las obligaciones dispuestas por la presente Ley, y que le permitan demostrar a la autoridad de control su efectiva implementación.

Artículo 14. Principio de seguridad

En el tratamiento de datos personales se deberán adoptar medidas técnicas y organizativas que garanticen la seguridad de los datos y que tendrán como finalidad evitar la alteración, pérdida, tratamiento o acceso no autorizado. En el caso de datos definidos por esta ley como datos sensibles, se adoptarán medidas adicionales para garantizar la seguridad de los mismos.

Para la determinación de las medidas referidas en el párrafo anterior, el responsable considerará los siguientes factores:

a. El riesgo para los derechos y libertades de los titulares, en particular, por el valor potencial cuantitativo y cualitativo que pudieran tener los datos personales tratados para una tercera persona no autorizada para su posesión.

b. El estado de la técnica.

c. La naturaleza de los datos personales tratados, en especial si se trata de datos personales sensibles.

d. El alcance, contexto y las finalidades del tratamiento.

e. Las transferencias internacionales de datos personales que se realicen o pretendan realizar.

f. El número de titulares.

g. Las posibles consecuencias que se derivarían de una vulneración para los titulares.

h. Las vulneraciones previas ocurridas en el tratamiento de datos personales.

El responsable llevará a cabo una serie de acciones que garanticen el establecimiento, implementación, operación, monitoreo, revisión, mantenimiento y mejora continua de las medidas de seguridad aplicables al tratamiento de los datos personales, de manera periódica.

Las condiciones técnicas de integridad y seguridad que deban reunir las bases de datos serán reguladas por la Autoridad de Control.

Artículo 15. Principio de confidencialidad

Los responsables y encargados del tratamiento de datos de carácter personal, así como toda persona que intervenga en cualquier fase de este estarán sujetas al deber de confidencialidad, obligación que subsistirá aun después de finalizar sus relaciones con el titular. Los mismos podrán ser relevados del deber de confidencialidad por decisión de un juez o tribunal.

TÍTULO III. BASES LEGALES PARA EL TRATAMIENTO DE DATOS PERSONALES

Artículo 16. Bases legales para el tratamiento de datos personales

El tratamiento de datos personales sólo podrá realizarse si se cumple al menos una de las siguientes condiciones:

1. mediante el consentimiento del titular;

2. para el cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento;

3. por la administración pública, para el tratamiento y uso compartido de los datos necesarios y proporcionales para la ejecución de las políticas públicas previstas en leyes y reglamentos o sustentadas en convenios interinstitucionales, sujeto a lo dispuesto en el Titulo IV, Capítulo I de esta Ley;

4. el tratamiento de datos se realice sobre datos que figuren en fuentes de acceso público;

5. cuando sea necesario para la ejecución de un contrato o trámites preliminares relacionados con un contrato del que el titular sea parte, a solicitud del mismo;

6. para el ejercicio regular de derechos en procedimientos judiciales, administrativos o arbitrales,

7. para la protección de la vida o seguridad física del titular o de un tercero y para la protección de la salud, exclusivamente, en un procedimiento realizado por profesionales de la salud, servicios de salud o autoridad sanitaria,

8. cuando sea necesario para atender los intereses legítimos del responsable del tratamiento o de un tercero, excepto en el caso de que prevalezcan los derechos y libertades fundamentales del titular que requieran la protección de datos personales, en particular cuando el titular sea un niño, niña o adolescente;

Lo dispuesto en el inciso 8 no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

Artículo 17. Consentimiento

Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del titular para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.

No podrá supeditarse la ejecución del contrato a que el titular del dato consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.

Siempre que sea requerido el consentimiento para el tratamiento de los datos personales, el titular podrá revocarlo en cualquier momento, para lo cual el responsable establecerá mecanismos sencillos, ágiles, eficaces y gratuitos. Dicha revocación no tendrá efectos retroactivos.

En el caso de que se requiera consentimiento, si hay cambios en la finalidad para el tratamiento de datos personales que no sean compatibles con el consentimiento original, el responsable deberá informar al titular con anticipación sobre los cambios en la finalidad, y el titular puede revocar el consentimiento, si no está de acuerdo con los cambios.

El tratamiento de datos ulterior debe ser compatible con las finalidades manifiestas que surgen del contexto que originó la recolección, siempre que se garantice la preservación de los derechos del titular, así como los fundamentos y principios establecidos en esta Ley. En ningún caso procederá para el tratamiento de datos sensibles.

Para el tratamiento de datos sensibles se requiere el consentimiento expreso, salvo las excepciones establecidas por ley.

En todos los casos, el responsable del tratamiento tiene la carga de demostrar que el titular de los datos consintió el uso de sus datos personales.

Artículo 18. Consentimiento de niños, niñas y adolescentes

En el tratamiento de datos personales de una niña, niño o adolescente, se debe privilegiar la protección del interés superior de éstos, conforme a la Convención Sobre Los Derechos Del Niño y demás instrumentos internacionales firmados y ratificados por la República del Paraguay que busquen su bienestar y protección integral.

El tratamiento de los datos personales de los y las adolescentes podrá fundarse en su consentimiento a partir de los catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad, guarda o tutela, para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. El tratamiento de los datos de los niños y niñas de hasta trece años, fundado en el consentimiento, sólo será lícito si consta el del titular de la patria potestad, guarda o tutela, con el alcance que determinen los titulares de la patria potestad, guarda o tutela.

El responsable y encargado deberán realizar esfuerzos razonables para verificar que el consentimiento fue otorgado por el titular de la patria potestad o tutela, o bien, por el menor directamente atendiendo a su edad de acuerdo con la legislación vigente, teniendo en cuenta la tecnología disponible.

Artículo 19. Interés legítimo

El interés legítimo del responsable del tratamiento sólo puede sustentar el tratamiento de datos personales con fines lícitos, considerados desde situaciones concretas y siempre que no prevalezca el interés o los derechos y libertades fundamentales del titular del dato, que incluyen, pero no se limitan a:

1. Apoyo y promoción de las actividades del responsable del tratamiento; y

2. Protección, en relación con el titular, del ejercicio regular de sus derechos o prestación de los servicios que le beneficien, respetando sus legítimas expectativas y derechos y libertades fundamentales, en los términos de esta Ley.

Cuando el tratamiento se base en el interés legítimo del responsable del tratamiento, solo se podrán tratar los datos personales estrictamente necesarios para la finalidad prevista.

El responsable del tratamiento debe adoptar medidas para garantizar la transparencia del tratamiento de los datos en función de su interés legítimo.

La Autoridad de Control podrá solicitar al responsable del tratamiento un informe de impacto sobre la protección de datos personales, cuando el tratamiento se base en su interés legítimo, observando secretos comerciales e industriales.

El titular tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos personales basado en el interés legítimo del responsable.

TÍTULO IV. TRATAMIENTOS ESPECIALES

Artículo 20. Tratamiento de datos sensibles

A fin de evitar el tratamiento con fines discriminatorios, ilícitos o abusivos queda prohibido el tratamiento de datos personales sensibles salvo que:

1. El titular haya dado su consentimiento explícito y por escrito para el tratamiento de dichos datos personales, salvo en los casos en que por ley no sea requerido el otorgamiento de dicha autorización;

2. El tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad social;

3. El tratamiento sea necesario   para proteger intereses vitales del titular o de otra persona física, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento y sus representantes legales no lo puedan realizar en tiempo oportuno;

4. El tratamiento sea efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los titulares;

5. El tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial, o en procesos administrativos o arbitrales;

6. El tratamiento sea necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, en virtud de un contrato con un profesional sanitario;

7. El tratamiento sea necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios;

8. Se realice en el marco de asistencia humanitaria en casos de desastres naturales;

9. Sea efectuado por establecimientos sanitarios públicos o privados o por profesionales vinculados a la ciencia de la salud en el marco de un tratamiento médico específico o que hubieren estado bajo tratamiento de aquéllos, respetando los principios del secreto profesional, la normativa específica y lo establecido en la presente ley;

10. El tratamiento sea necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular. Los datos deberán estar anonimizados o seudonimizado;

11. El tratamiento compartido de los datos sea necesario para la ejecución, por parte de la administración pública, de las políticas públicas previstas en las leyes.

Se prohíbe la comunicación o uso compartido entre responsables del tratamiento de datos personales sensibles relacionados con la salud con el fin de obtener una ventaja económica, salvo en los casos relacionados  con la prestación de servicios sanitarios, asistencia farmacéutica y asistencia sanitaria, incluidos los servicios auxiliares para el diagnóstico y la terapia, para el beneficio de los intereses de los titulares de los datos, y para permitir la portabilidad de datos cuando lo solicite el titular.

Se prohíbe a los operadores de planes de salud privados el procesamiento de datos de salud para la práctica de selección de riesgos al contratar cualquier modalidad, así como al contratar y excluir beneficiarios.

Artículo 21. Tratamiento de datos de información crediticia

Se remitirá a lo establecido en la ley nº 6534/20 de Protección de Datos personales crediticios

Artículo 22. Tratamiento de datos con fines de publicidad

Cuando los datos personales sean utilizados para perfiles determinados con fines promocionales, comerciales o publicitarios; o permitan establecer hábitos de consumo, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren  en fuentes de acceso público o hayan sido  obtenidos con el  consentimiento de los propios titulares.

En toda comunicación con fines de publicidad que se realice por correo postal, teléfono, correo electrónico, Internet u otro medio de comunicación que permita la tecnología en el futuro, el responsable o encargado del tratamiento debe implementar medidas razonables que informen al titular de los datos la posibilidad de ejercer los derechos previstos en la presente Ley.

El titular podrá en cualquier momento solicitar el retiro o bloqueo de sus datos de las bases de datos a los que se refiere el presente artículo. Cuando un afectado manifieste a un responsable su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, el responsable cumplirá con lo establecido en el artículo 39 del derecho de oposición.

Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo.

Artículo 23. Tratamientos con fines de videovigilancia

Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.

Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior.

No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicas o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado.

Los datos serán suprimidos en un plazo máximo de hasta 6 meses desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.

Se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio.

Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes.

CAPÍTULO I. DISPOSICIONES APLICABLES A LA ADMINISTRACIÓN PÚBLICA

Artículo 24. Tratamiento de datos personales por la administración pública

El tratamiento de los datos personales por la Administración Pública debe considerar la finalidad, la necesidad, la buena fe y el interés público, con el objetivo de ejecutar las facultades legales o cumplir con las atribuciones legales, siempre que:

1. En ejercicio de sus competencias, realicen el tratamiento de datos personales, aportando información clara y actualizada sobre la disposición legal, finalidad, procedimientos y prácticas utilizadas para realizar estas actividades;

2. Designe un responsable para la realización de operaciones de tratamiento de datos personales, de conformidad con el 53, numeral 1 de esta Ley;

3. Los servicios notariales y registrales, que se realicen por delegación del Poder el Estado, tendrán el mismo tratamiento que las personas jurídicas de derecho público, en los términos de este Capítulo;

4. Los notarios y órganos registrales deberán facilitar el acceso a los datos por medios electrónicos a la administración pública, a la vista de las finalidades a que se refiere el título de este artículo.

5. Las empresas públicas y las sociedades de capital mixto, cuando se encuentren operando políticas públicas y en el ámbito de su implementación, tendrán el mismo tratamiento que se le da a los órganos y entidades de la Administración Pública, en los términos de este Capítulo.

Los datos deben mantenerse en un formato interoperable y estructurado de uso compartido, con miras a la implementación de políticas públicas, la prestación de servicios públicos, la descentralización de la actividad pública y la difusión y acceso de la información al público en general.

La autoridad de control podrá solicitar, en cualquier momento, a los órganos y entidades de la Administración Pública para la realización de operaciones de tratamiento de datos personales, información específica sobre el alcance y naturaleza de los datos, garantías y demás detalles del tratamiento realizado.

La autoridad de control podrá establecer reglas complementarias para las actividades de comunicación y uso compartido de datos personales.

Artículo 25. Comunicación de datos personales entre instituciones públicas

Será lícita la comunicación de datos personales entre instituciones públicas, en la medida en que:

1. La institución pública titular de la base de datos haya obtenido los datos en ejercicio de sus funciones,

2. El tratamiento por parte de la institución pública que recibe la base de datos sea necesario para el cumplimiento de sus funciones legales y la finalidad de dicho tratamiento de datos se encuentre dentro del marco de sus competencias,

3. Los datos involucrados sean adecuados, proporcionales y no excedan el límite de lo necesario en relación a esta última finalidad.

4. El titular de los datos sensibles haya dado su consentimiento.

El uso compartido de datos personales por parte de la Administración Pública debe servir para fines específicos, para la ejecución de políticas públicas y atribución legal por parte de organismos y entidades públicas, respetando los principios de protección de datos personales enumerados en el Título II de esta Ley.

Artículo 26. Comunicación de datos personales a entidades privadas

Se prohíbe a la Administración Pública transferir a entidades privadas datos personales contenidos en bases de datos a las que tenga acceso, salvo:

1. En los casos de ejecución descentralizada de la actividad pública que requiera la comunicación, exclusivamente para este fin específico y determinado, previsto en la ley y sujeta a salvaguardas específicas;

2. Cuando exista una disposición legal o la comunicación esté respaldada por contratos o convenios. Los contratos y acuerdos deben ser aprobados por la autoridad de control.

Artículo 27. Tratamiento de datos en el ámbito de la función estadística pública

El tratamiento de datos personales llevado a cabo por los organismos que tengan atribuidas las competencias relacionadas con el ejercicio de la función estadística pública se someterá a lo dispuesto en su legislación específica, así como en la presente ley.

Dispondrán de medidas técnicas y organizativas, para garantizar el respeto del principio de minimización de los datos personales. Tales medidas podrán incluir la seudonimización, siempre que de esa forma puedan alcanzarse dichos fines.

Los organismos competentes para el ejercicio de la función estadística pública podrán denegar las solicitudes de los derechos del Titular establecido en los artículos 35 al 42 cuando los datos se encuentren amparados por las garantías del secreto estadístico previstas en la legislación específica.

Artículo 28. Tratamiento de datos con fines de archivo en interés Público por parte de las Administraciones Públicas

Será lícito el tratamiento por las Administraciones Públicas de datos con fines de archivo en interés público, que se someterá a lo dispuesto en la presente ley y leyes específicas que incluyan salvaguardas para la protección de los derechos de los titulares.

Artículo 29. Tratamiento de datos de naturaleza penal

El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, sólo podrá llevarse a cabo cuando se encuentre amparado en esta ley o en otras normas de rango legal.

El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, podrá realizarse conforme con lo establecido en la regulación del Sistema de Administración de Justicia.

Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas sólo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.

Artículo 30. Tratamiento de datos relativos a infracciones y sanciones administrativas.

El tratamiento de datos relativos a infracciones y sanciones administrativas, incluido el mantenimiento de registros relacionados con las mismas, exigirá:

1. Que los responsables de dichos tratamientos sean los órganos competentes para la instrucción del procedimiento sancionador, para la declaración de las infracciones o la imposición de las sanciones.

2. Que el tratamiento se limite a los datos estrictamente necesarios para la finalidad perseguida por aquel.

Cuando no se cumpla alguna de las condiciones previstas en el apartado anterior, los tratamientos de datos referidos a infracciones y sanciones administrativas habrán de contar con el consentimiento del titular del dato o estar autorizados por una norma con rango de ley, en la que se regularán, en su caso, garantías adicionales para los derechos y libertades de los afectados.

Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a infracciones y sanciones administrativas sólo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.

Artículo 31. Infracción del tratamiento de los datos personales por parte de las Instituciones públicas

Cuando se produzca una infracción a esta ley como consecuencia del tratamiento de datos personales por parte de instituciones públicas. La autoridad de control dictará una resolución estableciendo las medidas que proceda adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará a la persona responsable de la base de datos, al órgano del que dependa jerárquicamente y a los afectados, si los hay. La resolución podrá dictarse de oficio o a petición de parte y sin perjuicio de la responsabilidad civil y penal en que haya incurrido.

Artículo 32. Informes sobre el Impacto de la protección de datos personales

La autoridad de control podrá solicitar a las Instituciones Públicas que elaboren y publiquen informes sobre el impacto de la protección de datos personales y sugerir la adopción de normas y buenas prácticas para el tratamiento de datos personales por parte de la Administración Pública.

CAPÍTULO II. DISPOSICIONES APLICABLES A LAS FUERZAS ARMADAS, ORGANISMOS POLICIALES Y DE INTELIGENCIA

Artículo 33. De los tratamientos de datos personales con fines de defensa nacional o seguridad pública

El tratamiento de datos personales con fines de defensa nacional o seguridad pública por parte de las fuerzas armadas, organismos policiales e inteligencia, queda limitado a aquellos supuestos y categoría de datos que resulten necesarios y proporcionales para el estricto cumplimiento de las misiones legalmente asignadas a aquéllos para la defensa nacional, la seguridad pública o para la represión de los delitos. Las bases de datos, en tales casos, deberán ser específicas y establecidas al efecto, debiendo clasificarse por categorías, en función de su grado de fiabilidad.

Los datos personales registrados con fines policiales se cancelarán cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento.

Los responsables de las bases de datos que contengan los datos a los que se refiere en el presente artículo podrán denegar el acceso, la rectificación o cancelación en función de los peligros que pudieran derivarse para la defensa del Estado o la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando.

La información sobre datos personales también puede ser denegada por los responsables del tratamiento de bases de datos públicas, cuando de tal modo se pudieran obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o previsionales, el desarrollo de funciones de control de la salud y del medio ambiente, la investigación de delitos penales y la verificación de infracciones administrativas. La resolución que así lo disponga debe ser fundada y notificada al titular de los datos.

En cualquier caso, el responsable del tratamiento debe brindar acceso a los datos en cuestión en la oportunidad en que el titular de los datos demuestre que son necesarios para ejercer su derecho de defensa.

El titular del dato al que se deniegue total o parcialmente el ejercicio de los derechos podrá ponerlo en conocimiento de la Autoridad de Control, quien deberá asegurarse de la procedencia o improcedencia de la denegación.

Artículo 34. De la seguridad de las bases de datos

Los responsables de las bases de datos a que se refiere este Capítulo, deberán establecer medidas adicionales de seguridad, para garantizar la integridad, disponibilidad y confidencialidad de la información, que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.

TÍTULO V. DERECHO DE LOS TITULARES DE DATOS

CAPÍTULO I. EJERCICIO DE LOS DERECHOS

Artículo 35. Disposiciones Generales Sobre El Ejercicio De Los Derechos

El titular de datos o su representante podrán, en cualquier momento, solicitar al responsable, el acceso, rectificación, supresión, oposición y portabilidad de los datos personales que le conciernen.

El ejercicio de cualquiera de los derechos mencionados no es requisito previo ni impide el ejercicio de otro.

El responsable deberá establecer medios y procedimientos sencillos, expeditos, accesibles y gratuitos que permitan al titular de datos ejercer sus derechos.

El responsable tendrá un plazo de 30 (treinta) días corridos computados desde la presentación de la solicitud para dar respuesta a la solicitud del Titular.

Vencido el plazo sin que se satisfaga el pedido, o si para el titular de los datos la respuesta fuera insuficiente, se podrá recurrir ante la autoridad de control o podrá interponer la acción de habeas data. En caso de optar por la acción de habeas data, o de haberla iniciado con anterioridad, no podrá iniciar el trámite ante la autoridad de control.

El ejercicio de los derechos previstos en el presente capítulo en el caso de titulares de los datos de personas fallecidas les corresponde a sus sucesores universales.

Artículo 36. Derecho a la Información

El titular de datos debe recibir la información sobre cómo se lleva a cabo el tratamiento de sus datos personales, ya sea que lo haya proporcionado directamente a un responsable de tratamiento o que el responsable lo haya obtenido de otra fuente.

El responsable proporcionará al titular, al menos, la información siguiente:

a. Su identidad y datos de contacto que son el domicilio legal, número de teléfono y correo electrónico.

b. Base legal y finalidades del tratamiento a que serán sometidos sus datos personales.

c. Las comunicaciones o transferencias internacionales de datos personales que pretenda realizar, incluyendo los destinatarios y las finalidades que motivan la realización de las mismas.

d. La existencia, forma y mecanismos o procedimientos a través de los cuales podrá ejercer los derechos de acceso, rectificación, cancelación, oposición y portabilidad.

e. Tiempo de conservación de los datos personales.

En su caso, el origen de los datos personales cuando el responsable no los hubiere obtenido directamente del titular.

La información proporcionada al titular tendrá que ser suficiente y fácilmente accesible, así como redactarse y estructurarse en un lenguaje claro, sencillo y de fácil comprensión para los titulares a quienes va dirigida, especialmente si se trata de niñas, niños y adolescentes.

Todo responsable contará con políticas transparentes de los tratamientos de datos personales que realice.

Artículo 37. Derecho De Acceso

El titular de datos tendrá el derecho a solicitar y obtener sus datos personales que obren en posesión del responsable. Previa acreditación de su identidad, la información deberá ser suministrada en forma clara, inteligible y exenta de codificaciones y, en su caso, acompañada de una explicación de los términos que se utilicen, en lenguaje accesible al conocimiento medio de la población, y debe versar sobre:

1. Las finalidades del tratamiento de datos;

2. Las categorías de datos personales de que se trate;

3. Los destinatarios o las categorías de destinatarios a los que se cedieron o se prevean ceder los datos personales, en particular cuando se trate de una transferencia internacional;

4. El plazo previsto de conservación de los datos personales o, de no ser ello posible, los criterios utilizados para determinar este plazo;

5. La existencia del derecho a solicitar del responsable del tratamiento la rectificación, supresión de datos personales o a oponerse a dicho tratamiento;

6. El derecho a iniciar un trámite de protección de datos personales ante la autoridad de control;

7. Cuando los datos personales no se hayan obtenido del titular de los datos, cualquier información disponible sobre su origen;

8. La existencia de decisiones automatizadas, incluida la elaboración de perfiles a que se refiere el artículo 22 y, al menos en tales casos, información significativa sobre la lógica aplicada, sin que ello afecte derechos intelectuales del responsable del tratamiento.

En ningún caso el informe puede revelar datos pertenecientes a terceros, aun cuando se vinculen con el titular de los datos. La información, a opción del titular de los datos, puede suministrarse por escrito, por medios electrónicos, de imagen u otro idóneo a tal fin.

Artículo 38. Derecho De Rectificación

El titular de datos tendrá el derecho a obtener del responsable la rectificación o corrección de sus datos personales, cuando éstos resulten ser inexactos, incompletos o no se encuentren actualizados.

En el supuesto de cesión o transferencia internacional de datos erróneos o desactualizados, el responsable del tratamiento debe notificar la rectificación al cesionario dentro del quinto (5°) día hábil de haber tomado conocimiento efectivo del error o la desactualización.

Durante el proceso de verificación y rectificación del error o falsedad de la información que se trate, el

responsable del tratamiento debe bloquear el dato, o bien consignar, al proveer información relativa a éste, la circunstancia de que se encuentra sometido a revisión.

Artículo 39. Derecho De Oposición

El titular de datos puede oponerse al tratamiento de sus datos personales, o de una finalidad específica de éste, cuando no haya prestado consentimiento. El responsable del tratamiento debe dejar de tratar los datos personales objeto de oposición, a menos que demuestre motivos legítimos imperiosos para el procesamiento que prevalezcan sobre los intereses, derechos y libertades del titular del dato o para el establecimiento, ejercicio o defensa de reclamaciones legales.

Cuando el titular de datos se oponga al tratamiento con fines de mercadotecnia directa, sus datos personales dejarán de ser tratados para dichos fines en un plazo de 30 (treinta) días corridos desde el envío de la solicitud de oposición.

Artículo 40. Derecho De Supresión

El titular de datos tendrá derecho a solicitar la eliminación de sus datos personales de los archivos, registros y sistemas del responsable, a fin de que los mismos dejen de ser tratados por este último.

Solo podrá requerirse en los siguientes casos:

1. El tratamiento no cumpla con los principios de lealtad, transparencia y legitimidad;

2. Los datos personales hayan cumplido con la finalidad para la cual fueron recogidos o tratados;

3. Haya vencido el plazo de conservación de los datos personales;

4. El titular de datos haya revocado o no haya otorgado el consentimiento para uno o varios fines específicos, sin necesidad de que medie justificación alguna o éste no se ampare en otro fundamento jurídico;

5. El titular de los datos haya ejercido su derecho de oposición conforme al artículo 39, y no prevalezcan otros motivos legítimos para el tratamiento de sus datos;

6. Los datos personales hayan sido tratados ilícitamente;

7. Los datos personales que deban suprimirse para el cumplimiento de una obligación legal.

La supresión no procederá cuando pudiese causar perjuicios a derechos o intereses legítimos de terceros, prevalezcan razones de interés público para el tratamiento de datos cuestionado, o los datos personales deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las contractuales entre el responsable o encargado del tratamiento y el titular de los datos.

La supresión tampoco procede cuando el tratamiento de datos sea necesario para ejercer el derecho a la libertad de expresión e información.

Artículo 41. Derecho a la Portabilidad

Cuando se traten datos personales por vía electrónica o medios automatizados, el titular de datos podrá solicitar que sus datos personales se transfieran directamente de responsable a responsable siempre y cuando sea técnicamente posible.

No resultará procedente cuando se trate de información inferida, derivada, creada, generada u obtenida a partir del análisis o tratamiento efectuado por el responsable con base en los datos personales proporcionados por el titular de datos.

Este derecho no procederá cuando:

1. Su ejercicio imponga una carga financiera o técnica excesiva o irrazonable debidamente demostrada sobre el responsable o encargado del tratamiento;

2. Vulnere la privacidad de otro titular de los datos;

3. Vulnere las obligaciones legales del responsable o encargado del tratamiento,

4. Impida que el responsable y/o encargado del tratamiento proteja sus derechos, su seguridad o sus bienes, o los del titular de los datos o tercero,

5. Se trate de datos que ya hayan sido anonimizados por el responsable del tratamiento.

Artículo 42. Derecho a no ser objeto de decisiones individuales automatizadas o semiautomatizadas.

El titular de datos tendrá derecho a no ser objeto de decisiones que le produzcan efectos jurídicos o le afecten de manera significativa que se basen en tratamientos automatizados o semi automatizadas destinados a evaluar, sin intervención humana, determinados aspectos personales del mismo.

No se aplica lo anterior cuando el tratamiento automatizado o semi automatizadas de datos personales sea necesario para la celebración o la ejecución de un contrato entre el titular de datos y el responsable; esté autorizado por ley, en la que se regularán, en su caso, garantías adicionales para los derechos, libertades y los intereses legítimos de los titulares, o bien, se base en el consentimiento expreso del titular de datos.

No obstante, cuando sea necesario para la relación contractual o el titular de datos hubiere manifestado su consentimiento tendrá derecho a obtener la intervención humana; recibir una explicación sobre la decisión tomada; expresar su punto de vista e impugnar la decisión.

El responsable no podrá llevar a cabo tratamientos automatizados o semi automatizados de datos personales sensibles.

TÍTULO VI. RESPONSABLE Y ENCARGADO DEL TRATAMIENTO

CAPÍTULO I. DISPOSICIONES GENERALES

MEDIDAS DE RESPONSABILIDAD ACTIVA

Artículo 43. Medidas para el cumplimiento de la responsabilidad activa

Los responsables determinarán las medidas técnicas y organizativas adoptadas para el cumplimiento de las disposiciones de la presente ley.

En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y en la consulta previa a que se refieren los artículos 49 y 50 de la presente ley.

Las medidas deben ser proporcionales a las modalidades y finalidades del tratamiento de datos, su naturaleza, el ámbito, el contexto, el tipo y categoría de datos tratados, y el riesgo que el referido tratamiento pueda acarrear sobre los derechos de su titular.

Deben contemplar, como mínimo:

1. La adopción de procesos internos para llevar adelante de manera efectiva la responsabilidad activa, incluyendo las medidas de privacidad por diseño y por defecto;

2. La implementación de procedimientos para atender el ejercicio de los derechos por parte de los titulares de los datos;

3. La realización de supervisiones o auditorías, internas o externas, para controlar el cumplimiento de las medidas adoptadas.

4. La revisión periódica de las políticas y programas de seguridad de datos personales para determinar las modificaciones que se requieran.

5. La implementación de sistemas de administración de riesgos asociados al tratamiento de datos personales.

Las medidas deben ser aplicadas de modo que permitan su demostración ante el requerimiento de la autoridad de control.

Se debe adoptar una política de privacidad o adherirse a mecanismos de autorregulación vinculantes, que serán valorados por la autoridad de control para verificar el cumplimiento de las obligaciones por parte del responsable del tratamiento.

Artículo 44. Protección de datos desde el diseño y por defecto

El responsable del tratamiento debe aplicar, desde el diseño para el desarrollo de productos y servicios, medidas técnicas y organizativas apropiadas tanto con anterioridad como durante el tratamiento de datos a fin de cumplir los principios y los derechos de los titulares de los datos establecidos en la presente Ley. Las medidas deben ser adoptadas teniendo en cuenta el estado de la tecnología, los costos de la implementación y la naturaleza, ámbito, contexto y fines del tratamiento de datos, así como los riesgos que entraña el tratamiento para el derecho a la protección de los datos de sus titulares.

El responsable del tratamiento debe aplicar las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, sólo sean objeto de tratamiento de datos aquellos datos personales que sean necesarios para cada uno de los fines del tratamiento. Esta obligación se aplica a la cantidad y calidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas deben garantizar en particular que, por defecto, los datos personales no sean accesibles, sin la intervención del titular de los datos, a un número indeterminado de personas físicas.

Artículo 45. Mecanismos de autorregulación vinculantes

El responsable o encargado del tratamiento podrá adherirse, de manera voluntaria, a mecanismos de autorregulación vinculante, que tengan por objeto contribuir a la correcta aplicación de la presente ley, teniendo en cuenta las características específicas del tratamiento de datos que se realice, así como el efectivo ejercicio y respeto de los derechos del titular de los datos.

Los mecanismos de autorregulación vinculantes se pueden traducir en códigos de conducta, de buenas prácticas, normas corporativas vinculantes, sellos de confianza, certificaciones u otros mecanismos que coadyuven a contribuir a los objetivos señalados. Dichos códigos pueden dotarse de mecanismos de resolución extrajudicial de conflictos. Las asociaciones u otras entidades representativas de categorías de responsables o encargados del tratamiento podrán adoptar mecanismos de autorregulación vinculantes que resulten obligatorios para todos sus miembros.

Los mecanismos de autorregulación vinculantes serán presentados a la homologación de la autoridad de control, la cual dictaminará si los mecanismos se adecuan a las disposiciones de la presente ley y, en su caso, los aprobará o indicará las correcciones que estime necesarias para su aprobación.

Los mecanismos de autorregulación vinculantes que resulten aprobados serán registrados y dados a publicidad por la autoridad de control.

Artículo 46. Seguridad del tratamiento

Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

1. la seudonimización y el cifrado de datos personales;

2. la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;

3. la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;

4. un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración

accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

La adhesión a un código de conducta o a un mecanismo de certificación aprobado por la autoridad de control podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el presente artículo.

El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales sólo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud de la legislación nacional.

Artículo 47. Notificación de una violación de la seguridad de los datos personales a la autoridad de control

En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control sin dilación indebida y, de ser posible, a más tardar (72) setenta y dos horas después de que haya tenido constancia de ella. Si la notificación a la autoridad de control no tiene lugar en el plazo de (72) setenta y dos horas, deberá ir acompañada de indicación de los motivos de la dilación.

El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.

La notificación deberá, como mínimo:

1. Describir la naturaleza de la violación de la seguridad de los datos personales, las categorías y el número aproximado de titulares de datos afectados, y las categorías y el número aproximado de registros de datos personales afectados;

2. Comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;

3. Describir las posibles consecuencias de la violación de la seguridad de los datos personales;

4. Describir las medidas adoptadas y a adoptar por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.

Artículo 48. Comunicación de una violación de la seguridad de los datos personales al Titular

Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas determinada por la autoridad, el responsable del tratamiento la comunicará al Titular sin dilación indebida.

La comunicación al Titular contemplada en el presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 47, numeral 2, 3 y 4.

La comunicación al Titular a que se refiere el presente artículo no será necesaria si se cumple alguna de las condiciones siguientes:

1. el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;

2. el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del titular del dato a que se refiere el presente artículo;

3. suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los Titulares.

Cuando el responsable todavía no haya comunicado al Titular la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá que dicha comunicación no es necesaria si cumple alguna de las condiciones mencionadas en el tercer párrafo de este artículo.

Artículo 49. Evaluación De Impacto

Cuando el responsable del tratamiento prevea realizar algún tipo de tratamiento de datos que, por su naturaleza, alcance, contexto o finalidades, sea probable que entrañe un alto riesgo de afectación a los derechos de los titulares de los datos amparados en la presente Ley, deberá realizar, de manera previa a la implementación del tratamiento, una evaluación del impacto relativa a la protección de los datos personales. La evaluación de impacto relativa a la protección de los datos es obligatoria en los siguientes casos, sin perjuicio de otros que establezca la autoridad de control:

a- Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento de datos automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;

b- Tratamiento de datos sensibles a gran escala, o de datos relativos a condenas e infracciones penales o administrativas

c- Observación sistemática a gran escala de una zona de acceso público.

La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos.

La evaluación debe incluir, como mínimo:

1. Una descripción sistemática de las operaciones de tratamiento de datos previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;

2. Una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento de datos con respecto a su finalidad;

3. Una evaluación de los riesgos para la protección de los datos personales de los titulares de los datos a que se refiere el inciso 1.

4. Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de los datos personales, y para demostrar la conformidad con la presente Ley, teniendo en cuenta los derechos e intereses legítimos de los titulares de los datos y de otras personas que pudieran verse potencialmente afectadas.

Artículo 50. Consulta Previa

El responsable consultará a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos en virtud del artículo 49 muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para para mitigarlo.

Cuando consulte a la autoridad de control, el responsable del tratamiento le facilitará la información siguiente:

1. Las responsabilidades respectivas del responsable del tratamiento y los encargados del tratamiento, en particular en caso de tratamiento de datos dentro de un mismo grupo económico;

2. Los fines y medios del tratamiento previsto;

3. Las medidas y garantías establecidas para proteger los datos personales de sus titulares de conformidad con la presente Ley;

4. En su caso, los datos de contacto del delegado de protección de datos;

5. La evaluación de impacto relativa a la protección de datos.

6. Cualquier otra información que solicite la autoridad de control.

Cuando la autoridad de control considere que el tratamiento previsto podría infringir la presente Ley, en particular cuando el responsable no haya identificado o mitigado suficientemente el riesgo, la autoridad de control deberá, en un plazo de 60 (sesenta) días corridos desde la consulta, asesorar por escrito al responsable, y en su caso al encargado, de conformidad con las funciones establecidas en el artículo 65 de la presente ley. Dicho plazo podrá prorrogarse por (45) cuarenta y cinco días corridos, en función de la complejidad del tratamiento previsto. La autoridad de control informará al responsable y, en su caso, al encargado de tal prórroga en el plazo de 30 (treinta) días corridos a partir de la recepción de la solicitud de consulta, indicando los motivos de la dilación. Estos plazos podrán suspenderse hasta que la autoridad de control haya obtenido la información solicitada a los fines de la consulta.

Artículo 51. Posición del Delegado de protección de datos.

El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.

El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el artículo 53, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados.

El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado.

Los titulares de datos podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo de la presente Ley.

El delegado de protección de datos estará obligado a mantener el secreto o la confidencialidad en lo que respecta al desempeño de sus funciones, de conformidad con la legislación nacional.

El delegado de protección de datos podrá desempeñar otras funciones y cometidos. El responsable o encargado del tratamiento garantizará que dichas funciones y cometidos no den lugar a conflicto de intereses.

Artículo 52. Delegado de Protección de Datos

Los responsables y encargados del tratamiento deben designar un Delegado de Protección de Datos en cualquiera de los siguientes supuestos:

1. Cuando revistan el carácter de autoridades u organismos públicos; excepto los tribunales que actúen en ejercicio de su función judicial;

2. Se realice tratamiento a gran escala de datos sensibles o de datos personales relativos a condenas e infracciones penales como parte de la actividad principal del responsable o encargado del tratamiento;

3. las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de los titulares de datos a gran escala.

Cuando los responsables y encargados del tratamiento no se encuentren obligados a la designación de un Delegado de Protección de Datos de acuerdo a lo previsto en este artículo, pero decidan designarlo de manera voluntaria o por orden expresa de la autoridad de control, el Delegado de Protección de Datos designado tendrá las funciones previstas en el artículo 53.

Cuando se trate de una autoridad u organismo público con dependencias subordinadas, se puede designar un único Delegado de Protección de Datos, teniendo en consideración su tamaño y estructura organizativa.

Un grupo económico puede nombrar un único Delegado de Protección de Datos siempre que esté en contacto permanente con cada establecimiento.

El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 53.

El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios.

El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control.

Artículo 53. Funciones del Delegado de Protección de Datos

El Delegado de Protección de Datos tiene las siguientes funciones, sin perjuicio de otras que se le asignen especialmente:

1. Actuar como interlocutor del responsable o encargado del tratamiento ante la autoridad de control.

2. Informar y asesorar a los responsables y encargados del tratamiento, así como a sus empleados, de las obligaciones que tienen, derivadas de la normativa de protección de datos;

3. Promover y participar en el diseño y aplicación de una política de protección de datos que contemple los tratamientos de datos que realice el responsable o encargado del tratamiento;

4. Supervisar el cumplimiento de la presente Ley y de la política de protección de datos de un organismo público, empresa o entidad privada;

5. Asignar responsabilidades, concientizar y formar al personal, y realizar las auditorías correspondientes;

6. Brindar el asesoramiento que se le solicite para hacer una evaluación de impacto relativa a la protección de datos, cuando entrañe un alto riesgo de afectación para los derechos de los titulares de los datos, y supervisar luego su aplicación;

7. Cooperar y actuar como referente ante la autoridad de control para cualquier consulta sobre el tratamiento de datos efectuado por el responsable o encargado del tratamiento.

8. Aceptar reclamaciones y comunicaciones de los titulares, dar aclaraciones y adoptar providencias;

9. Ejecutar las demás atribuciones determinadas por el responsable o encargado o establecidas en normas complementarias.

El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.

CAPÍTULO II. ENCARGADO DEL TRATAMIENTO

Artículo 54. Funciones del Encargado del Tratamiento

El encargado de tratamiento de los datos personales es la persona física o jurídica, autoridad pública u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

El encargado del tratamiento se encuentra limitado a llevar a cabo sólo aquellos tratamientos de datos encomendados por el responsable del tratamiento. Los datos personales objeto de tratamiento no pueden aplicarse o utilizarse con un fin distinto al que figure en el contrato ni ser cedidos a otras personas, ni aún para su conservación, salvo autorización expresa del responsable del tratamiento.

El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo a la legislación nacional, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de titulares de datos, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:

1. tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud de la ley que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;

2. garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;

3. tomará todas las medidas necesarias de conformidad con el artículo 46 de seguridad de tratamiento;

4. respetará las condiciones indicadas en el presente artículo para recurrir a otro encargado del tratamiento;

5. asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los titulares establecidos en el Título V;

6. ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en el 46 de seguridad del tratamiento, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;

7. a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud de la ley;

8. pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. El encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe la presente Ley.

Artículo 55. Sub Encargado de Tratamiento

El encargado puede suscribir un contrato para subcontratar servicios que impliquen el tratamiento de datos solamente cuando exista una autorización expresa del responsable del tratamiento. En estos casos el subcontratado asume el carácter de encargado en los términos y condiciones previstos en esta Ley. Para el supuesto en que el subcontratado incumpla sus obligaciones y responsabilidades respecto al tratamiento de datos que lleve a cabo conforme a lo estipulado en el contrato, asumirá la calidad de responsable del tratamiento en los términos y condiciones previstos en la presente Ley. Los contratos previstos en este artículo deben estipular el objeto, alcance, contenido, duración, naturaleza y finalidad del tratamiento de datos, el tipo de datos personales, las categorías de titulares de los datos y las obligaciones y responsabilidades del responsable y encargado del tratamiento.

Una vez cumplida la prestación contractual, los datos personales tratados deben ser destruidos, salvo que medie autorización expresa del responsable del tratamiento cuando razonablemente se pueda presumir la posibilidad de ulteriores encargos.

Artículo 56. Representantes de responsables o encargados del tratamiento no establecidos en Paraguay

Cuando sea de aplicación el artículo 2, inciso b) el responsable o el encargado del tratamiento designará por escrito un representante en la República del Paraguay.

La obligación del presente artículo no será aplicable cuando:

1. el tratamiento sea ocasional, que no incluyan el manejo a gran escala de datos sensibles o de datos personales relativos a condenas e infracciones penales y que sea improbable que entrañe un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, contexto, alcance y objetivos del tratamiento, o

2. el tratamiento sea realizado por las autoridades o instituciones públicas del extranjero.

El representante estará establecido en el territorio nacional cuando los titulares cuyos datos personales se traten en el contexto de una oferta de bienes o servicios, o cuyo comportamiento esté siendo controlado estén en Paraguay. El responsable o encargado comunicará a la autoridad de control los datos de contacto de su representante. Las notificaciones o intimaciones serán realizadas en el domicilio del representante.

La designación de un representante por el responsable o el encargado del tratamiento se entenderá sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable o encargado.

TÍTULO VII. TRANSFERENCIA INTERNACIONAL DE DATOS PERSONALES

Artículo 57. Reglas generales para las transferencias internacionales de datos personales

La transferencia internacional de datos personales se podrá realizar en cualquiera de los siguientes supuestos:

1. El país u organización internacional o supranacional destinatario de los datos personales hubiere sido reconocido con un nivel adecuado de protección de datos personales;

2. El exportador ofrezca garantías apropiadas al tratamiento de los datos personales, en cumplimiento de las condiciones mínimas y suficientes establecidas en esta ley.

En ausencia de una decisión de adecuación o de garantías apropiadas establecidos en el inciso 2), la transferencia se podrá realizar si se cumple una de las condiciones siguientes:

a) La transferencia sea necesaria para la cooperación jurídica internacional entre órganos de inteligencia pública, investigación y enjuiciamiento, de conformidad con los instrumentos del derecho internacional, con las debidas salvaguardas adicionales;

b)  La transferencia se encuentre prevista en esta ley u otras leyes, convenios o tratados internacionales en los que Paraguay sea parte siempre y cuando no sean contrarias a las disposiciones de esta ley;

c) La transferencia sea necesaria, para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios, siempre y cuando dichos fines sean acreditados;

d) La transferencia sea necesaria para proteger la vida o la seguridad física del titular o de un tercero,

e) El titular del dato haya dado su consentimiento expreso, con información previa sobre el carácter internacional de la operación, distinguiéndose claramente de otros fines.

El receptor de los datos personales asume las mismas obligaciones que corresponden al responsable del tratamiento que transfirió los datos personales.

 Artículo 58. Carácter adecuado del país u organismo receptor

El nivel de protección de datos del país extranjero o de la organización internacional o supranacional a que se refiere el inciso 1 del art. 57 de esta Ley, será evaluada por la autoridad de control, a pedido de parte interesada o de oficio, la cual tendrá en cuenta:

a) las normas generales y sectoriales de la legislación vigente en el país de destino o en la organización internacional;

b) la naturaleza de los datos;

c)  observancia de los principios generales de protección de datos personales y derechos de los titulares previstos en esta Ley;

d) la adopción de las medidas de seguridad previstas en los reglamentos;

e) la existencia de garantías judiciales e institucionales para el respeto de los derechos de protección de datos personales; y

f) otras circunstancias específicas relacionadas con la transferencia.

Artículo 59. Transferencias mediante garantías adecuadas

Las garantías adecuadas de conformidad al numeral 2 del artículo 57 podrán ser aportadas, sin que se requiera ninguna autorización expresa de la autoridad de control, por:

a. un instrumento jurídicamente vinculante y exigible entre las autoridades o instituciones públicos;

b. mecanismos de autorregulación vinculantes de conformidad con el artículo 45;

c. cláusulas tipo de protección de datos adoptadas por la autoridad de control

d. un código de conducta aprobado con arreglo al artículo 65, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas la relativas a los derechos de los titulares de datos, o

e. un mecanismo de certificación aprobado por la autoridad de control, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de los titulares de datos.

Siempre que exista autorización de la autoridad de control competente, las garantías adecuadas contempladas en el inciso 2 del artículo 57, podrán igualmente ser aportadas, en particular, mediante:

1. cláusulas contractuales entre el responsable o el encargado y el responsable, encargado o destinatario de los datos personales en el tercer país u organización internacional o supranacional, o

2. disposiciones que se incorporen en acuerdos administrativos entre las autoridades o instituciones públicas que incluyan derechos efectivos y exigibles para los titulares de datos.

Artículo 60. Cambios de las garantías

Los cambios en las garantías que se presenten como suficientes para cumplir con los principios generales de protección y los derechos del titular a que se refiere el inciso 2 del art. 57 de esta Ley debe ser comunicada a la autoridad de control.

Artículo 61. Prueba del cumplimiento de las obligaciones en materia de transferencias internacionales

A efectos de demostrar que la transferencia internacional se ha realizado conforme a lo que establece la presente Ley, la carga de la prueba recae, en todos los casos, en el responsable del tratamiento que transfiere.

TÍTULO VIII. AUTORIDAD DE PROTECCIÓN DE DATOS

CAPÍTULO I. AUTORIDAD DE CONTROL

Artículo 62. Naturaleza de la Autoridad de control y supervisión

La Agencia de Protección de Datos Personales es un ente de derecho público y es el organismo encargado del control y cumplimiento de las leyes en materia de protección de datos personales con plena autonomía e independencia en el ejercicio de sus funciones.

Compete a la Agencia de Protección de Datos Personales el ejercicio de acciones ante las autoridades nacionales e internacionales y organismos privados o personas vinculadas a la protección de los datos.

Le corresponde así también la asistencia técnica a cualquier institución que lo solicite para la protección de datos personales.

La autoridad de control deberá contar con los recursos humanos y materiales necesarios para el cumplimiento de sus funciones.

Artículo 63. Nombramiento de Autoridades en materia de protección de datos personales

La Agencia de Datos Personales estará conformada por un Director o una Directora y un Subdirector o una Subdirectora, quienes deberán ser de nacionalidad paraguaya, de 30 (treinta) años cumplidos y deberán contar con antecedentes personales, profesionales y de conocimiento, en particular respecto al ámbito de protección de datos personales, que aseguren independencia de criterio, eficiencia, objetividad e imparcialidad en el desempeño de sus cargos.

No podrá ser nombrado director o directora nacional ninguna persona que sea propietaria, accionista, miembro de la junta directiva, gerente, asesora, representante legal o empleada de una empresa dedicada a la recolección, el almacenamiento y/o procesamiento de datos personales. Dicha prohibición persistirá hasta por dos años después de haber cesado sus funciones o vínculo empresarial. Estará igualmente impedido quien sea cónyuge de una persona que esté en alguno de los supuestos mencionados anteriormente.

Para su elección, el Poder Ejecutivo remitirá a la Cámara de Senadores una lista de (3) tres candidatos a Director o Directora y tres candidatos a Subdirector o Subdirectora, de entre los cuales la Cámara de Senadores elegirá a uno para cada cargo por mayoría absoluta.

Artículo 64. Duración del mandato y remoción de las autoridades

El Director o la Directora y el Subdirector o la Subdirectora durarán 5 (cinco) años en sus cargos, pudiendo ser designados nuevamente. Sólo cesarán por la expiración de su mandato y designación de sus sucesores, o por su remoción en los casos de mal desempeño de sus funciones o la comisión de delitos. Ambos ejercerán sus funciones con plena independencia y objetividad y no estarán sujetos a instrucción alguna en su desempeño.

El directora o la directora y el subdirector o subdirectora podrán ser removidos, por faltas graves e irregularidades cometidas en el ejercicio de sus funciones, por las causas siguientes:

 a) El mal desempeño de sus funciones;

b) El desempeño de un empleo, cargo o comisión distinto de lo previsto en esta Ley, excepto la docencia a tiempo parcial.

c) Utilizar en beneficio propio o de terceros la información confidencial de que disponga en razón de su cargo,

d) incapacidad sobrevenida para el ejercicio de su función,

e) condena firme por delito doloso.

En caso de incurrir en las conductas descritas en el párrafo anterior, se aplicarán análogamente las mismas sanciones establecidas en la Ley No 1626/00 “DE LA FUNCIÓN PÚBLICA”.

Artículo 65. Facultades de la Autoridad de Control

La Agencia de Protección de Datos Personales cuenta con suficientes poderes de investigación, supervisión, resolución, promoción, sanción y otros que resulten necesarios para garantizar el efectivo cumplimiento de la presente ley, así como el ejercicio y respeto efectivo del derecho a la protección de datos personales.

La autoridad de control tendrá las siguientes funciones y atribuciones:

a. Asistir y asesorar a las personas que lo requieran acerca de los alcances de la presente Ley y de los medios legales de que disponen para la defensa de sus derechos;

b. Dictar las normas y criterios orientadores que se deben observar en el desarrollo de las actividades comprendidas por esta Ley; específicamente, dictar normas administrativas y de procedimiento relativas a las funciones a su cargo, y las normas y procedimientos técnicos relativos al tratamiento de datos y condiciones de seguridad de las bases de datos;

c. Atender los requerimientos y denuncias interpuestos en relación al tratamiento de datos en los términos de la presente Ley;

d. Controlar el cumplimiento de los requisitos y garantías que deben reunir los tratamientos de datos de conformidad con la presente Ley y las normas que dicte la autoridad de control;

e. Solicitar información a las instituciones públicas y privadas, las que deberán proporcionar los antecedentes, documentos, programas u otros elementos relativos al tratamiento de datos que se le requieran; en estos casos, la autoridad deberá garantizar la seguridad y confidencialidad de la información y elementos suministrados;

f. Imponer las sanciones administrativas que, en su caso, correspondan por violación a las normas de la presente Ley y de las reglamentaciones que se dicten en su consecuencia;

g. Constituirse en querellante en las acciones penales que se promovieran por violaciones a la presente Ley;

h. Homologar los mecanismos de autorregulación vinculantes y supervisar su cumplimiento con lo dispuesto en el artículo 45;

I.  Elaborar y mantener una lista relativa al requisito de la evaluación de impacto relativa a la protección de datos, en virtud del artículo 49,

j.  Solicitar información a los Delegados de Protección de Datos, en los términos de lo previsto en la presente Ley.

k. Promover acciones de cooperación con autoridades de protección de datos personales de otros países, de carácter internacional o transnacional, pudiendo suscribir acuerdos internacionales administrativos y no normativos en la materia;

l. Preparar informes anuales de gestión sobre sus actividades;

m. Asesorar en forma necesaria al Poder Ejecutivo en la consideración de los proyectos de ley que refieran total o parcialmente a la protección de datos personales.

n. Colaborar con el Ministerio de Tecnologías de la Información y Comunicación en las políticas públicas, investigación y en la gestión de seguridad de la información y ciberseguridad sobre las infraestructuras de bases de datos que contengan datos personales para la adecuada protección de los mismos.

Artículo 66:  De las funciones del Director o de la Directora

Le corresponde al Director o la Directora:

1. Representar a la Agencia de Protección de Datos en todos los actos en que ella intervenga,

2. Dirigir las actividades de la institución de conformidad a lo establecido en esta Ley y su reglamentación.

3. Controlar y hacer aplicar la presente ley.

4. Promover la concienciación del público en general y su comprensión de los riesgos, normas, garantías y derechos en relación con el tratamiento de sus datos personales; y asesorar al Gobierno y a otras instituciones y organismos sobre las medidas legislativas y administrativas relativas a la protección de los derechos y libertades de las personas físicas con respecto al tratamiento.

5. Brindar información y tratar las reclamaciones de cualquier titular en relación con el ejercicio de sus derechos en virtud de la presente ley.

6. Desempeñar cualquier otra función relacionada con la protección de los datos personales.

El Director o Directora se abstendrá de cualquier acción que sea incompatible con sus funciones y no participará, mientras dure su mandato, en ninguna actividad profesional que sea incompatible, remunerada o no.

Artículo 67: De las funciones del Subdirector o de la Subdirectora

Al Subdirector o la Subdirectora le corresponde sustituir al Director o Directora en caso de impedimento, ausencia temporal o vacancia definitiva, asumiendo de inmediato todas sus atribuciones, cooperar con la labor de conformidad a esta Ley; y supervisar el funcionamiento de las distintas dependencias de la Agencia de Protección de Datos Personales.

Artículo 68. De los recursos de la Agencia de Protección de Datos Personales

Los recursos financieros de la Agencia de Protección de Datos Personales estarán constituidos por:

1. Los recursos que anualmente le sean destinados en el Presupuesto General de la Nación para el mantenimiento e incremento de sus funciones.

2. Los ingresos provenientes de las multas aplicadas en ejercicio de sus potestades sancionadoras establecidas en esta Ley.

3. Los fondos provenientes de convenios y/o acuerdos, créditos otorgados, préstamos, financiamientos, aportes, donaciones, legados, o de cualquier otro concepto, de origen nacional o internacional, siempre que no implique conflicto de interés.

TÍTULO IX. RECLAMACIONES Y SANCIONES

Artículo 69. Régimen de reclamaciones y de imposición de sanciones

El titular de los datos o su representante legal puede iniciar una reclamación ante la autoridad de control para hacer efectivos sus derechos, así como recurrir a la tutela judicial para ser indemnizado cuando hubiere sufrido daños y perjuicios, como consecuencia de una violación de su derecho a la protección de datos personales conforme a las normas establecidas en la presente ley.

Artículo 70. Procedimiento para la reclamación

La reclamación será presentada por escrito o por medio electrónico, en la plataforma habilitada por la Autoridad de Control y deberá ser respondida por el medio elegido por el solicitante dentro del plazo de 15 (quince) días hábiles.

La autoridad encargada podrá requerir las informaciones a instituciones públicas, privadas y a particulares, que deberán responder dentro del plazo de 15 (quince) días hábiles.

 La solicitud de informe o la realización de diligencias por parte de la Autoridad de Control citado interrumpe el plazo para resolver, que comenzará a correr nuevamente una vez contestado el informe o vencido el plazo para proveer la información.

La solicitud deberá contener una explicación de los antecedentes y hechos que fundamentan el pedido, así como el ofrecimiento de la prueba documental y las demás pruebas necesarias. La Autoridad de Control reglamentará el procedimiento a seguirse.

Artículo 71. Régimen de faltas y sanciones

La Autoridad de Control se encuentra facultada a adoptar las medidas correctivas y sancionar las conductas de las personas físicas y jurídicas que contravengan lo dispuesto en la presente ley.

Artículo 72. Prescripción de sanciones

El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que sea ejecutable la resolución por la que se impone la sanción o haya transcurrido el plazo para recurrirla.

La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor.

Artículo 73. Faltas leves

Se consideran faltas leves y prescribirán al año, las siguientes infracciones:

1. Recolectar datos personales para su uso en base de datos sin que se le otorgue suficiente y amplia información a la persona interesada, de conformidad con las especificaciones técnicas establecidas en el reglamento de aplicación de la presente ley.

2. Recolectar, almacenar y transmitir datos personales de terceros por medio de mecanismos inseguros o que de alguna forma no garanticen la seguridad e inalterabilidad de los datos.

3. No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando éste, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación.

4. El incumplimiento por el encargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable del tratamiento, salvo que esté legalmente obligado a ello conforme a otras leyes de la República del Paraguay y la presente ley o en los supuestos en que fuese necesario para evitar la infracción de la legislación en materia de protección de datos y se hubiese advertido de ello al responsable o al encargado del tratamiento.

5. La notificación incompleta, tardía o defectuosa a la autoridad de control de la información relacionada con una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 47 de la presente ley.

6. Negarse injustificadamente a dar acceso a un titular del dato sobre sus datos que consten en archivos y bases de datos, a fin de verificar su calidad, recolección, almacenamiento y uso conforme a esta ley.

7. La contratación por el responsable del tratamiento de un encargado de tratamiento que no ofrezca las garantías suficientes para aplicar las medidas técnicas y organizativas apropiadas conforme a lo establecido en el artículo 54 de esta ley.

8. No mantener disponibles políticas de protección de datos personales afines al tratamiento de datos personales;

Artículo 74. Faltas graves

Se consideran graves y prescribirán a los dos años, las siguientes infracciones:

1. Transferir datos personales a otras personas o empresas en contravención de las reglas establecidas en la presente ley.

2. Reiteración en la negativa injustificada de dar acceso a un titular sobre sus datos que consten en archivos y bases de datos, a fin de verificar su calidad, recolección, almacenamiento y uso conforme a esta ley.

3. Negarse injustificadamente a eliminar o rectificar los datos de una persona que así lo haya solicitado por medio claro e inequívoco.

4. El tratamiento de datos personales de un menor de edad sin recabar su consentimiento, cuando tenga capacidad para ello, o el del titular de su patria potestad o tutela.

5. No acreditar la realización de esfuerzos razonables para verificar la validez del consentimiento prestado por un menor de edad o por el titular de su patria potestad o tutela sobre el mismo.

6. El impedimento o la obstaculización o la no atención reiterada de los derechos de acceso, rectificación, supresión o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando éste, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación.

7. La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento.

8. La falta de adopción de las medidas técnicas y organizativas apropiadas para garantizar que, por defecto, sólo se tratarán los datos personales necesarios para cada uno de los fines específicos del tratamiento.

9. La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento.

10. El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado, conforme a lo establecido en esta ley.

11. El incumplimiento de la obligación de designar un representante del responsable o encargado del tratamiento no establecido en la República del Paraguay, conforme a lo establecido en el artículo 56 de la presente ley.

12. Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito, según lo requerido en el artículo 5 de esta ley.

13. La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles.

14. El incumplimiento del deber del encargado del tratamiento de notificar al responsable del tratamiento las violaciones de seguridad de las que tuviera conocimiento.

15. El incumplimiento del deber de notificación a la autoridad de control de una violación de seguridad de los datos personales de conformidad con lo establecido en el artículo 47 de la presente ley.

16. El incumplimiento del deber de comunicación al Titular de una violación de la seguridad de los datos de conformidad con lo previsto en el artículo 48 de la presente ley, si el responsable del tratamiento hubiera sido requerido por la autoridad de protección de datos para llevar a cabo dicha notificación.

17. El tratamiento de datos personales sin haber llevado a cabo la evaluación del impacto de las operaciones de tratamiento en la protección de datos personales en los supuestos en que la misma sea exigible.

18. El tratamiento de datos personales sin haber consultado previamente a la autoridad de control en los casos en que la ley establezca la obligación de llevar a cabo esa consulta.

19. El incumplimiento de la obligación de designar un delegado de protección de datos cuando sea exigible su nombramiento de acuerdo con el artículo 52 de esta ley.

20. No posibilitar la efectiva participación del delegado de protección de datos en todas las cuestiones relativas a la protección de datos personales, no respaldarlo o interferir en el desempeño de sus funciones.

21. La utilización de un sello o certificación nacional o internacional falso en materia de protección de datos o en caso de que las vigencias de los mismos hubieran expirado.

22. Recolectar, almacenar y transmitir datos personales de terceros por medio de mecanismos inseguros o que de alguna forma no garanticen la seguridad e inalterabilidad de los datos.

23. El incumplimiento de la obligación de notificación por parte de los responsables o encargados relativa a la rectificación o supresión de datos personales exigida por los artículos 38 y 40 de esta ley.

24. El incumplimiento de los requisitos exigidos por la presente ley en relación a la validez del consentimiento.

25. La omisión del deber de informar al titular acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 36 de esta ley.

26. La exigencia del pago de un canon para el ejercicio de cualquiera de los derechos establecidos en el Título V, Capítulo I de los derechos de los titulares de datos.

Artículo 75. Faltas muy graves

Se consideran muy graves y prescribirán a los tres años, las siguientes infracciones:

1. Recolectar, almacenar, transmitir o de cualquier otra forma emplear, por parte de personas físicas o jurídicas privadas, datos sensibles, sin contar con una de las bases legales establecidas en la legislación vigente.

2. Obtener, de los titulares o de terceros, datos personales de una persona por medio de engaño, violencia o amenaza.

3. Revelar información registrada en una base de datos personales cuyo secreto esté obligado a guardar conforme a la ley.

4. Proporcionar a un tercero información falsa o distinta contenida en un archivo de datos, con conocimiento de ello.

5. Transferir, a las bases de datos de terceros países, información de carácter personal de los habitantes paraguayos o de los extranjeros radicados en el país, sin el consentimiento de sus titulares cuando el mismo sea requerido.

6. La utilización de los datos para una finalidad que no sea compatible con la finalidad para la cual fueron recogidos, sin contar con el consentimiento del afectado o con una base legal para ello.

7. El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas fuera de los supuestos permitidos en el artículo 29.

8. La vulneración del principio de confidencialidad establecido en el artículo 15 de esta ley.

9. La transferencia internacional de datos personales a un destinatario que se encuentre en un tercer país o a una organización internacional, cuando no concurran las garantías, requisitos y excepciones establecidos en los artículos 57 y 59 de esta ley.

10.          No facilitar el acceso de la autoridad de control a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por esta autoridad para el ejercicio de sus poderes de investigación.

11. La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de control competente.

12. La reversión deliberada de un procedimiento de anonimización o seudonimización a fin de permitir la re-identificación de los titulares.

13. Recolectar, almacenar, transmitir o de cualquier otra forma emplear datos personales sin contar con una de las bases legales establecidas en esta ley.

En el numeral 8, el titular del dato que se vea vulnerado por el principio de confidencialidad podrá además accionar en base al artículo 147 de la Ley 1160/97 “Código Penal”.

Artículo 76. Incumplimiento por parte de instituciones públicas

Las sanciones pecuniarias indicadas en este capítulo sólo se aplican a las personas de naturaleza privada. En caso de que la autoridad de control advierta un presunto incumplimiento de las disposiciones de la presente ley por parte de instituciones públicas, actuará de conformidad con el artículo 31.

Artículo 77. Sanciones administrativas

Si se ha incurrido en alguna de las faltas tipificadas en esta ley, se deberá imponer alguna de las siguientes sanciones administrativas, sin perjuicio de las sanciones penales correspondientes:

1. Apercibimiento como primera instancia;

2. Multas:

a. Para las faltas leves, hasta 500 (quinientos) jornales mínimos para actividades diversas no especificadas en la República del Paraguay.

b. Para las faltas graves, hasta 10.000 (diez mil) jornales mínimos para actividades diversas no especificadas en la República del Paraguay.

c. Para las faltas muy graves, hasta 35.000 (treinta y cinco mil) jornales mínimos para actividades diversas no especificadas en la República del Paraguay y la suspensión para el funcionamiento de la base de datos de 1 (uno) a 6 (seis) meses. En caso de reincidencia, podrá decretarse la clausura de la base de datos, sin perjuicio de la aplicación de una nueva multa.

3. Suspensión de las actividades relacionadas con el tratamiento de datos hasta por un término de 6 (seis) meses; en el acto de suspensión se indicarán las medidas correctivas que deberán adoptarse;

4. Cierre temporal de las operaciones relacionadas con el tratamiento de datos una vez transcurrido el término de suspensión sin que se hubieren adoptado las medidas correctivas ordenadas por la autoridad de control;

5. Cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles.

Artículo 78: Criterios para las sanciones administrativas

Las sanciones se aplicarán luego de un procedimiento administrativo que permita la oportunidad de una amplia defensa, de manera gradual, aislada o acumulativa, según las peculiaridades del caso específico y considerando los siguientes parámetros y criterios:

A. la gravedad y naturaleza de las infracciones y los derechos personales afectados;

B. la buena fe del infractor;

C. la ventaja obtenida o pretendida por el infractor;

D. el tamaño de la persona jurídica y la situación económica del infractor;

E. reincidencia;

F. el grado de daño;

G. la cooperación del infractor;

H. la adopción reiterada y demostrada de mecanismos y procedimientos internos capaces de minimizar el daño, encaminados al tratamiento seguro y adecuado de los datos;

I. la adopción de una política de buenas prácticas o código de conductas;

J. la pronta adopción de medidas correctivas;

K. la proporcionalidad entre la gravedad de la falta y la intensidad de la sanción.

Artículo 79.- Pago de multas

El monto de las multas deberá ser pagado dentro del plazo de treinta días, contados desde la notificación.

Artículo 80.- Falta de pago de multas

Si la multa no fuera pagada y hubiera resolución firme, la Autoridad de control, podrá demandar judicialmente al infractor por medio de juicio ejecutivo ante el Juzgado de Primera Instancia en lo Civil y Comercial de la capital, acompañando copia de la resolución que aplicó la sanción o de la sentencia ejecutoriada en su caso, la que tendrá por sí sola fuerza ejecutiva.

En este juicio, el demandado no podrá oponer otras excepciones que la de prescripción, la falta de acción, y la de pago total.

Artículo 81.- Intereses por falta de pago de multas

El retardo en el pago de toda multa que aplique la Autoridad de Control, en conformidad a la Ley, devengará los intereses de mercado correspondiente al promedio de la tasa activa.

Si la multa no fuere procedente y no obstante hubiese sido pagada, la Autoridad de Control, o el juzgado respectivo, según corresponda, deberá ordenar se devuelvan las sumas pagadas, con los intereses establecidos por Ley.

Artículo 82.- Prescripción de la acción de cobro de multa

La acción de cobro de una multa prescribe en el plazo de 5 (cinco) años, contados desde que se hizo exigible.

TÍTULO X. RECURSOS

Artículo 83.- Recurso de reconsideración

Todo recurso de reconsideración contra una resolución o acto administrativo de carácter no reglamentario por parte de la Autoridad de Control, deberá agotarse en la instancia administrativa. Posterior a esto, estará sujeto al control jurisdiccional ante el Tribunal de Cuentas.

Artículo 84.- Contenido y forma de presentación

La reconsideración se formulará por escrito y contendrá en forma clara y precisa los hechos y el derecho en que se fundamenta. El plazo para su interposición será de cinco días hábiles, contados a partir de la notificación de la resolución.

La Autoridad de Control dispondrá de cinco días hábiles para resolver el recurso de reconsideración, transcurridos los cuales, sin que medie resolución, se entenderá que rechaza el recurso. La interposición del recurso de reconsideración suspenderá el plazo para recurrir ante el Tribunal de Cuentas.

Artículo 85.- Acción contencioso-administrativo

La acción contencioso-administrativo deberá interponerse ante el Tribunal de Cuentas, dentro del plazo de 18 (dieciocho) días hábiles, contados desde la notificación del acto recurrido.

El recurso de reconsideración y la acción contencioso-administrativo, tendrán efecto suspensivo para la aplicación de multas.

XI. DISPOSICIONES FINALES

Artículo 86. Disposiciones finales

La presente Ley entrará en vigencia luego de transcurridos 12 (doce) meses de su publicación oficial.

Artículo 87. Reglamentación

El Poder Ejecutivo reglamentará la presente Ley en un plazo máximo de 90 (noventa) días desde su publicación oficial.

Artículo 88. Comuníquese al Poder Ejecutivo

09May/21

Proyecto de Ley. Reforma integral a la Ley de Protección de la Personal frente al Tratamiento de su Datos Personales, 12 febrero 2021

Proyecto de Ley. Reforma integral a la Ley de Protección de la Personal frente al Tratamiento de su Datos Personales. Expediente nº 22.388. (Diario Oficial La Gaceta, año CXLLL, nº 30 (alcance 33 a la Gaceta 30), San José, Costa Rica, viernes 12 de febrero de 2021).

ASAMBLEA LEGISLATIVA. PROYECTO DE LEY COSTA RICA

REFORMA INTEGRAL A LA LEY DE PROTECCIÓN DE LA PERSONA FRENTE AL TRATAMIENTO DE SUS DATOS PERSONALES. Expediente n° 22.388

La “Era de los Datos” plantea un gran reto para los Derechos Humanos así como para los Congresos del mundo entero. La llegada de diversas innovaciones tecnológicas en el análisis, recopilación y procesamiento de datos, así como varias coyunturas globales de reciente data, han puesto en relieve la necesidad de crear marcos normativos mucho más robustos en lo que se refiere al tratamiento de datos personales.

En 2016, Dominic Cummings, director de la campaña Leave EU -a favor de la salida de Reino Unido de la Unión Europea-, presentó al hoy Primer Ministro británico, Boris Johnson, una novedosa estrategia para ganar el referéndum conocido como Brexit. La estrategia consistía en usar los datos personales que los votantes entregan en sus redes sociales para crear perfiles psicosociales, y con ellos definir mensajes personalizados que permitieran inducir el voto.

Esa propuesta llegó al director de campaña de manos de la empresa AggregateIQ, aliada de la mundialmente conocida Cambridge Analytica (CA). Como se demostró en el Parlamento Británico posteriormente, CA participó en la campaña, y aportó los datos de los votantes y el software que generó los perfiles y la campaña personalizada. Por medio de los perfiles psicosociales, se dividió a los votantes en descartables, seguros, y potenciales. Para este último grupo, se trabajaron mensajes altamente personalizados basados en sus preocupaciones, en gran medida noticias falsas que alimentaban sus temores y desinformación.

Ese software también permitió identificar a aquellas personas desinteresadas en la política: quienes desde hace mucho tiempo no votaban o nunca habían votado en ningún proceso. Miles de estos votantes se encontraban en poblados alejados de los grandes centros de población, habiendo sido excluidos del proceso democrático, y también desplazados por los procesos de gentrificación (Harvey, 2013). Dicho grupo recibió por primera vez en mucho tiempo la visita de políticos que prometían empleo, seguridad social y vivienda… si el Reino Unido abandonaba la Unión Europea. Ese nivel de precisión -incluso fuera de las redes sociales- permiten las campañas de microtargeting basadas en datos personales.

Cambridge Analytica estuvo en el centro del escándalo desde marzo de 2018, cuando los diarios The Guardian, The New York Times y The Observer, revelaron que la consultora política accedió a los datos personales de 50 millones de usuarios de Facebook sin su autorización, y que fueron usados por la campaña del expresidente de los Estados Unidos, Donald Trump, con una estrategia digital prácticamente idéntica a la ejecutada en el Brexit (Graham y Cadwalladr, 2019). En este caso el énfasis también estuvo en la política migratoria y en divulgar noticias falsas sobre la candidata demócrata, Hillary Clinton.

La revelación la hizo uno de los creadores del sistema, Christopher Wylie, quien relató que los datos surgieron de un test de personalidad desarrollado por el profesor de la Universidad de Cambridge, Aleksandr Kogan, que, como muchas aplicaciones, requería a los usuarios iniciar sesión en Facebook y otorgar algunos permisos de acceso. 270 mil personas hicieron el test, sin saber que al hacerlo estaban autorizando a la aplicación recopilar toda su información y la de todos sus amigos de la red social, sumando alrededor de 87 millones de personas. Tampoco sabían que esa información iba a ser vendida a CA por 800 mil dólares.

El ex empleado de CA también reveló que Facebook supo lo que estaba pasando con los datos de sus usuarios muchos meses antes de que fuera divulgado por los medios de comunicación. Fue hasta después del escándalo, y de que las acciones de la red social tuvieran una millonaria caída, que su fundador y CEO, Mark Zuckerberg, reconoció públicamente los fallos en la seguridad (BBC Mundo, 2018).

Después de diversas investigaciones, Cambridge Analytica cerró, mientras Facebook siguió en el foco de atención por sus problemas de seguridad y el uso de los datos de sus usuarios. Tiempo después, la Comisión Federal de Comercio de Estados Unidos ordenó a la red social a pagar US$5.000 millones como sanción por las malas prácticas en el manejo de la seguridad de los datos de los usuarios. En Reino Unido, la red social fue condenada a pagar una multa de 500.000 libras (US $600.000) ante la Oficina del Comisionado de Información del Reino Unido por el mismo caso. La Resolución del Parlamento Europeo contra Facebook, del 25 de octubre de 2018, confirmó que se utilizaron datos personales de forma irregular por parte de Cambridge Analytica, dentro de los que se encontraban los datos de 2,7 millones de ciudadanos de la Unión.

Una visión de derechos humanos y centrada en las personas

Toda esta coyuntura profundizó las discusiones relacionadas al uso de los datos en el ámbito político-democrático, así como a los cambios que debían realizarse en las legislaciones del mundo. Como es evidente, las redes sociales están en el centro de tales debates.

Ciertamente, cada vez cobra más relevancia este tema entre una mayoría de la población; prueba de ello es la reciente migración masiva de la red de mensajería WhatsApp hacia otros servicios como Signal o Telegram (en el caso de Telegram, llegando a reportar 8 millones de personas usuarias nuevas por día a mediados de enero), debido a cambios en los términos y las condiciones de uso de WhatsApp, vinculados a cómo se usarían los datos y metadatos de sus usuarios (Sanz, 2021).

A pesar de esa creciente conciencia, coyunturas como las de Cambridge Analytica dejan claro que las empresas que lucran con los datos se aprovecharon de varios elementos claves: que las personas usuarias con su “permiso”, daban acceso a casi la totalidad de los datos colocados en sus perfiles así como a datos sobre su uso e interacción; que tales permisos acarreaban una falta de control sobre sus datos (una especie de “no retorno”) y que esencialmente las personas utilizan dichas redes para generar reacciones (likes) exponiendo su vida personal, y compartiendo información que provoque autosatisfacción, lo que permite conocer con gran precisión el perfil psicológico de esas personas de forma masiva.

“El acto de compartir noticias e información en redes sociales tiene que ver con la emoción que nos genera el contenido y que queremos socializar con el resto de las personas. Así, nos damos cuenta de que las redes sociales más que ser espacios de aislamiento social, son todo lo contrario: una proyección de nosotros mismos y un lugar donde queremos compartir no solo información, sino también emociones” (Valenzuela y Arriagada, 2016).

Este es precisamente el gran valor que hay en los datos personales en redes sociales: al haber tantísima información, tienen el potencial de identificar muy precisamente las necesidades, los miedos, los intereses de las personas y de incluso predecir los comportamientos, no solo en aspectos eminentemente comerciales o de consumo, sino en términos políticos. “La psicopolítica digital es capaz de llegar a procesos psíquicos de manera prospectiva. Es quizá mucho más rápida que la voluntad libre. Puede adelantarla. La capacidad de prospección de la psicopolítica digital significaría el fin de la libertad” (Hans y Bergés, 2014).

En este sentido, el abordaje de este gran reto debe hacerse desde el enfoque de los derechos humanos y debe comprender el valor que tiene para la robustez de las sociedades democráticas. Los marcos normativos deben tener como prioridad y centro a la persona, de forma que se garantice su autonomía y su autodeterminación alrededor de cómo se usa la información y la data que genera su vida, su interacción social, su interacción digital.

Estos marcos deben estar centrados en el usuario y enfocarse en amparar y fortalecer los derechos, al tiempo que proporcionen reglas claras y predecibles para que las cumplan las entidades públicas y privadas.” (AccessNow, 2018) Es decir, si bien los casos de mayor conocimiento público global -como los descritos arriba- han estado relacionados a empresas del sector privado, al enfocar la discusión sobre la actualización de la normativa desde las personas, les protege también ante los Estados y las instituciones públicas, evitando así usos abusivos de la información y brindando un marco de garantías más firme para la defensa de sus derechos.

“Asimismo, y como se ha podido observar a partir de los escándalos recientes que involucran a empresas del sector privado intensivas en el uso de datos, es necesario evitar que, sin contar con la experiencia necesaria, los gobiernos caigan en la tentación de desarrollar sistemas que utilicen los datos de los ciudadanos sin que incorporen paralelamente un enfoque ético y responsable desde su diseño que asegure cuestiones básicas como la privacidad o el consentimiento. Lo que aquí está en juego no es otra cosa que sentar las bases para un nuevo contrato social que permita una utilización masiva y responsable de los datos por parte de las entidades gubernamentales para proporcionar mejores servicios sociales, al tiempo que se mantiene la confianza de los ciudadanos en que los gobiernos gestionen sus datos de manera responsable.” (BID, 2019)

Datos sin protección: el reto de actualizar la normativa

Si bien ya en la década de los noventa muchos países del mundo contaban con leyes para la protección de los datos personales de sus ciudadanos, esas normativas no contemplaron un contexto como el descrito anteriormente: la era del Big Data y el desarrollo de tecnologías que tienden a que las personas pierdan el control y algunas veces hasta prácticamente la propiedad, sobre sus datos.

Costa Rica, en definitiva, no escapa a este panorama. El país cuenta con una Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales aprobada en 2011 -cuya discusión legislativa se remonta a inicios de los 2000-, que establece regulaciones para el manejo y procesamiento de datos sensibles en las bases de instituciones públicas y empresas, y que fue considerada de avanzada al momento de su creación. Sin embargo, carece de varios conceptos actuales, lo que le da un alcance relativamente limitado para tutelar correctamente los derechos de la ciudadanía en la era de la información y las nuevas tecnologías de recolección y procesamiento de datos.

El informe “Cyber Troops Country Profile: Costa Rica”, de Simone Bunse (2021), ha dejado ver que si bien en la actualidad las tácticas digitales para esparcir desinformación y propaganda electoral carecen de alta sofisticación, el uso de redes sociales con estos fines se acrecienta, ya se ha probado la contratación y el uso de servicios en el extranjero con estos fines, y es probable que su uso pueda acrecentarse y normalizarse en un futuro no muy lejano.

Por otro lado, también existen falencias y debilidades a nivel institucional -varias de ellas originadas en la ley- que no han permitido a la Autoridad Nacional de Protección de datos, la Prodhab, para hacer cumplir la ley actual y por tanto también deben subsanarse.

El Reglamento General de Protección de Datos de la Unión Europea: un referente global

El derecho a la protección de los datos personales está relacionado con el derecho a la privacidad, pero sus alcances son distintos. Más de 160 países consagran el derecho a la privacidad en sus constituciones, pero el entendimiento de lo que implica varía de un país a otro. Los estados miembros de la Unión Europea representan una excepción en este sentido, ya que reconocieron la protección de datos como un derecho fundamental en la Carta de 2001 de la UE.

La normativa que ha desarrollado la Unión Europea en materia de protección de datos ha servido de referente en para el resto del mundo, aunque ciertamente desde su aprobación también se han encontrado diversas oportunidades de mejora. En 2016, entró en vigor el Reglamento General de Protección de Datos (RGPD) y fue de aplicación en 2018. Una de sus virtudes fue el desarrollo de principios claros bajo los cuales debe realizarse cualquier tratamiento de datos personales, comprendiendo así que más allá de la tecnología utilizada o los términos en que se acordó el tratamiento de los datos en particular, los fundamentos desde los que se realiza dicho tratamiento deberían ser siempre la mismos.

Principio                                                             Resumen

Limitación del fin                            El tratamiento debe estar limitado a los fines legítimos para los cuales los datos personales fueron recogidos originalmente.

Minimización de datos                   Al momento de recoger datos, sólo se pueden solicitar los datos personales absolutamente necesarios para el fin legítimo acordado con la persona titular.

Exactitud                                         Los datos personales de los interesados deben ser siempre precisos y estar actualizados.

Integridad y confidencialidad       Los datos personales deben ser tratados de forma que se garantice la seguridad apropiada, incluyendo protección contra el tratamiento no autorizado o ilegal.

Limitación del almacenamiento   Los datos solo deben ser conservados mientras sea necesario. Es decir, deben de ser eliminados una vez se haya cumplido el fin legítimo para se recogieron.

Lealtad y transparencia               Las empresas no deben realizar tratamientos que no sean legítimos, es decir, deben ser leales hacia las personas titulares con respecto a la ley. Además, las empresas deben ser transparentes con respecto al tratamiento, e informar a la persona interesada de manera abierta y transparente.

Cuadro 1. Principios para el tratamiento de datos personales en el RGPD. Basado en el RGPD de la Unión Europea y Bhatia, P. (2018).

Asimismo, otro de los desarrollos conceptualmente interesantes del RGPD fueron las categorías de derechos, los cuales se plantearon bajo el mismo paradigma de procurar que, más allá de una tecnología o tipo de uso concreto, las personas usuarias puedan ejercer esos derechos en toda circunstancia, de manera que, además de ser derechos vinculantes para todo tratamiento de datos personales, deben ser de acceso gratuito y de aplicación permanente.

Derecho                                                              Resumen

Derecho de acceso                       Habilita a los usuarios a obtener confirmación de los servicios y compañías con respecto a la posible recopilación y procesamiento de sus datos personales. Los usuarios deben tener acceso a los datos y el propósito del procesamiento.

Derecho de oposición                 Permite a los usuarios a rehusarse al procesamiento de su información personal cuando no hayan prestado su consentimiento o no hayan firmado un contrato.

Derecho de supresión                 Permite que los usuarios soliciten la eliminación de todos sus datos personales cuando dejan un servicio o aplicación.

Derecho de rectificación             Permite que los usuarios soliciten la modificación de información errónea.

Derecho a la información            Garantiza que los usuarios reciban información clara y entendible por parte de las entidades que procesan sus datos, ya sea que estas entidades los recopilaron de manera directa o a través de terceros. Toda la información provista al usuario debe ser concisa, comprensible, y de fácil acceso.

Derecho a la explicación             Motiva a los usuarios a obtener información sobre el tratamiento de datos personales automatizado y sus consecuencias. Este derecho es esencial para conocer el uso de algoritmos que tienen un impacto en la vida de los usuarios.

Derecho a la portabilidad            Permite que los usuarios movilicen datos personales que han compartido de una plataforma a otra que ofrezca servicios similares.

Cuadro 2. Derechos para el tratamiento de datos personales en el RGPD. Basado en el RGPD de la Unión Europea.

La lista, que no es exhaustiva, permite ver las diversas dimensiones en que debe tutelarse la autodeterminación informativa de la ciudadanía y, además que estamos ante un ámbito que requiere de mucha precisión y visión al confeccionar normativa, al tratarse de conceptos jurídicos que aplican a situaciones altamente cambiantes, con muchas posibles vulnerabilidades para la integridad de las personas.

Legislación consultada sobre protección de datos personales

Como parte de la construcción de esta propuesta, se analizaron diferentes legislaciones, junto al RGPD, para incorporar otros aspectos en que había oportunidades de mejora. Entre las legislaciones consultadas están las siguientes:

Jurisdicción                       Nombre de la norma                                                                    Año                  

Argentina                           Proyecto de Ley de Protección de Datos  Personales                 Presentación: 2017

Brasil                                 Ley General de Protección de Datos Personales (LGPD)           Aprobación: 2018 Vigencia: 2020

Canadá                              Proyecto de Reforma a la Ley de Privacidad (Privacy Act)           Presentación: 2020

Nueva Zelanda                  Privacy Act                                                                         Vigencia: 2020

Ecuador                             Proyecto de Ley Orgánica de Protección de Datos                       Presentación: 2019

Estado de California,

Estados Unidos                 Ley de Privacidad para el Consumidor del Estado de California    Vigencia: 2018

Estado de California,

Estados Unidos                 Ley de Derechos de Privacidad

del Estado de California                                                               Vigencia: 2020

Unión Europea

(Parlamento y Consejo

Europeo)                            Reglamento General de Protección de Datos      Aprobación: 2016 Vigencia: 2018

Protección de Datos en América Latina

En cuanto a la legislación consultada en América Latina, conviene destacar, una legislación de reciente aprobación, la Ley General de Protección de Datos Personales de Brasil (LGPD), que entró en vigor en 2020, después de su aprobación en 2018 y dos años de vacancia. Si bien en términos de los principios y derechos que se explicaron, así como sus sanciones, usa un marco similar al RGPD, se encuentran algunas diferencias que son interesantes de destacar:

– Incorporó medidas mucho más restrictivas para el tratamiento de datos de personas menores de edad, en particular para la obtención del consentimiento informado. La edad debajo de la cual aplican estas restricciones son los 18 años (en el RGPD, esto es hasta los 16) y la información que recibe la persona titular tiene requisitos más específicos sobre su claridad, explicación del tratamiento, e inclusive el formato.

– Las sanciones a empresas fueron relativizadas al contexto brasileño, reduciendo los porcentajes a 2% de la facturación, mientras que en el RGPD este porcentaje llega hasta a 8% en algunos casos.

– En el tema de notificación de brechas de seguridad, la LGPD tiene plazos de notificación menos severos y específicos que el RGPD.

– En el tema de transferencia transfronteriza de datos, disminuyó las excepciones con las que cuenta el RGPD para validar la transferencia de un tercer país a la jurisdicción brasileña, dando como resultado un marco más estricto.

Este marco jurídico de protección de datos personales se considera uno de los más de avanzada en la región, siendo que cumple con los estándares más innovadores e incorpora temas novedosos, como el marco de protección de derechos de personas menores de edad y se adapta a la realidad jurídica e institucional brasileña.

Sin haber conseguido su aprobación aún, existen otros esfuerzos en América Latina orientados a actualizar las normas a estándares más innovadores de protección de datos personales. Uno de ellos es el proyecto de ley de protección de datos en Argentina, que, a grandes rasgos, utiliza la base de principios (en su capítulo 2) y derechos (en su capítulo 3) del RGPD de la UE. La iniciativa presentaba puntos de discusión álgidos como las excepciones al consentimiento por motivaciones de “seguridad nacional” muy abiertas o justificaciones difusas para evitar notificar a las personas usuarias sobre el tratamiento de sus datos, así como la poca independencia que tendría la autoridad de control de protección de datos personales (Pisanu, 2018), sin embargo, se ha procurado corregirlas en versiones recientes del proyecto de Ley.

Otro proyecto que resulta de interés mencionar es el Proyecto de Ley de Orgánica de Protección de datos personales del Ecuador, que tiene como fin adecuar sus normas a los estándares europeos, motivados también por aspectos de comercio internacional, siendo que dicho país actualmente no cuenta con un marco regulatorio específico para la Protección de Datos Personales: “al no tener normativa amparada por un ente controlador especializado en la materia, no le es posible al país ofrecer un nivel adecuado de protección, lo que desalienta el comercio y genera que se prefieran destinos como Colombia, Perú y los demás países suscriptores del acuerdo, que sí cuentan con Ley de Protección de Datos Personales”.

La orientación hacia la persona usuaria del proyecto de ley se puede observar en los principios que rigen el tratamiento (Capítulo II), los derechos que le asisten a las personas titulares de los datos (Capítulo III) y la especificidad de las normas de garantías para la seguridad y el tratamiento de los datos, así como las exigencias de responsabilidad proactiva que exigiría a las empresas y entidades que realicen algún tipo de tratamiento de datos personales.

Estas son legislaciones e iniciativas de la región que buscan ubicarse a la vanguardia de los estándares de protección de datos a nivel global, partiendo de los principios y derechos protegidos por la normativa europea, pero adaptándola a los contextos latinoamericanos y solventando oportunidades de mejora detectadas en el propio RGPD. Es en esta línea que se ha trabajado la presente propuesta legislativa.

La ley 8968: ¿cuáles son sus áreas de mejora?

Como se ha señalado, la Ley de Protección de Datos Personales que esta propuesta pretende remozar fue una legislación de avanzada en el momento de su aprobación, en 2011. Sin embargo, las primeras discusiones legislativas (que dan base a dicha legislación) datan de 2003. Esto, sumado al vertiginoso cambio tecnológico alrededor del tratamiento de datos personales -el cual hemos buscado sintetizar a lo largo de esta exposición de motivos-, definitivamente ha modificado las bases sobre las cuales una legislación robusta debería estar asentada.

Partiendo del contexto descrito, los referentes que se han analizado y la realidad institucional y nacional sobre protección de datos personales, se recogen a continuación los principales aspectos en los que se considera que la legislación costarricense tiene oportunidades de mejora.

1) Actualización de conceptos base utilizados en la legislación. Las nociones básicas a las cuales hace referencia la Ley vigente han sido superados en muchos casos. En algunas ocasiones, esto implicaría remozar conceptos ya empleados; en otras, añadir concepciones inexistentes en la legislación. Buenos ejemplos de esto son conceptos como “datos biométricos”, “datos genéticos” o “seudonimización”.

2) Desarrollo de los principios que rigen el tratamiento de datos personales, así como de los derechos que le asisten a las personas titulares. Teniendo como referente el RGPD de la Unión Europea, es evidente que los principios explicitados en la Ley nº 8968 son limitados y no generan un marco robusto para el tratamiento de datos en el país. Principios como la lealtad, la transparencia, la minimización de datos o la finalidad o conservación limitada son ejemplos de ello. Asimismo, los derechos que le asisten a la persona tienen múltiples áreas de mejora, en casos como el derecho de oposición, limitación del tratamiento, supresión, o la portabilidad.

3) Limitación tajante de las excepciones a la autodeterminación informativa de la persona interesada, y clarificación de las excepciones al consentimiento informado. Una de las áreas más relevantes de mejorar. Las excepciones a la autodeterminación informativa en la Ley vigente son excesivamente amplias y riesgosas para la ciudadanía, pues abren muchísimas posibilidades de disminuir la totalidad de garantías (y no solo el consentimiento informado) establecidas en la Ley, lo cual es urgente de limitar únicamente a casos determinados por Ley o por vía judicial. Por otro lado, las excepciones al consentimiento informado de la persona interesada, deben ser clarificados y establecidos de manera específica, cerrando el lugar a interpretación en la normativa.

4) Fortalecimiento institucional de la Autoridad Nacional, la Prodhab. Este fortalecimiento va en dos sentidos:

a) Dotar de independencia de criterio al órgano, mediante su traslado a un ámbito de la administración pública menos sujeta a determinaciones políticas coyunturales y

b) Robustecer presupuestariamente a la Prodhab a través de nuevos mecanismos de ingreso y una mayor flexibilidad en el uso de los recursos recaudados por cánones y multas.

5) Fortalecimiento de las garantías para la seguridad y la confidencialidad.

Implementar nuevas y mejores medidas preventivas, especialmente para tratamientos de datos de mayor riesgo. Entre los mecanismos que se podrían utilizar están robustecer los protocolos de actuación, los estudios de impacto o el requerimiento de una persona delegada de datos.

6) Fortalecimiento del esquema de sanciones. Actualización del esquema de sanciones de manera que esté acorde con la realidad económica del mercado de datos en la actualidad, bajo la premisa de que no sea más “rentable” para un ente responsable de tratamiento de datos, pagar multas que cumplir la ley.

7) Desarrollo de bases claras para la transferencia transfronteriza de datos. Establecer reglas nuevas bajo las cuales la Autoridad Nacional pueda determinar cuando es posible y válido realizar una transferencia de datos a otra jurisdicción, resguardando la integridad de los datos de las personas titulares de los mismos.

Respondiendo a las consideraciones de fortalecimiento de la Ley nº 8968, Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales arriba detalladas y con base en las consideraciones previamente expuestas, sometemos a su consideración la presente iniciativa de ley.

Bibliografía

AccessNow.org. (2018). La Creación de un Marco para la Protección de Datos: una guía para los Legisladores sobre qué hacer y qué no. https://www.accessnow.org/cms/assets/uploads/2018/04/manual-de-proteccion-de-datos.pdf

BBC Mundo. (2018, 21 marzo). Cambridge Analytica: Mark Zuckerberg reconoce que Facebook cometió errores en medio del peor escándalo que ha enfrentado la red social. de https://www.bbc.com/mundo/noticias-43484188

Bunse, S. (2021) Global Cyber Troops Country Profile: Costa Rica. LEAD University& Georgetown University. https://comprop.oii.ox.ac.uk/wp-content/uploads/sites/127/2021/01/Cyber-Troop-Costa-Rica-2020.pdf

Banco Interamericano de Desarrollo, BID. (2019). LA GESTIÓN ÉTICA DE LOS DATOS: Por qué importa y cómo hacer un uso justo de los datos en un mundo digital. https://publications.iadb.org/publications/spanish/document/La_Gesti%C3%B3n_%C3%89tica_de_los_Datos.pdf

Hans, B. C., & Bergés, A. (2014). Psicopolítica: neoliberalismo y nuevas técnicas de poder. Barcelona, España: Herder.

Harvey, D. (2013). Ciudades rebeldes. Tres Cantos: Akal.Graham-Harrison, E., & Cadwalladr, C. (2019, 21 junio). Revealed: 50 million Facebook profiles harvested for Cambridge Analytica in major data breach. https://www.theguardian.com/news/2018/mar/17/cambridge-analytica-facebook-influence-us-election

Presidência da República, Brasil. (2019). Lei Geral de Proteção de Dados Pessoais (LGPD). https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm

Valenzuela, S. & Arriagada, A. (2016). Viralizando la emoción y por qué la compartimos online. En A. Arriagada (ed.). El mundo en mi mano: La revolución de los datos móviles. Santiago: Fundación País Digital.

LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA

DECRETA:

REFORMA INTEGRAL A LA LEY DE PROTECCIÓN DE LA PERSONA FRENTE AL TRATAMIENTO DE SUS DATOS PERSONALES

ARTÍCULO ÚNICO- Se reforma integralmente la Ley n° 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales del 5 de setiembre de 2011, que en lo sucesivo dirá:

“LEY DE PROTECCIÓN DE LA PERSONA FRENTE AL TRATAMIENTO DE SUS DATOS PERSONALES

CAPÍTULO I. DISPOSICIONES GENERALES

SECCIÓN ÚNICA

ARTÍCULO 1.- Objetivo y fin

Esta ley es de orden público y tiene como objetivo garantizar a cualquier persona, independientemente de su nacionalidad, residencia o domicilio, el respeto a su derecho a la autodeterminación informativa en relación con su vida o actividad privada y demás derechos de la personalidad, así como la defensa de su autonomía personal con respecto al tratamiento automatizado o manual de los datos correspondientes a su persona.

ARTÍCULO 2.- Ámbito de aplicación material

Esta ley será de aplicación al tratamiento de los datos personales, incluyendo la recopilación, el uso, la retención y análisis, por organismos públicos o privados.

El régimen de protección de los datos de carácter personal que se establece en esta ley no será de aplicación a las bases de datos mantenidas por personas físicas, siempre y cuando estas sean utilizadas con fines exclusivamente personales o domésticos y no sean vendidas o de cualquier otra manera comercializadas, incluyendo fines de prospección.

ARTÍCULO 3.- Ámbito de aplicación territorial

Esta ley se aplica en cualquiera de las siguientes circunstancias:

a) Cuando haya tratamiento de datos personales recopilados en territorio costarricense en el contexto de las actividades propias del responsable de la base de datos, independientemente de que dicho tratamiento tenga lugar en Costa Rica o no.

b) Cuando haya tratamiento de datos de personas que residan en la República de Costa Rica por parte de un responsable no establecido en el territorio costarricense, independientemente de si a las personas interesadas se les requiere su pago o no.

ARTÍCULO 4.- Definiciones

Para los efectos de la presente ley se define lo siguiente:

a) Base de datos: cualquier clase de fichero, que sea objeto de tratamiento o procesamiento, automatizado o manuales, cualquiera que sea la modalidad de su elaboración, organización o acceso.

b) Datos personales: toda información sobre una persona física identificada o identificable; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

c) Datos genéticos: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona.

d) Datos biométricos: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.

e) Datos relativos a la salud: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;

f) Fuentes de acceso público: Bases de datos que pueden ser consultadas por cualquier persona física o jurídica, pública o privada, nacional o internacional cuyo acceso no se encuentre limitado por la normativa vigente o disposición de la Autoridad de Protección de Datos Personales

g) Datos sensibles: Datos relativos a etnia, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, identidad de género, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos humanos o la dignidad e integridad de las personas. Los metadatos que identifiquen o hagan identificable a un ser humano, también formarán parte de este concepto, en la medida en que puedan dar origen a discriminaciones o vulneraciones de derechos humanos, y estarán definidos vía reglamentaria. Igualmente, por vía reglamentaria, la Autoridad de Protección de Datos Personales podrá determinar otras categorías de datos sensibles que no estén expresamente enumeradas en el listado de este inciso.

h) Datos de acceso restringido: todos los datos personales privados que no se consideren sensibles. Son de interés únicamente para su titular o para la Administración Pública. No son de acceso irrestricto independientemente de si forman o no parte de fuentes de acceso público o se encuentran en bases de datos de la Administración Pública.

i) Datos de acceso irrestricto: datos de acceso general, contenidos en bases de datos públicas, según dispongan leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados.

j) Deber de confidencialidad: obligación de los responsables del tratamiento de datos, personal a su cargo y del personal de la Agencia de Protección de Datos de los Habitantes (Prodhab), de guardar la confidencialidad con ocasión del ejercicio de las facultades dadas por esta ley, principalmente cuando se acceda a información sobre datos personales y sensibles. Esta obligación perdurará aún después de finalizada la relación con la base de datos.

k) Encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;

l) Fichero: todo conjunto estructurado de datos personales, manual o automatizado, accesible con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

m) Persona interesada: persona física titular de los datos que sean objeto del tratamiento, total o parcialmente automatizado o manual.

n) Responsable: persona física o jurídica, sea pública o privada, que administre, gerencie o se encargue de una base de datos, quién es competente para señalar, con arreglo a la ley, cuál es la finalidad de la base de datos, cuáles categorías de datos de carácter personal deberán registrarse y qué tipo de tratamiento se les aplicarán.

o) Seudonimización: Tratamiento de datos personales de manera tal que ya no puedan atribuirse a la persona interesada sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.

p) Tratamiento o procesamiento de datos personales: cualquier operación o conjunto de operaciones, efectuadas mediante procedimientos total o parcialmente automatizados o manuales y aplicadas a datos personales, tales como la recolección, el registro, la organización, la conservación, la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a estos, el cotejo o la interconexión, así como su bloqueo, supresión o destrucción, entre otros.

q) Grupo de interés económico: agrupación de sociedades que se manifiesta mediante una unidad de decisión, es decir, la reunión de todos los elementos de mando o dirección empresarial por medio de un centro de operaciones, y se exterioriza mediante dos movimientos básicos: el criterio de unidad de dirección, ya sea por subordinación o por colaboración entre empresas, o el criterio de dependencia económica de las sociedades que se agrupan, sin importar que la personalidad jurídica de las sociedades se vea afectada, o que su patrimonio sea objeto de transferencia, independientemente de su domicilio y razón social. Cuando la PRODHAB lo requiera la condición de grupo de interés económico podrá ser demostrada por medio de una declaración jurada protocolizada o documento legal equivalente de la jurisdicción del titular de la base de datos sin perjuicio de las facultades de investigación de la PRODHAB.

CAPÍTULO II. PRINCIPIOS Y DERECHOS PARA LA PROTECCIÓN DE DATOS PERSONALES

SECCIÓN I. PRINCIPIOS QUE RIGEN EL TRATAMIENTO DE DATOS PERSONALES

ARTÍCULO 5.- Principio de lealtad y legalidad

Los datos personales deben ser procesados de manera justa y en apego a los límites de esta ley y el marco normativo vigente. Toda información deberá ser procesada con una base jurídica lícita, con un propósito definido, y de una manera justa y transparente. Las personas usuarias deberán ser informadas pertinentemente sobre cómo se recopilarán, usarán o almacenarán sus datos y quién lo hará.

ARTÍCULO 6- Principio de transparencia de la información

El responsable del tratamiento tomará las medidas oportunas para facilitar a la persona interesada todas las informaciones indicadas en esta Ley, así como cualquier comunicación relativa al tratamiento de datos personales, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a la población infantil.

La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite la persona interesada, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.

ARTÍCULO 7.- Principio de finalidad y conservación limitadas

Los datos personales deberán ser recopilados y procesados sólo para fines determinados, explícitos y legítimos. El propósito para el que se procesan dichos datos debe ser explícito y no deberán ser conservados por más tiempo que el necesario para cumplir con ese fin. Los datos no deben ser procesados de una manera que sea incompatible con dicho propósito.

No se considerará incompatible el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando se establezcan las garantías oportunas para salvaguardar los derechos contemplados en esta ley.

ARTÍCULO 8.- Principio de minimización de datos

Los datos personales procesados y recopilados deben limitarse a ser suficientes, pertinentes y no excesivos en relación con el propósito específico y definido previamente.

ARTÍCULO 9.- Principio de calidad de la información

Solo podrán ser recolectados, almacenados o empleados datos de carácter personal para su tratamiento total o parcialmente automatizado o manual, cuando tales datos sean actuales, veraces, exactos y adecuados al fin para el que fueron recolectados. Los usuarios deben tener el derecho a eliminar, rectificar, y corregir su información personal, la cual debe cumplir con las siguientes características:

a) Actualidad: Los datos de carácter personal deberán ser actuales. El responsable de las bases de datos eliminará los datos que hayan dejado de ser pertinentes o necesarios, en razón de la finalidad para la cual fueron recibidos y registrados. En caso de que sea necesaria su conservación, más allá del plazo estipulado, deberán ser desasociados de su titular.

b) Veracidad: Los datos de carácter personal deberán ser veraces. La persona responsable de la base de datos está obligada a modificar o suprimir los datos que falten a la verdad.

c) Exactitud: Los datos de carácter personal deberán ser exactos. La persona responsable de la base de datos tomará las medidas necesarias para que los datos inexactos -del todo o en parte- o incompletos sean suprimidos de la base de datos o sustituidos por los correspondientes datos rectificados, actualizados o complementados, respetando los fines para los que fueron recogidos o tratados.

ARTÍCULO 10.- Principio de integridad y confidencialidad

Los datos personales deben ser procesados de manera que se garantice la seguridad e indemnidad de los mismos, así como la protección contra el tratamiento no autorizado o ilegítimo y contra la pérdida accidental, destrucción o daños de los datos. Para todo ello, se tomarán las medidas técnicas y organizacionales pertinentes que eviten vulnerabilidades en el acceso a dicha información.

ARTÍCULO 11.- Principio de gratuidad

Se establece el principio de gratuidad en el ejercicio de los derechos tutelados por la presente ley, para la persona que posea la titularidad de los datos personales o en el caso de la persona menor de edad, para su representante legal.

SECCIÓN II. DERECHOS DE LA PERSONA ANTE EL TRATAMIENTO DE SUS DATOS PERSONALES

ARTÍCULO 12.- Autodeterminación informativa

Toda persona tiene derecho a la autodeterminación informativa, la cual abarca el conjunto de principios y garantías relativas al legítimo tratamiento de sus datos personales reconocidos en esta ley.

Se reconoce la autodeterminación informativa como un derecho fundamental, con el objeto de controlar el flujo de informaciones y datos concernientes a cada persona, cuya titularidad sobre los datos es exclusiva e irrenunciable. Este derecho es la manifestación de la protección a la intimidad, en el ámbito del tratamiento de datos personales, evitando que se propicien acciones discriminatorias o usos inadecuados de los mismos.

ARTÍCULO 13.- Consentimiento informado

Cuando se soliciten datos de carácter personal, la persona titular de los datos tiene derecho a ser informada de modo expreso, preciso e inequívoco de la posible recopilación y procesamiento de sus datos personales, como mínimo sobre los siguientes aspectos:

a) La existencia de una base de datos personales.

b) Las categorías de datos personales contenidas en la base.

c) Los fines que se persiguen con la recolección de estos datos y la base jurídica del tratamiento.

d) Los destinatarios de la información, así como de quiénes podrán consultarla.

e) El carácter obligatorio o facultativo de sus respuestas a las preguntas que se le formulen durante la recolección de los datos.

f) El tratamiento que se dará a los datos solicitados.

g) Las consecuencias de la negativa a suministrar los datos.

h) La posibilidad de ejercer los derechos que le asisten.

i) La identidad y datos de contacto del responsable de la base de datos.

j) El plazo durante el cual se conservarán los datos personales.

k) El derecho a presentar una reclamación ante las autoridades correspondientes.

l) La existencia o no de decisiones automatizadas, incluida la elaboración de perfiles.

Cuando se utilicen cuestionarios u otros medios para la recolección de datos personales figurarán estas advertencias en forma claramente legible. No obstante, dependiendo del mecanismo utilizado para la recolección del Consentimiento Informado, la Autoridad de Protección de Datos Personales podrá autorizar formas simplificadas respecto de los contenidos de los aspectos señalados, siempre cuando la información quede a disposición del interesado, en el momento que éste haga requerimiento de la misma.

ARTÍCULO 14.- Otorgamiento del consentimiento

Quien recopile datos personales deberá obtener el consentimiento expreso de la persona titular de los datos o de su representante. Este consentimiento deberá constar en forma expresa, ya sea en un medio físico o electrónico. El consentimiento podrá ser revocado en cualquier momento, sin efecto retroactivo.

ARTÍCULO 15.- Excepciones al consentimiento informado

No será necesario el consentimiento expreso:

a) Cuando así lo disponga o habilite una norma de rango constitucional o legal, salvaguardando la integridad de los datos y restringiendo su uso estricto a los fines que persiga dicha norma.

b) Cuando exista orden fundamentada, dictada por autoridad judicial competente.

c) Para la prevención, persecución, investigación, detención y represión de las infracciones penales, o de las infracciones de la deontología en las profesiones.

d) Para el funcionamiento de bases de datos que se utilicen con fines estadísticos, históricos o de investigación científica, o para la adecuada prestación de servicios públicos, siempre que los datos se hayan anonimizado previamente y no exista riesgo de que las personas sean identificadas.

e) Cuando el tratamiento sea necesario para la ejecución de un contrato solicitado por la persona titular. O bien, para la aplicación de un contrato en el que el interesado es parte.

f) Cuando es necesario el tratamiento para proteger intereses vitales de la persona interesada o de otra persona física, si la persona interesada no está capacitada, física o jurídicamente, para dar su consentimiento.

g) Cuando el tratamiento es necesario para el cumplimiento de una finalidad realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.

Se prohíbe en todo caso el acopio de datos sin el consentimiento informado de la persona, o bien, adquiridos por medios fraudulentos, desleales o ilícitos.

ARTICULO 16. – Condiciones aplicables al consentimiento de la persona menor de edad en relación con los servicios de la sociedad de la información

Cuando se apliquen los principios relativos al consentimiento informado en relación con la oferta directa a personas menores de edad de servicios de la sociedad de la información, el tratamiento de los datos personales de una persona menor de edad se considerará lícito cuando tenga como mínimo 15 años. Si es menor de 15 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo autorizó el titular de la patria potestad o tutela sobre el niño o la niña, y solo en la medida en que se dio o autorizó.

El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño o la niña, teniendo en cuenta la tecnología disponible.

ARTÍCULO 17.- Excepciones a la Autodeterminación Informativa

Los derechos y las garantías establecidos en esta ley podrán ser limitados en las siguientes circunstancias:

a) Cuando así lo disponga o habilite una norma de rango constitucional o legal, salvaguardando la integridad de los datos y restringiendo su uso estricto a los fines que persiga dicha norma.

b) Cuando exista orden fundamentada, dictada por autoridad judicial competente.

ARTÍCULO 18.- Derecho de acceso a los datos personales

Las personas usuarias deberán tener derecho de acceso a los datos recopilados, el propósito del procesamiento y a conocer quiénes los procesarán en cualquier momento. La información deberá ser almacenada en forma tal que se garantice plenamente el derecho de acceso por la persona interesada.

La persona responsable del tratamiento de los datos debe facilitar la información que la persona solicite, de manera gratuita, y resolver en el sentido que corresponda en el plazo de cinco días hábiles, contado a partir de la recepción de la solicitud.

Las entidades deben brindar su información de contacto y una dirección de correo electrónico a las personas usuarias para que estas puedan comunicarse con ellos en caso de que existan problemas.

El derecho de acceso a la información personal garantiza las siguientes facultades de la persona interesada:

a) Obtener en intervalos razonables, según se disponga por reglamento, sin demora y a título gratuito, lo siguiente: confirmación o no de la existencia de datos suyos en archivos o bases de datos, el propósito por el que se procesan, destinatarios o personas autorizadas, origen de la recolección de datos, categoría de datos procesados, plazo previsto de conservación, si los datos están siendo utilizados para la toma de decisiones automáticas o si los mismos están siendo transmitidos a terceros países.

b) En caso de que existan datos o información relativa a su persona, estos le deberán ser comunicados y brindados en forma precisa, entendible, de fácil acceso y con lenguaje simple y claro. Además, la persona interesada también podrá saber la finalidad con que fueron recopilados los datos y el uso que se les ha dado, bien hayan sido recopilados de manera directa o a través de terceros. El informe deberá ser completo y exento de codificaciones. Deberá estar acompañado de una aclaración de los términos técnicos que se utilicen.

c) Ser informado por escrito de manera amplia, por medios físicos o electrónicos, sobre la totalidad del registro perteneciente al titular, aun cuando el requerimiento sólo comprenda un aspecto de los datos personales. Este informe en ningún caso podrá revelar datos pertenecientes a terceros, aun cuando se vinculen con la persona interesada, excepto cuando con ellos se pretenda configurar un delito penal.

El ejercicio del derecho al cual se refiere este artículo, en el caso de datos de personas fallecidas, le corresponderá a sus sucesores o herederos.

ARTÍCULO 19.- Derecho a la explicación

Las personas interesadas tienen derecho a una explicación sobre las lógicas y mecanismos empleados, además de los fines y las consecuencias, para el procesamiento automatizado de los datos personales que hayan sido recopilados.

Dentro de esta explicación estará incluido todo algoritmo cuyo diseño o programación pueda tener un impacto en el destino o uso de los datos recopilados, y de ser solicitado será incluido dentro de los reportes requeridos por las personas usuarias sobre el tratamiento de sus datos.

ARTÍCULO 20.- Derecho de oposición

La persona usuaria podrá oponerse al procesamiento de sus datos personales, si no ha mediado su consentimiento para ello, o no lo ha expresado o aceptado por escrito de forma física o digital. En cualquier momento, el titular de los datos personales puede oponerse a la utilización de sus datos para la toma de decisiones automáticas, parcialmente automáticas o fines de mercadotecnia directa, incluido el análisis de perfiles.

Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar, con la excepciones que por efecto de esta ley resulten de aplicación.

ARTÍCULO 21. – Derecho a la limitación del tratamiento

La persona interesada podrá solicitar del responsable la suspensión de todo tratamiento de sus datos personales, reservando los mismos en el estado que se encontraban al momento de surgir los hechos objeto de la solicitud, cuando se cumpla alguna de las siguientes condiciones:

a) La persona interesada impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos.

b) El tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso.

c) El responsable ya no necesita los datos personales para los fines del tratamiento, pero el interesado los necesita para la formulación, el ejercicio o la defensa de reclamaciones.

ARTÍCULO 22.- Derecho de rectificación

La persona interesada tendrá el derecho de obtener la rectificación o actualización de sus datos personales, cuando los datos en poder del responsable del tratamiento estén incompletos, desactualizados o sean inexactos.

Dicha rectificación o actualización puede ser solicitada en cualquier momento por la persona titular de los datos, o por la persona encargada legal en el caso de las personas menores de edad, o las personas sin capacidad volitiva o cognoscitiva.

En el caso de datos de personas fallecidas, les corresponderá este derecho a sus          sucesores o herederos.

ARTÍCULO 23.- Derecho de supresión

La persona interesada tiene derecho a la supresión de sus datos y cualquier información vinculada a su persona al momento en que suspenda el uso de un servicio o aplicación que haya originado la recopilación de los datos. El responsable del tratamiento deberá garantizar la confidencialidad respecto a esa información posterior a la eliminación. Igual derecho tendrá, cuando hayan sido recopilados sin su autorización.

El derecho de supresión no podrá ser ejercido cuando el tratamiento de los datos sea necesario para ejercer el derecho a la libertad de expresión, la libertad de prensa e información, lo cual incluye las expresiones periodísticas, académicas, artísticas o literarias, de archivo o de investigación científica.

Dicha supresión puede ser solicitada por la persona titular de los datos, o por la persona encargada legal en el caso de las personas menores de edad, o sin capacidad volitiva o cognoscitiva. En el caso de datos de personas fallecidas, les corresponderá este derecho a sus sucesores o herederos.

Igualmente, la persona interesada podrá solicitar la supresión de sus datos personales, cuando medie y legalmente proceda, el retiro del consentimiento informado otorgado al efecto del tratamiento.

ARTÍCULO 24.- Derecho a la portabilidad

Las personas titulares de los datos podrán solicitar el traslado de sus datos personales, o parte de ellos, hacia la base de otra empresa, plataforma o ente prestador de servicios cuando sea técnicamente posible, posibilidad que determinará la autoridad competente. Para ello se deberán salvaguardar los principios y derechos reconocidos en esta ley.

ARTÍCULO 25.- Autorización para la transferencia de datos

Los responsables de las bases de datos, públicas o privadas, solo podrán transferir datos contenidos en ellas cuando el titular del derecho haya autorizado expresa y válidamente tal transferencia y se haga sin vulnerar los principios y derechos reconocidos en esta ley.

SECCIÓN III. CATEGORÍAS PARTICULARES DE DATOS PERSONALES

ARTÍCULO 26.- Prohibición del tratamiento de datos sensibles

Queda prohibido el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos, datos relativos a la salud o datos relativos a la vida sexual de una persona física o cualquier otro dato sensible.

ARTÍCULO 27.- Circunstancias de no aplicabilidad de la prohibición de tratamiento de datos sensibles

El artículo anterior no será de aplicación cuando concurra una de las circunstancias siguientes:

a) El interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando en la legislación costarricense se establezca que la prohibición mencionada no puede ser levantada por el interesado;

b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del derecho laboral, de la seguridad social o ayudas sociales, en la medida en que así lo autorice el marco normativo costarricense y establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;

c) El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;

d) El tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;

e) El tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;

f) El tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, en virtud de un contrato con un profesional sanitario;

g) El tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base de la legislación costarricense, que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.

h) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.

ARTÍCULO 28.- Datos personales de acceso restringido

Los datos de acceso restringido son todos aquellos datos personales de índole privado que no sean considerados sensibles. Son susceptibles de ser tratados en los términos que esta ley especifica. Si bien estos datos podrían formar parte de bases datos de la Administración Pública o de fuentes de acceso público, no por ello son considerados de acceso irrestricto, debido a que son de interés únicamente para su titular o para la Administración Pública.

SECCIÓN IV. SEGURIDAD Y CONFIDENCIALIDAD DEL TRATAMIENTO DE LOS DATOS

ARTÍCULO 29.- Seguridad de los datos por diseño y por defecto

La persona responsable de la base de datos deberá adoptar las políticas internas y tomar las medidas de índole técnica y de organización necesarias para garantizar la seguridad de los datos de carácter personal y evitar su alteración, destrucción accidental o ilícita, pérdida, tratamiento o acceso no autorizado, así como cumplir con los principios de esta ley y evitar cualquier acción contraria a la misma.

Dichas políticas y medidas se tomarán desde el diseño y el desarrollo de cualquier aplicación, servicio o producto basado en el tratamiento de datos personales o que tratan datos personales para cumplir su función, y deberán incluir, al menos, los mecanismos de seguridad física y lógica más adecuados de acuerdo con el desarrollo tecnológico actual para garantizar la protección de la información almacenada.

Además, deberán reducir al máximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales, dar transparencia a las funciones y el tratamiento y permitir a los interesados supervisar el tratamiento de datos y al responsable del tratamiento crear y mejorar elementos de seguridad.

No se registrarán datos personales en bases que no reúnan las condiciones que garanticen plenamente su seguridad e integridad, así como la de los centros de tratamiento, equipos, sistemas y programas. Por vía de reglamento se establecerán los requisitos y las condiciones que deban reunir las bases de datos, y de las personas que intervengan en el acopio, almacenamiento y uso de los datos. Estos principios se tendrán en cuenta para el tratamiento de datos tanto a nivel privado como público, sea o no con fines de lucro.

ARTÍCULO 30.- Deber de confidencialidad

La persona responsable y quienes intervengan en cualquier fase del tratamiento de datos personales están obligadas al secreto profesional o funcional, aun después de finalizada su relación con la base de datos. La persona obligada podrá ser relevada del deber de secreto por decisión judicial en lo estrictamente necesario y dentro de la causa que conoce.

ARTÍCULO 31.- Estudios de impacto

Para aquellas operaciones de tratamiento de datos que persiguen tratar una cantidad considerable de datos personales a nivel regional, nacional o supranacional, que podrían afectar a un gran número de interesados o podrían entrañar un alto riesgo, sea por su alcance, por la sensibilidad de los datos a tratar o por la dificultad para los interesados de hacer cumplir sus derechos, deberá realizarse previamente un estudio de impacto del tratamiento de datos por parte de la persona responsable del tratamiento.

El estudio de impacto deberá valorar la probabilidad y alcance de los riesgos, teniendo en cuenta la naturaleza, ámbito, contexto y fines del tratamiento y los orígenes del riesgo. Además debe incluir las medidas, garantías y mecanismos previstos para mitigar dichos riesgos, garantizar la protección de los datos personales y demostrar la conformidad con la presente ley.

Las características específicas de dichos estudios serán determinadas vía reglamento. La Autoridad de Protección de Datos determinará cuáles operaciones de tratamiento de datos requerirán dichos estudios al momento de su registro.

ARTÍCULO 32.- Protocolos de actuación

Las personas físicas y jurídicas, públicas y privadas, que tengan entre sus funciones la recolección, el almacenamiento y el uso de datos personales, deberán emitir un protocolo de actuación en el cual establecerán los pasos que deberán seguir en la recolección, el almacenamiento y el manejo de los datos personales, de conformidad con las reglas previstas en esta ley.

Los protocolos de actuación deberán ser inscritos, así como sus posteriores modificaciones, ante la Prodhab. La Prodhab podrá verificar, en cualquier momento, que la base de datos esté cumpliendo cabalmente con los términos de su protocolo.

La manipulación de datos con base en un protocolo de actuación inscrito ante la Prodhab hará presumir, “iuris tantum”, el cumplimiento de las disposiciones contenidas en esta ley, para los efectos de autorizar la cesión de los datos contenidos en una base.

ARTÍCULO 33.- Vulneración de Datos Personales.

El responsable deberá informar tanto al titular como a la PRODHAB, sobre cualquier irregularidad en el tratamiento o almacenamiento de sus datos, pérdida de los mismos, destrucción, extravío, alteración o similares, como consecuencia de una vulnerabilidad de la seguridad de la cual entrará en conocimiento, para lo cual tendrá cinco días hábiles a partir del momento en que se conoció la vulnerabilidad, a fin de que los titulares de estos datos personales afectados puedan tomar las medidas correspondientes.

La información mínima que deberá proveerse será:

a) La naturaleza del incidente;

b) Los datos personales comprometidos;

c) Las acciones correctivas realizadas de forma inmediata y las que serán tomadas;

d) Los medios o el lugar, donde puede obtener más información al respecto.

ARTÍCULO 34.- Persona Delegada de Protección de Datos

Si la Autoridad de Protección de Datos determina que la operación de tratamiento presenta altos riesgos para la integridad de los datos personales, el responsable del tratamiento deberá designar a una persona delegada de protección de datos.

Dicha persona delegada velará por el cumplimiento legal de la normativa atinente y deberá contar con capacidades y competencias profesionales para responder ante las autoridades. El rol podrá ser asumido por una persona a lo interno de la institución u organización, o por un tercero.

Reglamentariamente se establecerán los requisitos para las personas delegadas, así como los criterios para definir en qué operaciones de tratamiento será necesaria su existencia.

ARTÍCULO 35.- Códigos de conducta

La Agencia de Protección de Datos de los Habitantes, el gobierno central, las instituciones públicas, entes gremiales, asociaciones y empresas privadas, deberán promover la elaboración de códigos de conducta destinados a contribuir a la correcta aplicación de la presente Ley, teniendo en cuenta las características específicas de los distintos sectores de tratamiento y las necesidades específicas de las microempresas, las pequeñas y medianas empresas.

ARTÍCULO 36.- Garantías efectivas

Toda persona interesada tiene derecho a un procedimiento administrativo sencillo y rápido ante la Prodhab, con el fin de ser protegido contra actos que violen sus derechos fundamentales reconocidos por esta ley. Lo anterior sin perjuicio de las garantías jurisdiccionales generales o específicas que la ley establezca para este mismo fin.

CAPÍTULO III. AGENCIA DE PROTECCIÓN DE DATOS DE LOS HABITANTES (PRODHAB)

SECCIÓN I. DISPOSICIONES GENERALES

ARTÍCULO 37.- Agencia de Protección de Datos de los Habitantes (Prodhab)

Se crea la Agencia de Protección de Datos de los Habitantes (PRODHAB), como un órgano adscrito al Poder Legislativo de la República y que desempeñará sus funciones con absoluta independencia funcional, administrativa, técnica, presupuestaria y de criterio. Tendrá personalidad jurídica propia en el desempeño de las funciones que le asigna esta ley.

ARTÍCULO 38.- Atribuciones

Son atribuciones de la Prodhab, además de las otras que le impongan esta u otras normas, las siguientes:

a) Velar por el cumplimiento de la normativa en materia de protección de datos, tanto por parte de personas físicas o jurídicas privadas, como por entes y órganos públicos.

b) Llevar un registro de las bases de datos reguladas por esta ley.

c) Requerir, de quienes administren bases de datos, las informaciones necesarias para el ejercicio de su cargo.

d) Acceder a las bases de datos reguladas por esta ley, a efectos de hacer cumplir efectivamente las normas sobre protección de datos personales.

Esta atribución se aplicará para los casos concretos presentados ante la Agencia y cuando se tenga evidencia de un mal manejo generalizado de la base de datos o sistema de información y, para la realización de investigaciones sobre la aplicación de la presente ley.

e) Resolver sobre los reclamos por infracción a las normas sobre protección de los datos personales.

f) Ordenar, de oficio o a petición de parte, el acceso, rectificación, supresión, explicación, portabilidad, olvido u oposición, en el tratamiento de las informaciones contenidas en los archivos y las bases de datos, cuando éstas contravengan las normas sobre protección de los datos personales.

g) Imponer las sanciones establecidas, en esta ley, a las personas físicas o jurídicas, públicas o privadas, que infrinjan las normas sobre protección de los datos personales, y dar traslado al Ministerio Público de las que puedan configurar delito.

h) Promover y contribuir en la redacción de normativa tendiente a implementar las normas sobre protección de los datos personales.

i) Dictar las directrices necesarias, las cuales deberán ser publicadas en el diario oficial La Gaceta, a efectos de que las instituciones públicas implementen los procedimientos adecuados respecto del manejo de los datos personales, respetando los diversos grados de autonomía administrativa e independencia funcional.

j) Fomentar entre los habitantes el conocimiento de los derechos concernientes al acopio, el almacenamiento, la transferencia y el uso de sus datos personales.

k) Brindar asesoría, capacitación técnica y certificaciones en materia de privacidad, manejo de bases de datos, cumplimiento de estándares de seguridad, entre otros temas relativos a la protección de datos personales y la materia de esta ley, tanto a entes del sector público como el privado, para lo cual quedará habilitada a la venta de servicios, cuyo costo se establecerá mediante un tarifario de publicación y actualización periódica. Los precios de dicho tarifario deberán demostradamente estar acordes con los valores del mercado.

En el ejercicio de sus atribuciones, la Prodhab podrá emplear procedimientos automatizados, de acuerdo con las mejores herramientas tecnológicas a su alcance.

ARTÍCULO 39.- Dirección de la Agencia

La Dirección de la Prodhab estará a cargo de un director o una directora nacional, quien deberá contar, al menos, con el grado académico de licenciatura en una materia afín al objeto de su función, ser de reconocida solvencia profesional y moral, y tener comprobada experiencia y conocimiento en la materia de protección de datos personales.

El término de su nombramiento será por un período de hasta 4 años. En caso de declararse la vacancia, según lo dispuesto en este capítulo, la designación de la persona sustituta no podrá hacerse por un término mayor al que faltare para completar el período respectivo. Podrá ser reelecta por una única ocasión de forma continua.

No podrá ser nombrado director o directora nacional ninguna persona que sea propietaria, accionista, miembro de la junta directiva, gerente, asesora, representante legal o empleada de una empresa dedicada a la recolección, el almacenamiento y/o procesamiento de datos personales. Dicha prohibición persistirá hasta por dos años después de haber cesado sus funciones o vínculo empresarial. Estará igualmente impedido quien sea cónyuge o pariente hasta el tercer grado de consanguinidad o afinidad de una persona que esté en alguno de los supuestos mencionados anteriormente.

ARTÍCULO 40.- Proceso de nombramiento de la Dirección

La persona directora será nombrada por la Asamblea Legislativa. Para dicho nombramiento, la Asamblea anunciará el concurso de forma pública y podrá recibir postulaciones de cualquier persona que cumpla con los requisitos establecidos en esta Ley. La Comisión de Nombramientos definirá un procedimiento para estudiar dichas postulaciones, el cual deberá garantizar el cumplimiento de dichos requisitos, además de determinar mediante calificaciones objetivas la idoneidad y conocimiento de las diferentes personas candidatas. Al concluir dicho procedimiento, recomendará una terna de personas postulantes al Plenario.

El Plenario Legislativa elegirá, mediante votación pública y con mayoría absoluta, a la persona que dirigirá a la Prodhab. El Plenario podrá no apegarse a la recomendación emitida por la Comisión solamente de entre las personas postulantes.

ARTICULO 41.- Juramentación.

La persona directora de la Prodhab debe rendir el juramento previsto en el artículo 194 de la Constitución Política ante el Plenario de la Asamblea antes de iniciar sus labores en el cargo.

ARTICULO 42.- Causas de cesación.

La persona directora de la Prodhab de la República cesará en sus funciones, por cualquiera de las siguientes causales:

a) Renuncia a su cargo.

b) Muerte o incapacidad sobreviniente

c) Negligencia notoria o por violaciones graves al ordenamiento jurídico en el cumplimiento de los deberes de su cargo

d) Incurrimiento en cualquiera de las incompatibilidades previstas en esta Ley

e) Haber sido condenado, en sentencia firme, por delito cometido en forma dolosa.

La Asamblea Legislativa debe declarar vacante el cargo de la Dirección Nacional de la Prodhab, cuando se presente una de las causales previstas en los incisos a), b), d) y e) del presente artículo.

En el caso del inciso c), la Presidencia Legislativa nombrará una Comisión que le dará audiencia a la persona directora e informará a la Asamblea Legislativa, el resultado de la investigación, en el término de quince días hábiles.

ARTÍCULO 43.- Dirección Adjunta

La Asamblea Legislativa nombrará una persona como Director o Directora Adjunta, de una lista de tres candidatos propuestos por la persona Directora Nacional, a más tardar un mes después de su nombramiento. Quien ocupe la Dirección Adjunta deberá reunir los mismos requisitos exigidos para el cargo titular y estará sometido a las mismas prohibiciones y disposiciones que esta ley impone a ese cargo.

La personas elegida en este cargo será colaborador directo del Director Nacional de la PRODHAB; cumplirá las funciones que éste le asigne y lo sustituirá en sus ausencias temporales.

ARTÍCULO 44.- Personal de la Agencia

La Prodhab contará con el personal técnico y administrativo necesario para el buen ejercicio de sus funciones, designado mediante concurso por idoneidad, según el Estatuto de Servicio Civil o bien como se disponga reglamentariamente. El personal está obligado a guardar secreto profesional y deber de confidencialidad de los datos de carácter personal que conozca en el ejercicio de sus funciones.

ARTÍCULO 45.- Prohibiciones para las personas funcionarias

Todas las personas funcionarias de la Prodhab tendrán las siguientes prohibiciones:

a) Prestar servicios a las personas o empresas que se dediquen al acopio, el almacenamiento, o el manejo de datos personales. Dicha prohibición persistirá hasta dos años después de haber cesado sus funciones.

b) Involucrarse, personal e indebidamente, en asuntos conocidos en el marco de las funciones de la Agencia.

c) Revelar o de cualquier forma propalar los datos personales a que ha tenido acceso con ocasión de su cargo. Esta prohibición persistirá indefinidamente aun después de haber cesado en su cargo.

d) En el caso de los funcionarios y las funcionarias nombrados en plazas de profesional, ejercer externamente su profesión. Lo anterior tiene como excepción el ejercicio de la actividad docente en centros de educación superior o la práctica liberal a favor de parientes por consanguinidad o afinidad hasta el tercer grado, siempre que no se esté ante el supuesto del inciso a).

La inobservancia de cualquiera de las anteriores prohibiciones será considerada falta gravísima, para efectos de aplicación del régimen disciplinario, sin perjuicio de las otras formas de responsabilidad que tales conductas pudieran acarrear.

ARTÍCULO 46.- Presupuesto

El presupuesto de la Prodhab estará constituido por lo siguiente:

a) Los cánones, las tasas y los derechos obtenidos en el ejercicio de sus funciones.

b) Las transferencias que el Estado realice a favor de la Agencia.

c) Las donaciones y subvenciones provenientes de otros Estados, instituciones públicas nacionales u organismos internacionales, siempre que no comprometan la independencia, transparencia y autonomía de la Agencia.

d) Lo generado por sus recursos financieros.

e) Lo generado por la venta de servicios de asesoría, capacitación técnica y certificaciones en materia de privacidad, manejo de bases de datos, cumplimiento de estándares de seguridad, entre otros temas relativos a la protección de datos personales y la materia de esta ley.

Los montos provenientes del cobro de las multas señaladas en esta ley serán destinados a gastos de capital de la Prodhab.

La Agencia estará sujeta al cumplimiento de los principios y al régimen de responsabilidad establecidos en los títulos II y X de la Ley n.° 8131, Administración Financiera de la República y Presupuestos Públicos, de 18 de septiembre de 2001.

Además, deberá proporcionar la información requerida por el Ministerio de Hacienda para sus estudios. En lo demás, se exceptúa a la Agencia de los alcances y la aplicación de esa ley. En la fiscalización, la Agencia estará sujeta, únicamente, a las disposiciones de la Contraloría General de la República.

SECCIÓN II. REGISTRO DE ARCHIVOS Y BASES DE DATOS

ARTÍCULO 47.- Registro de archivos y bases de datos

Toda base de datos, pública o privada, debe inscribirse en el registro que al efecto habilite la Prodhab, exceptuando aquellas sin fines comerciales administradas por personas físicas. La inscripción no implica el traspaso o la transferencia de los datos.

La Prodhab definirá, al momento del registro y de acuerdo a la envergadura, características y riesgos del tratamiento de datos que se realizará, si la persona responsable de la base de datos deberá cumplir, y en qué medida, con lo dispuesto en el capítulo II, Sección IV de esta Ley, respecto a Estudios de impacto, Protocolo de Actuación y la Persona Delegada de protección de datos. Los criterios y plazos para dicho cumplimiento se establecerán en lineamientos que al respecto confeccionará y revisará periódicamente la Prodhab.

CAPÍTULO V. PROCEDIMIENTOS

SECCIÓN I. NORMAS DE PROCEDIMIENTO

ARTÍCULO 48.- Legitimación para denunciar

Cualquier persona, grupo de personas u organismos debidamente habilitados para representar personas que ostente un derecho subjetivo o un interés legítimo puede denunciar, ante la Prodhab, que una base de datos pública o privada se encuentra en contravención de las reglas o los principios básicos para la protección de los datos y la autodeterminación informativa establecidas en esta ley.

ARTÍCULO 49.- Trámite de las denuncias

Todo procedimiento ordinario se regirá por el Libro Segundo de la Ley General de la Administración Pública, sin perjuicio de las regulaciones específicas que se puedan establecer vía el reglamento.

En cualquier momento, la Prodhab podrá ordenar a la persona denunciada la presentación de la información necesaria. Asimismo, podrá efectuar inspecciones in situ en sus archivos o bases de datos. Para salvaguardar los derechos de la persona o del grupo de personas interesadas, puede dictar, mediante acto fundado, las medidas cautelares que aseguren el efectivo resultado del procedimiento.

ARTÍCULO 50.- Efectos de la resolución estimatoria

Si se determina que la información del interesado es falsa, incompleta, inexacta, o bien, que de acuerdo con las normas sobre protección de datos personales esta fue indebidamente recolectada, almacenada o difundida, deberá ordenarse su inmediata supresión, rectificación, adición o aclaración, o bien, impedimento respecto de su transferencia o difusión. Si la persona denunciada no cumple íntegramente lo ordenado, estará sujeta a las sanciones previstas en esta y otras leyes.

SECCIÓN II. RÉGIMEN SANCIONATORIO

ARTÍCULO 51.- Procedimiento sancionatorio

De oficio o a instancia de parte, la Prodhab podrá iniciar un procedimiento tendiente a demostrar si un tratamiento de datos personales regulado por esta ley está siendo empleado de conformidad con sus principios; para ello, deberán seguirse los trámites previstos en la Ley General de la Administración Pública para el procedimiento ordinario.

ARTÍCULO 52.- Faltas leves

Las faltas leves, señaladas en este artículo, se sancionarán con multas administrativas de hasta de diez salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República como máximo o, si se trata de una empresa, con una multa equivalente al 2% del volumen de negocio total anual global del ejercicio financiero anterior como máximo, optándose por la multa de mayor cuantía.

Serán consideradas faltas leves, para los efectos de esta ley:

a) Recolectar datos personales para su uso en base de datos sin que se le otorgue suficiente y amplia información a la persona interesada, de conformidad con las especificaciones indicadas en esta ley.

b) Recolectar, almacenar y transmitir datos personales de terceros por medio de mecanismos inseguros o que de alguna forma no garanticen la seguridad e inalterabilidad de los datos.

ARTÍCULO 53.- Faltas graves

Las faltas graves, señaladas en este artículo, se sancionarán con multas administrativas de entre diez y cuarenta salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República o, si se trata de una empresa, con una multa equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior como máximo, optándose por la multa de mayor cuantía.

Serán consideradas faltas graves, para los efectos de esta ley:

a) Recolectar, almacenar, transmitir o de cualquier otra forma emplear datos personales sin el consentimiento informado y expreso del titular de los datos, con arreglo a las disposiciones de esta ley.

b) Transferir datos personales a otras personas o empresas en contravención de las reglas establecidas en el capítulo III de esta ley.

c) Recolectar, almacenar, transmitir o de cualquier otro modo emplear datos personales para una finalidad distinta de la autorizada por el titular de la información.

d) Negarse injustificadamente a dar acceso a un interesado sobre los datos que consten en archivos y bases de datos, a fin de verificar su calidad, recolección, almacenamiento y uso conforme a esta ley.

e) Negarse injustificadamente a eliminar o rectificar los datos de una persona que así lo haya solicitado por medio claro e inequívoco.

Artículo 54. – Faltas gravísimas

Las faltas gravísimas, señaladas en este artículo, se sancionarán con multas administrativas de entre treinta y sesenta salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República o, si se trata de una empresa, con una multa equivalente al 6% del volumen de negocio total anual global del ejercicio financiero anterior como máximo, optándose por la multa de mayor cuantía.

Serán consideradas faltas gravísimas, para los efectos de esta ley:

a) Recolectar, almacenar, transmitir o de cualquier otra forma emplear, por parte de personas físicas o jurídicas privadas, datos sensibles, según la definición prevista en el artículo 3 de esta ley.

b) Obtener, de los titulares o de terceros, datos personales de una persona por medio de engaño, violencia o amenaza.

c) Revelar información registrada en una base de datos personales cuyo secreto esté obligado a guardar conforme la ley.

d) Proporcionar a un tercero información falsa o distinta contenida en un archivo de datos, con conocimiento de ello.

e) Realizar tratamiento de datos personales sin encontrarse debidamente inscrito ante la Prodhab, en el caso de los responsables de bases de datos cubiertos por el artículo 21 de esta ley.

f) Transferir, a las bases de datos de terceros países, información de carácter personal de los costarricenses o de los extranjeros radicados en el país, sin el consentimiento de sus titulares.

Artículo 55.- Criterios para establecer la sanción

Para tomar una determinación sancionatoria, el tipo de sanción y su cuantía, la Prodhab deberá considerar los siguientes criterios, sin perjuicio de valorar las infracciones de manera acumulativa:

a. Naturaleza de la infracción: número de personas afectadas, daños sufridos, duración de la infracción y propósito del procesamiento, infracción leve, grave o gravísima.

b. Intención: si la infracción es intencional o debido a negligencia

c. Mitigación: acciones tomadas para mitigar el daño a las personas interesadas

d. Medidas preventivas: cuánta preparación técnica y organizativa había implementado previamente la empresa para evitar el incumplimiento

e. Reincidencia: Posibles infracciones anteriores, incluido advertencias y multas relacionadas a similares u otras infracciones en área de seguridad digital, privacidad y protección de datos.

f. Cooperación: cuán cooperativa ha sido la empresa con la autoridad supervisora para remediar la infracción.

g. Tipo de datos afectados: qué tipos de datos impactado por la infracción.

h. Notificación: si la infracción fue notificada proactivamente a la autoridad supervisora por la propia empresa o un tercero.

SECCIÓN III. PROCEDIMIENTOS INTERNOS

ARTÍCULO 56.- Régimen sancionatorio para bases de datos públicas

Cuando la persona responsable de una base de datos pública cometa alguna de las faltas anteriores, la Prodhab dictará una resolución estableciendo las medidas que proceda adoptar para que cesen o se corrijan los efectos de la falta. Esta resolución se notificará a la persona responsable de la base de datos, al órgano del que dependa jerárquicamente y a los afectados, si los hay. La resolución podrá dictarse de oficio o a petición de parte. Lo anterior sin perjuicio de la responsabilidad penal en que haya incurrido.

CAPÍTULO VI. CÁNONES

ARTÍCULO 57.- Canon por regulación y administración de bases de datos

Las bases de datos que deban inscribirse ante la Prodhab, de conformidad con el artículo 41 de esta ley, estarán sujetas a un canon de regulación y administración de bases de datos que deberá ser cancelado anualmente, con un monto de trescientos dólares ($300), moneda de curso legal de los Estados Unidos de América, canon que se actualizará anualmente con base en el índice de valuación determinado por el comportamiento de la tasa de inflación (índice de precios al consumidor que calcula la Dirección General de Estadística y Censos).

Podrán eximirse del pago de este canon aquellas bases de datos utilizadas a lo interno de empresas o instituciones públicas, cuando sean utilizadas con fines exclusivamente administrativos y sin fines de comercialización, y así se demuestre ante la Prodhab.

También podrán eximirse de dicho pago las bases de datos utilizadas por organizaciones sin fines de lucro (como fundaciones, sindicatos, asociaciones, organizaciones religiosas, entre otras), cuando demuestren que la finalidad de la base no es de ninguna índole comercial o de lucro.

La exención de este pago no les excluye del cumplimiento de esta ley en todos sus alcances, incluidos los pagos producto de infracciones a la Ley. Quedan a salvo aquellas excepciones que se puedan aplicar puntualmente. El procedimiento para realizar el cobro del presente canon será detallado en el reglamento que a los efectos deberá emitir la Prodhab.

ARTÍCULO 58.- Canon por comercialización de consulta

La persona responsable de la base de datos deberá cancelar a la Prodhab un canon por cada venta de los datos de ficheros definidos en el inciso l) del artículo 4 de esta ley, de personas individualizables registradas legítimamente y siempre que sea comercializado con fines de lucro, el cual oscilará entre los veinticinco centavos de dólar ($0,25) y un dólar ($1), moneda de curso legal de los Estados Unidos de América, monto que podrá ser fijado dentro de dicho rango vía reglamento. En caso de contratos globales de bajo, medio y alto consumo de consultas, o modalidades contractuales de servicio en línea por número de aplicaciones, será el reglamento de la ley el que fije el detalle del cobro del canon que no podrá ser superior al diez por ciento (10%) del precio contractual.

CAPÍTULO VI. TRANSFERENCIA TRANSFRONTERIZA DE DATOS PERSONALES

SECCIÓN ÚNICA. DE LAS TRANSFERENCIAS

ARTÍCULO 59.- Principio general de las transferencias

Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones de la presente Ley, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional.

ARTÍCULO 60.- Transferencias basadas en un procedimiento de adecuación

Podrá realizarse una transferencia de datos personales a un tercer país u                     organización internacional cuando la PRODHAB, haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica.

Al evaluar la adecuación del nivel de protección, la PRODHAB tendrá en cuenta, en particular, los siguientes elementos:

a) El Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente, tanto general como sectorial, incluida la relativa a la seguridad pública, la defensa, la seguridad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos personales, así como la aplicación de dicha legislación, las normas de protección de datos, las normas profesionales y las medidas de seguridad, incluidas las normas sobre transferencias ulteriores de datos personales a otro tercer país u organización internacional observadas en ese país u organización internacional, la jurisprudencia, así como el reconocimiento a los interesados cuyos datos personales estén siendo transferidos de derechos efectivos y exigibles y de recursos administrativos y acciones judiciales que sean efectivos; y,

b) La existencia y el funcionamiento efectivo de una o varias autoridades de control independientes en el tercer país o a las cuales esté sujeta una organización internacional, con la responsabilidad de garantizar y hacer cumplir las normas en materia de protección de datos, incluidos poderes de ejecución adecuados, de asistir y asesorar a los interesados en el ejercicio de sus derechos, y de cooperar con las autoridades de control de la Unión y de los Estados miembros,

ARTÍCULO 61.- Transferencias mediante garantías adecuadas

A falta de una autorización de la PRODHAB, por vía de un Procedimiento de Adecuación, el responsable o el encargado del tratamiento sólo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.

Las garantías adecuadas podrán ser aportadas, por:

a) Un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos;

b) Convenios empresariales suscritos que expresamente reconozcan todos los derechos y obligaciones establecidos en la presente Ley, y se sujeten a la competencia de la Agencia de Protección de Datos de los Habitantes, para la debida protección de los datos personales en todos los alcances previstos por la presente normativa, respecto del tratamiento realizado fuera del ámbito de competencia territorial.

Esta norma aplicará en igual sentido, bajo el concepto de Grupo de Interés Económico, en los términos que establece la presente Ley.

ARTÍCULO 62.- Excepciones para situaciones específicas

En ausencia de una autorización producto de un Procedimiento de Adecuación o de Garantías Adecuadas, incluidas las normas corporativas vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer país u organización internacional únicamente se realizará si se cumple alguna de las condiciones siguientes:

a) El interesado haya dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él de dichas transferencias debido a la ausencia de una decisión de adecuación y de garantías adecuadas;

b) La transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado;

c) La transferencia sea necesaria para la celebración o ejecución de un contrato, en interés del interesado, entre el responsable del tratamiento y otra persona física o jurídica;

d) La transferencia sea necesaria por razones de interés público comprobado consistentemente;

e) La transferencia sea necesaria para la formulación, el ejercicio o la defensa de reclamaciones;

f) La transferencia sea necesaria para proteger los intereses vitales del interesado o de otras personas, cuando el interesado esté física o jurídicamente incapacitado para dar su consentimiento

TRANSITORIOS

TRANSITORIO I.

Las personas físicas o jurídicas, públicas o privadas, propietarias o administradoras de las bases de datos objeto de esta ley, deberán adecuar sus procedimientos, protocolos, contenidos de bases de datos y reglas de actuación a lo estipulado en la presente reforma, en un plazo máximo de un año.

TRANSITORIO II.

El Poder Ejecutivo adecuará el reglamento a la Ley nº 8968 previamente existente de acuerdo a los lineamientos establecidos en la presente reforma, en un plazo máximo de seis meses después de su entrada en vigencia, recogiendo las recomendaciones técnicas y legales que la Prodhab le proporcione.

TRANSITORIO III.-

Por un período de 8 años a partir de la entrada en vigencia de esta Ley, la Asamblea Legislativa dispondrá que se otorgue al menos un 5% de crecimiento anual a las transferencias que realiza el Estado a la Agencia, con el objetivo de fortalecer su labor de fiscalización, de realización de auditorías de oficio y de cobro de multas por infracciones a Ley nº 8968.

Rige a partir de su publicación.

ENRIQUE SÁNCHEZ CARBALLO

CATALINA MONTERO GÓMEZ

WELMER RAMOS GONZÁLEZ

LUIS RAMÓN CARRANZA CASCANTE

PAOLA VIVIANA VEGA RODRÍGUEZ

CAROLINA HIDALGO HERRERA

NIELSEN PÉREZ PÉREZ

LAURA GUIDO PÉREZ

MARIO CASTILLO MÉNDEZ

VICTOR MANUEL MORALES MORA

08May/21

Anteproyecto de la Ley de Protección de Datos Personales de 2017.

Anteproyecto de la Ley de Protección de Datos Personales de 2017.

El Senado y Cámara de Diputados de la Nación Argentina reunidos en Congreso, …

Sancionan con fuerza de Ley

LEY DE PROTECCIÓN DE LOS DATOS PERSONALES

Capítulo 1. Disposiciones generales

ARTÍCULO 1°

Objeto. La presente ley tiene por objeto la protección integral de los datos personales a fin de garantizar el ejercicio pleno de los derechos de sus titulares, de conformidad a lo establecido en el artículo 43, párrafo tercero, de la CONSTITUCIÓN NACIONAL y los tratados de derechos humanos en los que la REPÚBLICA ARGENTINA sea parte.

ARTÍCULO 2°

Definiciones. A los fines de la presente ley se entiende por:

Autoridad de control: órgano que debe velar por el cumplimiento de los principios y procedimientos de la presente ley de acuerdo a lo establecido en el Capítulo 7.

– Base de datos: conjunto organizado de datos personales que sean objeto de tratamiento, electrónico o no, cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso. Indistintamente se la puede denominar también archivo, registro, fichero o banco de datos.

– Datos personales: información de cualquier tipo referida a personas humanas determinadas o determinables, inclusive los datos biométricos. Se entenderá por determinable la persona que pueda ser identificada mediante algún identificador o por uno o varios elementos característicos de la identidad física, fisiológica, genética (datos genéticos), psíquica, económica, cultural o social de dicha persona. No será considerada persona determinable cuando, para lograr su identificación, se requiera la aplicación de medidas o plazos desproporcionados o inviables. Se entenderá por datos biométricos aquellos datos obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona humana, que permitan o confirmen su identificación única. Se entenderá por datos genéticos los relativos a las características genéticas heredadas o adquiridas de una persona humana que proporcionen una información sobre su fisiología o salud, obtenidos en particular del análisis de una muestra biológica.

Datos sensibles: datos personales que afectan la esfera íntima de su titular con potencialidad de originar una discriminación ilícita o arbitraria, en particular, los que revelan origen racial o étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, participación o afiliación en una organización sindical o política, información referente a la salud, preferencia o vida sexual.

Disociación de datos: el procedimiento que se aplica sobre los datos personales de manera que la información obtenida no pueda asociarse a persona determinada o determinable. No será considerada persona determinable cuando el procedimiento que deba aplicarse para lograr su identificación requiera la aplicación de medidas o plazos desproporcionados o inviables.

Encargado del tratamiento: persona humana o jurídica, pública o privada, que trate datos personales por cuenta del responsable del tratamiento.

– Fuente de acceso público irrestricto: la que contiene información destinada a ser difundida al público, de libre acceso e intercambio por razones de interés general, accesible ya sea en forma gratuita o mediante una contraprestación.

Fuente de acceso público restricto: la que contiene información que no está sujeta a confidencialidad ni tampoco está destinada a ser difundida irrestrictamente al público y cuyo acceso a terceros resulta generalmente condicionado al cumplimiento de ciertos requisitos.

– Grupo económico: sociedades controlantes, controladas y aquellas vinculadas en las cuales se tenga influencia significativa en las decisiones, denominación, domicilio, actividad principal, participación patrimonial, porcentaje de votos y, para las controlantes, principales accionistas.

Incidente de seguridad de datos personales: hecho ocurrido en cualquier fase del tratamiento que implique la pérdida o destrucción no autorizado, el robo, extravío o copia no autorizada, el uso, acceso o tratamiento de datos no autorizado, o el daño, alteración o modificación no autorizada.

Responsable del tratamiento: persona humana o jurídica, pública o privada, titular de la base de datos, que decide sobre el tratamiento de datos, sus finalidades y medios.

Tercero: la persona humana o jurídica, pública o privada, distinta del titular de los datos, del responsable del tratamiento, del encargado del tratamiento o de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado.

Titular de los datos: la persona humana cuyos datos sean objeto del tratamiento al que se refiere la presente ley.

Transferencia internacional: la transmisión de datos personales fuera del territorio nacional.

Tratamiento de datos: cualquier operación o procedimiento organizado, electrónico o no, que permita la recolección, conservación, ordenación, almacenamiento, modificación, relacionamiento, evaluación, bloqueo o destrucción y, en general, el procesamiento de datos personales, así como también su cesión a través de comunicaciones, consultas, interconexiones o transferencias.

ARTÍCULO 3°

Excepciones a la aplicación de la ley. Queda exceptuado de los alcances de la presente ley el tratamiento de datos que efectúe una persona humana para su uso exclusivamente privado o de su grupo familiar.

La aplicación de la presente ley en ningún caso podrá afectar el secreto de las fuentes de información periodísticas. Tampoco podrá afectar al tratamiento de datos que realicen los medios de comunicación en el ejercicio de la libertad de expresión.

ARTÍCULO 4°

Ámbito de aplicación. Las normas de la presente ley serán de aplicación cuando:

a) el responsable del tratamiento se encuentre establecido en el territorio nacional, aun cuando el tratamiento de datos tenga lugar fuera de dicho territorio;

b) el responsable del tratamiento no se encuentre establecido en el territorio nacional, sino en un lugar en que se aplica la legislación nacional en virtud del derecho internacional;

c) el tratamiento de datos de titulares que residan en la REPÚBLICA ARGENTINA sea realizado por un responsable del tratamiento que no se encuentre establecido en el territorio nacional y las actividades de dicho tratamiento se encuentren relacionadas con la oferta de bienes o servicios a dichos titulares de los datos en la REPÚBLICA ARGENTINA, o con el seguimiento de sus actos, comportamientos o intereses.

Capítulo 2. Principios relativos al tratamiento de datos

ARTÍCULO 5º

Principio de licitud, lealtad y transparencia. Los datos personales deben ser tratados de manera lícita, leal y transparente. El tratamiento se considera leal cuando el responsable se abstenga de tratar los datos personales a través de medios engañosos o fraudulentos.

ARTÍCULO 6º

Principio de finalidad. Los datos personales deben ser recogidos con fines determinados, explícitos y legítimos, y no deben ser tratados de manera incompatible con dichos fines.

No se considerarán incompatibles con los fines iniciales tanto el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos, como tampoco el tratamiento de datos con fines que pudieron ser, de acuerdo al contexto, razonablemente presumidos por el titular de los datos.

ARTÍCULO 7º

Principio de minimización de datos. Los datos personales deben ser tratados de manera que sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que fueron recolectados.

ARTÍCULO 8º

Principio de exactitud. Los datos personales deben ser tratados de modo que sean exactos y completos. Si fuera necesario adecuarlos, se adoptarán todas las medidas razonables para que se supriman o rectifiquen.

ARTÍCULO 9º

Limitación del plazo de conservación. Los datos personales no deben ser mantenidos más allá del tiempo estrictamente necesario para el cumplimiento de la finalidad del tratamiento. Los datos personales pueden conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone la presente ley a fin de proteger los derechos del titular de los datos.

ARTÍCULO 10.- Principio de responsabilidad proactiva. El responsable o encargado del tratamiento debe adoptar las medidas técnicas y organizativas apropiadas a fin de garantizar un tratamiento adecuado de los datos personales y el cumplimiento de las obligaciones dispuestas por la presente ley, y que le permitan demostrar a la autoridad de control su efectiva implementación.

ARTÍCULO 11.- Licitud del tratamiento de datos. El tratamiento de datos es lícito sólo si se cumple al menos UNA (1) de las siguientes condiciones:

a) el titular de los datos dio su consentimiento para el tratamiento de sus datos para uno o varios fines específicos conforme lo dispuesto en los artículos 12, 13 y 14;

b) el tratamiento de datos se realice sobre datos que figuren en fuentes de acceso público irrestricto;

c) el tratamiento de datos se realice en ejercicio de funciones propias de los poderes del Estado y sean necesarios para el cumplimiento estricto de sus competencias;

d) el tratamiento de datos sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

e) el tratamiento de datos derive de una relación jurídica entre el titular de los datos y

el responsable del tratamiento, y resulte necesario para su desarrollo o cumplimiento;

f) el tratamiento de datos resulte necesario para salvaguardar el interés vital del titular de los datos o de terceros, y el titular de los datos esté física o jurídicamente incapacitado para dar su consentimiento;

g) el tratamiento de datos sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos del titular de los datos, en particular cuando el titular sea un niño, niña o adolescente.

Lo dispuesto en el inciso g) no será de aplicación al tratamiento de datos realizado por las autoridades públicas en el ejercicio de sus funciones.

ARTÍCULO 12

Consentimiento. El tratamiento de datos, en cualquiera de sus formas, requiere del consentimiento libre e informado de su titular para una o varias finalidades específicas.

El consentimiento puede ser obtenido de forma expresa o tácita.

La forma del consentimiento depende de las circunstancias, el tipo de dato personal y las expectativas razonables del titular de los datos.

El consentimiento expreso, de acuerdo a las circunstancias particulares del tratamiento de datos del que se trate, puede ser obtenido por escrito, verbalmente, por medios electrónicos, así como por cualquier forma similar que la tecnología permita brindar. Para el tratamiento de datos sensibles se requiere el consentimiento expreso, salvo las excepciones establecidas por ley.

El consentimiento tácito es admitido cuando surja de manera manifiesta del contexto

del tratamiento de datos y la conducta del titular de los datos sea suficiente para demostrar la existencia de su autorización. Es admisible únicamente cuando los datos requeridos sean necesarios para la finalidad que motiva la recolección y se haya puesto a disposición del titular de los datos la información prevista en el artículo 15, sin que éste manifieste su oposición. El tratamiento de datos ulterior debe ser compatible con las finalidades manifiestas que surgen del contexto que originó la recolección. En ningún caso procede para el tratamiento de datos sensibles.

En todos los casos, el responsable del tratamiento tiene la carga de demostrar que el titular de los datos consintió el uso de sus datos personales.

ARTÍCULO 13

Revocación del consentimiento. El consentimiento puede ser revocado en cualquier momento. Dicha revocación no tiene efectos retroactivos. El responsable del tratamiento está obligado a facilitar la revocación mediante mecanismos sencillos, gratuitos y, al menos, de la misma forma por la que obtuvo el consentimiento.

ARTÍCULO 14

Excepciones al consentimiento previo. No es necesario el consentimiento para el tratamiento de datos cuando se trate de listados cuyos datos se limiten a nombre, documento nacional de identidad, identificación tributaria o previsional, ocupación, fecha de nacimiento, domicilio y correo electrónico.

El titular de los datos podrá oponerse a dicho tratamiento conforme el artículo 30 de la presente ley.

ARTÍCULO 15

Información al titular de los datos. El responsable del tratamiento debe brindar al titular de los datos, antes de la recolección, al menos, la siguiente información:

a) las finalidades del tratamiento de datos a las que se destinarán los datos personales recolectados;

b) la identidad y los datos de contacto del responsable del tratamiento;

c) los medios para ejercer los derechos previstos en esta ley;

d) en su caso, las cesiones o transferencias internacionales de datos que se efectúen o se prevea efectuar;

e) el carácter obligatorio o facultativo de proporcionar los datos personales y las consecuencias de proporcionarlos, o de la negativa a hacerlo, o de hacerlo en forma incompleta o defectuosa;

f) el derecho del titular de los datos a revocar el consentimiento;

g) el derecho a presentar una denuncia, a iniciar el trámite de protección de datos personales ante la autoridad de control, o a ejercer la acción de habeas data en caso de que el responsable o el encargado del tratamiento incumpla con la presente ley.

ARTÍCULO 16

Tratamiento de datos sensibles. Se prohíbe el tratamiento de datos sensibles, excepto cuando:

a) el titular de los datos haya dado su consentimiento expreso a dicho tratamiento, salvo en los casos en que por ley no sea requerido el otorgamiento de dicha autorización;

b) sea necesario para salvaguardar el interés vital del titular de los datos y éste se encuentre física o legalmente incapacitado para prestar el consentimiento y sus representantes legales no lo puedan realizar en tiempo oportuno;

c) sea efectuado por establecimientos sanitarios públicos o privados o por profesionales vinculados a la ciencia de la salud en el marco de un tratamiento médico específico de acuerdo a lo establecido por la Ley de Derechos del Paciente en su Relación con los Profesionales e Instituciones de la Salud nº 26.529;

d) se realice en el marco de las actividades legítimas que realice una fundación, asociación o cualquier otro organismo sin fines de lucro, cuyo objeto principal sea una actividad política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o beneficiarios o a las personas que mantengan un contacto regular por razón de su objeto principal;

e) se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;

f) tenga una finalidad histórica, estadística o científica. En estos dos últimos casos, debe adoptarse un procedimiento de disociación de datos;

g) se refiera a datos personales que el interesado haya hecho manifiestamente públicos;

h) sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular de los datos en el ámbito del Derecho laboral y de la seguridad y protección social;

i) sea necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios;

j) se realice en el marco de asistencia humanitaria en casos de desastres naturales.

ARTÍCULO 17

Tratamiento de antecedentes penales y contravencionales. El tratamiento de datos relativos a antecedentes penales o contravencionales con el objeto de brindar informes a terceros sólo puede ser realizado por parte de las autoridades públicas competentes o bajo su supervisión.

El empleador que conserve un certificado, documento o información de antecedentes penales o contravencionales de sus empleados no puede cederlo a terceros, salvo con el consentimiento expreso del titular de los datos.

ARTÍCULO 18

Tratamiento de datos de niños, niñas y adolescentes. En el tratamiento de datos personales de un niño, niña o adolescente, se debe privilegiar la protección del interés superior de éstos, conforme a la CONVENCIÓN SOBRE LOS DERECHOS DEL NIÑO y demás instrumentos internacionales que busquen su bienestar y protección integral.

Es válido el consentimiento de un niño, niña o adolescente cuando se aplique al tratamiento de datos vinculados a la utilización de servicios de la sociedad de la información específicamente diseñados o aptos para ellos. En estos casos, el consentimiento es lícito si el niño, niña o adolescente tiene como mínimo TRECE (13) años. Si el niño es menor de TRECE (13) años, tal tratamiento únicamente se considera lícito si el consentimiento fue otorgado por el titular de la responsabilidad parental o tutela sobre el niño, y sólo en la medida en que se dio o autorizó.

El responsable del tratamiento debe realizar esfuerzos razonables para verificar, en tales casos, que el consentimiento haya sido otorgado por el titular de la responsabilidad parental o tutela sobre el niño, niña o adolescente, teniendo en cuenta sus posibilidades para hacerlo.

ARTÍCULO 19

Principio de seguridad de los datos personales. El responsable del tratamiento y, en su caso, el encargado, deben adoptar las medidas técnicas y organizativas que resulten necesarias para garantizar la seguridad y confidencialidad de los datos personales, de modo de evitar su adulteración, pérdida, consulta o tratamiento no autorizado, y que permitan detectar desviaciones, intencionales o no, de información, ya sea que los riesgos provengan de la acción humana o del medio técnico utilizado.

El responsable del tratamiento debe adoptar las medidas de seguridad aplicables a los datos personales que trate, considerando, al menos, los siguientes factores:

a) el riesgo inherente por el tipo de dato personal;

b) el carácter sensible de los datos personales tratados;

c) el desarrollo tecnológico;

d) las posibles consecuencias de un incidente de seguridad para los titulares de los datos;

e) los incidentes de seguridad previos ocurridos en los sistemas de tratamiento.

ARTÍCULO 20

Notificación de incidentes de seguridad. En caso de que ocurra un incidente de seguridad de datos personales, el responsable del tratamiento debe notificarlo a la autoridad de control sin dilación indebida y, de ser posible, a más tardar SETENTA Y DOS (72) horas después de que haya tenido constancia del incidente, a menos que sea improbable que dicho incidente de seguridad constituya un riesgo para los derechos de los titulares de los datos. Si la notificación a la autoridad de control no tiene lugar en el plazo de SETENTA Y DOS (72) horas, deberá ir acompañada de indicación de los motivos de la dilación.

De igual manera, el responsable del tratamiento también debe informar al titular de los datos sobre el incidente de seguridad ocurrido, en un lenguaje claro y sencillo,

cuando sea probable que entrañe altos riesgos a sus derechos.

La notificación debe contener, al menos, la siguiente información:

a) la naturaleza del incidente;

b) los datos personales que pueden estimarse comprometidos;

c) las acciones correctivas realizadas de forma inmediata;

d) las recomendaciones al titular de los datos acerca de las medidas que éste pueda adoptar para proteger sus intereses;

e) los medios a disposición del titular de los datos para obtener mayor información al respecto.

El responsable del tratamiento debe documentar todo incidente de seguridad que ponga en alto riesgo los derechos de los titulares de los datos personales ocurrido en cualquier fase del tratamiento de datos e identificar, de manera enunciativa pero no limitativa, la fecha en que ocurrió, el motivo del incidente, los hechos relacionados con éste y sus efectos y las medidas correctivas implementadas de forma inmediata y definitiva.

ARTÍCULO 21

Deber de confidencialidad. El responsable del tratamiento, el encargado y las demás personas que intervengan en cualquier fase del tratamiento de datos están obligados a la confidencialidad respecto de los datos personales. Tal obligación subsiste aun después de finalizada su relación con el titular de los datos, el responsable o el encargado del tratamiento, según corresponda.

El obligado puede ser relevado del deber de confidencialidad por resolución judicial.

ARTÍCULO 22

Cesión. Cuando el tratamiento de datos consiste en una cesión, el responsable del tratamiento a quien se ceden los datos personales queda sujeto a las mismas obligaciones legales y reglamentarias que el responsable cedente. Ambos responden por la observancia de aquéllas ante la autoridad de control y el titular de los datos de que se trate. En cualquier caso, podrán ser eximidos total o parcialmente de responsabilidad si demuestran que no se les puede imputar el hecho que ha producido el daño.

ARTÍCULO 23

Transferencia internacional. Toda transferencia internacional de datos personales es lícita si se cumple al menos UNA (1) de las siguientes condiciones:

a) cuente con el consentimiento expreso del titular de los datos;

b) el país u organismo internacional o supranacional receptor proporcione un nivel de protección adecuado;

c) se encuentre prevista en una ley o tratado en los que la REPÚBLICA ARGENTINA sea parte;

d) sea necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios;

e) sea efectuada a cualquier sociedad del mismo grupo económico del responsable del tratamiento, en tanto los datos personales sean utilizados para finalidades que no sean incompatibles con las que originaron su recolección;

f) sea necesaria en virtud de un contrato celebrado o por celebrar en interés inequívoco del titular de los datos, por el responsable del tratamiento y un tercero;

g) sea necesaria o legalmente exigida para la salvaguarda de un interés público, o para la procuración o administración de justicia;

h) sea necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;

i) sea necesaria para el mantenimiento o cumplimiento de una relación jurídica entre el responsable del tratamiento y el titular de los datos;

j) sea efectuada en los casos de colaboración judicial internacional;

k) sea requerida para concretar transferencias bancarias o bursátiles, en lo relativo a las transacciones respectivas y conforme la legislación que les resulte aplicable;

l) tenga por objeto la cooperación internacional entre organismos de inteligencia para la lucha contra el crimen organizado, el terrorismo, el lavado de activos, los delitos informáticos y el narcotráfico;

m) el responsable del tratamiento transferente y el destinatario adopten mecanismos de autorregulación vinculante, siempre y cuando éstos sean acorde a las disposiciones previstas en esta ley;

n) se realice en el marco de cláusulas contractuales que contengan mecanismos de protección de los datos personales acordes con las disposiciones previstas en la presente ley.

El receptor de los datos personales asume las mismas obligaciones que corresponden al responsable del tratamiento que transfirió los datos personales.

ARTÍCULO 24

Carácter adecuado del país u organismo receptor. Se entiende que un país u organismo internacional o supranacional proporciona un nivel adecuado de protección cuando dicha tutela se deriva directamente del ordenamiento jurídico vigente.

El nivel de protección proporcionado por un país u organismo internacional o supranacional será evaluado por la autoridad de control, a pedido de parte interesada o de oficio y atendiendo a todas las circunstancias que concurran en una transferencia internacional; en particular, las normas de derecho, generales o especiales, vigentes en el país u organismo internacional o supranacional de que se trate, así como las normas profesionales, códigos de conducta y las medidas de seguridad que resulten aplicables.

ARTÍCULO 25

Prueba del cumplimiento de las obligaciones en materia de transferencias internacionales. A efectos de demostrar que la transferencia internacional se ha realizado conforme a lo que establece la presente ley, la carga de la prueba recae, en todos los casos, en el responsable del tratamiento que transfiere.

ARTÍCULO 26

Servicio de tratamiento de datos personales por medios tecnológicos tercerizados. El servicio de tratamiento de datos personales por medios tecnológicos tercerizados está permitido cuando se garantice el cumplimiento de los principios y obligaciones establecidos en la presente ley.

El responsable del tratamiento debe realizar esfuerzos razonables para elegir un proveedor de servicios que garantice el cumplimiento de la presente ley. El responsable del tratamiento responderá ante el titular de los datos y ante la autoridad de control por incumplimientos del proveedor.

En especial, el responsable del tratamiento debe realizar esfuerzos razonables para controlar que el proveedor del servicio de tratamiento de datos personales por medios tecnológicos tercerizados:

a) cuente con una política de protección de datos personales o condiciones de

servicio que no sean incompatibles con las disposiciones previstas en la presente ley, y que su aplicación sea efectiva, y además verificar que se prevean mecanismos para notificar los cambios que se produzcan sobre la política de protección de datos personales o condiciones de servicio;

b) informe los tipos de subcontrataciones que involucren los datos personales objeto del tratamiento sobre el que se presta el servicio, notificando al responsable del tratamiento de cualquier cambio que se produzca;

c) no incluya condiciones en la prestación del servicio que lo autoricen o permitan asumir la titularidad sobre las bases de datos tratados bajo esta modalidad.

Capítulo 3. Derechos de los titulares de los datos

ARTÍCULO 27

Derecho de acceso. El titular de los datos, previa acreditación de su identidad, tiene el derecho de solicitar y obtener el acceso a sus datos personales que sean objeto del tratamiento.

ARTÍCULO 28

Contenido de la información. La información debe ser suministrada en forma clara, exenta de codificaciones y, en su caso, acompañada de una explicación de los términos que se utilicen, en lenguaje accesible al conocimiento medio de la población, y debe versar sobre:

a) las finalidades del tratamiento de datos;

b) las categorías de datos personales de que se trate;

c) los destinatarios o las categorías de destinatarios a los que se cedieron o se prevean ceder los datos personales, en particular cuando se trate de una transferencia internacional;

d) el plazo previsto de conservación de los datos personales o, de no ser ello posible, los criterios utilizados para determinar este plazo;

e) la existencia del derecho a solicitar del responsable del tratamiento la rectificación, supresión de datos personales o a oponerse a dicho tratamiento;

f) el derecho a iniciar un trámite de protección de datos personales ante la autoridad de control;

g) cuando los datos personales no se hayan obtenido del titular de los datos, cualquier información disponible sobre su origen;

h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles a que se refiere el artículo 32 y, al menos en tales casos, información significativa sobre la lógica aplicada, sin que ello afecte derechos intelectuales del responsable del tratamiento.

En ningún caso el informe puede revelar datos pertenecientes a terceros, aun cuando se vinculen con el titular de los datos.

La información, a opción del titular de los datos, puede suministrarse por escrito, por medios electrónicos, telefónicos, de imagen, u otro idóneo a tal fin.

ARTÍCULO 29

Derecho de rectificación. El titular de los datos tiene el derecho a obtener del responsable del tratamiento la rectificación de sus datos personales, cuando éstos resulten ser inexactos, incompletos o no se encuentren actualizados.

En el supuesto de cesión o transferencia internacional de datos erróneos o desactualizados, el responsable del tratamiento debe notificar la rectificación al cesionario dentro del quinto día hábil de haber tomado conocimiento efectivo del error o la desactualización.

Durante el proceso de verificación y rectificación del error o falsedad de la información que se trate, el responsable del tratamiento debe bloquear el dato, o bien consignar, al proveer información relativa a éste, la circunstancia de que se encuentra sometido a revisión.

ARTÍCULO 30

Derecho de oposición. El titular de los datos puede oponerse al tratamiento de sus datos, o de una finalidad específica de éste, cuando no haya prestado consentimiento. El responsable del tratamiento debe dejar de tratar los datos personales objeto de oposición, salvo que existan motivos legítimos para el tratamiento que prevalezcan sobre los derechos del titular de los datos.

ARTÍCULO 31

Derecho de supresión. El titular de los datos tiene derecho a solicitar la supresión de sus datos personales de las bases de datos del responsable del tratamiento cuando el tratamiento no tenga un fin público, a fin de que los datos ya no estén en su posesión y dejen de ser tratados por este último.

La supresión procede cuando:

a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recolectados;

b) el titular de los datos revoque el consentimiento en que se basa el tratamiento de datos y éste no se ampare en otro fundamento jurídico;

c) el titular de los datos haya ejercido su derecho de oposición conforme al artículo 30, y no prevalezcan otros motivos legítimos para el tratamiento de sus datos;

d) los datos personales hayan sido tratados ilícitamente;

e) los datos personales deban suprimirse para el cumplimiento de una obligación legal.

La supresión no procederá cuando pudiese causar perjuicios a derechos o intereses legítimos de terceros, prevalezcan razones de interés público para el tratamiento de datos cuestionado, o los datos personales deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las contractuales entre el responsable o encargado del tratamiento y el titular de los datos.

La supresión tampoco procede cuando el tratamiento de datos sea necesario para ejercer el derecho a la libertad de expresión e información.

ARTÍCULO 32

Valoraciones personales automatizadas. El titular de los datos tiene derecho a oponerse a ser objeto de una decisión basada únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que le produzca efectos jurídicos perniciosos o lo afecte significativamente de forma negativa.

El titular de los datos no podrá ejercer este derecho si la decisión:

a) es necesaria para la celebración o la ejecución de un contrato entre el titular de los datos y el responsable del tratamiento;

b) está autorizada por ley;

c) se basa en su consentimiento expreso.

En los casos a que se refieren los incisos a) y c), el responsable del tratamiento debe adoptar las medidas adecuadas para salvaguardar los derechos del titular de los datos; como mínimo, el derecho a obtener intervención humana por parte del responsable del tratamiento, a expresar su punto de vista y a impugnar la decisión.

ARTÍCULO 33

Derecho a la portabilidad de datos personales. Si se brindan servicios en forma electrónica que incluyan el tratamiento de datos personales, el titular de los datos tiene derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento en un formato estructurado y comúnmente utilizado que le permita su ulterior utilización. El titular de los datos puede solicitar que sus datos personales se transfieran directamente de responsable a responsable cuando sea técnicamente posible.

Este derecho no procederá cuando:

a) su ejercicio imponga una carga financiera o técnica excesiva o irrazonable sobre el responsable o encargado del tratamiento;

b) vulnere la privacidad de otro titular de los datos;

c) vulnere las obligaciones legales del responsable o encargado del tratamiento;

d) impida que el responsable del tratamiento proteja sus derechos, su seguridad o sus bienes, o los derechos, seguridad y bienes del encargado del tratamiento, o del titular de los datos o de un tercero.

ARTÍCULO 34

Ejercicio de los derechos. El ejercicio de cualquiera de los derechos del titular de los datos no es requisito previo, ni impide el ejercicio de otro.

El responsable del tratamiento debe responder y, en su caso, satisfacer los derechos del titular de los datos dentro de los DIEZ (10) días hábiles de haber sido intimado fehacientemente.

Vencido el plazo sin que se satisfaga el pedido, o si a juicio del titular de los datos, la respuesta se estimara insuficiente, quedará expedito el trámite de protección de los datos personales ante la autoridad de control en los términos del artículo 72 o, a elección del titular de los datos, podrá interponer la acción de habeas data prevista en el artículo 78 de la presente ley. En caso de optar por la acción de habeas data, o de haberla iniciado con anterioridad, no podrá iniciar el trámite de protección ante la autoridad de control.

El ejercicio de los derechos previstos en los artículos 27, 29, 30, 31, 32 y 33 en el caso de titulares de los datos de personas fallecidas les corresponde a sus sucesores universales.

El responsable del tratamiento debe establecer medios y procedimientos sencillos, expeditos, accesibles y gratuitos que permitan al titular de los datos ejercer los derechos previstos en esta ley.

El derecho de acceso a que se refiere el artículo 27 sólo puede ser ejercido en forma gratuita a intervalos no inferiores a SEIS (6) meses, salvo que se acredite la existencia de nuevas razones que justifiquen el pedido antes del vencimiento del plazo.

ARTÍCULO 35

Abuso de derecho. El ejercicio abusivo de los derechos enumerados en este capítulo no se encuentra amparado. Se considera tal el que contraría los fines de la presente ley, el que excede los límites impuestos por la buena fe o el que imponga sobre el obligado una carga técnica o financiera irrazonable.

ARTÍCULO 36

Excepciones al ejercicio de los derechos. Los responsables del tratamiento de bases de datos públicas pueden, mediante decisión fundada, denegar los derechos enumerados en los artículos 27, 29, 30, 31, 32 y 33 en función de la protección de la defensa de la Nación, del orden y la seguridad públicos, o de la protección de los derechos e intereses de terceros.

La información sobre datos personales también puede ser denegada por los responsables del tratamiento de bases de datos públicas, cuando de tal modo se pudieran obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o previsionales, el desarrollo de funciones de control de la salud y del medio ambiente, la investigación de delitos penales y la verificación de infracciones administrativas. La resolución que así lo disponga debe ser fundada y notificada al titular de los datos.

En cualquier caso, el responsable del tratamiento debe brindar acceso a los datos en cuestión en la oportunidad en que el titular de los datos demuestre que son necesarios para ejercer su derecho de defensa.

Capítulo 4. Obligaciones de los responsables y encargados del tratamiento

ARTÍCULO 37

Medidas para el cumplimiento de la responsabilidad proactiva. Las medidas adoptadas para el cumplimiento de las disposiciones de la presente ley deben ser proporcionales a las modalidades y finalidades del tratamiento de datos, su contexto, el tipo y categoría de datos tratados, y el riesgo que el referido tratamiento pueda acarrear sobre los derechos de su titular.

Deben contemplar, como mínimo:

a) la adopción de procesos internos para llevar adelante de manera efectiva las medidas de responsabilidad;

b) la implementación de procedimientos para atender el ejercicio de los derechos por parte de los titulares de los datos;

c) la realización de supervisiones o auditorías, internas o externas, para controlar el cumplimiento de las medidas adoptadas.

Las medidas deben ser aplicadas de modo que permitan su demostración ante el requerimiento de la autoridad de control.

Se debe adoptar una política de privacidad o adherirse a mecanismos de autorregulación vinculantes, que serán valorados por la autoridad de control para verificar el cumplimiento de las obligaciones por parte del responsable del tratamiento.

ARTÍCULO 38

Protección de datos desde el diseño y por defecto. El responsable del tratamiento debe aplicar medidas tecnológicas y organizativas apropiadas tanto con anterioridad como durante el tratamiento de datos a fin de cumplir los principios y los derechos de los titulares de los datos establecidos en la presente ley. Las medidas deben ser adoptadas teniendo en cuenta el estado de la tecnología, los costos de la implementación y la naturaleza, ámbito, contexto y fines del tratamiento de datos, así como los riesgos que entraña el tratamiento para el derecho a la protección de los datos de sus titulares.

El responsable del tratamiento debe aplicar las medidas tecnológicas y organizativas apropiadas con miras a garantizar que, por defecto, sólo sean objeto de tratamiento de datos aquellos datos personales que sean necesarios para cada uno de los fines del tratamiento. Esta obligación se aplica a la cantidad y calidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas deben garantizar en particular que, por defecto, los datos personales no sean accesibles, sin la intervención del titular de los datos, a un número indeterminado de personas humanas.

ARTÍCULO 39

Tratamiento de datos por cuenta de terceros. La prestación de servicios de tratamiento de datos por cuenta de terceros entre un responsable y un encargado del tratamiento debe quedar formalizada mediante un contrato y no requiere del consentimiento del titular de los datos. El encargado del tratamiento se encuentra limitado a llevar a cabo sólo aquellos tratamientos de datos encomendados por el responsable del tratamiento. Los datos personales objeto de tratamiento no pueden aplicarse o utilizarse con un fin distinto al que figure en el contrato ni ser cedidos a otras personas, ni aun para su conservación, salvo autorización expresa del responsable del tratamiento.

Una vez cumplida la prestación contractual, los datos personales tratados deben ser destruidos, salvo que medie autorización expresa del responsable del tratamiento cuando razonablemente se pueda presumir la posibilidad de ulteriores encargos, en cuyo caso sólo podrán conservarse por un máximo de DOS (2) años.

El encargado puede suscribir un contrato para subcontratar servicios que impliquen el tratamiento de datos solamente cuando exista una autorización expresa del responsable del tratamiento. En estos casos el subcontratado asume el carácter de encargado en los términos y condiciones previstos en esta ley. Para el supuesto en que el subcontratado incumpla sus obligaciones y responsabilidades respecto al tratamiento de datos que lleve a cabo conforme a lo estipulado en el contrato, asumirá la calidad de responsable del tratamiento en los términos y condiciones previstos en la presente ley.

Los contratos previstos en este artículo deben estipular el objeto, alcance, contenido, duración, naturaleza y finalidad del tratamiento de datos, el tipo de datos personales, las categorías de titulares de los datos y las obligaciones y responsabilidades del responsable y encargado del tratamiento.

ARTÍCULO 40

Evaluación de impacto relativa a la protección de datos personales. Cuando el responsable del tratamiento prevea realizar algún tipo de tratamiento de datos que por su naturaleza, alcance, contexto o finalidades, sea probable que entrañe un alto riesgo de afectación a los derechos de los titulares de los datos amparados en la presente ley, deberá realizar, de manera previa a la implementación del tratamiento, una evaluación del impacto relativa a la protección de los datos personales.

La evaluación de impacto relativa a la protección de los datos es obligatoria en los siguientes casos, sin perjuicio de otros que establezca la autoridad de control:

a) evaluación sistemática y exhaustiva de aspectos personales de personas humanas que se base en un tratamiento de datos automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas humanas o que les afecten significativamente de modo similar;

b) tratamiento de datos sensibles a gran escala, o de datos relativos a antecedentes penales o contravencionales.

ARTÍCULO 41

Contenido de la evaluación de impacto. La evaluación debe incluir, como mínimo:

a) una descripción sistemática de las operaciones de tratamiento de datos previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;

b) una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento de datos con respecto a su finalidad;

c) una evaluación de los riesgos para la protección de los datos personales de los titulares de los datos a que se refiere el inciso a);

d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de los datos personales, y para demostrar la conformidad con la presente ley, teniendo en cuenta los derechos e intereses legítimos de los titulares de los datos y de otras personas que pudieran verse potencialmente afectadas.

ARTÍCULO 42

Informe previo. El responsable del tratamiento debe informar a la autoridad de control antes de proceder al tratamiento de datos cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento de datos entrañaría un alto riesgo.

El informe a la autoridad de control debe incluir, como mínimo, la siguiente información:

a) las responsabilidades respectivas del responsable del tratamiento y los encargados del tratamiento, en particular en caso de tratamiento de datos dentro de un mismo grupo económico;

b) los fines y medios del tratamiento previsto;

c) las medidas y garantías establecidas para proteger los datos personales de sus titulares de conformidad con la presente ley;

d) en su caso, los datos de contacto del delegado de protección de datos;

e) la evaluación de impacto relativa a la protección de datos.

Cuando la autoridad de control considere que el tratamiento de datos previsto pueda infringir la presente ley, iniciará el procedimiento de verificación de oficio establecido en el artículo 73.

ARTÍCULO 43

Delegado de protección de datos. Los responsables y encargados del tratamiento deben designar un delegado de protección de datos en cualquiera de los siguientes supuestos:

a) cuando revistan el carácter de autoridades u organismos públicos;

b) se realice tratamiento de datos sensibles como parte de la actividad principal del responsable o encargado del tratamiento;

c) se realice tratamiento de datos a gran escala.

Cuando los responsables y encargados del tratamiento no se encuentren obligados a la designación de un delegado de protección de datos de acuerdo a lo previsto en este artículo, pero decidan designarlo de manera voluntaria o por orden expresa de la autoridad de control, el delegado de protección de datos designado tendrá las funciones previstas en el artículo 44.

Cuando se trate de una autoridad u organismo público con dependencias subordinadas, se puede designar un único delegado de protección de datos, teniendo en consideración su tamaño y estructura organizativa.

Un grupo económico puede nombrar un único delegado de protección de datos siempre que esté en contacto permanente con cada establecimiento.

La designación del delegado de protección de datos debe recaer en una persona que reúna los requisitos de idoneidad, capacidad y conocimientos específicos para el ejercicio de sus funciones.

Las funciones del delegado de protección de datos pueden ser desempeñadas por un empleado del responsable o encargado del tratamiento o en el marco de un contrato de locación de servicios. El delegado de protección de datos puede ejercer otras funciones siempre que no den lugar a conflictos de intereses.

En cualquier caso, el delegado debe ejercer sus funciones sin recibir instrucciones y sólo responde ante el más alto nivel jerárquico de la organización.

ARTÍCULO 44

Funciones del delegado de protección de datos. El delegado de protección de datos tiene las siguientes funciones, sin perjuicio de otras que se le asignen especialmente:

a) informar y asesorar a los responsables y encargados del tratamiento, así como a sus empleados, de las obligaciones que tienen, derivadas de la normativa de protección de datos;

b) promover y participar en el diseño y aplicación de una política de protección de datos que contemple los tratamientos de datos que realice el responsable o encargado del tratamiento;

c) supervisar el cumplimiento de la presente ley y de la política de protección de datos de un organismo público, empresa o entidad privada;

d) asignar responsabilidades, concientizar y formar al personal, y realizar las auditorías correspondientes;

e) ofrecer el asesoramiento que se le solicite para hacer una evaluación de impacto relativa a la protección de datos, cuando entrañe un alto riesgo de afectación para los derechos de los titulares de los datos, y supervisar luego su aplicación;

f) cooperar y actuar como referente ante la autoridad de control para cualquier consulta sobre el tratamiento de datos efectuado por el responsable o encargado del tratamiento.

ARTÍCULO 45

Mecanismos de autorregulación vinculantes. La autoridad de control alentará la elaboración de mecanismos de autorregulación vinculantes que tengan por objeto contribuir a la correcta aplicación de la presente ley, teniendo en cuenta las características específicas del tratamiento de datos que se realice, así como el efectivo ejercicio y respeto de los derechos del titular de los datos.

Los mecanismos de autorregulación vinculantes se pueden traducir en códigos de conducta, de buenas prácticas, normas corporativas vinculantes, sellos de confianza, certificaciones u otros mecanismos que coadyuven a contribuir los objetivos señalados.

Los responsables o encargados del tratamiento pueden adherirse, de manera voluntaria, a mecanismos de autorregulación vinculantes.

Las asociaciones u otras entidades representativas de categorías de responsables o encargados del tratamiento podrán adoptar mecanismos de autorregulación vinculantes que resulten obligatorios para todos sus miembros.

Los mecanismos de autorregulación vinculantes serán presentados a la homologación de la autoridad de control, la cual dictaminará si los mecanismos se adecuan a las disposiciones de la presente ley y, en su caso, los aprobará o indicará las correcciones que estime necesarias para su aprobación.

Los mecanismos de autorregulación vinculantes que resulten aprobados serán registrados y dados a publicidad por la autoridad de control.

Capítulo 5. Registro Nacional “No Llame

ARTÍCULO 46

Registro Nacional “No Llame”. Créase, en el ámbito de la autoridad de control de la presente ley, el Registro Nacional “No Llame”.

ARTÍCULO 47

Objeto y principio rector. El objeto del registro establecido por el artículo 46 es proteger los datos personales de los titulares o usuarios autorizados de los servicios de telefonía, en cualquiera de sus modalidades, del contacto, publicidad, oferta, venta y regalo de bienes o servicios no solicitados.

Las situaciones contempladas y reguladas en el presente capítulo se deben interpretar en todos los casos teniendo en cuenta el requerimiento del titular o usuario.

ARTÍCULO 48

Servicios de telefonía. A los efectos del presente capítulo, se entenderá por “servicios de telefonía” los servicios de telefonía básica, telefonía móvil, servicios de radiocomunicaciones móvil celular, de comunicaciones móviles y de voz IP, así como cualquier otro tipo de servicio similar que la tecnología permita brindar en el futuro.

ARTÍCULO 49

Inscripción. Puede inscribirse en el Registro Nacional “No Llame” toda persona humana titular o usuaria autorizada del servicio de telefonía en cualquiera de sus modalidades que manifieste su voluntad de no ser contactada por quien publicite, oferte, venda o regale bienes o servicios, sin perjuicio de lo dispuesto en el artículo 61 de la presente ley.

ARTÍCULO 50

Gratuidad y simplicidad. La inscripción y baja en el Registro Nacional “No Llame” es gratuita y debe ser implementada por medios eficaces y sencillos. Los trámites de inscripción y baja sólo pueden ser realizados por el titular o usuario de la línea telefónica.

La baja puede ser solicitada en cualquier momento y debe tener efectos inmediatos.

ARTÍCULO 51

Sujetos obligados e inscripción. Quienes publiciten, oferten, vendan o regalen bienes o servicios mediante recursos propios o a través de empresas tercerizadas o subcontratadas, utilizando como medio de contacto los servicios de telefonía en cualquiera de sus modalidades, son considerados responsables del tratamiento de datos y sujetos obligados al cumplimiento de lo previsto en el presente capítulo.

También son sujetos obligados aquellos que por cuenta de terceros realicen el contacto telefónico, sin perjuicio de la responsabilidad de quien resulte el contratante de la campaña o beneficiario directo de ésta, resultando aplicables, en el caso de corresponder, las previsiones del artículo 22.

Los sujetos obligados que contraten campañas en el exterior con efectos en el país deben adoptar las medidas apropiadas para que quien lleve a cabo la campaña publicitaria desde el extranjero dé cumplimiento a las disposiciones de la presente. Cualquier incumplimiento será atribuido al contratante o beneficiario directo de la campaña.

Es responsable solidario el titular de la línea telefónica de la que provenga el contacto de publicidad, oferta, venta y regalo de bienes o servicios no solicitados si se tratara de persona distinta a las indicadas en los párrafos precedentes. El titular de la línea telefónica podrá ser eximido total o parcialmente de responsabilidad si demuestra que no se le puede imputar el hecho que ha producido el daño.

Los sujetos obligados no pueden dirigirse a ninguno de los inscriptos en el Registro Nacional “No Llame”.

Quienes realicen efectivamente el contacto telefónico deben:

a) consultar las inscripciones vigentes que figuren en el Registro Nacional “No Llame” con una periodicidad de no más de TREINTA (30) días, en la forma que disponga la autoridad de control;

b) estar inscriptos en un registro habilitado por la autoridad de control para la consulta en el Registro Nacional “No Llame” prevista en el inciso a); la autoridad de control establecerá el procedimiento para esa inscripción.

En caso de duda, debe interpretarse que no corresponde el contacto telefónico con quien se hubiera inscripto en el Registro Nacional “No Llame”.

ARTÍCULO 52

Excepciones. Quedan exceptuadas de las disposiciones del presente capítulo:

a) las llamadas de quienes tienen una relación contractual vigente, siempre que se refieran al bien o servicio específico objeto del vínculo contractual;

b) las llamadas de quienes hayan sido expresamente permitidos por el titular o usuario autorizado de los servicios de telefonía en cualquiera de sus modalidades, inscripto en el Registro Nacional “No Llame”.

ARTÍCULO 53

Condiciones de contacto. Los contactos telefónicos de publicidad, oferta, venta y regalo de bienes o servicios no solicitados deben realizarse desde un número visible por el identificador de llamadas u otra tecnología que posea el titular o usuario de la línea telefónica.

En todos los casos, los contactos telefónicos, incluso a personas no inscriptas en el Registro Nacional “No Llame” o bajo el amparo de alguna de las excepciones previstas en el artículo 52, deben ser realizadas en forma y horario razonables y de acuerdo a la reglamentación.

ARTÍCULO 54

Denuncias. El titular o usuario autorizado del servicio de telefonía en cualquiera de sus modalidades puede realizar la denuncia por incumplimiento del presente capítulo ante la autoridad de control dentro del plazo de UN (1) mes contado desde el momento del contacto.

ARTÍCULO 55

Incumplimientos. La autoridad de control iniciará actuaciones administrativas en caso de presuntas infracciones a las disposiciones del presente capítulo, aplicando el procedimiento previsto en el artículo 72, párrafos tercero y cuarto. Verificada la existencia de la infracción, quienes la hayan cometido serán pasibles de las sanciones previstas en el artículo 76.

ARTÍCULO 56

Recepción de prueba. La autoridad de control, a los fines probatorios, tendrá en cuenta los elementos de hecho e indicios de carácter objetivos aportados por el denunciante que sustenten la situación fáctica debatida, quedando a cargo del denunciado acreditar que ha dado cumplimiento con las obligaciones establecidas en el presente capítulo.

A requerimiento de la autoridad de control, los sujetos obligados deberán brindar el registro de sus llamadas salientes provisto por la empresa prestadora del servicio de telecomunicaciones de la que fueran usuarios, quien lo debe proveer en un plazo máximo de DIEZ (10) días y en las condiciones que la autoridad de control disponga.

En el marco de un sumario administrativo por incumplimientos al presente capítulo, la autoridad de control podrá requerir en un plazo razonable informes a las empresas prestadoras del servicio de telecomunicaciones sobre:

a) la existencia del contacto telefónico cuestionado;

b) la información de la titularidad de una línea telefónica.

El incumplimiento de la requisitoria a que se refieren los párrafos segundo y tercero hará pasibles a las empresas prestadoras del servicio de telecomunicaciones de las sanciones previstas en el artículo 76, inciso b).

ARTÍCULO 57

Resolución. La autoridad de control dictará la resolución que corresponda dentro de los TREINTA (30) días de recibida la prueba y producidos los alegatos si corresponden. La autoridad de control podrá prorrogar este plazo cuando la complejidad del tema a resolver sea fundamento suficiente para esa prórroga.

La resolución de la autoridad de control podrá:

a) archivar la denuncia;

b) imponer una sanción en caso de que se hubiera verificado un incumplimiento al presente capítulo.

La resolución de la autoridad de control mencionada en el inciso b) agotará la vía administrativa a los efectos de lo previsto en la Ley Nacional de Procedimientos Administrativos nº 19.549. No procederá el recurso de alzada. Agotada la vía administrativa, la resolución será recurrible por ante la CÁMARA NACIONAL DE APELACIONES EN LO CONTENCIOSO ADMINISTRATIVO FEDERAL de la CAPITAL FEDERAL.

Capítulo 6. Supuestos especiales

ARTÍCULO 58

Bases de datos públicas. La creación, modificación o supresión de bases de datos pertenecientes a autoridades u organismos públicos debe hacerse por medio de norma de alcance general, publicada en el Boletín Oficial o diario oficial.

Las normas respectivas, deben indicar:

a) órganos responsables de la base de datos, precisando dependencia jerárquica en su caso;

b) características y finalidad de los tratamientos de datos que se efectúen;

c) personas respecto de las cuales se pretenda obtener datos y el carácter facultativo u obligatorio de su suministro por parte de aquéllas;

d) procedimiento de obtención y actualización de los datos;

e) estructura básica de la base y la descripción de la naturaleza de los datos personales que contendrán;

f) las cesiones, transferencias o interconexiones previstas;

g) las oficinas ante las que se pudiesen efectuar el ejercicio de los derechos previstos en la presente ley.

En las normas que se dicten para la supresión de las bases de datos se debe establecer el destino de éstas o las medidas que se adopten para su destrucción.

ARTÍCULO 59

Tratamiento de datos por organismos de seguridad e inteligencia. Las bases de datos de las fuerzas armadas, fuerzas de seguridad, organismos policiales o de inteligencia quedan sujetos a las disposiciones de la presente ley. Las Comisiones Bicamerales de FISCALIZACIÓN DE ORGANISMOS Y ACTIVIDADES DE INTELIGENCIA y de FISCALIZACIÓN DE ÓRGANOS Y ACTIVIDADES DE SEGURIDAD INTERIOR del CONGRESO DE LA NACIÓN y la COMISIÓN DE DEFENSA NACIONAL de la CÁMARA DE SENADORES DE LA NACIÓN, o las que las sustituyan, tienen acceso a las bases de datos mencionadas por razones fundadas y en aquellos aspectos que constituyan materia de competencia de tales comisiones.

El tratamiento de datos personales con fines de defensa nacional o seguridad pública por parte de las fuerzas armadas, fuerzas de seguridad, organismos policiales o de inteligencia, cuando sea necesario realizar sin el consentimiento del titular, queda limitado a aquellos supuestos y categorías de datos que resulten necesarios para el estricto cumplimiento de las misiones legalmente asignadas a aquéllos para la defensa nacional, la seguridad pública o para la represión de los delitos.

Se deben suprimir, aun si no medie solicitud del titular, los datos personales de las bases de datos mencionadas en el primer párrafo cuando no sean necesarios para los fines que motivaron su recolección.

ARTÍCULO 60

Prestación de servicios de información crediticia.

1. En la prestación de servicios de información crediticia sólo pueden tratarse datos personales de carácter patrimonial relativos a la solvencia económica y al crédito, obtenidos de fuentes de acceso público irrestricto o restricto, o procedentes de informaciones facilitadas por el titular de los datos o con su consentimiento.

2. Pueden tratarse igualmente datos personales relativos al cumplimiento o incumplimiento de obligaciones de contenido patrimonial, facilitados por el acreedor o por quien actúe por su cuenta o interés.

3. A solicitud del titular de los datos, el responsable o encargado del tratamiento debe comunicar a aquél en forma gratuita las informaciones, evaluaciones y apreciaciones que sobre él hayan sido comunicadas durante los últimos DOCE (12) meses y la fuente de la información, incluyendo nombre y domicilio, en caso de corresponder.

4. Sólo se pueden archivar, registrar o ceder los datos personales que sean significativos para evaluar la solvencia económico-financiera de los afectados durante los últimos CINCO (5) años a contar desde la última información significativa. El plazo se reduce a UN (1) año cuando el deudor cancele o extinga la obligación, y a CUATRO (4) meses cuando la deuda sea igual o menor a UN (1) Salario Mínimo Vital y Móvil, a contar en ambos casos a partir de la fecha precisa en que se extingue la deuda.

5. Se considera información significativa:

a) el momento en que se produce la mora del deudor;

b) las distintas calificaciones que le otorgan al deudor las entidades financieras según normativa del BANCO CENTRAL DE LA REPÚBLICA ARGENTINA;

c) el inicio de la acción judicial de cobro;

d) la sentencia judicial que dispone el pago de la deuda;

e) la fecha de la apertura del concurso de acreedores o de la declaración de quiebra, en caso de deudas verificadas o en trámite de verificación en los procesos de concursos preventivos y quiebras respectivamente;

f) aquella otra información que defina el órgano de control.

6. No se considera última información significativa la asentada en una base de datos por el sólo hecho de ser la constancia final de una serie o sucesión de datos si se trata de una mera repetición de la misma información que, sin novedad o aditamento alguno, ha sido archivada durante los meses anteriores.

7. La prestación de servicios de información crediticia no requiere el previo consentimiento del titular de los datos a los efectos de su cesión, ni la ulterior comunicación de ésta, o de su transferencia internacional, cuando estén relacionados con el giro de las actividades comerciales o crediticias de los cesionarios.

8. Las entidades financieras que obligatoriamente cedan información relativa al cumplimiento de obligaciones de contenido patrimonial al BANCO CENTRAL DE LA REPÚBLICA ARGENTINA, deben comunicar al titular de los datos la información a ceder al último domicilio por él denunciado o por un canal de comunicación habitual entre las partes que permita acreditar la recepción y su fecha. A tales fines, dicha comunicación puede remitirse por medio postal o electrónico y junto con otras comunicaciones, como ser la de sus consumos, movimientos de cuenta, recibos o facturas. En cualquier caso, el cedente tiene la carga de acreditar el cumplimiento de la comunicación aquí dispuesta. Esta comunicación se debe efectuar cuando las obligaciones pasen de cumplimiento normal a incumplimiento, sin que se deba comunicar al deudor la continuidad de tal incumplimiento y/o el agravamiento de la calificación, y dentro de los DIEZ (10) días hábiles de producida la nueva calificación.

9. Esta obligación no afectará el cumplimiento del régimen informativo del BANCO CENTRAL DE LA REPÚBLICA ARGENTINA, en su carácter de autoridad de aplicación de la Ley de Entidades Financieras nº 21.526.

10. En caso de disconformidad con el contenido de la información comunicada conforme al párrafo precedente, el titular de los datos puede ejercer cualquiera de los derechos que le otorga esta ley. Si el titular de los datos cumple con su obligación dentro de los DIEZ (10) días hábiles de notificado, las entidades financieras no podrán ceder la información del titular al BANCO CENTRAL DE LA REPÚBLICA ARGENTINA, quien no podrá difundirla al público.

11. Previo a ceder datos personales relativos al incumplimiento de obligaciones patrimoniales a responsables o encargados del tratamiento que prestan servicios de información crediticia, los cedentes deben comunicar al titular de los datos la información a ceder y sus cesionarios al último domicilio por él denunciado o por un canal de comunicación habitual entre las partes que permita acreditar la recepción y su fecha. A tales fines, dicha comunicación puede remitirse por medio postal o electrónico y junto con otras comunicaciones, como ser la de sus consumos, movimientos de cuenta, recibos o facturas. En cualquier caso, el cedente tiene la carga de acreditar el cumplimiento de la comunicación aquí dispuesta. Los tratamientos de datos efectuados por el Estado quedan exceptuados de la notificación dispuesta en el presente apartado.

12. En caso de disconformidad con el contenido de la información a ceder conforme al apartado precedente, el titular de los datos puede ejercer cualquiera de los derechos que le otorga esta ley. Una vez cursada dicha comunicación al titular de los datos, no se requiere una nueva para realizar otras cesiones referidas a la misma obligación. La información puede ser difundida por las empresas que prestan servicios de informes crediticios luego de transcurridos DIEZ (10) días hábiles de recibida la comunicación. Si el titular de los datos cumple con su obligación dentro de dicho plazo, no podrán cederse tales datos a las empresas que prestan servicios de información crediticia.

13. Las entidades financieras no están alcanzadas por la obligación dispuesta en los dos apartados precedentes en la medida en que hayan cumplido con lo previsto en los apartados 8 y 9 del presente artículo.

Cuando se deniegue al titular de los datos la celebración de un contrato, solicitud de trabajo, servicio, crédito comercial o financiero, sustentado en un informe crediticio, deberá informársele tal circunstancia, así como la empresa que proveyó dicho informe y hacerle entrega de una copia de éste.

14. Se debe suprimir la información relativa a los fiadores o avalistas cuando se haya cancelado o extinguido la obligación, previo pedido por parte del deudor, fiador o avalista ante la empresa de información crediticia, en la modalidad y plazos dispuestos por el artículo 34 de la presente ley.

ARTÍCULO 61

Bases destinadas a la publicidad. Pueden tratarse sin consentimiento de su titular datos personales con fines de publicidad, venta directa y otras actividades análogas, cuando estén destinados a la formación de perfiles determinados o que permitan establecer hábitos de consumo que categoricen preferencias y comportamientos similares de las personas, siempre que los titulares de los datos sólo se identifiquen por su pertenencia a tales grupos genéricos, con más los datos individuales estrictamente necesarios para formular la oferta a los destinatarios.

En toda comunicación con fines de publicidad que se realice por correo, teléfono, correo electrónico, Internet u otro medio que permita la tecnología en el futuro, el responsable o encargado del tratamiento debe implementar medidas razonables que informen al titular de los datos la posibilidad de ejercer los derechos previstos en la presente ley.

Los datos referentes a la salud sólo pueden ser tratados, a fin de realizar ofertas de bienes y servicios, cuando hubieran sido obtenidos de acuerdo con la presente ley y siempre que no causen discriminación, en el contexto de una relación entre el consumidor o usuario y los proveedores de servicios o tratamientos médicos y entidades sin fines de lucro. Estos datos no pueden cederse a terceros sin el consentimiento previo, expreso e informado del titular de los datos. A dicho fin, este último debe recibir una noticia clara del carácter sensible de los datos que proporciona y de que no está obligado a suministrarlos, junto con la información de los artículos 15 y la mención de su derecho a oponerse al tratamiento de sus datos.

En los supuestos contemplados en el presente artículo, el titular de los datos puede ejercer el derecho de acceso sin cargo ni limitación temporal alguna. La información a suministrársele debe incluir la fuente de la que se obtuvieron sus datos, indicando, en su caso, el nombre del responsable o encargado del tratamiento que proveyó la información.

Capítulo 7. Autoridad de control

ARTÍCULO 62

Autoridad de control. Créase la AGENCIA NACIONAL DE PROTECCIÓN DE DATOS PERSONALES (ANPDP) como órgano de control que debe velar por el cumplimiento de los principios y procedimientos establecidos en la presente ley.

La ANPDP será un ente descentralizado en el ámbito del MINISTERIO DE JUSTICIA Y DERECHOS HUMANOS DE LA NACIÓN, con autarquía económica financiera, personería jurídica propia y capacidad de actuación en el ámbito del derecho público y privado.

La ANPDP será dirigida, administrada y representada por un Director Ejecutivo designado por el término de CUATRO (4) años, por el PODER EJECUTIVO NACIONAL con posibilidad de ser reelegido por una única vez. El Director Ejecutivo a cargo de la ANPDP tendrá rango y jerarquía de secretario de Estado. El Director Ejecutivo tendrá dedicación exclusiva en su función, encontrándose alcanzado por las incompatibilidades fijadas por ley para los funcionarios públicos.

ARTÍCULO 63

Selección del Director Ejecutivo. El procedimiento de selección del Director Ejecutivo de la ANPDP se llevará a cabo de conformidad con lo dispuesto a continuación:

a) el PODER EJECUTIVO NACIONAL propondrá UNA (1) persona y publicará el nombre, apellido y sus antecedentes curriculares en el Boletín Oficial y en DOS (2) diarios de circulación nacional, durante TRES (3) días;

b) el candidato deberá presentar una declaración jurada, conforme la normativa prevista en la Ley de Ética en el Ejercicio de la Función Pública nº 25.188, y su reglamentación;

c) se requerirá a la ADMINISTRACIÓN FEDERAL DE INGRESOS PÚBLICOS (AFIP) un informe relativo al cumplimiento de las obligaciones impositivas del candidato;

d) los ciudadanos, las organizaciones no gubernamentales, los colegios, las asociaciones profesionales y las entidades académicas podrán, en el plazo de QUINCE (15) días contados desde la última publicación en el Boletín Oficial prevista en el inciso a) del presente artículo, presentar al organismo a cargo de la organización de la audiencia pública observaciones respecto del candidato, por escrito y de modo fundado y documentado.. Sin perjuicio de las presentaciones que se realicen, en el mismo plazo podrá requerirse opinión a organizaciones de relevancia en el ámbito profesional, judicial y académico a los fines de su valoración;

e) dentro de los QUINCE (15) días, contados desde el vencimiento del plazo establecido en el inciso d) del presente artículo, se deberá celebrar una audiencia pública para la evaluación de las observaciones presentadas. Con posterioridad y en un plazo de SIETE (7) días de celebrada la audiencia, el PODER EJECUTIVO NACIONAL tomará la decisión de confirmar o retirar la candidatura de la persona propuesta, debiendo en este último caso proponer a un nuevo candidato y reiniciar el procedimiento de selección.

ARTÍCULO 64

Cese de pleno derecho del Director Ejecutivo. El Director Ejecutivo cesará de pleno derecho en sus funciones de mediar alguna de las siguientes circunstancias:

a) aceptación de la renuncia;

b) expiración del plazo de designación;

c) fallecimiento.

ARTÍCULO 65

Remoción del Director Ejecutivo. El Director Ejecutivo podrá ser removido por estar comprendido en alguna situación que le genere incompatibilidad o inhabilidad, mal desempeño, por delito en el ejercicio de sus funciones o por crímenes comunes. El PODER EJECUTIVO NACIONAL llevará adelante el procedimiento de remoción del Director Ejecutivo de la ANPDP, dándole intervención a una comisión bicameral del HONORABLE CONGRESO DE LA NACIÓN, que será presidida por el presidente del SENADO y estará integrada por los presidentes de las Comisiones de ASUNTOS CONSTITUCIONALES y de DERECHOS Y GARANTÍAS de la HONORABLE CÁMARA DE SENADORES DE LA NACIÓN y las de ASUNTOS CONSTITUCIONALES y de DERECHOS HUMANOS Y GARANTÍAS de la HONORABLE CÁMARA DE DIPUTADOS DE LA NACIÓN, la cual emitirá un dictamen vinculante.

Producida la vacante, deberá seguirse el procedimiento de selección establecido en el artículo 63 para elegir a un nuevo Director en un plazo no mayor a TREINTA (30) días.

ARTÍCULO 66

Deberes y funciones del Director Ejecutivo. El Director Ejecutivo tendrá los siguientes deberes y funciones:

a) ejercer la representación, dirección y administración general de la ANPDP, suscribiendo a tal fin los actos administrativos pertinentes;

b) representar al Estado nacional o designar personal idóneo para su representación, en todos aquellos procesos que se desarrollen ante tribunales judiciales o arbitrales, o ante organismos con facultades jurisdiccionales en los que se debatan asuntos de competencia de la ANPDP;

c) dictar las normas reglamentarias necesarias para el funcionamiento operativo del organismo;

d) toda otra atribución necesaria para el cumplimiento de las funciones del organismo.

ARTÍCULO 67

Personal de la autoridad de control. La ANPDP deberá contar con el personal técnico y administrativo que establezca la Ley de Presupuesto General de la Administración Nacional. El personal estará obligado a guardar secreto respecto de los datos de carácter personal de los que tome conocimiento en el desarrollo de sus funciones.

ARTÍCULO 68

Financiación. LA ANPDP se financiará a través de:

a) lo que recaude en concepto de tasas que se fijen por ley por los servicios que preste;

b) el producido de las multas referidas en esta ley;

c) las asignaciones presupuestarias que se incluyan en la Ley de Presupuesto General de la Administración Nacional.

ARTÍCULO 69

Patrimonio. La ANPDP tendrá un patrimonio integrado con los siguientes bienes:

a) los adquiridos hasta la fecha de la sanción de la presente ley, que se encuentran incorporados al Estado nacional con afectación a la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES;

b) los que adquiera la ANPDP posteriormente conforme a las disposiciones y leyes que le fueran aplicables.

ARTÍCULO 70

Facultades de la autoridad de control. La ANPDP deberá realizar todas las acciones necesarias para el cumplimiento de los objetivos y demás disposiciones de la presente ley. A tales efectos tendrá las siguientes funciones y atribuciones:

a) asistir y asesorar a las personas que lo requieran acerca de los alcances de la presente ley y de los medios legales de que disponen para la defensa de sus derechos;

b) dictar las normas y reglamentaciones que se deben observar en el desarrollo de las actividades comprendidas por esta ley; específicamente, dictar normas administrativas y de procedimiento relativas a las funciones a su cargo, y las normas y procedimientos técnicos relativos al tratamiento de datos y condiciones de seguridad de las bases de datos;

c) atender los requerimientos y denuncias interpuestos en relación al tratamiento de datos en los términos de la presente ley;

d) controlar el cumplimiento de los requisitos y garantías que deben reunir los tratamientos de datos de conformidad con la presente ley y las reglamentaciones que dicte la autoridad de control; a tal efecto, podrá solicitar autorización judicial para acceder a locales, equipos, o programas de tratamiento de datos a fin de verificar infracciones al cumplimiento de esta ley;

e) solicitar información a las entidades públicas y privadas, las que deberán proporcionar los antecedentes, documentos, programas u otros elementos relativos al tratamiento de datos que se le requieran; en estos casos, la autoridad deberá garantizar la seguridad y confidencialidad de la información y elementos suministrados;

f) imponer las sanciones administrativas que, en su caso, correspondan por violación a las normas de la presente ley y de las reglamentaciones que se dicten en su consecuencia;

g) percibir las tasas que se fijen por ley por los servicios de inscripción y otros que preste;

h) constituirse en querellante en las acciones penales que se promovieran por violaciones a la presente ley;

i) homologar los mecanismos de autorregulación vinculantes y supervisar su cumplimiento;

j) diseñar su estructura orgánica de funcionamiento y designar a su planta de agentes;

k) elaborar su presupuesto anual;

l) solicitar información a los delegados de protección de datos, en los términos de lo previsto en la presente ley;

m) publicar un informe anual de rendición de cuentas de gestión;

n) elaborar y presentar ante el HONORABLE CONGRESO DE LA NACIÓN propuestas de reforma legislativa respecto de su área de competencia;

ñ) celebrar convenios de cooperación y contratos con organizaciones públicas o privadas, nacionales o extranjeras, en el ámbito de su competencia, para el cumplimiento de sus funciones.

Capítulo 8. Procedimientos y sanciones

ARTÍCULO 71

Procedimiento. A los efectos de constatar el cumplimiento de las disposiciones de la presente ley, la autoridad de control podrá iniciar procedimientos:

a) a instancias del titular de los datos o de su representante legal;

b) de verificación de oficio;

c) de verificación por denuncia de un tercero.

La autoridad de control podrá en cualquier momento del procedimiento buscar una conciliación entre el titular de los datos y el responsable del tratamiento.

De llegarse a un acuerdo de conciliación entre ambos, esté se hará constar por escrito y tendrá efectos vinculantes.

La autoridad de control determinará el procedimiento que se aplicará a la conciliación.

ARTÍCULO 72

Trámite de protección de los datos personales. El titular de los datos o su representante legal puede iniciar un trámite de protección de los datos personales presentando ante la autoridad de control una solicitud, de manera escrita y por cualquier medio habilitado por la autoridad de control, expresando con claridad el contenido de su requerimiento y de los preceptos de esta ley que se consideran vulnerados. La presentación debe realizarse ante la autoridad de control dentro de los TREINTA (30) días siguientes a la fecha en que se comunique la respuesta al titular de los datos por parte del responsable del tratamiento, de acuerdo a lo previsto en el artículo 34, párrafos segundo y tercero, de la presente ley.

En el caso de que el titular de los datos no reciba respuesta por parte del responsable del tratamiento dentro de los DIEZ (10) días hábiles de haberlo intimado fehacientemente, basta que el titular de los datos acredite la fecha en que presentó la solicitud ante el responsable del tratamiento.

Iniciado el trámite de protección de los datos personales previsto en este artículo ante la autoridad de control, se dará traslado de aquél al responsable del tratamiento, para que en el plazo de DIEZ (10) días hábiles, emita respuesta, ofrezca las pruebas que estime pertinentes y manifieste por escrito lo que a su derecho convenga.

La autoridad de control admitirá las pruebas que estime pertinentes. Asimismo, podrá solicitar del responsable del tratamiento las demás pruebas que considere necesarias. Concluida la recepción de pruebas, la autoridad de control notificará al responsable del tratamiento el derecho que le asiste para que, de considerarlo necesario, presente sus alegatos dentro de los CINCO (5) días hábiles siguientes a su notificación.

ARTÍCULO 73

Trámite de verificación de oficio o por denuncia de un tercero. La autoridad de control verificará el cumplimiento de la presente ley y de la normativa que de ésta derive. La verificación podrá iniciarse de oficio o por denuncia de un tercero.

A efectos de practicar la verificación, la autoridad de control tendrá acceso a la información y documentación que considere necesarias, de acuerdo a lo previsto en la presente ley y a la reglamentación correspondiente.

En caso de que corresponda, se aplicará al trámite lo previsto en el artículo 72, párrafos tercero y cuarto, de la presente ley.

ARTÍCULO 74

Resolución. La resolución de la autoridad de control podrá:

a) archivar los trámites mencionados en los artículos 72 y 73 de la presente ley;

b) en caso de considerar que asiste derecho al titular de los datos, requerirle al responsable del tratamiento que haga efectivo el ejercicio de los derechos objeto de protección, debiendo dar cuenta por escrito de dicho cumplimiento a la autoridad de control dentro de los QUINCE (15) días hábiles de efectuado;

c) de verificarse incumplimientos a la presente ley, imponer una sanción de las previstas en el artículo 76.

d) La autoridad de control dictará la resolución que corresponda dentro de un plazo razonable, atendiendo a la complejidad del tema a resolver.

ARTÍCULO 75

Recursos. Las resoluciones de la autoridad de control agotarán la vía administrativa a los efectos de lo previsto en la Ley Nacional de Procedimientos Administrativos nº 19.549. No procederá el recurso de alzada. Agotada la vía administrativa, las resoluciones previstas en el artículo 76 serán recurribles por ante la CÁMARA NACIONAL DE APELACIONES EN LO CONTENCIOSO ADMINISTRATIVO FEDERAL de la CAPITAL FEDERAL.

ARTÍCULO 76

Sanciones. Una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del responsable del tratamiento o del encargado del tratamiento, la autoridad de control impondrá las medidas o las sanciones correspondientes.

La autoridad de control podrá imponer a los responsables y encargados del tratamiento las siguientes sanciones:

a) apercibimiento;

b) multa que podrá alcanzar el equivalente a QUINIENTOS (500) Salarios Mínimo Vital y Móvil vigentes al momento de la imposición de la sanción;

c) suspensión de las actividades relacionadas con el tratamiento de datos hasta por un término de SEIS (6) meses; en el acto de suspensión se indicarán los correctivos que se deberán adoptar;

d) cierre temporal de las operaciones relacionadas con el tratamiento de datos una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la autoridad de control;

e) cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles.

Al ordenar la suspensión o cierres previstos en los incisos c), d) y e) la autoridad de control podrá ordenar que, de manera temporal o definitiva, se retire, bloquee, suspenda y/o inhabilite el acceso a los datos personales a los que los responsables del tratamiento den acceso, interconecten, transmitan o direccionen, almacenen, alojen, intermedien, enlacen o busquen, que lesionen derechos legalmente reconocidos. A tal efecto, la autoridad de control deberá precisar, de acuerdo a lo informado por el titular de los datos, el enlace en el que se encuentren alojados los datos personales o los procedimientos para acceder a aquél. En ningún caso, estas medidas podrán afectar el derecho a la libertad de expresión e información.

Las sanciones indicadas en el presente artículo sólo se aplican para las personas de naturaleza privada. En el caso en el cual la autoridad de control advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la autoridad que corresponda para que inicie la investigación respectiva.

En todos los casos, la autoridad de control podrá disponer, a costa del responsable, la publicación de la resolución en el diario de mayor circulación de la jurisdicción donde se encuentre establecido el responsable.

ARTÍCULO 77

Gradación. Las sanciones por infracciones a las que se refiere el artículo 76 se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables:

a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;

b) el beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción;

c) la reincidencia en la comisión de la infracción;

d) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la autoridad de control;

e) el incumplimiento de los requerimientos u órdenes impartidas por la autoridad de control;

f) el reconocimiento o aceptación expreso que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

La designación voluntaria de un delegado de protección de datos, la adopción de mecanismos de autorregulación vinculantes, la realización de una evaluación de impacto en los términos del artículo 40 y la notificación oportuna de incidentes de seguridad, serán merituados como atenuantes de la sanción que corresponda, sin perjuicio de otros que pueda considerar la autoridad de control.

Capítulo 9. Acción de habeas data

ARTÍCULO 78

Procedencia. La acción de habeas data procede para tutelar los derechos que resulten restringidos, alterados, lesionados o amenazados por un tratamiento de datos personales contrario a la presente ley por parte de las autoridades públicas o por particulares. Esta acción procederá especialmente para ejercer los derechos de acceso, rectificación, oposición, cancelación y portabilidad de los datos previstos en la presente ley.

En los casos en que se presuma o se hubiera verificado la falsedad, inexactitud, desactualización de la información de que se trata, o se hubiera realizado un tratamiento de datos ilícito o prohibido, la acción de habeas data procederá para ejercer los derechos de rectificación, de oposición, o de supresión previstos en los artículos 29, 30 y 31; el derecho de oposición también podrá ser ejercido en los supuestos del artículo 32 de la presente ley.

ARTÍCULO 79

Legitimación activa y pasiva. La acción de habeas data podrá ser ejercida por el titular de los datos afectado, sus tutores, curadores o por el titular de la responsabilidad parental o tutela en caso de niños, niñas o adolescentes. En el caso de las personas humanas fallecidas, la acción podrá ser ejercida por sus sucesores universales.

La acción podrá ser también intentada en representación plural, sectorial o colectiva, siempre que su objeto se limite a la impugnación de tratamientos que conlleven violaciones generalizadas, pero en tal caso los promotores de tales acciones no podrán tener acceso a los datos de las demás personas que integran el colectivo por ellas representados, sino sólo a los datos propios. Tendrán legitimación para interponer esta acción el titular de los datos, el Defensor del Pueblo, las asociaciones sectoriales, la autoridad de control y el Ministerio Público.

En el proceso podrá intervenir, en forma coadyuvante y cuando corresponda, la autoridad de control, quien será notificada del inicio de la acción de habeas data.

La acción procede respecto de los responsables del tratamiento. Excepcionalmente los responsables del tratamiento podrán interponer la acción contra otros responsables o encargados del tratamiento cuando éstos últimos incumplan con sus obligaciones legales o convencionales y esto pueda acarrearles perjuicio.

ARTÍCULO 80

Competencia. Será competente para entender en esta acción el juez del domicilio del actor o del demandado, a elección del actor.

Procederá la competencia federal cuando la acción:

a) se interponga en contra de los responsables del tratamiento que sean parte de la Administración Pública Nacional;

b) se interponga en contra del responsable del tratamiento de datos accesibles en redes interjurisdiccionales, nacionales o internacionales.

ARTÍCULO 81

Procedimiento aplicable. La acción de habeas data tramitará según las disposiciones de la presente ley y, supletoriamente, según el procedimiento que corresponde a la acción de amparo común y según las normas del CÓDIGO PROCESAL CIVIL Y COMERCIAL DE LA NACIÓN, en lo atinente al juicio sumarísimo.

El juez dispondrá de amplias facultades para adaptar los procedimientos de acuerdo a las circunstancias particulares del caso y a fin de dar mayor eficacia tuitiva al proceso.

ARTÍCULO 82

Requisitos de la demanda. La demanda deberá interponerse por escrito, individualizando con la mayor precisión posible el nombre y domicilio del responsable del tratamiento y, en su caso, el nombre de la base de datos o cualquier otra información que pudiera ser útil a efectos de identificarla. En el caso de bases de datos públicas, se procurará establecer autoridad u organismo público del cual dependan el responsable o el encargado del tratamiento.

El accionante deberá alegar las razones por las cuales entienda que se esté

efectuando tratamiento de datos referido a su persona y los motivos por los cuales considere que procede el ejercicio de los derechos que le reconoce la presente ley. Deberá asimismo justificar el cumplimiento de los recaudos que hacen al ejercicio de tales derechos.

El accionante podrá solicitar al Juez que, mientras dure el procedimiento, el responsable o el encargado del tratamiento informe que la información cuestionada está sometida a un proceso judicial.

El juez podrá disponer el bloqueo provisional del acceso a la base de datos en lo referente a los datos personales motivo del juicio cuando sea manifiesto el carácter ilícito del tratamiento de esos datos o ellos sean inequívocamente falsos o inexactos.

ARTÍCULO 83

Trámite. Admitida la acción, el juez requerirá al responsable del tratamiento la remisión de la información concerniente al accionante y el ofrecimiento de la prueba pertinente. Podrá asimismo solicitar, en caso que corresponda, esa información al encargado del tratamiento o al delegado de protección de datos. También podrá requerir informes sobre el soporte técnico de datos, documentación de base relativa a la recolección y cualquier otro aspecto que resulte conducente a la resolución de la causa que estime procedente.

El plazo para contestar el informe no podrá ser mayor de CINCO (5) días hábiles, el que podrá ser ampliado prudencialmente por el juez.

Los responsables o encargados del tratamiento o delegados de protección de datos no podrán alegar la confidencialidad de la información que se les requiere, salvo el caso en que se afecten las fuentes de información periodística.

Cuando un responsable o encargado del tratamiento o delegado de protección de datos se oponga a la remisión del informe solicitado, con invocación de las excepciones autorizadas por la presente ley o por una ley específica, deberá acreditar los extremos que hacen aplicable la excepción legal. En tales casos, el juez podrá tomar conocimiento personal y directo de la información requerida manteniendo su confidencialidad.

ARTÍCULO 84

Contestación del informe. Al contestar el informe, el responsable o encargado del tratamiento o el delegado de protección de datos deberá expresar las razones por las cuales efectuó el tratamiento cuestionado y, en su caso, aquellas razones por las que no evacuó el pedido efectuado por el accionante.

ARTÍCULO 85

Ampliación de la demanda. Contestado el informe, el actor podrá, en el término de TRES (3) días, ampliar el objeto de la demanda, ofreciendo en el mismo acto la prueba pertinente. De esta presentación se dará traslado al demandado por igual término para que conteste y ofrezca prueba.

ARTÍCULO 86

Sentencia. Vencido el plazo para la contestación del informe o contestado éste, y en el supuesto del artículo 85, luego de contestada la ampliación y en su caso, habiendo sido producida la prueba, el juez dictará sentencia.

En el caso de estimarse procedente la acción, se especificará si la información debe ser bloqueada, suprimida, rectificada, o actualizada, estableciendo un plazo para su cumplimiento. En ningún caso, la sentencia podrá afectar el derecho a la libertad de expresión e información.

El rechazo de la acción no constituye presunción respecto de la responsabilidad en que hubiera podido incurrir el demandado.

En cualquier caso, la sentencia deberá ser comunicada a la autoridad de control.

Contra la sentencia procede el recurso de apelación.

Capítulo 10. Disposiciones transitorias

ARTÍCULO 87

Estructura organizativa. En el plazo de CIENTO OCHENTA (180) días hábiles posteriores a la asunción de su cargo, el Director Ejecutivo de la ANPDP presentará un proyecto de estructura organizativa y reglamentación interna, para su aprobación por el PODER EJECUTIVO NACIONAL y publicación en el Boletín Oficial.

Incorpórese a la planta de personal de la ANPDP a quienes, a la fecha de entrada en vigencia de la presente ley, cumplan funciones en la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES y hayan sido contratados en el marco de las Leyes nros. 23.283 y 25.164. A dicho personal se le respetarán los beneficios y condiciones laborales actuales. El personal contratado en el marco de la Ley nº 23.283, que a la fecha de entrada en vigencia de la presente ley, se encuentre cumpliendo funciones en la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES y no acepte ser incorporado a la planta de la ANPDP, tendrá derecho a percibir la indemnización correspondiente por cese laboral en los términos de lo previsto por la Ley nº 20.744, la que será solventada por el Fondo de Cooperación Técnica y Financiera previsto en el artículo 8° de la Ley nº 23.283.

ARTÍCULO 88

Presupuesto. Instrúyase al Jefe de Gabinete de Ministros para que, en uso de sus facultades, efectúe las reestructuraciones presupuestarias que fueren necesarias a los efectos de asignar los créditos, cargos y cualquier otra adecuación necesaria para el financiamiento de la ANPDP.

Deberá preverse en el presupuesto correspondiente la incorporación de los recursos necesarios para el correcto cumplimiento de las funciones de la ANPDP.

Transfiérase la totalidad de los bienes, presupuesto vigente, activos, patrimonio y personal de la actual DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES.

Una vez canceladas las deudas que en la actualidad mantenga el ente cooperador que hubieran sido autorizadas conforme la normativa vigente, los saldos resultantes del fondo de cooperación técnica y financiera serán ingresados a la cuenta de Rentas Generales del Tesoro de la Nación, la cual generará las correspondientes partidas presupuestarias con afectación específica a la ANPDP.

ARTÍCULO 89

Reglamentación. El PODER EJECUTIVO NACIONAL reglamentará la presente ley dentro de los CIENTO OCHENTA (180) días desde su promulgación.

ARTÍCULO 90

Vigencia. Las disposiciones de la presente ley entrarán en vigencia a los DOS (2) años de su publicación en el Boletín Oficial.

Los responsables y encargados del tratamiento contarán con el plazo máximo de DOS (2) años desde la publicación de la presente ley en el Boletín Oficial, para adaptarse a las obligaciones contenidas en ella. En dicho plazo, conservarán plena vigencia las Leyes nros. 25.326, 26.343 y 26.951, sus normas reglamentarias y las demás disposiciones de la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES.

El Registro Nacional “No Llame”, creado por la Ley nº 26.951, será transferido al nuevo registro creado por el artículo 46 de la presente ley de acuerdo a lo que prevea su reglamentación.

Capítulo 11. Disposiciones finales

ARTÍCULO 91

Orden público y jurisdicción federal. Las normas de la presente ley contenidas en los Capítulos 1, 2, 3, 4, y 6 son de orden público y de aplicación en lo pertinente en todo el territorio nacional.

Se invita a las provincias a adherir a las normas de esta ley que fueren de aplicación exclusiva en jurisdicción nacional.

La competencia federal regirá respecto de:

a) los tratamientos de datos efectuados por las autoridades u organismos públicos pertenecientes a la Administración Pública Nacional;

b) los tratamientos de datos efectuados por el sector privado, cuando los datos se encuentren accesibles en redes interjurisdiccionales, nacionales o internacionales.

ARTÍCULO 92

Referencias. Las referencias de aquellas normas que hagan mención a la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES, su competencia o sus autoridades, se considerarán hechas a la ANPDP, su competencia o sus autoridades, respectivamente.

ARTÍCULO 93

Derogación. Deróganse las Leyes nros 25.326, 26.343 y 26.951.

ARTÍCULO 94

Comuníquese al PODER EJECUTIVO NACIONAL.

15Sep/15

El final del dato personal: mantener o destruir

El tratamiento de los datos personales tiene tres fases diferenciadas, la etapa de recabo de datos, la de tratamiento propiamente dicho y por ultimo la de cancelación o finalización del tratamiento. Esta última etapa tiene gran importancia ya que debemos conocer qué significa este final y como actuar con los datos.

Normalmente cuando hablamos de final de algo, lo primero que nos viene a la cabeza es que ya se puede eliminar o destruir, pero este no es necesariamente el caso cuando tratamos datos personales por lo que vamos a analizar de forma resumida como finaliza el tratamiento y las acciones a tomar.

El final del tratamiento del dato puede venir por dos causas, que desaparezca la finalidad por la que fueron recabados o por petición expresa del afectado en el ejercicio de sus derechos. De esta manera el artículo 4 donde se establece uno de los principios fundamentales de la LOPD dice que

los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.”

De la lectura del texto nos queda la idea de que el factor fundamental que tenemos que tener en cuenta es la finalidad para la que se recabo el dato, una vez desaparezca la finalidad, el dato también. En principio parece sencillo pero como todo tiene sus excepciones y términos que no son lo que en principio una persona que no conoce en profundidad la Ley podría interpretar.

Cuando se nos habla de cancelar un dato personal, no se debe entender con ello la propia destrucción, sino que es un término más amplio al que podemos atribuir varios conceptos. Por un lado se puede entender como un mantenimiento del dato pero ‘sin uso’ y por otro la propia eliminación o destrucción.

La legislación en protección de datos no es ajena a las obligaciones, necesidades y responsabilidades impuestas por el ordenamiento jurídico a las empresas o autónomos como responsables del tratamiento, es por ello que en respuesta a estas necesidades ya sean fiscales, laborales, administrativas o a la rama que correspondan, la legislación en protección de datos prevé la posibilidad de mantener datos cuya finalidad ya ha desaparecido o cuya cancelación ha sido solicitada por el afectado. Este caso podríamos definirlo como una cancelación ‘de uso’, es decir, se me permite mantener los datos durante el tiempo que la legislación correspondiente me obliga para atender los posibles requerimientos de información de la Administración, pero no me permite utilizarlos para nada más, se podría decir que están apartados de la actividad esperando a agotar el plazo al que están sometidos por otra ley, para posteriormente ser destruidos.

Es importante resaltar que esto no supone un cheque en blanco para mantener datos, se deberá estar a lo dispuesto, y por los plazos establecidos, en las leyes que sean de aplicación al caso.

Finalmente, y ahora sí, una vez se hayan agotado los plazos los datos deberán ser destruidos. Recordar que la destrucción debe realizarse siempre utilizando medios que garanticen que la información no puede volver a ser recuperada por ningún medio, es decir, se deben utilizar siempre destructoras de papel, formateo de equipos o soportes, empresas de destrucción certificada, etc.

Áudea Seguridad de la Información, S.L.

Álvaro Aritio
Departamento Derecho TIC
www.audea.com

 

10Sep/15

Plataforma E-learning de Áudea

Os presentamos la nueva Plataforma E-learning de Áudea, creada a partir de dos sistemas de gestión de distribución libre MOODLE y SCORM, que también se conocen como LMS (Learning Management System).

La modalidad online nos ofrece una formación de alto nivel, accesible, cómoda, económica y flexible, y nos permite disponer al instante de todos los materiales necesarios para completar la formación.

La libertad de horarios que nos ofrece esta modalidad permite la deslocalización y además facilita la interacción tanto profesor-alumno como de los alumnos entre sí, permitiendo además la posibilidad de realizar simulaciones virtuales en entornos controlados y facilitar la posibilidad de mantener actualizados los contenidos.

Los cursos que disponemos actualmente son los siguientes:

  • Curso de Sensibilización LOPD
  • Curso de Sensibilización de Seguridad de la Información
  • Curso de Concienciación sobre el uso de Datos Personales
  • Curso de Experto en Protección de Datos
  • Curso de Sistema de Gestión de Seguridad de la Información – ISO/IEC 27001

Damos la posibilidad de ver un curso demostración para que pueda navegar a través de nuestro entorno y conocer su funcionalidad. Solicite usuario y contraseña en [email protected]

Accede a la plataforma y comienza a formarte con nosotros!

 

Áudea Seguridad de la Información
Departamento de Marketing
www.audea.com

01Ene/15

Diferentes aspectos del tratamiento de los datos personales por los corredores de seguros y reaseguros

Diferentes aspectos del tratamiento de los datos personales por los corredores de seguros y reaseguros.

Las funciones de una correduría de seguros y reaseguros, y especialmente su papel de mediador entre el interesado y compañías aseguradoras, puede plantear ciertas dudas respecto si considerarlas como responsable o encargado de tratamiento, puesto que por un lado parecen ser responsables como las entidades que recaban los datos de los interesados y deciden sobre su finalidad y por el otro, se les encarga unos determinados servicios de mediación.

Las funciones y obligaciones de los corredores se limitarán en principio, a las de ofrecer información veraz y suficiente en la promoción, oferta y suscripción de las pólizas de seguro y en su actividad de asesoramiento. Es decir, sus obligaciones son, básicamente, de carácter informativo y asesor, no pudiendo imponer directa o indirectamente la celebración del contrato de seguro.

Para determinar la condición del corredor de seguros y reaseguros, la Ley 26/2006, de 17 julio de Mediación de seguros y reaseguros privados, en sus artículos 62 y 63 analiza esta figura jurídica desde el punto de vista de protección de datos de carácter personal.

En el artículo 62. 1. c. se especifica que “A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) los corredores de seguros y los corredores de reaseguros tendrán la condición de responsables del tratamiento respecto de los datos de las personas que acudan a ellos.”, que a su vez significa que las aseguradoras cesionarias y destinatarias de esta información, serían también responsables de los ficheros que recogiesen datos de los asegurados. En este sentido, también sería de aplicación el artículo 11. 2. c. de la LOPD que indica que “Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros” no será preciso el previo consentimiento del interesado, aunque las corredurías, por la propia naturaleza de los servicios que prestan, cuentan desde el principio con el consentimiento de las personas que solicitan sus servicios a comunicar sus datos a las entidades aseguradoras.

¿Pero qué pasará cuando la relación contractual entre el asegurado y la aseguradora se extingue, podrá la correduría mantener la información relativa a los asegurados o negociar la contratación de pólizas con otras compañías?

La condición de responsable del tratamiento de la correduría implica que una vez extinguida esta relación, no procederá a la devolución de los datos, tal y como se obliga al encargado de tratamiento en los términos del artículo 12 de la LOPD, sino que debe proceder a su cancelación, como señala el artículo 4.5 de la LOPD “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.” Por lo que el corredor que haya dejado de ostentar la condición de mediador de seguros, debe de proceder a cancelar de su base de datos la información relativa al asegurado.

Respecto del consentimiento del interesado para tratar sus datos, el artículo 6.2 de la LOPD indica que “No será preciso el consentimiento… cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…” por lo que tratándose en este caso de una relación negocial hay que entender que el consentimiento del interesado está implícito en esta relación. No obstante, el artículo 63 de la Ley 26/2006 en sus apartados 3 y 4 lo especifica aún más apuntando que “Los corredores de seguros podrán tratar los datos de las personas que se dirijan a ellos, sin necesidad de contar con su consentimiento:

a) Antes de que aquéllos celebren el contrato de seguro, con las finalidades de ofrecerles el asesoramiento independiente, profesional e imparcial al que se refiere esta Ley y de facilitar dichos datos a la entidad aseguradora o reaseguradora con la que fuese a celebrarse el correspondiente contrato.

b) Después de celebrado el contrato de seguro, exclusivamente para ofrecerles el asesoramiento independiente, profesional e imparcial al que se refiere esta Ley o a los fines previstos en su artículo 26.3.

Por consiguiente, para la utilización y tratamiento de los datos para cualquier otra finalidad distinta de las establecidas en las dos letras anteriores, los corredores de seguros deberán contar con el consentimiento inequívoco de los interesados. Resuelto el contrato de seguro en cuya mediación hubiera intervenido un corredor de seguros o un corredor de reaseguros, éste deberá proceder a la cancelación de los datos.

En definitiva, el corredor de seguros o reaseguros no podrá facilitar los datos del interesado a otra entidad distinta de aquélla con la que el interesado hubiera celebrado el contrato resuelto si no media su consentimiento inequívoco.

Es mucho más evidente que tampoco puede, sin el consentimiento del interesado permitirse la libertad de contratarle una nueva póliza con otra aseguradora, aunque esto pudiera suponer un beneficio para el interesado. Para poder contratar una nueva póliza de seguro o cualquier otro producto de aseguramiento es imprescindible mandato expreso del interesado a la correduría de seguros.

En consecuencia si un corredor de seguros, una vez resuelto el contrato entre el asegurado y la compañía aseguradora, quisiera mantener los datos del asegurado para destinarlos a otra finalidad y, en particular, para utilizarlos en la celebración de un nuevo contrato con otra compañía aseguradora, debería primero informar al interesado sobre el producto de aseguramiento y luego recabar su consentimiento inequívoco.

Asimismo, ésta ha sido la postura adoptada por la Agencia Española de Protección de Datos en relación a tratamientos de datos personales realizados por las corredurías de seguros o reaseguros y que ha expresado tanto en sus informes jurídicos como en sus resoluciones sancionadoras.

01Ene/15

La protección de datos de carácter personal y su incidencia en la relación laboral

La protección de datos de carácter personal y su incidencia en la relación laboral

La implantación de las nuevas tecnologías de la información y de la comunicación en el ámbito del Derecho del Trabajo tiene diversas connotaciones e incidencias. El tratamiento de datos aparece tanto en aspectos de control de la actividad empresarial, así como en el proceso de selección e identificación de aspectos personales, como puede ser algunos relativos a la salud del trabajador. En la gestión de RRHH la utilización o tratamiento de datos es una realidad incuestionable, un aspecto más de la organización empresarial.

Concurren por tanto diversas perspectivas, siendo la primera la dificultad la de trasplantar el régimen jurídico propio del derecho de protección de datos a las peculiaridades de la relación laboral. La segunda, la dificultad de delimitar jurídicamente el ámbito del derecho fundamental a la protección de datos, frente a otro derecho reconocido también constitucionalmente dentro del ejercicio de las facultades y potestades empresariales, y por tanto las posibles colisiones que puede tener con los derechos fundamentales de los ciudadanos y por ende de los trabajadores dentro del seno de la empresa.

Download the PDF file .

Descargar

01Ene/14

Aplicación Práctica del Derecho de Acceso a los Datos Personales

Aplicación Práctica del Derecho de Acceso a los Datos Personales
(La Sentencia del TS de 26 de enero de 2010)

Dentro del abanico de los derechos de protección de datos, aparece concretamente el de acceso a los mismos, recogido en el artículo 15 de la LOPD y que nos viene a decir que el titular de los datos puede y debe ejercer su derecho de acceso ante el responsable del fichero. Puede conocer también si han sido actualizados o no o bien si se quiere rectificarlos, pero éstos ya son otros derechos contemplados en el articulado y que no son objeto ahora mismo de comentario.

La sentencia que estudiamos aquí es un recurso de casación que interpuso la representación procesal de la Universidad Nacional de Educación a Distancia (en adelante UNED) para desestimar la sentencia recurrida de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional cuya cuestión controvertida no es mas que el derecho de acceso a los datos personales que parece ser ha sido infringido por una de las partes.

Por tanto, conocemos que se trata de un recurso de casación interpuesto como bien se sabe ante el Tribunal Supremo, cuyas partes legitimadas son por un lado: la representación procesal de la UNED como recurrente y la parte recurrida, el Abogado del Estado.

En lo concerniente a la disputa interpretativa ,el origen de la controversia se encuentra en la reclamación que hizo en 2004 un particular (el solicitante) ante la Agencia Española de Protección de Datos (en adelante la AEPD) pidiendo una reclamación de responsabilidad patrimonial de la Administración por daños que se derivaban de la comunicación no consentida de datos personales a terceros y por otro lado la solicitud de acceso a los datos personales.

También se alega por parte del particular la elección de medios de acceso que según él es para el propio solicitante. Creo que ésta es la parte mas relevante de la sentencia pues nos preguntamos si es cierto que ha habido violación del artículo 15 de la LOPD en lo que a medios de acceso se refiere o si la parte recurrente en casación concede este derecho de acceso.

Precisamente situándonos desde la perspectiva de la UNED,son 3 los motivos que se presentan en el recurso:el primero de ellos,basándonos en el artículo 88.3 de la LJCA,por el que el recurrente creyó que la sentencia recurrida de la AN debió mencionar que en la web de la UNED se daba la posibilidad al alumnado de acceder a sus datos personales mediante una clave que la universidad da a acada uno de ellos.Como veremos posteriormente este motivo no es admitido por el alto tribunal.

El segundo de los motivos es en base al artículo 88.1 d de la LJCA por el que la recurrente considera que se trata de una reclamación de responsabilidad patrimonial de la Administración en consecuencia infracción del artículo 70 de la LRJ-PAC y no estamos ante una solicitud de acceso a los datos personales.

El tercero y último de los motivos de los que se compone este recurso de casación es al hilo también del mismo artículo 88.1 d de la LJCA por el que se considera infracción del artículo 15 de la LOPD, pues el solicitante no tiene facultad de elegir el medio de acceso a sus datos personales.

Entrando ya en el núcleo del comentario, vemos y analizamos cómo el Tribunal Supremo señala el motivo segundo como el mas importante, el primero es descartado por completo y no lo admite. La propia sentencia señala en su fundamento de derecho tercero:“el motivo primero no puede ser admitido ,pues está incorrectamente formulado. El apartado tercero del artículo 88 de la LJCA en que se basa, no configura uno de los tipos de motivos tasados en que puede fundarse el recurso de casación….”.También señala que:” es incorrecto que la recurrente aduzca como un motivo de casación autónomo la circunstancia de que la sentencia impugnada no haga referencia expresa a que todo alumno de la UNED tiene posibilidad de acceso permanente a sus datos personales por vía informática”.

         Todavía en este primer motivo ,a mi modo de ver, parece que la AEPD va a darle la razón a la recurrente pero termina diciendo que no se puede exonerar de responsabilidad a ésta debido a que no se le ha dado la posibilidad al solicitante de elegir por qué medios va a acceder a sus datos personales. Creo sin lugar a dudas que no existe infracción del derecho de acceso a los datos, pues es la UNED la que permite mediante las claves personales a las que he hecho mención anteriormente, el tener conocimiento de toda la información que sobre el alumno hay en la web de la universidad y que por supuesto como bien menciona la sentencia es de mala fé:“reprochar a otro no haber hecho algo que en realidad, ya ha hecho”. Parece ser que la UNED según la propia AEPD tenía que haberle dicho al solicitante qué medios quería para acceder a los datos.

       El segundo de los motivos es el que me parece mas importante, no solo por el hecho de que es admitido por el TS, sino porque aquí se presenta el debate de sí es posible en un solo escrito ,venir recogido dos o mas solicitudes diversas. Ciertamente, el alto tribunal considera que:“la recurrente no tiene razón en sostener que el escrito de x de 9 de Febrero de 2004 no era solicitud de acceso a sus datos personales, sino solo una reclamación de responsabilidad patrimonial de la Administración”.

       Estamos de acuerdo con la decisión que da el Tribunal Supremo  en lo atinente a que aun dando como válido la propia solicitud de acceso a los datos personales de por sí resultaba justificada, pues ya se daba la posibilidad al alumno de acceder a éstos. Es mas, es la propia AEPD en su escrito de 2004 la que no explica concretamente que medio de acceso quería el solicitante. Basta tan solo con la posibilidad real de acceso como para descargar de responsabilidad a la propia UNED. El fundamento cuarto así lo aclara:“no se trata solo de que el solicitante dispusiera de la posibilidad permanente de acceso a sus datos personales por vía informática, sino que en su escrito de 9 de Febrero de 2004 no especificó mediante qué concreto medio de acceso quería que su derecho fuese satisfecho; y en estas circunstancias, afirmar que se le denegó el acceso en el plazo legalmente previsto resulta sencillamente una abusiva deformación de la realidad”.

El tercer motivo del recurso de casación no se analiza ;se deriva de lo anteriormente comentado: que el solicitante disponía de los medios de acceso.

Finalmente, el fallo de la sentencia es la anulación de la resolución de la AEPD y también de la sentencia de la AN, sin imposición de costas.

     Pedro Jesús Macías Torres

                            Sevilla-Febrero 2.010.

01Ene/14

Requerimientos de copias de seguridad de ficheros que contengan datos personales

Requerimientos de copias de seguridad de ficheros que contengan datos personales

Los requerimientos de copias de seguridad que exige la normativa sobre Protección de Datos se encuentran contenidos en los siguientes artículos del Reglamento:

“Nivel básico”

“Artículo 14. Copias de respaldo y recuperación.

1. El responsable de fichero se encargará de verificar la definición y correcta aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos.

2. Los procedimientos establecidos para la realización de copias de respaldo y para la recuperación de los datos deberá garantizar su reconstrucción en el estado en el que se encontraban al tiempo de producirse la pérdida o destrucción.

3. Deberán realizarse copias de respaldo, al menos semanalmente, salvo que en dicho período no se hubiera producido ninguna actualización de los datos”

“Nivel alto”

Artículo 24. Registro de accesos.

1. De cada acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.

2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido.

3. Los mecanismos que permiten el registro de los datos detallados en los párrafos anteriores estarán bajo el control directo del responsable de seguridad competente sin que se deba permitir, en ningún caso, la desactivación de los mismos.

4. El período mínimo de conservación de los datos registrados será de dos años.

5. El responsable de seguridad competente se encargará de revisar periódicamente la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados al menos una vez al mes.

Artículo 25. Copias de respaldo y recuperación.

Deberá conservarse una copia de respaldo y de los procedimientos de recuperación de los datos en un lugar diferente de aquél en que se encuentren los equipos informáticos que los tratan cumpliendo en todo caso, las medidas de seguridad exigidas en este Reglamento.”

En la práctica, lo que el reglamento exige es una clara política de copias de seguridad para el entorno profesional, que imposibilite un accidente en relación a la posible desaparición de ficheros que contengan datos personales. Para el nivel básico de datos, se establece que “deberán realizarse copias de respaldo al menos semanalmente” de los datos, salvo que “no se haya producido ninguna modificación” de los mismos. Esto implica que no basta con tener los datos en soportes magnéticos, como el disco duro del ordenador, sino que hace necesario el establecimiento de soluciones hardware o software que hagan que dichos datos se encuentren en otro lugar distinto al principal (lugar no en el sentido geográfico de la palabra: sino que exista, simplemente, otra copia de los datos que no solo sea, por ejemplo, el ordenador de la oficina). Y, como ya hemos visto, dicha copia debe de hacerse como mínimo semanalmente. Para el nivel alto de datos, se establece un periodo mínimo de conservación de los registros de acceso a datos de dos años, además de la obligación para el Responsable de Seguridad de la revisión de dichos accesos al menos una vez al mes y que las copias de seguridad de los datos han de descansar en un lugar -ahora sí- geográfico distinto al principal. Para la correcta conservación de los registros de accesos, se requerirá, igualmente, unas adecuadas medidas de copias de seguridad donde éstas se puedan conservar. En el documento de seguridad correspondiente se deberán describir los procedimientos de copias de seguridad que se establezcan. Recomendamos que sea el administrador o el Responsable de Seguridad -si lo hubiere, sino, obligatoriamente, el Responsable del Fichero- la persona que describa dichos procedimientos. A continuación, detallamos algunas soluciones informáticas a nivel de hardware que nos ofrece el mercado. Para implementar esta medida, es interesante la consulta al profesional de su negocio que tenga un perfil de conocimientos técnicos-informáticos mas altos (administrador de la red, por citar un ejemplo).

Sistemas de copias de seguridad

La publicación “Pc-actual”, realizó hace unos meses un estudio sobre los distintos medios hardware para copias de seguridad existentes. Destacaba lo siguiente:

Unidades CD-RW

Son la mejor opción a la hora de copiar archivos personales y en aquellos entornos profesionales donde se necesite grabar poca información y con una frecuencia no demasiado alta. Las principales ventajas con las que cuentan es que se trata de soluciones económicas, con un soporte de grabación igualmente barato, no requieren unos conocimientos informáticos elevados para su utilización y pueden ser recuperadas desde casi cualquier pc. Por el contrario, lo que puede echar para atrás es la limitación en su capacidad (650 o 700 MB), una velocidad de grabación inferior a otras unidades y una menor flexibilidad, sobre todo en el caso de que nos decidamos por discos cd-r, que sólo podremos grabar una vez. Con tales características, pensamos que es la mejor opción por lo económico tanto del soporte como de los consumibles. Además, han aparecido nuevos cds con hasta 900 MB de capacidad.

Unidades ZIP

Su baza es que resultan cómodos, ya que se manejan de la misma forma que un disco duro, y su velocidad es bastante adecuada. No obstante, debido a los años que ya llevan en el mercado, se las considera algo desfasadas. Su última revisión permitió que alcanzaran los 250 MB de capacidad máxima, una cifra que puede ser insuficiente para los usuarios más exigentes. Otro punto en contra hay que buscarlo en el precio de sus consumibles, es decir, los discos de tecnología magnética sobre los que se almacenan los datos. Uno viene a costar alrededor de 16 euros, lo que arroja un precio por megabyte muy superior al que nos puede dar un disco cd-rw, que ronda los 3 euros con una capacidad de 700 MB.

Unidades Magnético Ópticas

Estamos ante la alternativa preferida por aquellos profesionales que deban hacer copias de seguridad de su estación de trabajo, ya que su capacidad de almacenamiento es muy elevada y su fiabilidad y velocidad de lectura son excelentes. En un disco de tamaño similar a los disquetes de 3,5 pulgadas pueden guardar hasta 2.3 GB. Igualmente, hay que valorar que, al tratarse de un sistema magneto-óptico, el soporte no está expuesto al desgaste propio del uso continuado, al margen que su coste por megabyte se reduce al rondar su precio los 15 euros por disco. No obstante, la desventaja está en su precio, ya que, dependiendo de si se trata de una unidad interna, externa, Usb, SCSI, Ide o Firewire, deberemos desembolsarnos entre 240 y 480 euros

Otras Alternaticas

Aunque son los soportes de almacenamientos más populares, no son, ni mucho menos, los únicos. El grupo se completaría con las unidades de cinta desarrolladas para grandes entornos profesionales, pero también con nuevos productos como el Peerless, el Jaz de Iomega, o el LS-120. todos ellos atienden a los distintos perfiles de usuario a los que se dirigen, ya sea por precio, por capacidad o por prestaciones, y comparten un mismo problema: su escasa estandarización o la falta de una gran base instalada. Así, nos resultarán realmente útiles para nuestro propio uso, pero difíciles de compartir con otra persona, además de que sus consumi9bles no son sencillos de conseguir en el mercado. Como alternativa a estos sistemas, últimamente ha aparecido una nueva unidad de almacenamiento removible: las memorias flash usb. Estas memorias con forma de llavero, cuentan con capacidades de entre 16 y 512 MB, y son compatibles con plataformas windows y mac.

En cuanto a soluciones software, recomendamos la visita a http://www.kriptopolis.com, donde en la sección “descargas” podremos encontrar dichas soluciones para las copias de seguridad de los ficheros que contengan datos personales. Y es que si no tenemos buenos programas que acompañen a las soluciones hardware antes mentadas, tendremos una solución que no podremos utilizar debidamente.

 

01Ene/14

Cargos de los ficheros de datos personales

Cargos de los ficheros de datos personales

Hasta 3 tipos de cargos relacionados con los ficheros de datos personales se pueden distinguir en la Ley y el Reglamento:

Responsable del fichero

En todos los niveles de seguridad. El principal encargado, sujeto a la normativa sancionadora. Deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal en los términos establecidos en el Reglamento. Autoriza la ejecución de tratamiento de datos de carácter personal fuera de los locales de la ubicación del fichero. Elaborará el Documento de Seguridad. Adoptará las medidas necesarias para que el personal conozca las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias a que daría lugar su incumplimiento. Se encargará de que exista una relación actualizada de usuarios que tengan acceso autorizado al Sistema de Información. Establecerá los procedimientos de identificación y autenticación para dicho acceso. Establecerá mecanismos para evitar que un usuario pueda acceder a datos o recursos con derechos distintos de los autorizados. Será quien únicamente pueda autorizar la salida fuera de los locales en que esté ubicado el fichero de soportes informáticos que contengan datos de carácter personal. Verificará la definición y correcta aplicación de los procedimientos de realización de copias de respaldo y de recuperación de datos. Designará uno o varios responsables de seguridad. Adoptará las medidas correctas necesarias en función de lo que se diga en el informe de auditoría. Establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al Sistema de Información y la verificación de que esté autorizado. Autorizará por escrito la ejecución de los procedimientos de recuperación.

Encargado del Tratamiento

Se conecta con la figura del tercero que accede a los datos. Igualmente, sujeto a la normativa sancionadora. En todos los niveles de seguridad. Debe cumplir con las Medidas de Seguridad pertinentes, a tenor de tipo de dato al que acceda.

Responsable de Seguridad

Coordina todas las acciones de seguridad. Nombrado por el Responsable de Seguridad, pueden ser la misma persona y sólo es obligatorio para los niveles medio y alto. No está sujeto a la normativa de responsabilidad sancionadora de la Ley. Pueden ser uno o varios. Coordinará y controlará las medidas definidas en el Documento de Seguridad. No tiene delegada la responsabilidad que le corresponde al responsable del fichero. Analizará los informes de auditoría. Elevará las conclusiones del análisis al responsable del fichero. Controlará los mecanismos que permiten el registro de accesos. Revisará periódicamente la información de control registrada

Cada uno de ellos deberá estar perfectamente identificado en los documentos de seguridad. Todos están obligados por Ley (artículo 10) al secreto profesional de los datos. La vulneración del deber de secreto constituye infracción leve, grave o muy grave a tenor de la naturaleza de los datos almacenados que, en función de su mayor o menor relación con las exigencias de privacidad, requieren Medidas de Seguridad distintas.

17Abr/13

Iniciativa 01367-2013-PLO-SE Ley Orgánica sobre Protección de Datos de Carácter Personal

 

Proyecto de Ley Orgánica sobre Protección de Datos de Carácter Personal

Exposición de Motivos

La amplia gama de derechos protegidos que contempla nuestra Constitución, la convierte en uno de los instrumentos más garantistas que ha regido la nación dominicana. Ella comprende inclusive aquellos derechos fundamentales de tercera generación que hoy día significan una protección a los derechos colectivos que antes no existía.

Dentro del ámbito de esta protección de derechos individuales se encuentra el mandato constitucional de legislar sobre el derecho a la intimidad y al honor personal contenido en el artículo 44. Pero este derecho posee la peculiaridad de desdoblarse en varios ámbitos de aplicación que ameritan por igual una protección efectiva.

Uno de esos ámbitos lo es la protección contenida en el numeral 2 de tan importante artículo y que refiere al derecho de toda persona de acceder a la información y datos que de ella o sus bienes existan en cualquier registro, sea oficial o privado; conocer el destino y uso que se haga de ellos y la posibilidad de exigir judicialmente la actualización, oposición al tratamiento, rectificación o destrucción de aquellas informaciones que afecten sus

derechos. En definitiva, se trata sobre la protección de datos de carácter personal.

La protección de datos de carácter personal surge de la necesidad de adecuar los marcos normativos a la realidad de la sociedad actual: la sociedad de la información. Así lo establece la jurista dominicana, Rosalía Sosa: “el derecho a la protección de los datos personales de las personas se contrapone a la erosión y degradación que afectan a los derechos fundamentales ante determinados usos de la tecnología.”

Es por ello que la propia Constitución establece cuales son los principios que deben regir en cuanto al manejo de este tipo de datos, a saber: calidad, licitud, lealtad, seguridad y finalidad. Todo ello para proteger este ámbito de la intimidad que hoy día se encuentra vulnerable ante los masivos flujos de información que están al alcance de todos.

El principio de calidad implica que los datos de carácter personal que sean almacenados deben ser exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado; la licitud establece que los datos no pueden tener finalidades contrarias a las leyes y/o al orden público; por su parte, el principio de lealtad impone la prohibición de recoger los datos por medios fraudulentos o desleales; el principio de seguridad impone a los responsables de almacenar este tipo de datos, adoptar e implementar las medidas de índole técnica, organizativa y de seguridad necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento, consulta o acceso no autorizado; por último, el principio de finalidad implica que el tratamiento de este tipo de datos sólo se haga cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para los que se hayan obtenido.

Respondiendo a esta realidad y al mandato Constitucional hemos desarrollado la presente propuesta de Ley Orgánica sobre Protección de Datos de Carácter Personal.

Este proyecto ha sido elaborado siguiendo, en primer término, los parámetros constitucionales, y en segundo lugar, los lineamientos de otras legislaciones similares que colocarán a la República Dominicana a la par con países como Chile y España que ya cuentan con este tipo de normativa de avanzada.

De esta forma, el objeto del proyecto es garantizar la protección de los datos de carácter personal asentados en archivos, bancos de datos o cualquier otro medio de almacenamiento que sean objeto de tratamiento por parte de terceros, sean estos archivos de carácter público o privado, para que no sean objeto de un uso indiscriminado ni contrario a los principios establecidos por la Constitución dominicana.

De igual modo, se establece la tutela de los derechos de las personas titulares de la información y los medios con que cuentan para reclamar su respeto, tomando en cuenta el procedimiento de hábeas data ya establecido en la Ley Orgánica 137-11 del Tribunal Constitucional y de los Procedimientos Constitucionales.

Se crea, igualmente, la Agencia Dominicana de Protección de Datos con la finalidad de velar por el cumplimiento de esta normativa y regular y vigilar el manejo de datos de carácter personal dentro del ámbito nacional.

También se establece un sistema de sanciones administrativas para aquellas personas o entidades que incurran en infracciones y vulneren los derechos de los titulares de la información.

El proyecto como ya hemos dicho representa un avance hacia el Estado Social y Democrático de Derecho que establece nuestra Constitución en donde la protección del Estado debe llegar a todos los ámbitos de la vida de los ciudadanos, no en pro de un sistema intervencionista sino en pro de un sistema garantista.

 

Félix Bautista

, Senador Provincia San Juan

LEY ORGANICA SOBRE PROTECCION DE DATOS DE CARÁCTER PERSONAL

 

EL CONGRESO NACIONAL

 

En Nombre de la República

 

CONSIDERANDO PRIMERO: Que el derecho a la intimidad y al honor personal es un derecho fundamental establecido en la Constitución

de la República y reconocido por todas las convenciones y tratados internacionales sobre derechos humanos;

 

CONSIDERANDO SEGUNDO: Que la intimidad comprende el ámbito privado de la vida de una persona vedado para todas las demás que le rodean así como la información, datos y situaciones que en ese ámbito se genere, la cual

debe gozar igualmente de la protección adecuada ante a la injerencia de terceros no autorizados;

 

CONSIDERANDO TERCERO: Que toda persona tiene, el derecho de decidir sobre la utilización de los datos que sobre ella y sus bienes existan pudiendo acceder a los mismos de manera libre y demandar la actualización, rectificación o destrucción de tales datos cuando no sean acordes a la realidad o resultes lesivos para sus derechos;

 

CONSIDERANDO CUARTO: Que la Constitución de la República establece en su artículo 44.2 establece que “toda persona tiene el derecho a acceder a la información y a los datos que sobre ella o sus bienes reposen en los registros oficiales o privados, así como conocer el destino y el uso que se haga de los mismos, con las limitaciones fijadas por la ley. El tratamiento de los datos e informaciones personales o sus bienes deberá hacerse respetando los principios de calidad, licitud, lealtad, seguridad y finalidad. Podrá solicitar ante la autoridad judicial competente la actualización, oposición al tratamiento, rectificación o destrucción de aquellas informaciones que afecten ilegítimamente sus derechos”;

 

VISTOS:

La Constitución de la República;

La Declaración Universal de Derechos Humanos, del 10 de diciembre del año 1948;

El Pacto Internacional de Derechos Civiles y Políticos, del 23 de marzo del año 1976, ratificado por República Dominicana mediante Resolución 684, de fecha 27 de octubre de 1977;

La Convención Interamericana de Derechos Humanos, del 22 de noviembre del año 1969, ratificada por República Dominicana mediante Resolución nº 739 del 25 de diciembre del año 1977;

Ley 8-92 que pone bajo la dependencia de la Junta Central Electoral, la Dirección General de la Cédula de Identificación Personal y las Oficinas y Agencias Expedidoras de Cédulas, la Oficina Central del Estado Civil y las Oficialías del Estado Civil, del 18 de marzo del año 1992;

Ley 275-97 Electoral del 21 de diciembre del año 1997;

Ley 19-01 que crea el defensor del Pueblo, del 1 de febrero del año 2001;

Ley 42-01 General de Salud, del 8 de marzo del año 2001;

Ley 76-02 que estable el Código Procesal Penal de la República Dominicana, del 19 de julio del año 2002;

Ley 136-03 que crea el Código para el Sistema de Protección y los derechos Fundamentales de Niños, Niñas y Adolescentes, del 7 de agosto del año 2003;

Ley 200-04 General de Libre Acceso a la Información Pública, del 28 de julio del año 2004;

Ley 288-05 que crea las Sociedades de Intermediación Crediticia y de Protección al Titular de la Información, del 18 de agosto del año 2005;

Ley 176-07 del Distrito Nacional y los Municipios, del 12 de julio del año 2007;

Ley 481-08 General de Archivos de la República Dominicana, del 25 de noviembre del año 2008;

Ley 137-11 Orgánica del Tribunal Constitucional y los Procedimientos Constitucionales, del 9 de marzo del año 2011.

 

Ha dado la siguiente ley:

 

CAPÍTULO I.- DISPOSICIONES INICIALES

 

Sección I.- Del Objeto, Alcance, Ámbito de Aplicación, Restricciones y Principios

 

Artículo 1. Objeto.

La presente ley tiene por objeto garantizar y proteger el tratamiento y a toda modalidad de los datos personales asentados en archivos, registros, bancos de datos, u otros medios técnicos de tratamiento de datos registrados en cualquier soporte conocido o por conocer sean de titularidad privada o pública.

 

Artículo 2. Alcance.

La presente ley es de aplicación a los datos de carácter personal registrados en cualquier soporte que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos en los ámbitos público y privado dentro del territorio dominicano.

 

Artículo 3. Ámbito de Aplicación.

Esta ley rige todo tratamiento de datos de carácter personal:

1) Cuando el tratamiento sea efectuado en territorio dominicano en el marco de las actividades de un establecimiento del responsable del tratamiento.

2) Cuando al responsable del tratamiento no establecido en territorio dominicano, le sea de aplicación la legislación dominicana en aplicación de normas de Derecho Internacional Público.

3) Cuando el responsable del tratamiento de datos o el usuario de los mismos no esté establecido en territorio dominicano y utilice en el tratamiento de datos por medios situados en territorio dominicano.

4) Los archivos de datos personales regulados por la legislación de régimen electoral.

5) Los que sirvan a fines exclusivamente estadísticos, y estén amparados por la legislación dominicana sobre la función estadística pública.

6) Los que tengan por objeto el almacenamiento de los datos contenidos en los informes personales de calificación del personal de las Fuerzas Armadas.

7) Los derivados del Registro Civil y del Sistema de Información Criminal de la Procuraduría General de la república.

8) Los procedentes de imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas Armadas, de Seguridad y Organismos Policiales o de Inteligencia, asimismo como las empresas de vigilancia y seguridad privada de conformidad con la legislación sobre la materia. No obstante el responsable de los archivos de datos personales comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia Dominicana de Protección de Datos.

 

Artículo 4. Restricciones.

El régimen de protección de los datos de carácter personal que se establece en la presente ley no será de aplicación:

1) A los archivos de datos personales mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas.

2) A los archivos de datos personales sometidos a la normativa sobre protección de materias clasificadas.

3) A los archivos de datos personales establecidos para la investigación de formas graves de delincuencia organizada. No obstante, en estos supuestos el responsable del archivo de datos personales comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia Dominicana de Protección de Datos.

4) A los archivos de datos personales referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los archivos de datos personales o tratamientos que contengan datos de éste con la finalidad de notificar el fallecimiento, aportando acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos.

5) A los tratamientos de datos referidos a personas jurídicas, ni a los archivos de datos personales que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.

 

Artículo 5. Principios.

Los principios que fundamentan la presente ley son:

1) Licitud de los Archivos de Datos Personales. Los archivos de datos personales no pueden tener finalidades contrarias a las leyes y/o al orden público, siendo debidamente registrados y apegados a los principios establecidos en esta ley y los reglamentos que se dicten en desarrollo de la misma.

2) Calidad de los Datos. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado y sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.

3) Derecho de Información. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de la existencia y finalidad del

archivo de datos personales; de la finalidad de la recogida de los datos y del tratamiento, así como de los destinatarios de la información; del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas; de las consecuencias de la obtención de los datos, de la negativa a suministrarlos o de la inexactitud de los mismos; de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición; y de la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

4) Consentimiento del Afectado. El tratamiento de los datos de carácter personal requerirá el consentimiento libre, informado e inequívoco del afectado, salvo que la ley disponga otra cosa. El consentimiento deberá constar, ya por escrito, ya por otro medio que permita evidenciar el mismo, de acuerdo a las circunstancias y el canal de comunicación y podrá ser revocado cuando exista causa justificada para ello.

5) Seguridad de los Datos. El responsable del archivo de datos personales, y en su caso, el encargado del tratamiento, deberán adoptar e implementar las medidas de índole técnica, organizativa y de seguridad necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento, consulta o acceso no autorizado.

6) Deber de Secreto. El responsable del archivo de datos personales y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del archivo de datos personales o, en su caso, con el responsable del mismo, salvo que sea relevado del deber de secreto por resolución judicial y cuando medien razones fundadas relativas a la seguridad pública, la defensa

nacional o la salud pública.

7) Lealtad. Se impone la prohibición de recoger los datos por medios fraudulentos, desleales o ilícitos.

8) Finalidad de los datos. Los datos sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para los que se hayan obtenido.

 

Sección II

.- Definiciones

 

Artículo 6. Definiciones.

A los efectos de la presente ley y su aplicación, se asumen los siguientes conceptos:

1) Afectado o Interesado: Persona física titular de los datos que sean objeto del tratamiento, con independencia de su domicilio legal o país de residencia.

2) Archivo de Datos Personales: Conjunto organizado de datos de carácter personal, que sean objeto de tratamiento o procesamiento, automatizado o no, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. Los mismos podrán ser de titularidad privada o de titularidad pública.

3) Archivos de Datos de Titularidad Privada: Son aquellos archivos de datos personales de los que sean responsables las personas, empresas o entidades de derecho privado, con independencia de quien ostente la titularidad de su capital o de la procedencia de sus recursos económicos, así como los archivos de los que sean responsables las corporaciones de derecho público, en cuanto dichos archivos no se encuentren estrictamente vinculados al ejercicio de potestades de derecho público que a las mismas atribuye su normativa específica.

4) Archivos de Datos de Titularidad Pública: Son aquellos archivos de datos personales de los que sean responsables los órganos de la administración pública, así como las entidades u organismos vinculados o dependientes de la misma y las entidades autónomas y descentralizadas del Estado siempre que su finalidad sea el ejercicio de potestades de derecho público.

5) Cancelación: Procedimiento en virtud del cual el responsable del tratamiento cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de la administración pública, jueces y tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos.

6) Cesión o Comunicación de Datos: Tratamiento de datos que supone su revelación a una persona distinta del afectado o interesado.

7) Consentimiento del Interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consiente el tratamiento de datos personales que le conciernen.

8) Datos Especialmente Protegidos: Datos de carácter personal que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual.

9) Datos de Carácter Personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.

10) Datos de Carácter Personal Relacionados con la Salud: Cualquier información concerniente a la salud pasada, presente y futura, física o mental, de un individuo.

11) Destinatario o Cesionario: Persona física o jurídica, pública o privada u órgano administrativo, al que se revelen los datos. Podrán ser también destinatarios los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.

12) Encargado del Tratamiento: La persona física o jurídica, privada o pública, que realice el tratamiento de los datos personales por cuenta del responsable del tratamiento.

13) Exportador de Datos Personales: Persona física o jurídica, pública o privada, u órgano administrativo situado en territorio dominicano que realice, conforme a lo dispuesto en esta Ley, una transferencia de datos de carácter personal a un país tercero.

14) Fuentes Accesibles al Público: Aquellos archivos de datos personales cuya consulta puede ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación.

15) Importador de Datos Personales: Persona física o jurídica, pública o privada, u órgano administrativo receptor de los datos en caso de transferencia internacional de los mismos a un tercer país, ya sea responsable del tratamiento, encargada del tratamiento o tercero.

16) Persona Identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social.

17) Procedimiento de Disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.

18) Responsable del Tratamiento: Toda persona, privada o pública, titular del archivo de datos personales que decide la finalidad, el contenido, los medios del tratamiento y el uso de la información obtenida con el tratamiento de los datos personales.

19) Tercero: Persona física o jurídica, pública o privada u órgano administrativo distinto del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento. Podrán ser también terceros los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.

20) Transferencia Internacional de Datos: Tratamiento de datos que supone una transmisión de los mismos fuera del territorio de la República Dominicana, sin importar el soporte, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del archivo de datos personales establecido en territorio dominicano.

21) Tratamiento de Datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, registro, extracción, grabación, ordenación, conservación, elaboración, almacenamiento, modificación, vinculación, evaluación, consulta, utilización, bloqueo, cancelación o supresión y, en general el procesamiento de datos, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

22) Salario Mínimo: será el salario mínimo nacional más bajo percibido por los trabajadores del sector privado no sectorizado de empresas industriales, comerciales y de servicios, fijado por el Comité Nacional de Salarios del Ministerio de Estado de Trabajo de la República Dominicana.

 

CAPÍTULO II

.- DISPOSICIONES GENERALES

 

Sección I.- De los Derechos de las Personas y su Ejercicio

 

Artículo 7. Impugnación de Valoraciones.

Los ciudadanos tienen derecho a no verse sometidos a una decisión con efectos jurídicos sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento de datos destinados a evaluar determinados aspectos de su personalidad. El afectado podrá impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento, cuyo único fundamento sea un tratamiento de datos de carácter personal que ofrezca una definición de sus características o personalidad.

Párrafo I. En caso de que suceda, el afectado tendrá derecho a obtener información del responsable del archivo de datos personales sobre el programa y los criterios de valoración utilizados en el tratamiento que sirvió para adoptar la decisión en que consistió el acto.

Párrafo II. La valoración sobre el comportamiento de los ciudadanos basada en un tratamiento de datos, únicamente podrá tener valor probatorio a petición del afectado.

 

Artículo 8. Nulidad.

Los actos que resulten contrarios a lo dispuesto en el artículo precedente serán nulos de pleno derecho.

 

Artículo 9. Derecho de consulta al Registro General de Protección de Datos.

Cualquier persona puede conocer, recabando a tal fin la información oportuna del Registro General de Protección de Datos, la existencia de tratamientos de datos de carácter personal sobre su persona, sus finalidades y la identidad del responsable del tratamiento. El Registro General es de consulta pública y gratuita.

 

Artículo 10. Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición.

Los derechos de acceso, rectificación, cancelación y oposición son personales y son ejercidos por el afectado, acreditando su identidad, del modo previsto en el artículo siguiente.

Párrafo I. Cuando el afectado se encuentre en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de estos derechos, pueden ser ejercidos por su representante legal, en cuyo caso es necesario que acredite tal condición mediante la aportación de copia de su Cedula de Identidad y Electoral o pasaporte en caso de extranjeros, y la representación conferida por aquél.

Párrafo II. Cuando el responsable del archivo de datos personales sea un órgano de la administración pública o de la administración de justicia, puedeacreditarse la representación por cualquier medio válido en derecho que deje constancia fidedigna, o mediante declaración en comparecencia personal del interesado.

 

Artículo 11. Independencia de los derechos de acceso, rectificación, cancelación y oposición.

Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes. No puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro.

 

Articulo 12. Derecho de Acceso.

El interesado tiene derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal, obrantes tanto en los archivos de datos personales públicos, como privados, sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos.

Párrafo. El derecho de acceso a que se refiere este artículo sólo puede ser ejercido a intervalos no inferiores a tres (3) meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrá ejercerlo antes.

 

Artículo 13. Procedimientos de acceso.

La información mencionada en el artículo anterior puede obtenerse mediante los siguientes procedimientos a elección del Interesado:

1) La consulta de los datos por medio de su visualización; o,

2) La indicación de los Datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, por medios electrónicos, telefónicos, de imagen u otro idóneo a tal fin, en forma legible o inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos.

Párrafo. La información debe ser suministrada en forma clara, amplia y versar sobre la totalidad del registro perteneciente al titular, aun cuando el requerimiento sólo comprenda un aspecto de los datos personales; exentos de codificaciones y en su caso acompañado de una explicación; en lenguaje accesible al conocimiento medio de la población, de los términos que se utilicen. En ningún caso el informe podrá revelar datos pertenecientes a terceros, aun cuando se vinculen con el interesado.

 

Artículo 14. Plazo.

El responsable del tratamiento tiene la obligación de hacer efectivo el derecho de acceso del Interesado en un plazo máximo de diez (10) días laborables a contar desde la recepción de la solicitud de acceso del Interesado. Vencido el plazo sin que se satisfaga el pedido, o si evacuado el informe, éste se estimara insuficiente, quedará expedita la acción para recabar la tutela de la Agencia Dominicana de Protección de Datos, sin perjuicio de cualquier otra acción que le pueda corresponder.

 

Artículo 15. Derechos de rectificación y cancelación.

Los Interesados tienen derecho a que sean rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos, debiendo en tal caso ser cancelados y sustituidos de oficio por el responsable del archivo de datos personales, por los correspondientes datos rectificados o completados, sin perjuicio de las facultades reconocidas a los afectados.

Párrafo. Durante el proceso de verificación y rectificación del error o falsedad de la información que se trate, el responsable del archivo de datos debe bloquear el archivo o consignar al proveer información relativa al mismo la circunstancia de que se encuentra sometida a revisión.

 

Artículo 16. Cancelación.

Los datos de carácter personal deben ser cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.

Párrafo I. Reglamentariamente se determina el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos.

Párrafo II. No pueden ser conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.

 

Artículo 17. Bloqueo de datos.

La cancelación da lugar al bloqueo de los datos, conservándose únicamente a disposición de los Poderes del Estado, de la Administración Pública, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. En todo caso, la supresión no procede cuando pudiese causar perjuicios a derechos o intereses legítimos de terceros, o cuando existiera una obligación legal de conservar los datos.

 

Artículo 18. Notificación de rectificación o cancelación.

Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento debe notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que debe también proceder a la rectificación y cancelación siendo en todo caso el responsable del tratamiento responsable ante la Agencia Dominicana de Protección de Datos y los interesados en caso de que el cesionario no cancele dichos datos de carácter personal, sin perjuicio de las responsabilidades que el responsable del tratamiento pueda repetir en tal cesionario, en su caso.

 

Artículo 19. Plazo.

El responsable del tratamiento tiene la obligación de hacer efectivo el derecho de rectificación o cancelación del Interesado en el plazo de diez (10) días laborables a contar desde la recepción de la solicitud de rectificación y/o cancelación del Interesado.

 

Artículo 20. Cancelación.

La cancelación por el Interesado de sus datos de carácter personal no será de aplicación respecto del tratamiento de dichos por el responsable del tratamiento a los exclusivos efectos de ejercer aquellas acciones que en derecho procediesen frente al Interesado o, en su caso, de defenderse ante las acciones ejercitadas por el Interesado. Dichos datos de carácter personal no pueden ser tratados por el responsable del tratamiento más que con la finalidad aquí señalada, siendo eficaz la cancelación respecto a cualquier tratamiento distinto del aquí expresamente mencionado.

Párrafo. El incumplimiento de esta obligación dentro del término referido en este artículo, habilitará al interesado para recabar la tutela de la Agencia Dominicana de Protección de Datos, sin perjuicio de cualquier otra acción que le pueda corresponder.

 

Artículo 21. Derecho de oposición.

El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:

1) Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.

2) Cuando se trate de archivos de datos personales que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en esta Ley, cualquiera que sea la empresa responsable de su creación.

3) Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal destinado a evaluar determinados aspectos de su personalidad, tales como su rendimiento laboral, crédito, fiabilidad o conducta, salvo que esté previsto en una Ley, o resulte del marco de la celebración o ejecución de un contrato a petición del interesado, siempre que se le otorgue la posibilidad de alegar lo que estimara pertinente, a fin de defender su derecho o interés.

En tales supuestos, el responsable del archivo de datos personales debe excluir del tratamiento los datos relativos al afectado.

 

Artículo 22. Ejercicio.

El derecho de oposición se ejerce mediante solicitud dirigida al responsable del tratamiento y el responsable del archivo de datos personales o tratamiento debe excluir del tratamiento los datos relativos al afectado que ejerza su derecho de oposición o denegar motivadamente la solicitud del interesado.

Párrafo. Cuando la oposición se realice con base en el numeral 1 del artículo anterior, en la solicitud deben hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho.

 

Artículo 23. Procedimiento de oposición, acceso, rectificación o cancelación.

Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán claramente establecidos y ampliados reglamentariamente.

Párrafo. La oposición, acceso, rectificación, actualización o cancelación de datos personales inexactos o incompletos que obren en registros públicos o privados debe efectuarse sin cargo alguno para el interesado.

 

Artículo 24. Tutela de los derechos.

Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los interesados ante la Agencia Dominicana de Protección de Datos, en la forma que reglamentariamente se determine.

Párrafo. El interesado al que se deniegue, total o parcialmente, el ejercicio de los derechos de oposición, acceso, rectificación o cancelación, puede ponerlo en conocimiento de la Agencia Dominicana de Protección de Datos la cual debe asegurarse de la procedencia o improcedencia de la denegación.

 

Artículo 25. Plazo.

El plazo máximo en que debe dictarse la resolución expresa de tutela de derechos será de tres meses.

Párrafo. Contra las resoluciones de la Agencia Dominicana de Protección de Datos procederá recurso ante el Tribunal Contencioso Tributario y Administrativo.

 

Artículo 26. Derecho a indemnización.

Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tienen derecho a ser indemnizados.

Párrafo I. Cuando se trate de archivos de datos personales de titularidad pública, la responsabilidad se exigirá de acuerdo con la ley 41-08 de Función Pública del dieciséis (16) de enero del año dos mil ocho (2008).

Párrafo II. En el caso de los archivos de datos personales de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.

 

Artículo 27. Acción de Hábeas Data.

Sin perjuicio de los mecanismos establecidos para el ejercicio de los derechos de los interesados, éstos podrán ejercer la acción judicial de Hábeas Data de conformidad con lo establecido en la legislación vigente al respecto.

 

Sección II.- Excepciones a los Derechos de los Afectados

 

Artículo 28. Excepciones a los derechos de acceso, rectificación cancelación y oposición.

Los responsables de los archivos de datos personales que contengan los datos sobre ficheros de las Fuerzas Armadas, de Seguridad y Organismos Policiales o de Inteligencia pueden denegar el acceso, la rectificación, cancelación u oposición en función de los peligros que pudieran derivarse para la defensa del Estado o la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando.

Párrafo I. Los responsables de los archivos de datos personales de la Secretaria de Estado de Hacienda pueden, igualmente, denegar el ejercicio de los derechos a que se refiere el apartado anterior cuando el mismo obstaculice las actuaciones administrativas tendentes a asegurar el cumplimiento de las obligaciones tributarias y, en todo caso, cuando el afectado esté siendo objeto de actuaciones inspectoras.

Párrafo II. El afectado al que se deniegue, total o parcialmente, el ejercicio de los derechos mencionados en el presente artículo puede ponerlo en conocimiento de la Agencia Dominicana de Protección de Datos, la cual debe asegurarse de la procedencia o improcedencia de la denegación.

 

Artículo 29. Excepciones al requerimiento de consentimiento.

No es preciso el consentimiento cuando los datos de carácter personal se recojan:

1) Para el ejercicio de las funciones propias de los poderes del Estado o de las Administraciones Públicas en el ámbito de sus competencias, o en virtud de una obligación legal.

2) Cuando se refieran a las partes de un contrato o precontrato de una relación comercial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.

3) Cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 8 apartado 6 de la presente Ley.

4) Cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del archivo de datos personales o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. No obstante, las Administraciones públicas sólo podrán comunicar al amparo de este apartado los datos recogidos de fuentes accesibles al público a responsables de archivos de datos personales de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley.

5) Cuando, en el caso de residentes en la República Dominicana, se trate de listados cuyos datos se limiten a nombre, documento nacional de identidad, identificación tributaria, ocupación, fecha de nacimiento y domicilio.

Párrafo. Si el responsable del tratamiento solicita el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, debe permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.

 

Artículo 30. Otras excepciones a los derechos de los afectados.

Lo dispuesto en la presente Ley sobre Orgánica Protección de Datos de Carácter Personal a los interesados no será aplicable a la recogida de datos cuando la información al afectado impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de la Administración Pública o cuando afecte a la Defensa Nacional, a la seguridad pública o a la persecución de infracciones penales.

 

Sección III.- Comunicación de Datos

 

Artículo 31. Comunicación de datos.

Los datos de carácter personal objeto del tratamiento sólo pueden ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado, al que se le debe informar sobre la finalidad de la cesión e identificar al cesionario o los elementos que permitan hacerlo.

Párrafo. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley y de sus reglamentos de aplicación. El cesionario de los datos responderá solidaria y conjuntamente con el cedente por la observancia de las mismas ante el organismo de control y el titular de los datos de que se trate.

 

Artículo 32. Consentimiento.

El consentimiento exigido en el artículo anterior no es preciso:

1) Cuando la cesión está autorizada en una Ley.

2) Cuando se trate de datos recogidos de fuentes accesibles al público.

3) Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con archivos de datos personales de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.

4) Cuando la comunicación que se realice entre dependencias de los órganos del Estado en forma directa, en la medida del cumplimiento de sus respectivas competencias, así como al de los Jueces o Tribunales u otros órganos de la Administración de Justicia en el ejercicio de las funciones.

5) Cuando la cesión se produzca entre entidades de la Administración Pública y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.

6) Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un archivo de datos personales o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre salud y, en este caso, se preserve la identidad de los titulares de los datos mediante mecanismos de disociación adecuados.

7) Se hubiera aplicado un procedimiento de disociación de la información, de modo que los titulares de los datos sean inidentificables.

 

Artículo 33. Nulidad del Consentimiento.

Es nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar.

Párrafo. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable.

 

Artículo 34. Acceso a los datos por cuenta de terceros.

No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.

 

Artículo 35. Contrato.

El tratamiento que realice el encargado por cuenta del responsable del tratamiento según lo previsto en el artículo anterior deberá constar en un contrato suscrito entre dicho encargado y el responsable, que cumpla con las siguientes características:

1) Esté formalizado por escrito y contenga las firmas de todas las partes o sus representantes autorizados;

2) Especifique de forma precisa las características de los servicios a realizar por el encargado del tratamiento, en particular, aquellos que se refieran al tratamiento de los datos de carácter personal por cuenta del responsable del tratamiento;

3) Establezca que el encargado del tratamiento sólo tratará los datos de carácter personal de acuerdo con las instrucciones del responsable del tratamiento contenidas en el contrato;

4) Reconozca la responsabilidad del responsable del tratamiento ante los interesados y la Agencia Dominicana de Protección de Datos;

5) Regule que, salvo en el caso que se prevé en la letra (h) de este apartado, el encargado del tratamiento no revelará ni divulgará los datos de carácter personal por ningún motivo distinto del cumplimiento de las instrucciones del responsable del tratamiento mencionadas en la letra (c) de este apartado;

6) Regule que el encargado del tratamiento no llevará a cabo ningún tipo de tratamiento de los datos de carácter personal que no se encuentre expresamente prevista en el contrato;

7) Regule las medidas de seguridad que deberá aplicar el encargado del tratamiento exigidas para el responsable del tratamiento de acuerdo con lo dispuesto en esta Ley; y

8) Prevea que en caso de que el encargado del tratamiento tenga que dar acceso a terceros subcontratistas a los datos de carácter personal, será preciso que dicho acceso se regule en un contrato que cumpla los requisitos previstos en este artículo; en ningún caso, permita realizar un tratamiento de los datos de carácter personal en condiciones menos restrictivas que las previstas en el contrato principal suscrito entre el responsable del tratamiento y el encargado del tratamiento; no otorgue a los subcontratistas mayores prerrogativas que las previstas en dicho contrato; deberá ser revisado y aprobado por el responsable del tratamiento de forma previa a su firma por el encargado del tratamiento.

Párrafo. Una vez cumplida la prestación contractual, los datos de carácter personal deben ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

 

Artículo 36. Responsabilidad.

En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.

 

CAPÍTULO III.- DISPOSICIONES ORGANICAS

 

Sección I.- De la Agencia Dominicana de Protección de Datos

 

Artículo 37. Naturaleza.

La Agencia Dominicana de Protección de Datos es una institución autónoma y descentralizada con personalidad jurídica, autonomía administrativa, financiera y técnica, rectora de las políticas en materia de protección de datos de carácter personal, que actúa con independencia de la Administración Pública en el ejercicio de sus funciones.

Párrafo. La Agencia Dominicana de Protección de Datos está adscrita al Ministerio de la Presidencia, y bajo la vigilancia del ministro/a de la presidencia.

 

Artículo 38. Régimen jurídico.

La Agencia Dominicana de Protección de Datos se rige por lo dispuesto en la presente Ley, y en el ejercicio de sus funciones públicas, y en defecto de lo que disponga la presente Ley y sus reglamentos, actúa de conformidad con la ley 41-08 de Función Pública del dieciséis (16) de enero del año dos mil ocho (2008) y sus modificaciones. En sus adquisiciones patrimoniales y contratación estará sujeta a la ley 340-06 de Compras y Contrataciones de Bienes, Servicios, Obras y Concesiones del dieciocho (18) de agosto del año dos mil seis (2006), y sus modificaciones y reglamentos.

 

Artículo 39. Funciones.

Son funciones de la Agencia Dominicana de Protección de Datos:

1) Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.

2) Emitir las autorizaciones previstas en la Ley o en sus disposiciones reglamentarias.

3) Dictar, en su caso y sin perjuicio de las competencias de otros órganos, las instrucciones y resoluciones precisas para adecuar los tratamientos a los principios de la presente Ley.

4) Atender las peticiones y reclamaciones formuladas por las personas afectadas.

5) Proporcionar información a las personas acerca de sus derechos en materia de tratamiento de los datos de carácter personal.

6) Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los archivos de datos personales, cuando no se ajuste a sus disposiciones.

7) Ejercer la potestad sancionadora referida en la presente Ley.

8) Informar, con carácter preceptivo, los proyectos de disposiciones generales que desarrollen esta Ley.

9) Recabar de los responsables de los archivos de datos personales cuanta ayuda e información estime necesaria para el desempeño de sus funciones.

10)Velar por la publicidad de la existencia de los archivos de datos personales, a cuyo efecto publicará periódicamente una relación de dichos archivos, con la información adicional que el Director de la Agencia determine.

11)Redactar y publicar una memoria anual.

12)Ejercer el control y adoptar las autorizaciones que procedan en relación con los movimientos internacionales de datos, así como desempeñar las funciones de cooperación internacional en materia de protección de datos personales.

13)Velar por el cumplimiento de las disposiciones que la Legislación Estadística Pública establece respecto a la recogida de datos estadísticos y al secreto estadístico, así como dictar las instrucciones precisas, dictaminar sobre las condiciones de seguridad de los archivos de datos personales constituidos con fines exclusivamente estadísticos.

14)Cuantas otras le sean atribuidas por normas legales o reglamentarias.

Párrafo I. Las instrucciones y resoluciones de la Agencia Dominicana de Protección de Datos se harán públicas, una vez hayan sido notificadas a los interesados. La publicación se realizará preferentemente a través de medios informáticos o telemáticos. Reglamentariamente podrán establecerse los términos en que se lleve a cabo la publicidad de las citadas resoluciones.

Párrafo II. Lo establecido en los párrafos anteriores no será aplicable a las resoluciones referentes a la inscripción de un archivo de datos personales o su tratamiento en el Registro General de Protección de Datos, ni a aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo.

 

Artículo 40. Potestad de Inspección.

La Agencia Dominicana de Protección de Datos puede inspeccionar los archivos de datos personales a que hace referencia la presente Ley, recabando cuantas informaciones precise para el cumplimiento de sus cometidos. Puede solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos, accediendo a los locales donde se hallen instalados.

Párrafo. Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior tienen la consideración de autoridad pública en el desempeño de sus cometidos, y estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas.

 

Artículo 41. Director de la Agencia Dominicana de Protección de Datos.

El Director de la Agencia Dominicana de Protección de Datos dirige la Agencia y ostenta su representación. Es designado por el Presidente de la República por un período de cuatro años, ejerciendo sus funciones con plena independencia y objetividad, y no está sujeto a instrucción alguna en el desempeño de aquéllas.

Párrafo. El Director contará con la asistencia de un Consejo Consultivo.

 

Artículo 42. Cese de Funciones.

El Director de la Agencia Dominicana de Protección de Datos sólo cesará antes de la expiración del período a que se refiere el artículo anterior a petición propia, por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por causa afectiva o infamante.

 

Artículo 43. Incompatibilidades.

El Director de la Agencia Dominicana de Protección de Datos no puede ejercer ningún otro cargo, exceptuando el magisterio, y está sujeto a las demás incompatibilidades fijadas por la ley 41-08 de Función Pública del dieciséis (16) de enero del año dos mil ocho (2008).

 

Artículo 44. Consejo Consultivo.

El Director de la Agencia Dominicana de Protección de Datos estará asesorado por un Consejo Consultivo compuesto por los siguientes miembros:

1) Un representante de la Administración del Estado, designado por el Gobierno.

2) Dos expertos en la materia, propuesto por las Universidades del modo que se prevea reglamentariamente.

3) Un representante de los usuarios y consumidores, seleccionado del modo que se prevea reglamentariamente.

4) Un representante del sector de archivos de datos personales privados, para cuya propuesta se seguirá el procedimiento que se regule reglamentariamente.

Párrafo. El funcionamiento del Consejo Consultivo se regirá por las normas reglamentarias que al efecto se establezcan.

 

Artículo 45. Personal.

Los puestos de trabajo de los órganos y servicios que integren la Agencia de Protección de Datos son desempeñados por funcionarios de la Administración Pública y por personal contratado al efecto, según la naturaleza de las funciones asignadas a cada puesto de trabajo.

Párrafo. Este personal está obligado a guardar secreto de los datos de carácter personal de que conozca en el desarrollo de su función.

 

Artículo 46. Financiación y Presupuesto.

La Agencia Dominicana de Protección de Datos cuenta, para el cumplimiento de sus fines, con los siguientes bienes y medios económicos:

1) Las asignaciones que se establezcan anualmente en la Ley de Presupuesto General del Estado.

2) Los bienes y valores que constituyan su patrimonio, así como los productos y rentas del mismo.

3) Cualesquiera otros que legalmente puedan serle atribuidos.

 

CAPÍTULO IV.- DISPOSICIONES PROCEDIMENTALES

 

Sección I.- De la Inscripción en el Registro General de Protección de Datos

 

Artículo 47. Creación.

Se crea el Registro General de Protección de Datos, como base de datos consolidada para los datos de carácter personal tanto de titularidad pública como de titularidad privada que cumplan con las condiciones establecidas en esta Ley.

Párrafo. El Registro General de Protección de Datos es manejado por la Agencia Dominicana de Protección de Datos.

 

Artículo 48. Inscripción.

Por vía reglamentaria se regulará el procedimiento de inscripción de los archivos de datos personales, tanto de titularidad pública como de titularidad privada, en el Registro General de Protección de Datos, el contenido de la inscripción, su modificación, cancelación, reclamaciones y recursos contra las resoluciones correspondientes y demás supuestos pertinentes; comprendiendo como mínimo la siguiente información:

1) Nombre y domicilio del responsable.

2) Características y finalidad del archivo.

3) Naturaleza de los datos personales contenidos en cada archivo.

4) Forma de recolección y actualización de datos.

5) Destino de los datos y personas físicas o de existencia ideal a las que pueden ser transmitidos.

6) Modo de interrelacionar la información registrada.

7) Medios utilizados para garantizar la seguridad de los datos, debiendo detallar la categoría de personas con acceso al tratamiento de la información.

8) Tiempo de conservación de los datos.

9) Forma y condiciones en que las personas pueden acceder a los datos referidos a ellas y los procedimientos a realizar para la rectificación o actualización de los datos.

Párrafo. Ningún usuario de datos podrá poseer datos personales de naturaleza distinta a los declarados en el registro.

 

Artículo 49. Documento de seguridad.

El responsable del archivo de datos personales o del tratamiento debe elaborar un documento de seguridad que se regulará reglamentariamente y en el que recogen las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que serán de cumplimiento obligatorio para el personal con acceso a los sistemas de información.

Párrafo. El documento de seguridad puede ser único y contentivo de todos los archivos de datos personales o tratamientos, o bien individualizado para cada archivo de datos personales o tratamiento. También pueden elaborarse distintos documentos de seguridad agrupando archivos de datos personales o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable, distinguiendo las singularidades propias de los archivos de datos personales y tratamientos automatizados y no automatizados. En todo caso, tiene el carácter de documento interno de la organización.

 

Sección II.- De los Ficheros de Titularidad Pública

 

Artículo 50. Creación, modificación o supresión.

La creación, modificación o supresión de los archivos de datos personales de la Administración Pública sólo puede hacerse por medio de disposición general publicada en un diario de circulación nacional.

Párrafo I. Las disposiciones de creación o de modificación de archivos de datos personales deberán indicar:

1) La finalidad del archivo de datos personales y los usos previstos para el mismo.

2) Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal y el carácter facultativo u obligatorio de su suministro por parte de aquellas.

3) El procedimiento de recogida y actualización de los datos de carácter personal.

4) La estructura básica del archivo de datos personales, automatizado o no, y la descripción de los tipos de datos de carácter personal incluidos en el mismo.

5) Las cesiones de datos de carácter personal y, en su caso, las transferencias e interconexiones de datos que se prevean a países terceros.

6) Los órganos de la Administración responsables del archivo de datos personales, precisando la dependencia jerárquica, en su caso.

7) Los servicios o unidades ante los que pudiesen ejercerse los derechos de acceso, rectificación, cancelación y oposición.

8) Las medidas de seguridad con indicación del nivel básico, medio o alto exigible.

Párrafo II. Las disposiciones que se dicten para la supresión de los archivos de datos personales deberán establecer el destino de los mismos o, en su caso, las previsiones que se adopten para su destrucción.

 

Artículo 51. Comunicación de datos entre Instituciones de la Administración Pública.

Los datos de carácter personal recogidos o elaborados por la Administración Pública para el desempeño de sus atribuciones no pueden ser comunicados a otras Instituciones de la Administración Pública para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas, salvo cuando la comunicación tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.

Podrán, en todo caso, ser objeto de comunicación los datos de carácter personal que una Institución Pública obtenga o elabore con destino a otra. En estos casos no será necesario el consentimiento del afectado a que se refiere la presente Ley.

Párrafo I. No obstante lo establecido en la presente Ley, la comunicación de datos entre instituciones de la administración pública recogidos de fuentes accesibles al público no puede efectuarse a archivos de datos personales de titularidad privada, sino con el consentimiento del interesado o cuando una Ley prevea otra cosa.

Párrafo II. La cesión de aquellos datos de carácter personal, objeto de tratamiento, que debe efectuar a la Administración Tributaria en el ejercicio de sus competencias, conforme a lo dispuesto en su normativa reguladora, no requerirá el consentimiento del afectado.

 

Sección III.- De los Ficheros de las Fuerzas Armadas, de Seguridad y Organismos Policiales o de Inteligencia

 

Artículo 52. Ficheros de las Fuerzas Armadas, de Seguridad y Organismos Policiales o de Inteligencia.

Los archivos de datos personales creados por las Fuerzas Armadas, de Seguridad y Organismos Policiales o de Inteligencia que contengan datos de carácter personal que, por haberse recogido para fines administrativos, deban ser objeto de registro permanente, están sujetos al régimen general de la presente Ley.

Párrafo I. La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas Armadas, de Seguridad y Organismos Policiales o de Inteligencia, sin consentimiento de las personas afectadas, están limitados a aquellos supuestos y categorías de datos que resulten necesarios para el estricto cumplimiento de las misiones legalmente asignadas a aquéllos para la defensa nacional, la seguridad pública o para la represión de los delitos en atención a la prevención de un peligro real, debiendo ser almacenados en archivos de datos personales específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.

Párrafo II. La recogida y tratamiento por las Fuerzas Armadas, de Seguridad y Organismos Policiales o de Inteligencia de los datos especialmente protegidos a que hace referencia la presente Ley, pueden realizarse exclusivamente en los supuestos en que sea absolutamente necesario para los fines de una investigación concreta, sin perjuicio del control de legalidad de la actuación administrativa o de la obligación de resolver las pretensiones formuladas en su caso por los interesados que corresponden a los órganos jurisdiccionales.

 

Artículo 53. Cancelación.

Los datos personales registrados con fines policiales se cancelarán cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento.

Párrafo. Debe considerarse especialmente la edad del afectado y el carácter de los datos almacenados, la necesidad de mantener los datos hasta la conclusión de una investigación o procedimiento concreto, la resolución judicial firme, en especial la absolutoria, el indulto, la rehabilitación y la prescripción de responsabilidad.

 

Sección IV.- De los Ficheros de Titularidad Privada

 

Artículo 54. Creación de archivos de datos personales de titularidad privada.

Pueden crearse archivos de datos personales de titularidad privada que contengan datos de carácter personal cuando resulte necesario para el logro de la actividad u objeto legítimos de la persona, empresa o entidad titular y se respeten las garantías que esta Ley establece para la protección de las personas. Los archivos de datos personales de titularidad privada que contengan datos de carácter personal deberán notificarse y registrarse conforme lo previsto en la presente Ley.

Párrafo I. No se registran datos de carácter personal en archivos de datos personales que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.

Párrafo II. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los archivos de datos personales y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 8 de esta Ley.

 

Artículo 55. Notificación.

Toda persona o entidad que proceda a la creación de archivos de datos personales lo notificará previamente a la Agencia Dominicana de Protección de Datos.

Párrafo. Deberán comunicarse a la Agencia Dominicana de Protección de Datos los cambios que se produzcan en la finalidad del archivo de datos personales automatizado, en su responsable y en la dirección de su ubicación.

 

Artículo 56. Inscripción.

Toda persona o entidad que proceda a la creación de archivos de datos personales debe hacer la correspondiente inscripción del mismo en el Registro General de Protección de Datos, que inscribirá el archivo de datos personales si la notificación se ajusta a los requisitos exigibles. En caso contrario puede pedir que se completen los datos que falten o se proceda a su subsanación.

Párrafo I. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia Dominicana de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el archivo de datos personales automatizado a todos los efectos.

Párrafo II. Por vía reglamentaria se procederá a la regulación detallada de los distintos supuestos que debe contener la notificación de la información necesaria para cumplir con las previsiones sobre la información que debe contener el registro, así como información sobre su ubicación, el tipo de datosde carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros.

 

Artículo 57. Prestación de servicios automatizados de datos de carácter personal.

Cuando por cuenta de terceros se presten servicios de tratamiento de datos de carácter personal, éstos no pueden aplicarse o utilizarse con un fin distinto al que figure en el contrato de servicios, ni cederlos a otras personas, ni aun para su conservación.

Párrafo. Una vez cumplida la prestación contractual, y los supuestos legalmente previstos, dejando a salvo la posible puesta a disposición de las Administración Pública, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades, los datos personales tratados deberán ser destruidos, salvo que medie autorización expresa de aquel por cuenta de quien se prestan tales servicios cuando razonablemente se presuma la posibilidad de ulteriores encargos, en cuyo caso se podrá almacenar con las debidas condiciones de seguridad por un período de hasta dos años.

 

Artículo 58. Comunicación de la cesión de datos.

El responsable del archivo de datos personales, en el momento en que se efectúe cualquier cesión de datos, debe informar de ello a los afectados, indicando, asimismo, la finalidad del archivo de datos personales, la naturaleza de los datos que han sido cedidos, el nombre y dirección del cesionario.

Párrafo I. En los supuestos en que se produzca una modificación del responsable del archivo de datos personales como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de comunicar al o los interesados de esta situación.

Párrafo II. La obligación establecida en el párrafo anterior no existirá cuando la cesión venga impuesta por Ley.

 

Artículo 59. Datos incluidos en las fuentes de acceso público.

Los datos personales que figuren en las listas de personas pertenecientes a grupos de profesionales deben limitarse a los que sean estrictamente necesarios para cumplir la finalidad a que se destina cada listado. La inclusión de datos adicionales por las entidades responsables del mantenimiento de dichas fuentes requerirá el consentimiento del interesado, que podrá ser revocado en cualquier momento.

Párrafo. Los interesados tienen derecho a que la entidad responsable del mantenimiento de los listados de los Colegios Profesionales indique gratuitamente que sus datos personales no pueden utilizarse para fines de publicidad o prospección comercial, así como el derecho a exigir gratuitamente la exclusión de la totalidad de sus datos personales que consten en el censo promocional por las entidades encargadas del mantenimiento de dichas fuentes.

 

Artículo 60. Plazo.

La atención a la solicitud de exclusión de la información innecesaria o de inclusión de la objeción al uso de los datos para fines de publicidad o venta a distancia debe realizarse en el plazo de diez días respecto de las informaciones que se realicen mediante consulta o comunicación telemática y en la siguiente edición del listado cualquiera que sea el soporte en que se edite.

 

Artículo 61. Fuentes de acceso público.

Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico o en formato electrónico pierden el carácter de fuente accesible con la nueva edición que se publique.

 

Artículo 62. Guías de servicios de telecomunicaciones.

Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica.

 

Artículo 63. Prestación de servicios de información sobre solvencia patrimonial y crédito.

Los servicios de información sobre la solvencia patrimonial y el crédito que se presten exclusivamente en el ámbito de la República Dominicana, o en los que no exista tratamiento de datos resultado de transferencias de datos a la República Dominicana desde países terceros, se rigen por esta la Ley.

Párrafo I. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito en el ámbito de la República Dominicana y en caso de transferencias de datos a la República Dominicana desde países terceros, sólo pueden tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento.

Párrafo II. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones pecuniarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en archivos, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley.

Párrafo III. Cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos.

 

Artículo 64. Naturaleza de los datos.

Sólo se pueden registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos. El pago o cumplimiento de la deuda determinará la cancelación inmediata de todo dato relativo a la misma.

Párrafo. En los restantes supuestos, los datos deben ser cancelados cuando se hubieran cumplido seis años contados a partir del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.

 

Artículo 65. Información.

El acreedor debe informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento previo de pago a quien corresponda el cumplimiento de la obligación, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos legales, los datos relativos al impago podrán ser comunicados a archivos de datos personales relativos al cumplimiento o incumplimiento de obligaciones pecuniarias.

 

Artículo 66. Derechos de acceso, rectificación o Cancelación.

Cuando el interesado ejerza su derecho de acceso en relación con la inclusión de sus datos en un archivo de datos personales común de información sobre solvencia patrimonial y crédito o Buró de Información Crediticia, se tendrán en cuenta las siguientes reglas:

1) Si la solicitud se dirigiera al titular del archivo de datos personales común o Buró de Información Crediticia, éste deberá comunicar al afectado todos los datos relativos al mismo que obren en el archivo. En este caso, el titular del archivo de datos personales común o Buró de Información Crediticia deberá, además de dar cumplimiento a lo establecido en la legislación aplicable, facilitar las evaluaciones y apreciaciones que sobre el afectado se hayan comunicado en los últimos seis meses, el nombre y dirección de los cesionarios.

2) Si la solicitud se dirigiera a cualquier otra entidad participante en el sistema, ésta deberá comunicar al afectado todos los datos relativos al mismo a los que ella pueda acceder, así como la identidad y dirección del titular del archivo de datos personales común o Buró de Información Crediticia para que pueda completar el ejercicio de su derecho de acceso.

Párrafo. Cuando el interesado ejerza sus derechos de rectificación o cancelación en relación con la inclusión de sus datos en un archivo de datos personales común de información sobre solvencia patrimonial y crédito o Buró de Información Crediticia se tendrán en cuenta las siguientes reglas:

1) Si la solicitud se dirige al titular del archivo de datos personales común o Buró de Información Crediticia, éste tomará las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que ésta la resuelva. En el caso de que el responsable del archivo de datos personales común no haya recibido contestación por parte de la entidad en el plazo de siete días, procederá a la rectificación o cancelación cautelar de los mismos.

2) Si la solicitud se dirige a quien haya facilitado los datos al archivo de datos personales común o Buró de Información Crediticia procederá a la rectificación o cancelación de los mismos en sus archivos y a notificarlo al titular del archivo de datos personales común en el plazo de cinco días laborables, dando asimismo respuesta al interesado.

3) Si la solicitud se dirige a otra entidad participante en el sistema, que no hubiera facilitado al archivo de datos personales común los datos, dicha entidad informará al afectado sobre este hecho en el plazo máximo de cinco días laborables, proporcionándole, además, la identidad y dirección del titular del archivo de datos personales común o Buró de Información Crediticia para, que en su caso, puedan ejercer sus derechos ante el mismo.

 

Artículo 67. Archivos de datos personales comunes que contengan datos de carácter personal establecidos por las entidades aseguradoras.

Las entidades aseguradoras pueden establecer archivos de datos personales comunes que contengan datos de carácter personal para la liquidación de siniestros y la colaboración estadístico actuarial con la finalidad de permitir la tarificación y selección de riesgos y la elaboración de estudios de técnica aseguradora. La cesión de datos a los citados archivos de datos personales no requerirá el consentimiento previo del afectado, pero sí la comunicación al mismo de la posible cesión de sus datos personales en archivos comunes para los fines señalados con expresa indicación del responsable para que se puedan ejercer los derechos de acceso, rectificación y cancelación previstos en la Ley.

Párrafo. En todo caso, los datos relativos a la salud sólo podrán ser objeto de tratamiento con el consentimiento expreso del afectado.

 

Artículo 68. Tratamientos con fines de publicidad y de prospección comercial.

Queda expresamente prohibida la remisión, directa o indirectamente, de publicidad cuya recepción no haya sido solicitada o consentida expresamente por el interesado receptor de la misma.

Párrafo I. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas sólo pueden utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público, o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.

Párrafo II. Cuando los datos procedan de fuentes accesibles al público, en cada comunicación que se dirija al interesado debe ser informado del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. Dicha comunicación debe llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado.

Párrafo III. Los interesados tienen derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad pueden conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad.

 

Artículo 69. Archivos de datos personales relativos a las encuestas.

Las normas de la presente ley no se aplican a las encuestas de opinión, mediciones y estadísticas relevantes, trabajos de prospección de mercados, investigaciones científicas o médicas y actividades análogas, en la medida que los datos recogidos no puedan atribuirse a una persona determinada o determinable.

Párrafo. Si en el proceso de recolección de datos no resultara posible mantener el anonimato, se deberá utilizar una técnica de disociación, de modo que no permita identificar a persona alguna.

 

Artículo 70. Códigos tipo.

Mediante acuerdos sectoriales, convenios administrativos o decisiones de empresa, los responsables de tratamientos de titularidad pública y privada así como las organizaciones en que se agrupen, pueden formular códigos tipo que establezcan las condiciones de organización, régimen de funcionamiento, procedimientos aplicables, normas de seguridad del entorno, programas o equipos, obligaciones de los implicados en el tratamiento y uso de la información personal, así como las garantías, en su ámbito, para el ejercicio de los derechos de las personas con pleno respeto a los principios y disposiciones de la presente Ley y sus normas de desarrollo.

Párrafo I. Los citados códigos podrán contener o no reglas operacionales detalladas de cada sistema particular y estándares técnicos de aplicación, y en el supuesto de que tales reglas o estándares no se incorporen directamente al código, las instrucciones u órdenes que los establecieran deberán respetar los principios fijados en aquél.

Párrafo II. Los códigos tipo tienen el carácter de códigos deontológicos o de buena práctica profesional, debiendo ser depositados o inscritos en el Registro General de Protección de Datos. El Registro General de Protección de Datos podrá denegar la inscripción cuando considere que no se ajusta a las disposiciones legales y reglamentarias sobre la materia, debiendo, en este caso, el Director de la Agencia Dominicana de Protección de Datos requerir a los solicitantes para que efectúen las correcciones oportunas.

 

Artículo 71. Códigos de conducta.

Las asociaciones o entidades representativas de responsables o usuarios de archivos de datos personales de titularidad privada pueden elaborar códigos de conducta de práctica profesional, que establezcan normas para el tratamiento de datos personalesque tiendan a asegurar y mejorar las condiciones de operación de los sistemas de información en función de los principios establecidos en la presente ley.

Párrafo. Dichos códigos deben ser inscritos en el Registro General de Protección de que lleva la Agencia Dominicana de Protección de Datos, quien podrá denegar la inscripción cuando considere que no se ajustan a las disposiciones legales y reglamentarias sobre la materia.

 

Sección V.- Otros Datos

 

Sub-Sección I.- Datos Especialmente Protegidos

 

Artículo 72. Datos especialmente protegidos.

Ninguna persona puede ser obligada a declarar sobre su ideología, religión o creencias. Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se debe advertir al interesado acerca de su derecho a no prestarlo.

Párrafo I. Quedan prohibidos los archivos de datos personales creados con la finalidad exclusiva de almacenar datos de carácter personal que revelen la ideología, afiliación sindical, religión, creencias, origen racial o étnico, o vida sexual.

 

Artículo 73. Consentimiento.

Sólo con el consentimiento expreso y por escrito del afectado pueden ser objeto de tratamiento los datos de carácter personal que revelen origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual.

Párrafo. Se exceptúan los archivos de datos personales mantenidos por los partidos políticos, sindicatos, iglesias o comunidades religiosas y asociaciones, fundaciones y otras entidades sin fines de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisará siempre el previo consentimiento del afectado.

 

Artículo 74. Excepción.

Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente, o cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.

 

Artículo 75. Datos de infracciones penales.

Los datos de carácter personal relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en archivos de datos personales de la Administración Pública competente en los supuestos previstos en las normas reguladoras.

 

Sub-Sección II.- Datos Relativos a la Salud

 

Artículo 76. Datos relativos a la salud.

Sin perjuicio de lo establecido en la presente ley respecto de la cesión de datos, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes pueden proceder al tratamiento de los datos de carácter personal relativos a la salud física o mental de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación dominicana sobre salud.

Párrafo. No obstante lo dispuesto sobre datos especialmente protegidos, pueden ser objeto de tratamiento los datos de carácter personal que se refieren al origen racial, a la salud y a la vida sexual, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto.

 

Sub-Sección III.- Tratamiento de Datos de Menores de Edad

 

Artículo 77. Tratamiento de datos de menores de edad.

Puede procederse al tratamiento de los datos de los mayores de dieciséis (16) años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de dieciséis (16) años se requerirá el consentimiento de los padres o tutores.

Párrafo I. En ningún caso puede recabarse del menor de edad datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior.

Párrafo II. Cuando el tratamiento se refiera a datos de menores de dieciséis (16) años de edad, la información dirigida a los mismos debe expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo.

Párrafo III. Corresponde al responsable del archivo de datos personales o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.

 

Sección VI.- Movimiento Internacional de Datos

 

Artículo 78. Representante.

Cuando el responsable del tratamiento no esté establecido en el territorio de la República Dominicana y utilice en el tratamiento de datos medios situados en territorio dominicano, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en la República Dominicana, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.

Párrafo I. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.

Párrafo II. Reglamentariamente se establecerán los casos en los que por utilizarse medios para el tratamiento de datos situados en la República Dominicana y utilizarse los mismos únicamente con fines de tránsito, el responsable del tratamiento no establecido en territorio de la República podrá ser eximido de designar un representante en la misma.

 

Artículo 79. Norma general.

No pueden realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países, u organismos internacionales o supranacionales, que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa de la Agencia Dominicana de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas. En todo caso, la transferencia internacional de datos no excluye en ningún caso la aplicación de las disposiciones contenidas en la Ley y deberá ser notificada a fin de proceder a su inscripción en el Registro General de Protección de Datos.

Párrafo I. El carácter adecuado del nivel de protección que ofrece el país de destino es evaluado por la Agencia Dominicana de Protección de Datos atendiendo a todas las circunstancias que concurran en la transferencia o categoría de transferencia de datos. En particular, se tomará en consideración la naturaleza de los datos de finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de Derecho, generales o sectoriales, vigentes en el país tercero de que se trate, así como las normas profesionales y las medidas de seguridad en vigor en dichos países.

Párrafo II. La Agencia Dominicana de Protección de Datos acordará la publicación de la relación de países cuyo nivel de protección haya sido considerado equiparable conforme a lo dispuesto en el apartado anterior y mantendrá actualizado dicho listado a través de medios informáticos o telemáticos.

 

Artículo 80. Autorización.

Cuando la transferencia tenga por destino un Estado respecto del que no se haya declarado o no se haya considerado por la Agencia Dominicana de Protección de Datos que existe un nivel adecuado de protección, será necesario recabar la autorización de la Agencia Dominicana de Protección de Datos.

Párrafo. La autorización podrá ser otorgada en caso de que el responsable del archivo de datos personales o tratamiento aporte un contrato escrito, celebrado entre el exportador y el importador, en el que consten las necesarias garantías establecidas en la presente ley y sus reglamentos.

 

Artículo 81. Suspensión temporal de transferencia de datos.

La Agencia Dominicana de Protección de Datos puede acordar, previa audiencia con el exportador, la suspensión temporal de la transferencia de datos hacia un importador ubicado en un tercer Estado del que se haya declarado la existencia de un nivel adecuado de protección, cuando concurra alguna de las circunstancias siguientes:

1) Que las autoridades de Protección de Datos del Estado importador o cualquier otra competente, en caso de no existir las primeras, resuelvan que el importador ha vulnerado las normas de protección de datos establecidas en su derecho interno.

2) Que existan indicios racionales de que se estén vulnerando las normas o, en su caso, los principios de protección de datos por la entidad importadora de la transferencia y que las autoridades competentes en el Estado en que se encuentre el importador no han adoptado o no van a adoptar en el futuro las medidas oportunas para resolver el caso en cuestión, habiendo sido advertidas de la situación por la Agencia Dominicana de Protección de Datos. En este caso se podrá suspender la transferencia cuando su continuación pudiera generar un riesgo inminente de grave perjuicio a los afectados.

 

Artículo 82. Excepciones.

Lo dispuesto en los artículos anteriores no será de aplicación:

1) Cuando la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte la República Dominicana.

2) Cuando la transferencia se haga a efectos de prestar o solicitar auxilio judicial internacional.

3) Cuando la transferencia sea necesaria para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios.

4) Cuando se refiera a transferencias pecuniarias conforme a su legislación específica.

5) Cuando el afectado haya dado su consentimiento inequívoco a la transferencia prevista.

6) Cuando la transferencia sea necesaria para la ejecución de un contrato entre el afectado y el responsable del archivo de datos personales o para la adopción de medidas precontractuales adoptadas a petición del afectado.

7) Cuando la transferencia sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del afectado, por el responsable del archivo de datos personales y un tercero.

8) Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público. Tendrá esta consideración la transferencia solicitada por una Administración Fiscal o Aduanera para el cumplimiento de sus competencias.

9) Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

10) Cuando la transferencia se efectúe, a petición de una persona con interés legítimo, desde un Registro Público y aquélla sea acorde con la finalidad del mismo.

11) Cuando la transferencia tenga por objeto la cooperación internacional entre organismos de inteligencia para la lucha contra el crimen organizado, el terrorismo y el narcotráfico.

 

CAPÍTULO V.- DISPOSICIONES DE INFRACCIONES Y SANCIONES

 

Artículo 83. Responsables.

La Agencia Dominicana de Protección de Datos puede aplicar el régimen sancionador administrativo establecido en la presente Ley a los responsables de los archivos de datos personales y, en general, a los encargados de los tratamientos, sin perjuicio de la responsabilidad por daños y perjuicios derivados de la inobservancia de la presente ley y de las sanciones penales que correspondan.

 

Artículo 84. Tipos de infracciones y sus sanciones.

Las infracciones se califican de la siguiente manera y tendrán las sanciones siguientes:

1) Sanciones leves, cuya comisión será sancionada con multa de uno (1) a veinte (20) salarios mínimos.

2) Sanciones graves, cuya comisión será sancionada con multa de veinte (20) a cuarenta (40) salarios mínimos.

3) Sanciones muy graves, cuya comisión será sancionada con multa de cuarenta (40) a sesenta (60) salarios mínimos.

Párrafo I. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.

Párrafo II. Si en razón de las circunstancias concurrentes, se aprecia una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, la Agencia Dominicana de Protección de Datos establecerá lacuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate.

Párrafo III. En ningún caso podrá imponerse una sanción más grave que la fijada en ésta Ley para la clase de infracción en la que se constituya la que se pretenda sancionar.

 

Artículo 85. Infracciones leves.

Son infracciones leves:

1) No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda.

2) No proporcionar la información que solicite la Agencia Dominicana de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas, en relación con aspectos no sustantivos de la protección de datos.

3) No solicitar la inscripción del archivo de datos personales en el Registro General de Protección de Datos, cuando no sea constitutivo de infracción grave.

4) Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles las informaciones que señala la presente Ley.

5) Incumplir el deber de secreto establecido en esta Ley, salvo que constituya infracción grave.

 

Artículo 86. Infracciones graves.

Son infracciones graves:

1) Proceder a la creación de archivos de datos personales de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general publicada de acuerdo a lo establecido en la presente Ley.

2) Proceder a la creación de archivos de datos personales de titularidad privada o iniciar la recogida de datos de carácter personal para los mismos con finalidades distintas de las que constituyen el objeto legítimo de la empresa o entidad.

3) Proceder a la recogida de datos de carácter personal sin recabar el consentimiento expreso de las personas afectadas, en los casos en que éste sea exigible.

4) Tratar los datos de carácter personal o usarlos posteriormente con violación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.

5) El impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada.

6) Mantener datos de carácter personal inexactos o no efectuar las rectificaciones o cancelaciones de los mismos que legalmente procedan cuando resulten afectados los derechos de las personas que la presente Ley ampara.

7) La vulneración del deber de guardar secreto sobre los datos de carácter personal incorporados a los archivos de datos personales que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros, prestación de servicios de solvencia patrimonial y crédito, así como aquellos otros archivos de datos personales que contengan un conjunto de datos de carácter personal suficientes para obtener una evaluación de la personalidad del individuo.

8) Mantener los archivos de datos personales, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.

9) No remitir a la Agencia Dominicana de Protección de Datos las notificaciones previstas en esta Ley o en sus disposiciones de desarrollo, así como no proporcionar en plazo a la misma cuantos documentos e informaciones deba recibir o sean requeridos por aquél a tales efectos.

10) La obstrucción al ejercicio de la función inspectora.

11)No inscribir los archivos de datos personales en el Registro General de Protección de Datos, cuando haya sido requerido para ello por el Director de la Agencia Dominicana de Protección de Datos.

12) Incumplir el deber de información que se establece en esta Ley, cuando los datos hayan sido recabados de persona distinta del afectado.

 

Artículo 87. Infracciones muy graves.

Son infracciones muy graves:

1) La recogida de datos en forma engañosa y fraudulenta.

2) La comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas.

3) Recabar y tratar los datos de carácter personal especialmente protegidos a los que se refiere esta Ley cuando no medie el consentimiento expreso del afectado, cuando no lo disponga una Ley o el afectado no haya consentido expresamente, o violentar la prohibición de crear archivos de datos personales con la finalidad exclusiva de almacenar datos de carácter personal especialmente protegidos.

4) No cesar en el uso ilegítimo de los tratamientos de datos de carácter personal cuando sea requerido para ello por el Director de la Agencia Dominicana de Protección de Datos o por las personas titulares del derecho de acceso.

5) La transferencia temporal o definitiva de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento, con destino a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la Agencia Dominicana de Protección de Datos.

6) Tratar los datos de carácter personal de forma ilegítima o con menosprecio de los principios y garantías que les sean de aplicación, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales.

7) La vulneración del deber de guardar secreto sobre los datos de carácter personal especialmente protegidos a que hace referencia la presente Ley, así como los que hayan sido recabados para fines policiales sin consentimiento de las personas afectadas.

8) No atender, u obstaculizar de forma sistemática el ejercicio de los derechos de acceso, rectificación, cancelación u oposición.

9) No atender de forma sistemática el deber legal de notificación de la inclusión de datos de carácter personal en un archivo de datos personales.

10) El incumplimiento de la obligación de suspender la transmisión, el alojamiento de datos, el acceso a la red o la prestación de cualquier otro servicio equivalente de intermediación, cuando la Agencia Dominicana de Protección de Datos lo ordene.

 

Artículo 88. Infracciones de la Administración Pública.

Cuando las infracciones a que se refiere el presente Capítulo fuesen cometidas en archivos de datos personales de los que sean responsabilidad de la Administración Pública, el Director de la Agencia Dominicana de Protección de Datos dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del archivo de datos personales, al órgano del quedependa jerárquicamente y a los afectados si los hubiera.

Párrafo I. El Director de la Agencia podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de la ley 41-08 de Función Pública.

Párrafo II. Se deben comunicar a la Agencia Dominicana de Protección de Datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refiere el presente artículo.

 

Artículo 89. Plazos de prescripción.

Las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves al año, comenzando a contarse dichos plazos desde el día en que el titular de la información tiene conocimiento de la vulneración.

Párrafo. Interrumpe la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.

 

Artículo 90. Procedimiento sancionador.

Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título.

Los procedimientos sancionadores tramitados por la Agencia Dominicana de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes tendrán una duración máxima de seis meses.

Párrafo. Las resoluciones de la Agencia Dominicana de Protección de Datos dictadas en ocasión de un proceso sancionador agotan la vía administrativa.

 

Artículo 91. Potestad de inmovilización de archivos de datos personales.

En los supuestos constitutivos de infracción muy graves, de utilización o cesión ilícita de los datos de carácter personal en que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que las leyes garantizan, el Director de la Agencia Dominicana de Protección de Datos puede, además de ejercer la potestad sancionadora, requerir a los responsables de archivos de datos personales, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, la Agencia Dominicana de Protección de Datos podrá, mediante resolución motivada, inmovilizar tales archivos a los solos efectos de restaurar los derechos de las personas afectadas.

 

CAPÍTULO VI.- DISPOSICIONES TRANSITORIAS, MODIFICATORIAS Y FINALES

 

Sección I.- Disposiciones Transitorias

 

Artículo 92. Tratamientos creados por Convenios Internacionales.

La Agencia Dominicana de Protección de Datos será el organismo competente para la protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal respecto de los tratamientos establecidos en cualquier Convenio Internacional del que sea parte la República Dominicana que atribuya a una autoridad nacional de control esta competencia, mientras no se cree una autoridad diferente para este cometido en desarrollo del Convenio.

 

Sección II.- Disposiciones Modificatorias

 

Artículo 93.

Se modifica el artículo 19, parte in fine, de la Ley 288-05 sobre Sociedades de Intermediación Crediticia y Protección al Titular de la Información, del dieciocho (18) de agosto del año dos mil cinco (2005), para que en lo adelante se lea de la siguiente manera:

“Artículo 19.- Los consumidores tendrán derecho a solicitar de los BICs sus reportes de crédito, a través de las unidades especializadas de los BICs. Dichas unidades estarán obligadas a tramitar las solicitudes presentadas por los consumidores de manera gratuita.”

 

Artículo. 94.

Se modifica el párrafo I del artículo 19, de la Ley 288-05 sobre Sociedades de Intermediación Crediticia y Protección al Titular de la Información, del dieciocho (18) de agosto del año dos mil cinco (2005), para que en lo adelante se lea de la siguiente manera:

“Párrafo I.- El BIC deberá presentar el reporte de crédito solicitado en forma clara, completa y accesible, de tal manera que se explique por sí mismo, y deberá ponerlo a disposición del consumidor en un plazo no mayor de diez (10) días hábiles, contados a partir de la fecha en que BIC hubiera recibido la solicitud correspondiente.”

 

Artículo. 95.

Se modifica el artículo 22 de la Ley 288-05 sobre Sociedades de Intermediación Crediticia y Protección al Titular de la Información, del dieciocho (18) de agosto del año dos mil cinco (2005), para que en lo adelante se lea de la siguiente manera:

“Artículo 22.- Si las unidades especializadas de las Entidades de Intermediación Financiera, o en el caso de Agentes Económicos, de quienes designen como responsables para esos efectos, no hacen llegar al BIC su respuesta a la reclamación presentada por el cliente o consumidor dentro de un plazo de siete (7) días hábiles, contados a partir de que hayan recibido la notificación de la reclamación, el BIC deberá modificar o eliminar de su base de datos la información que conste en el registro de que se trate, según le haya solicitado el cliente o consumidor, así como la leyenda: “Registro Impugnado”.

 

Sección III.- Disposiciones Finales

 

Artículo 96. Archivos de datos personales y Registro de Población de la Administración Pública.

La Administración Pública puede solicitar a la Junta Central Electoral, sin consentimiento del interesado, una copia actualizada del archivo de datos personales formado con los datos del nombre, apellidos, domicilio, sexo y fecha de nacimiento que constan en las oficialías de Estado Civil y los padrones electorales correspondientes para la creación de archivos de datos personales o registros de población, teniendo siempre estos archivos o registros como finalidad la comunicación de los distintos órganos de la administración pública con los interesados residentes en los respectivos territorios, respecto a las relaciones jurídico-administrativas derivadas de las competencias respectivas de la Administración Pública.

 

Artículo 97.

Los archivos de datos personales de los prestadores de servicios de información crediticia deberán suprimir, o en su caso, omitir asentar, todo dato referido al incumplimiento o mora en el pago de una obligación, si ésta hubiere sido cancelada al momento de la entrada en vigencia de la presente ley.

 

Artículo 98. Archivos de datos personales preexistentes.

Los archivos de datos personales y tratamientos automatizados, tanto los no inscritos, como los inscritos desde la entrada en vigor de la Ley, en el Registro General de Protección de Datos deberán adecuarse y cumplir con la presente Ley dentro del plazo de dos años, a contar desde su entrada en vigor. En dicho plazo, los archivos de datos personales de titularidad privada deberán ser comunicados a la Agencia Dominicana de Protección de Datos y los archivos de datos personales de titularidad pública, deberán aprobar la pertinente disposición de regulación del archivo de datos personales o adaptar la existente.

Párrafo I. En el supuesto de archivos de datos personales y tratamientos no automatizados, su adecuación a la presente Ley y la obligación prevista en el párrafo anterior deberá cumplirse en el plazo de tres años a contar desde la entrada en vigencia de la presente Ley, sin perjuicio del ejercicio de los derechos de acceso, rectificación y cancelación por parte de los afectados.

Párrafo II. En caso de transferencias de datos a la República Dominicana desde países terceros, los responsables o encargados del archivo de datos personales o su tratamiento deberán adecuarse y cumplir con la presente Ley dentro del plazo de un año a contar desde su entrada en vigor.

 

Artículo 99. Reglamentación.

La Agencia Dominicana de Protección de Datos elaborará el reglamento necesario para la aplicación y desarrollo de la presente ley y el Poder Ejecutivo lo dictará dentro de los noventa (90) días después de su entrada en vigencia.

 

Artículo 100. Entrada en vigencia.

La presente Ley entra en vigencia después de su promulgación y publicación conforme a la Constitución de la República y transcurridos los plazos fijados en el Código Civil Dominicano.

 

Félix Bautista

, Senador Provincia San Juan

05Sep/11

Ley nº 8.968 de Protección de la persona frente al tratamiento de sus datos personales

Ley nº 8.968 de Protección de la persona frente al tratamiento de sus datos personales (La Gaceta nº 170, Lunes 5 de setiembre de 2011)

LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA

DECRETA:

PROTECCIÓN DE LA PERSONA FRENTE AL TRATAMIENTO DE SUS DATOS PERSONALES

CAPÍTULO I.- DISPOSICIONES GENERALES

SECCIÓN ÚNICA

Artículo 1º.- Objetivo y fin

Esta ley es de orden público y tiene como objetivo garantizar a cualquier persona, independientemente de su nacionalidad, residencia o domicilio, el respeto a sus derechos fundamentales, concretamente, su derecho a la autodeterminación informativa en relación con su vida o actividad privada y demás derechos de la personalidad, así como la defensa de su libertad e igualdad con respecto al tratamiento automatizado o manual de los datos correspondientes a su persona o bienes.

Artículo 2º.- Ámbito de aplicación

Esta ley será de aplicación a los datos personales que figuren en bases de datos automatizadas o manuales, de organismos públicos o privados, y a toda modalidad de uso posterior de estos datos.

El régimen de protección de los datos de carácter personal que se establece en esta ley no será de aplicación a las bases de datos mantenidas por personas físicas o jurídicas con fines exclusivamente internos, personales o domésticos, siempre y cuando estas no sean vendidas o de cualquier otra manera comercializadas.

Artículo 3º.- Definiciones

Para los efectos de la presente ley se define lo siguiente:

a) Base de datos: cualquier archivo, fichero, registro u otro conjunto estructurado de datos personales, que sean objeto de tratamiento o procesamiento, automatizado o manuales, cualquiera que sea la modalidad de su elaboración, organización o acceso.

b) Datos personales: cualquier dato relativo a una persona física identificada o identificable.

c) Datos personales de acceso irrestricto: los contenidos en bases de datos públicas de acceso general, según dispongan leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados.

d) Datos personales de acceso restringido: los que, aun formando parte de registros de acceso al público, no son de acceso irrestricto por ser de interés solo para su titular o para la Administración Pública.

e) Datos sensibles: información relativa al fuero íntimo de la persona, como por ejemplo los que revelen origen racial, opiniones políticas, convicciones religiosas o espirituales, condición socioeconómica, información biomédica o genética, vida y orientación sexual, entre otros.

f) Deber de confidencialidad: obligación de los responsables de bases de datos, personal a su cargo y del personal de la Agencia de Protección de Datos de los Habitantes (Prodhab), de guardar la confidencialidad con ocasión del ejercicio de las facultades dadas por esta ley, principalmente cuando se acceda a información sobre datos personales y sensibles. Esta obligación perdurará aun después de finalizada la relación con la base de datos.

g) Interesado: persona física, titular de los datos que sean objeto del tratamiento automatizado o manual.

h) Responsable de la base de datos: persona física o jurídica que administre, gerencie o se encargue de la base de datos, ya sea esta una entidad pública o privada, competente, con arreglo a la ley, para decidir cuál es la finalidad de la base de datos, cuáles categorías de datos de carácter personal deberán registrase y qué tipo de tratamiento se les aplicarán.

i) Tratamiento de datos personales: cualquier operación o conjunto de operaciones, efectuadas mediante procedimientos automatizados o manuales y aplicadas a datos personales, tales como la recolección, el registro, la organización, la conservación, la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a estos, el cotejo o la interconexión, así como su bloqueo, supresión o destrucción, entre otros.

CAPÍTULO II.- PRINCIPIOS Y DERECHOS BÁSICOS PARA LA PROTECCIÓN DE DATOS PERSONALES

SECCIÓN I.- PRINCIPIOS Y DERECHOS BÁSICOS

Artículo 4º.- Autodeterminación informativa

Toda persona tiene derecho a la autodeterminación informativa, la cual abarca el conjunto de principios y garantías relativas al legítimo tratamiento de sus datos personales reconocidos en esta sección.

Se reconoce también la autodeterminación informativa como un derecho fundamental, con el objeto de controlar el flujo de informaciones que conciernen a cada persona, derivado del derecho a la privacidad, evitando que se propicien acciones discriminatorias.

Artículo 5º.- Principio de consentimiento informado

1.- Obligación de informar

Cuando se soliciten datos de carácter personal será necesario informar de previo a las personas titulares o a sus representantes, de modo expreso, preciso e inequívoco:

a) De la existencia de una base de datos de carácter personal.

b) De los fines que se persiguen con la recolección de estos datos.

c) De los destinatarios de la información, así como de quiénes podrán consultarla.

d) Del carácter obligatorio o facultativo de sus respuestas a las preguntas que se le formulen durante la recolección de los datos.

e) Del tratamiento que se dará a los datos solicitados.

f) De las consecuencias de la negativa a suministrar los datos.

g) De la posibilidad de ejercer los derechos que le asisten.

h) De la identidad y dirección del responsable de la base de datos.

Cuando se utilicen cuestionarios u otros medios para la recolección de datos personales figurarán estas advertencias en forma claramente legible.

2.-Otorgamiento del consentimiento

Quien recopile datos personales deberá obtener el consentimiento expreso de la persona titular de los datos o de su representante. Este consentimiento deberá constar por escrito, ya sea en un documento físico o electrónico, el cual podrá ser revocado de la misma forma, sin efecto retroactivo.

No será necesario el consentimiento expreso cuando:

a) Exista orden fundamentada, dictada por autoridad judicial competente o acuerdo adoptado por una comisión especial de investigación de la Asamblea Legislativa en el ejercicio de su cargo.

b) Se trate de datos personales de acceso irrestricto, obtenidos de fuentes de acceso público general.

c) Los datos deban ser entregados por disposición constitucional o legal.

Se prohíbe el acopio de datos sin el consentimiento informado de la persona, o bien, adquiridos por medios fraudulentos, desleales o ilícitos.

Artículo 6º.- Principio de calidad de la información

Solo podrán ser recolectados, almacenados o empleados datos de carácter personal para su tratamiento automatizado o manual, cuando tales datos sean actuales, veraces, exactos y adecuados al fin para el que fueron recolectados.

1.-Actualidad

Los datos de carácter personal deberán ser actuales. El responsable de la base de datos eliminará los datos que hayan dejado de ser pertinentes o necesarios, en razón de la finalidad para la cual fueron recibidos y registrados. En ningún caso, serán conservados los datos personales que puedan afectar, de cualquier modo, a su titular, una vez transcurridos diez años desde la fecha de ocurrencia de los hechos registrados, salvo disposición normativa especial que disponga otra cosa. En caso de que sea necesaria su conservación, más allá del plazo estipulado, deberán ser desasociados de su titular.

2. Veracidad

Los datos de carácter personal deberán ser veraces.

La persona responsable de la base de datos está obligado a modificar o suprimir los datos que falten a la verdad. De la misma manera, velará por que los datos sean tratados de manera leal y lícita.

3.- Exactitud

Los datos de carácter personal deberán ser exactos. La persona responsable de la base de datos tomará las medidas necesarias para que los datos inexactos o incompletos, con respecto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados.

Si los datos de carácter personal registrados resultan ser inexactos en todo o en parte, o incompletos, serán eliminados o sustituidos de oficio por la persona responsable de la base de datos, por los correspondientes datos rectificados, actualizados o complementados. Igualmente, serán eliminados si no media el consentimiento informado o está prohibida su recolección.

4.-Adecuación al fin

Los datos de carácter personal serán recopilados con fines determinados, explícitos y legítimos, y no serán tratados posteriormente de manera incompatible con dichos fines.

No se considerará incompatible el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando se establezcan las garantías oportunas para salvaguardar los derechos contemplados en esta ley.

Las bases de datos no pueden tener finalidades contrarias a las leyes ni a la moral pública.

Artículo 7º.- Derechos que le asisten a la persona

Se garantiza el derecho de toda persona al acceso de sus datos personales, rectificación o supresión de estos y a consentir la cesión de sus datos.

La persona responsable de la base de datos debe cumplir lo solicitado por la persona, de manera gratuita, y resolver en el sentido que corresponda en el plazo de cinco días hábiles, contado a partir de la recepción de la solicitud.

1.- Acceso a la información

La información deberá ser almacenada en forma tal que se garantice plenamente el derecho de acceso por la persona interesada.

El derecho de acceso a la información personal garantiza las siguientes facultades del interesado:

a) Obtener en intervalos razonables, según se disponga por reglamento, sin demora y a título gratuito, la confirmación o no de la existencia de datos suyos en archivos o bases de datos. En caso de que sí existan datos suyos, estos deberán ser comunicados a la persona interesada en forma precisa y entendible.

b) Recibir la información relativa a su persona, así como la finalidad con que fueron recopilados y el uso que se le ha dado a sus datos personales. El informe deberá ser completo, claro y exento de codificaciones.

Deberá estar acompañado de una explicación de los términos técnicos que se utilicen.

c) Ser informado por escrito de manera amplia, por medios físicos o electrónicos, sobre la totalidad del registro perteneciente al titular, aun cuando el requerimiento solo comprenda un aspecto de los datos personales.

Este informe en ningún caso podrá revelar datos pertenecientes a terceros, aun cuando se vinculen con la persona interesada, excepto cuando con ellos se pretenda configurar un delito penal.

d) Tener conocimiento, en su caso, del sistema, programa, método o proceso utilizado en los tratamientos de sus datos personales.

El ejercicio del derecho al cual se refiere este Artículo, en el caso de datos de personas fallecidas, le corresponderá a sus sucesores o herederos.

2.- Derecho de rectificación

Se garantiza el derecho de obtener, llegado el caso, la rectificación de los datos personales y su actualización o la eliminación de estos cuando se hayan tratado con infracción a las disposiciones de la presente ley, en particular a causa del carácter incompleto o inexacto de los datos, o hayan sido recopilados sin autorización del titular.

Todo titular puede solicitar y obtener de la persona responsable de la base de datos, la rectificación, la actualización, la cancelación o la eliminación y el cumplimiento de la garantía de confidencialidad respecto de sus datos personales.

El ejercicio del derecho al cual se refiere este Artículo, en el caso de datos de personas fallecidas, le corresponderá a sus sucesores o herederos.

Artículo 8º.- Excepciones a la autodeterminación informativa del ciudadano

Los principios, los derechos y las garantías aquí establecidos podrán ser limitados de manera justa, razonable y acorde con el principio de transparencia administrativa, cuando se persigan los siguientes fines:

a) La seguridad del Estado.

b) La seguridad y el ejercicio de la autoridad pública.

c) La prevención, persecución, investigación, detención y represión de las infracciones penales, o de las infracciones de la deontología en las profesiones.

d) El funcionamiento de bases de datos que se utilicen con fines estadísticos, históricos o de investigación científica, cuando no exista riesgo de que las personas sean identificadas.

e) La adecuada prestación de servicios públicos.

f) La eficaz actividad ordinaria de la Administración, por parte de las autoridades oficiales.

SECCIÓN II.- CATEGORÍAS ESPECIALES DEL TRATAMIENTO DE LOS DATOS

Artículo 9º.- Categorías particulares de los datos

Además de las reglas generales establecidas en esta ley, para el tratamiento de los datos personales, las categorías particulares de los datos que se mencionarán, se regirán por las siguientes disposiciones:

1.-Datos sensibles

Ninguna persona estará obligada a suministrar datos sensibles.

Se prohíbe el tratamiento de datos de carácter personal que revelen el origen racial o étnico, opiniones políticas, convicciones religiosas, espirituales o filosóficas, así como los relativos a la salud, la vida y la orientación sexual, entre otros.

Esta prohibición no se aplicará cuando:

a) El tratamiento de los datos sea necesario para salvaguardar el interés vital del interesado o de otra persona, en el supuesto de que la persona interesada esté física o jurídicamente incapacitada para dar su consentimiento.

b) El tratamiento de los datos sea efectuado en el curso de sus actividades legítimas y con las debidas garantías por una fundación, una asociación o cualquier otro organismo, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a las personas que mantengan contactos regulares con la fundación, la asociación o el organismo, por razón de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento de las personas interesadas.

c) El tratamiento se refiera a datos que la persona interesada haya hecho públicos voluntariamente o sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial.

d) El tratamiento de los datos resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos, o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos sea realizado por un funcionario o funcionaria del área de la salud, sujeto al secreto profesional o propio de su función, o por otra persona sujeta, asimismo, a una obligación equivalente de secreto.

2.- Datos personales de acceso restringido

Datos personales de acceso restringido son los que, aun formando parte de registros de acceso al público, no son de acceso irrestricto por ser de interés solo para su titular o para la Administración Pública. Su tratamiento será permitido únicamente para fines públicos o si se cuenta con el consentimiento expreso del titular.

3.- Datos personales de acceso irrestricto

Datos personales de acceso irrestricto son los contenidos en bases de datos públicas de acceso general, según lo dispongan las leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados.

No se considerarán contemplados en esta categoría: la dirección exacta de la residencia, excepto si su uso es producto de un mandato, citación o notificación administrativa o judicial, o bien, de una operación bancaria o financiera, la fotografía, los números de teléfono privados y otros de igual naturaleza cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular.

4.- Datos referentes al comportamiento crediticio

Los datos referentes al comportamiento crediticio se regirán por las normas que regulan el Sistema Financiero Nacional, de modo que permitan garantizar un grado de riesgo aceptable por parte de las entidades financieras, sin impedir el pleno ejercicio del derecho a la autodeterminación informativa ni exceder los límites de esta ley.

SECCIÓN III.- SEGURIDAD Y CONFIDENCIALIDAD DEL TRATAMIENTO DE LOS DATOS

Artículo 10º.- Seguridad de los datos

El responsable de la base de datos deberá adoptar las medidas de índole técnica y de organización necesarias para garantizar la seguridad de los datos de carácter personal y evitar su alteración, destrucción accidental o ilícita, pérdida, tratamiento o acceso no autorizado, así como cualquier otra acción contraria a esta ley.

Dichas medidas deberán incluir, al menos, los mecanismos de seguridad física y lógica más adecuados de acuerdo con el desarrollo tecnológico actual, para garantizar la protección de la información almacenada.

No se registrarán datos personales en bases de datos que no reúnan las condiciones que garanticen plenamente su seguridad e integridad, así como la de los centros de tratamiento, equipos, sistemas y programas.

Por vía de reglamento se establecerán los requisitos y las condiciones que deban reunir las bases de datos automatizadas y manuales, y de las personas que intervengan en el acopio, almacenamiento y uso de los datos.

Artículo 11º.- Deber de confidencialidad

La persona responsable y quienes intervengan en cualquier fase del tratamiento de datos personales están obligadas al secreto profesional o funcional, aun después de finalizada su relación con la base de datos. La persona obligada podrá ser relevado del deber de secreto por decisión judicial en lo estrictamente necesario y dentro de la causa que conoce.

Artículo 12º.- Protocolos de actuación

Las personas físicas y jurídicas, públicas y privadas, que tengan entre sus funciones la recolección, el almacenamiento y el uso de datos personales, podrán emitir un protocolo de actuación en el cual establecerán los pasos que deberán seguir en la recolección, el almacenamiento y el manejo de los datos personales, de conformidad con las reglas previstas en esta ley.

Para que sean válidos, los protocolos de actuación deberán ser inscritos, así como sus posteriores modificaciones, ante la Prodhab.

La Prodhab podrá verificar, en cualquier momento, que la base de datos esté cumpliendo cabalmente con los términos de su protocolo.

La manipulación de datos con base en un protocolo de actuación inscrito ante la Prodhab hará presumir, “iuris tantum”, el cumplimiento de las disposiciones contenidas en esta ley, para los efectos de autorizar la cesión de los datos contenidos en una base.

Artículo 13º.- Garantías efectivas

Toda persona interesada tiene derecho a un procedimiento administrativo sencillo y rápido ante la Prodhab, con el fin de ser protegido contra actos que violen sus derechos fundamentales reconocidos por esta ley. Lo anterior sin perjuicio de las garantías jurisdiccionales generales o específicas que la ley establezca para este mismo fin.

CAPÍTULO III.- TRANSFERENCIA DE DATOS PERSONALES

SECCIÓN ÚNICA

Artículo 14º.- Transferencia de datos personales, regla general

Los responsables de las bases de datos, públicas o privadas, solo podrán transferir datos contenidos en ellas cuando el titular del derecho haya autorizado expresa y válidamente tal transferencia y
se haga sin vulnerar los principios y derechos reconocidos en esta ley.

CAPÍTULO IV.- AGENCIA DE PROTECCIÓN DE DATOS DE LOS HABITANTES (Prodhab)

SECCIÓN I.- DISPOSICIONES GENERALES

Artículo 15º.- Agencia de Protección de Datos de los habitantes (Prodhab)

Créase un órgano de desconcentración máxima adscrito al Ministerio de Justicia y Paz denominado Agencia de Protección de Datos de los habitantes (Prodhab). Tendrá personalidad jurídica instrumental propia en el desempeño de las funciones que le asigna esta ley, además de la administración de sus recursos y presupuesto, así como para suscribir los contratos y convenios que requiera para el cumplimiento de sus funciones. La Agencia gozará de independencia de criterio.

Artículo 16º.- Atribuciones

Son atribuciones de la Prodhab, además de las otras que le impongan esta u otras normas, las siguientes:

a) Velar por el cumplimiento de la normativa en materia de protección de datos, tanto por parte de personas físicas o jurídicas privadas, como por entes y órganos públicos.

b) Llevar un registro de las bases de datos reguladas por esta ley.

c) Requerir, de quienes administren bases de datos, las informaciones necesarias para el ejercicio de su cargo, entre ellas, los protocolos utilizados.

d) Acceder a las bases de datos reguladas por esta ley, a efectos de hacer cumplir efectivamente las normas sobre protección de datos personales. Esta atribución se aplicará para los casos concretos presentados ante la Agencia y, excepcionalmente, cuando se tenga evidencia de un mal manejo generalizado de la base de datos o sistema de información.

e) Resolver sobre los reclamos por infracción a las normas sobre protección de los datos personales.

f) Ordenar, de oficio o a petición de parte, la supresión, rectificación, adición o restricción en la circulación de las informaciones contenidas en los archivos y las bases de datos, cuando estas contravengan las normas sobre protección de los datos personales.

g) Imponer las sanciones establecidas, en el Artículo 28 de esta ley, a las personas físicas o jurídicas, públicas o privadas, que infrinjan las normas sobre protección de los datos personales, y dar traslado al Ministerio Público de las que puedan configurar delito.

h) Promover y contribuir en la redacción de normativa tendiente a implementar las normas sobre protección de los datos personales.

i) Dictar las directrices necesarias, las cuales deberán ser publicadas en el diario oficial La Gaceta, a efectos de que las instituciones públicas implementen los procedimientos adecuados respecto del manejo de los datos personales, respetando los diversos grados de autonomía administrativa e independencia funcional.

j) Fomentar entre los habitantes el conocimiento de los derechos concernientes al acopio, el almacenamiento, la transferencia y el uso de sus datos personales.

En el ejercicio de sus atribuciones, la Prodhab deberá emplear procedimientos automatizados, de acuerdo con las mejores herramientas tecnológicas a su alcance.

Artículo 17º.- Dirección de la Agencia

La Dirección de la Prodhab estará a cargo de un director o una directora nacional, quien deberá contar, al menos, con el grado académico de licenciatura en una materia afín al objeto de su función y ser de reconocida solvencia profesional y moral.

No podrá ser nombrado director o directora nacional quien sea propietario, accionista, miembro de la junta directiva, gerente, asesor, representante legal o empleado de una empresa dedicada a la recolección o el almacenamiento de datos personales. Dicha prohibición persistirá hasta por dos años después de haber cesado sus funciones o vínculo empresarial. Estará igualmente impedido quien sea cónyuge o pariente hasta el tercer grado de consanguinidad o afinidad de una persona que esté en alguno de los supuestos mencionados anteriormente.

Artículo 18º.- Personal de la Agencia

La Prodhab contará con el personal técnico y administrativo necesario para el buen ejercicio de sus funciones, designado mediante concurso por idoneidad, según el Estatuto de Servicio Civil o bien como se disponga reglamentariamente. El personal está obligado a guardar secreto profesional y deber de confidencialidad de los datos de carácter personal que conozca en el ejercicio de sus funciones.

Artículo 19º.- Prohibiciones

Todos los empleados y las empleadas de la Prodhab tienen las siguientes prohibiciones:

a) Prestar servicios a las personas o empresas que se dediquen al acopio, el almacenamiento o el manejo de datos personales. Dicha prohibición persistirá hasta dos años después de haber cesado sus funciones.

b) Interesarse, personal e indebidamente, en asuntos de conocimiento de la Agencia.

c) Revelar o de cualquier forma propalar los datos personales a que ha tenido acceso con ocasión de su cargo.

Esta prohibición persistirá indefinidamente aun después de haber cesado en su cargo.

d) En el caso de los funcionarios y las funcionarias nombrados en plazas de profesional, ejercer externamente su profesión. Lo anterior tiene como excepción el ejercicio de la actividad docente en centros de educación superior o la práctica liberal a favor de parientes por consanguinidad o afinidad hasta el tercer grado, siempre que no se esté ante el supuesto del inciso a).

La inobservancia de cualquiera de las anteriores prohibiciones será considerada falta gravísima, para efectos de aplicación del régimen disciplinario, sin perjuicio de las otras formas de responsabilidad que tales conductas pudieran acarrear.

Artículo 20º.- Presupuesto

El presupuesto de la Prodhab estará constituido por lo siguiente:

a) Los cánones, las tasas y los derechos obtenidos en el ejercicio de sus funciones.

b) Las transferencias que el Estado realice a favor de la Agencia.

c) Las donaciones y subvenciones provenientes de otros estados, instituciones públicas nacionales u organismos internacionales, siempre que no comprometan la independencia, transparencia y autonomía de la Agencia.

d) Lo generado por sus recursos financieros.

Los montos provenientes del cobro de las multas señaladas en esta ley serán destinados a la actualización de equipos y programas de la Prodhab.

La Agencia estará sujeta al cumplimiento de los principios y al régimen de responsabilidad establecidos en los títulos II y X de la Ley nº 8131, Administración Financiera de la República y Presupuestos Públicos, de 18 de setiembre de 2001. Además, deberá proporcionar la información requerida por el Ministerio de Hacienda para sus estudios. En lo demás, se exceptúa a la Agencia de los alcances y la aplicación de esa ley. En la fiscalización, la Agencia estará sujeta, únicamente, a las disposiciones de la Contraloría General de la República.

SECCIÓN II.- ESTRUCTURA INTERNA

Artículo 21º.- Registro de archivos y bases de datos

Toda base de datos, pública o privada, administrada con fines de distribución, difusión o comercialización, debe inscribirse en el registro que al efecto habilite la Prodhab. La inscripción no implica el trasbase o la transferencia de los datos.

Deberá inscribir cualesquiera otras informaciones que las normas de rango legal le impongan y los protocolos de actuación a que hacen referencia el Artículo 12 y el inciso c) del Artículo 16º de esta ley.

Artículo 22º.- Divulgación

La Prodhab elaborará y ejecutará una estrategia de comunicación dirigida a permitir que los administrados conozcan los derechos derivados del manejo de sus datos personales, así como los mecanismos que el ordenamiento prevé para la defensa de tales prerrogativas. Deberá coordinar con los gobiernos locales y con la Defensoría de los Habitantes de la República la realización periódica de las actividades de divulgación entre los habitantes de los cantones.

Asimismo, promoverá entre las personas y empresas que recolecten, almacenen o manipulen datos personales, la adopción de prácticas y protocolos de actuación acordes con la protección de dicha información.

CAPÍTULO V.- PROCEDIMIENTOS

SECCIÓN I.- DISPOSICIONES COMUNES

Artículo 23º.-Aplicación supletoria

En lo no previsto expresamente por esta ley y en tanto sean compatibles con su finalidad, serán aplicables supletoriamente las disposiciones del libro II de la Ley General de la Administración Pública.

SECCIÓN II.- INTERVENCIÓN EN ARCHIVOS Y BASES DE DATOS

Artículo 24º.- Denuncia

Cualquier persona que ostente un derecho subjetivo o un interés legítimo puede denunciar, ante la Prodhab, que una base de datos pública o privada actúa en contravención de las reglas o los principios básicos para la protección de los datos y la autodeterminación informativa establecidas en esta ley.

Artículo 25º.- Trámite de las denuncias

Recibida la denuncia, se conferirá al responsable de la base de datos un plazo de tres días hábiles para que se pronuncie acerca de la veracidad de tales cargos. La persona denunciada deberá remitir los medios de prueba que respalden sus afirmaciones junto con un informe, que se considerará dado bajo juramento. La omisión de rendir el informe en el plazo estipulado hará que se tengan por ciertos los hechos acusados.

En cualquier momento, la Prodhab podrá ordenar a la persona denunciada la presentación de la información necesaria. Asimismo, podrá efectuar inspecciones in situ en sus archivos o bases de datos.

Para salvaguardar los derechos de la persona interesada, puede dictar, mediante acto fundado, las medidas cautelares que aseguren el efectivo resultado del procedimiento.

A más tardar un mes después de la presentación de la denuncia, la Prodhab deberá dictar el acto final. Contra su decisión cabrá recurso de reconsideración dentro del tercer día, el cual deberá ser resuelto en el plazo de ocho días luego de recibido.

Artículo 26º.- Efectos de la resolución estimatoria

Si se determina que la información del interesado es falsa, incompleta, inexacta, o bien, que de acuerdo con las normas sobre protección de datos personales esta fue indebidamente recolectada, almacenada o difundida, deberá ordenarse su inmediata supresión, rectificación, adición o aclaración, o bien, impedimento respecto de su transferencia o difusión. Si la persona denunciada no cumple íntegramente lo ordenado, estará sujeta a las sanciones previstas en esta y otras leyes.

Artículo 27º.- Procedimiento sancionatorio

De oficio o a instancia de parte, la Prodhab podrá iniciar un procedimiento tendiente a demostrar si una base de datos regulada por esta ley está siendo empleada de conformidad con sus principios; para ello, deberán seguirse los trámites previstos en la Ley General de la Administración Pública para el procedimiento ordinario.

Contra el acto final cabrá recurso de reconsideración dentro del tercer día, el cual deberá ser resuelto en el plazo de ocho días luego de recibido.

Artículo 28º.- Sanciones

Si se ha incurrido en alguna de las faltas tipificadas en esta ley, se deberá imponer alguna de las siguientes sanciones, sin perjuicio de las sanciones penales correspondientes:

a) Para las faltas leves, una multa hasta de cinco salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República.

b) Para las faltas graves, una multa de cinco a veinte salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República.

c) Para las faltas gravísimas, una multa de quince a treinta salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República, y la suspensión para el funcionamiento del fichero de uno a seis meses.

Artículo 29º.- Faltas leves

Serán consideradas faltas leves, para los efectos de esta ley:

a) Recolectar datos personales para su uso en base de datos sin que se le otorgue suficiente y amplia información a la persona interesada, de conformidad con las especificaciones del Artículo 5º, apartado I.

b) Recolectar, almacenar y transmitir datos personales de terceros por medio de mecanismos inseguros o que de alguna forma no garanticen la seguridad e inalterabilidad de los datos.

Artículo 30º.- Faltas graves

Serán consideradas faltas graves, para los efectos de esta ley:

a) Recolectar, almacenar, transmitir o de cualquier otra forma emplear datos personales sin el consentimiento informado y expreso del titular de los datos, con arreglo a las disposiciones de esta ley.

b) Transferir datos personales a otras personas o empresas en contravención de las reglas establecidas en el capítulo III de esta ley.

c) Recolectar, almacenar, transmitir o de cualquier otro modo emplear datos personales para una finalidad distinta de la autorizada por el titular de la información.

d) Negarse injustificadamente a dar acceso a un interesado sobre los datos que consten en archivos y bases de datos, a fin de verificar su calidad, recolección, almacenamiento y uso conforme a esta ley.

e) Negarse injustificadamente a eliminar o rectificar los datos de una persona que así lo haya solicitado por medio claro e inequívoco.

Artículo 31º.- Faltas gravísimas

Serán consideradas faltas gravísimas, para los efectos de esta ley:

a) Recolectar, almacenar, transmitir o de cualquier otra forma emplear, por parte de personas físicas o jurídicas privadas, datos sensibles, según la definición prevista en el Artículo 3º de esta ley.

b) Obtener, de los titulares o de terceros, datos personales de una persona por medio de engaño, violencia o amenaza.

c) Revelar información registrada en una base de datos personales cuyo secreto esté obligado a guardar conforme la ley.

d) Proporcionar a un tercero información falsa o distinta contenida en un archivo de datos, con conocimiento de ello.

e) Realizar tratamiento de datos personales sin encontrarse debidamente inscrito ante la Prodhab, en el caso de los responsables de bases de datos cubiertos por el Artículo 21º de esta ley.

f) Transferir, a las bases de datos de terceros países, información de carácter personal de los costarricenses o de los extranjeros radicados en el país, sin el consentimiento de sus titulares.

SECCIÓN III.- PROCEDIMIENTOS INTERNOS

Artículo 32º.- Régimen sancionatorio para bases de datos públicas

Cuando la persona responsable de una base de datos pública cometa alguna de las faltas anteriores, la Prodhab dictará una resolución estableciendo las medidas que proceda adoptar para que cesen o se corrijan los efectos de la falta. Esta resolución se notificará a la persona responsable de la base de datos, al órgano del que dependa jerárquicamente y a los afectados, si los hay. La resolución podrá dictarse de oficio o a petición de parte. Lo anterior sin perjuicio de la responsabilidad penal en que haya incurrido.

CAPÍTULO VI.- CÁNONES

Artículo 33º.- Canon por regulación y administración de bases de datos

Las personas responsables de bases de datos que deban inscribirse ante la Prodhab, de conformidad con el Artículo 21º de esta ley, estarán sujetos a un canon de regulación y administración de bases de datos que deberá ser cancelado anualmente, con un monto de doscientos dólares ($200), moneda de curso legal de los Estados Unidos de América. El procedimiento para realizar el cobro del presente canon será detallado en el reglamento que a los efectos deberá emitir la Prodhab.

Artículo 34º.- Canon por comercialización de consulta

La persona responsable de la base de datos deberá cancelar a la Prodhab un canon por cada venta de los datos de ficheros definidos en el inciso b) del Artículo 3º de esta ley, de personas individualizables registradas legítimamente y siempre que sea comercializado con fines de lucro, el cual oscilará entre los veinticinco centavos de dólar ($0,25) y un dólar ($1), moneda de curso legal de los Estados Unidos de América, monto que podrá ser fijado dentro de dicho rango vía reglamento. En caso de contratos globales de bajo, medio y alto consumo de consultas, o modalidades contractuales de servicio en línea por número de aplicaciones, será el reglamento de la ley el que fije el detalle del cobro del canon que no podrá ser superior al diez por ciento (10%) del precio contractual.

TRANSITORIOS

TRANSITORIO I.-

Las personas físicas o jurídicas, públicas o privadas, que en la actualidad son propietarias o administradoras de las bases de datos objeto de esta ley, deberán adecuar sus procedimientos y reglas de actuación, así como el contenido de sus bases de datos a lo establecido en la presente ley, en un plazo máximo de un año a partir de la creación de la Prodhab.

TRANSITORIO II.-

A partir de la fecha de entrada en vigencia de esta ley, se iniciará el proceso de conformación e integración de la Prodhab; para ello, se dispondrá de un plazo máximo de seis meses.

TRANSITORIO III.-

El Poder Ejecutivo emitirá la reglamentación de esta ley en un plazo máximo de seis meses después de la conformación de la Prodhab, recogiendo las recomendaciones técnicas que le proporcione la Agencia.

Rige a partir de su publicación.

ASAMBLEA LEGISLATIVA. Aprobado a los veintisiete días del mes de junio de dos mil once.

COMUNÍCASE AL PODER EJECUTIVO

Juan Carlos Mendoza García                 PRESIDENTE

José Roberto Rodríguez Quesada         PRIMER SECRETARIO    

Martín Alcides Monestel Contreras      SEGUNDO SECRETARIO

Dado en la Presidencia de la República.—San José, a los siete días del mes de julio del año dos mil once.

Ejecútese y publíquese

LAURA CHINCHILLA MIRANDA.

El Ministro de Justicia y Paz, Hernando París Rodríguez 

02Jul/11

Ley nº 29.733 Protección de Datos Personales

Ley nº 29.733 de 2 julio 2011 de Protección de Datos Personales

EL PRESIDENTE DE LA REPUBLICA

POR CUANTO:

El Congreso de la República ha dado la Ley siguiente:

EL CONGRESO DE LA REPÚBLICA;

Ha dado la Ley siguiente:

LEY DE PROTECCIÓN DE DATOS PERSONALES

TÍTULO PRELIMINAR.- DISPOSICIONES GENERALES

Artículo 1º. Objeto de la Ley

La presente Ley tiene el objeto de garantizar el derecho fundamental a la protección de los datos personales, previsto en el artículo 2 numeral 6 de la Constitución Política del Perú, a través de su adecuado tratamiento, en un marco de respeto de los demás derechos fundamentales que en ella se reconocen.

Artículo 2º. Definiciones

Para todos los efectos de la presente Ley, se entiende por:

  1. Banco de datos personales. Conjunto organizado de datos personales, automatizado o no, independientemente del soporte, sea este físico, magnético, digital, óptico u otros que se creen, cualquiera fuere la forma o modalidad de su creación, formación, almacenamiento, organización y acceso.
  2. Banco de datos personales de administración privada. Banco de datos personales cuya titularidad corresponde a una persona natural o a una persona jurídica de derecho privado, en cuanto el banco no
    se encuentre estrictamente vinculado al ejercicio de potestades de derecho público.
  3. Banco de datos personales de administración pública. Banco de datos personales cuya titularidad corresponde a una entidad pública.
  4. Datos personales. Toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser razonablemente utilizados.
  5. Datos sensibles. Datos personales constituidos por los datos biométricos que por sí mismos pueden identificar al titular; datos referidos al origen racial y étnico; ingresos económicos, opiniones o convicciones políticas, religiosas, filosóficas o morales; afiliación sindical; e información relacionada a la salud o a la vida sexual.
  6. Encargado del banco de datos personales. Toda persona natural, persona jurídica de derecho privado o entidad pública que sola o actuando conjuntamente con otra realiza el tratamiento de los datos personales por encargo del titular del banco de datos personales.
  7. Entidad pública. Entidad comprendida en el artículo I del Título Preliminar de la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces.
  8. Flujo transfronterizo de datos personales. Transferencia internacional de datos personales a un destinatario situado en un país distinto al país de origen de los datos personales, sin importar el soporte en que estos se encuentren, los medios por los cuales se efectuó la transferencia ni el tratamiento que reciban.
  9. Fuentes accesibles para el público. Bancos de datos personales de administración pública o privada, que pueden ser consultados por cualquier persona, previo abono de la contraprestación correspondiente, de ser el caso. Las fuentes accesibles para el público son determinadas en el reglamento.
  10. Nivel suficiente de protección para los datos personales. Nivel de protección que abarca por lo menos la consignación y el respeto de los principios rectores de esta Ley, así como medidas técnicas de seguridad y confidencialidad, apropiadas según la categoría de datos de que se trate.
  11. Persona jurídica de derecho privado. Para efectos de esta Ley, la persona jurídica no comprendida en los alcances del artículo I del Título Preliminar de la Ley 27444, Ley del Procedimiento Administrativo General.
  12. Procedimiento de anonimización. Tratamiento de datos personales que impide la identificación o que no hace identificable al titular de estos. El procedimiento es irreversible.
  13. Procedimiento de disociación. Tratamiento de datos personales que impide la identificación o que no hace identificable al titular de estos. El procedimiento es reversible.
  14. Titular de datos personales. Persona natural a quien corresponde los datos personales.
  15. Titular del banco de datos personales. Persona natural, persona jurídica de derecho privado o entidad pública que determina la finalidad y contenido del banco de datos personales, el tratamiento de estos y las medidas de seguridad.
  16. Transferencia de datos personales. Toda transmisión, suministro o manifestación de datos personales, de carácter nacional o internacional, a una persona jurídica de derecho privado, a una entidad pública o a una persona natural distinta del titular de datos personales.
  17. Tratamiento de datos personales. Cualquier operación o procedimiento técnico, automatizado o no, que permite la recopilación, registro, organización, almacenamiento, conservación, elaboración, modificación, extracción, consulta, utilización, bloqueo, supresión, comunicación por transferencia o por difusión o cualquier otra forma de procesamiento que facilite el acceso, correlación o interconexión de los datos personales.
    El reglamento de esta Ley puede realizar un mayor desarrollo de las definiciones existentes.

Artículo 3º. Ámbito de aplicación

La presente Ley es de aplicación a los datos personales contenidos o destinados a ser contenidos en bancos de datos personales de administración pública y de administración privada, cuyo tratamiento se realiza en el territorio nacional. Son objeto de especial protección los datos sensibles.

Las disposiciones de esta Ley no son de aplicación a los siguientes datos personales:

  1. A los contenidos o destinados a ser contenidos en bancos de datos personales creados por personas naturales para fines exclusivamente relacionados con su vida privada o familiar.
  2. A los contenidos o destinados a ser contenidos en bancos de datos de administración pública, solo en tanto su tratamiento resulte necesario para el estricto cumplimiento de las competencias asignadas por ley a las respectivas entidades públicas, para la defensa nacional, seguridad pública, y para el desarrollo de actividades en materia penal para la investigación y represión del delito.

TÍTULO I.- PRINCIPIOS RECTORES

Artículo 4º. Principio de legalidad 

El tratamiento de los datos personales se hace conforme a lo establecido en la ley. Se prohíbe la recopilación de los datos personales por medios fraudulentos, desleales o ilícitos.

Artículo 5º. Principio de consentimiento 

Para el tratamiento de los datos personales debe mediar el consentimiento de su titular.

Artículo 6º. Principio de finalidad 

Los datos personales deben ser recopilados para una finalidad determinada, explícita y lícita. El tratamiento de los datos personales no debe extenderse a otra finalidad que no haya sido la establecida de manera inequívoca como tal al momento de su recopilación, excluyendo los casos de actividades de valor histórico, estadístico o científico cuando se utilice un procedimiento de disociación o anonimización.

Artículo 7º. Principio de proporcionalidad

Todo tratamiento de datos personales debe ser adecuado, relevante y no excesivo a la finalidad para la que estos hubiesen sido recopilados.

Artículo 8º. Principio de calidad

Los datos personales que vayan a ser tratados deben ser veraces, exactos y, en la medida de lo posible, actualizados, necesarios, pertinentes y adecuados respecto de la finalidad para la que fueron recopilados.
Deben conservarse de forma tal que se garantice su seguridad y solo por el tiempo necesario para cumplir con la finalidad del tratamiento.

Artículo 9º. Principio de seguridad

El titular del banco de datos personales y el encargado de su tratamiento deben adoptar las medidas técnicas, organizativas y legales necesarias para garantizar la seguridad de los datos personales. Las medidas de seguridad deben ser apropiadas y acordes con el tratamiento que se vaya a efectuar y con la categoría de datos personales de que se trate.

Artículo 10º. Principio de disposición de recurso

Todo titular de datos personales debe contar con las vías administrativas o jurisdiccionales necesarias para reclamar y hacer valer sus derechos, cuando estos sean vulnerados por el tratamiento de sus datos personales.

Artículo 11º. Principio de nivel de protección adecuado

Para el flujo transfronterizo de datos personales, se debe garantizar un nivel suficiente de protección para los datos personales que se vayan a tratar o, por lo menos, equiparable a lo previsto por esta Ley o por los estándares internacionales en la materia.

Artículo 12º. Valor de los principios

La actuación de los titulares y encargados de los bancos de datos personales y, en general, de todos los que intervengan con relación a datos personales, debe ajustarse a los principios rectores a que se refiere este Título. Esta relación de principios rectores es enunciativa.

Los principios rectores señalados sirven también de criterio interpretativo para resolver las cuestiones que puedan suscitarse en la aplicación de esta Ley y de su reglamento, así como de parámetro para la elaboración de otras disposiciones y para suplir vacíos en la legislación sobre la materia.

TÍTULO II.- TRATAMIENTO DE DATOS PERSONALES

Artículo 13º. Alcances sobre el tratamiento de datos personales 

13.1 El tratamiento de datos personales debe realizarse con pleno respeto de los derechos fundamentales de sus titulares y de los derechos que esta Ley les confiere. Igual regla rige para su utilización por terceros.
13.2 Las limitaciones al ejercicio del derecho fundamental a la protección de datos personales solo pueden ser establecidas por ley, respetando su contenido esencial y estar justificadas en razón del respeto
de otros derechos fundamentales o bienes constitucionalmente protegidos.
13.3 Mediante reglamento se dictan medidas especiales para el tratamiento de los datos personales de los niños y de los adolescentes, así como para la protección y garantía de sus derechos. Para el ejercicio de los derechos que esta Ley reconoce, los niños y los adolescentes actúan a través de sus representantes
legales, pudiendo el reglamento determinar las excepciones aplicables, de ser el caso, teniendo en cuenta para ello el interés superior del niño y del adolescente.
13.4 Las comunicaciones, telecomunicaciones, sistemas informáticos o sus instrumentos, cuando sean de carácter privado o uso privado, solo pueden ser abiertos, incautados, interceptados o intervenidos por mandamiento motivado del juez o con autorización de su titular, con las garantías previstas en la ley. Se guarda secreto de los asuntos ajenos al hecho que motiva su examen.
Los datos personales obtenidos con violación de este precepto carecen de efecto legal.
13.5 Los datos personales solo pueden ser objeto de tratamiento con consentimiento de su titular, salvo ley autoritativa al respecto. El consentimiento debe ser previo, informado, expreso e inequívoco.
13.6 En el caso de datos sensibles, el consentimiento para efectos de su tratamiento, además, debe efectuarse por escrito. Aun cuando no mediara el consentimiento del titular, el tratamiento de datos sensibles puede efectuarse cuando la ley lo autorice, siempre que ello atienda a motivos importantes de interés público.
13.7 El titular de datos personales puede revocar su consentimiento en cualquier momento, observando al efecto los mismos requisitos que con ocasión de su otorgamiento.
13.8 El tratamiento de datos personales relativos a la comisión de infracciones penales o administrativas solo puede ser efectuado por las entidades públicas competentes, salvo convenio de encargo de gestión conforme a la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces. Cuando se haya producido la cancelación de los antecedentes penales, judiciales, policiales y administrativos, estos datos no pueden ser suministrados salvo que sean requeridos por el Poder Judicial o el Ministerio Público, conforme a ley.
13.9 La comercialización de datos personales contenidos o destinados a ser contenidos en bancos de datos personales se sujeta a los principios previstos en la presente Ley.

Artículo 14º. Limitaciones al consentimiento para el tratamiento de datos personales

No se requiere el consentimiento del titular de datos personales, para los efectos de su tratamiento, en los siguientes casos:

  1. Cuando los datos personales se recopilen o transfieran para el ejercicio de las funciones de las entidades públicas en el ámbito de sus competencias.
  2. Cuando se trate de datos personales contenidos o destinados a ser contenidos en fuentes accesibles para el público.
  3. Cuando se trate de datos personales relativos a la solvencia patrimonial y de crédito, conforme a ley.
  4. Cuando medie norma para la promoción de la competencia en los mercados regulados emitida en ejercicio de la función normativa por los organismos reguladores a que se refiere la Ley 27332, Ley Marco de los Organismos Reguladores de la Inversión Privada en los Servicios Públicos, o la que haga sus veces, siempre que la información brindada no sea utilizada en perjuicio de la privacidad del usuario.
  5. Cuando los datos personales sean necesarios para la ejecución de una relación contractual en la que el titular de datos personales sea parte, o cuando se trate de datos personales que deriven de una relación científi ca o profesional del titular y sean necesarios para su desarrollo o cumplimiento.
  6. Cuando se trate de datos personales relativos a la salud y sea necesario, en circunstancia de riesgo, para la prevención, diagnóstico y tratamiento médico o quirúrgico del titular, siempre que dicho tratamiento sea realizado en establecimientos de salud o por profesionales en ciencias de la salud, observando el secreto profesional; o cuando medien razones de interés público previstas por ley o cuando deban tratarse por razones de salud pública, ambas razones deben ser calificadas como tales por el Ministerio de Salud; o para la realización de estudios epidemiológicos o análogos, en tanto se apliquen procedimientos de disociación adecuados.
  7. Cuando el tratamiento sea efectuado por organismos sin fines de lucro cuya finalidad sea política, religiosa o sindical y se refiera a los datos personales recopilados de sus respectivos miembros, los que deben guardar relación con el propósito a que se circunscriben sus actividades, no pudiendo ser transferidos sin consentimiento de aquellos.
  8. Cuando se hubiera aplicado un procedimiento de anonimización o disociación.
  9. Cuando el tratamiento de los datos personales sea necesario para salvaguardar intereses legítimos del titular de datos personales por parte del titular de datos personales o por el encargado de datos personales.
  10. Otros establecidos por ley, o por el reglamento otorgado de conformidad con la presente Ley.

Artículo 15º. Flujo transfronterizo de datos personales 

El titular y el encargado del banco de datos personales deben realizar el flujo transfronterizo de datos personales solo si el país destinatario mantiene niveles de protección adecuados conforme a la presente Ley.

En caso de que el país destinatario no cuente con un nivel de protección adecuado, el emisor del flujo transfronterizo de datos personales debe garantizar que el tratamiento de los datos personales se efectúe conforme a lo dispuesto por la presente Ley.

No se aplica lo dispuesto en el segundo párrafo en los siguientes casos:

  1. Acuerdos en el marco de tratados internacionales sobre la materia en los cuales la República del Perú sea parte.
  2. Cooperación judicial internacional.
  3. Cooperación internacional entre organismos de inteligencia para la lucha contra el terrorismo, tráfico ilícito de drogas, lavado de activos, corrupción, trata de personas y otras formas de criminalidad organizada.
  4. Cuando los datos personales sean necesarios para la ejecución de una relación contractual en la que el titular de datos personales sea parte, incluyendo lo necesario para actividades como la autentificación de usuario, mejora y soporte del servicio, monitoreo de la calidad del servicio, soporte para el mantenimiento y facturación de la cuenta y aquellas actividades que el manejo de la relación contractual requiera.
  5. Cuando se trate de transferencias bancarias o bursátiles, en lo relativo a las transacciones respectivas y conforme a la ley aplicable.
  6. Cuando el flujo transfronterizo de datos personales se realice para la protección, prevención, diagnóstico o tratamiento médico o quirúrgico de su titular; o cuando sea necesario para la realización de estudios epidemiológicos o análogos, en tanto se apliquen procedimientos de disociación adecuados.
  7. Cuando el titular de los datos personales haya dado su consentimiento previo, informado, expreso e inequívoco.
  8. Otros que establezca el reglamento de la presente Ley, con sujeción a lo dispuesto en el artículo 12.

Artículo 16º. Seguridad del tratamiento de datos personales

Para fines del tratamiento de datos personales, el titular del banco de datos personales debe adoptar medidas técnicas, organizativas y legales que garanticen su seguridad y eviten su alteración, pérdida, tratamiento o acceso no autorizado.
Los requisitos y condiciones que deben reunir los bancos de datos personales en materia de seguridad son establecidos por la Autoridad Nacional de Protección de Datos Personales, salvo la existencia de disposiciones especiales contenidas en otras leyes.

Queda prohibido el tratamiento de datos personales en bancos de datos que no reúnan los requisitos y las condiciones de seguridad a que se refiere este artículo.

Artículo 17º. Confidencialidad de datos personales 

El titular del banco de datos personales, el encargado y quienes intervengan en cualquier parte de su tratamiento están obligados a guardar confidencialidad respecto de los mismos y de sus antecedentes. Esta obligación subsiste aun después de finalizadas las relaciones con el titular del banco de datos personales.
El obligado puede ser relevado de la obligación de confidencialidad cuando medie consentimiento previo, informado, expreso e inequívoco del titular de los datos personales, resolución judicial consentida o ejecutoriada, o cuando medien razones fundadas relativas a la defensa nacional, seguridad pública o la sanidad pública, sin perjuicio del derecho a guardar el secreto profesional.

TÍTULO III.- DERECHOS DEL TITULAR DE DATOS PERSONALES

Artículo 18º. Derecho de información del titular de datos personales

El titular de datos personales tiene derecho a ser informado en forma detallada, sencilla, expresa, inequívoca y de manera previa a su recopilación, sobre la finalidad para la que sus datos personales serán tratados; quiénes son o pueden ser sus destinatarios, la existencia del banco de datos en que se almacenarán, así como la identidad y domicilio de su titular y, de ser el caso, del encargado del tratamiento de sus datos personales; el carácter obligatorio o facultativo de sus respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles; la transferencia de los datos personales; las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo; el tiempo durante el cual se conserven sus datos personales; y la posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello.

Si los datos personales son recogidos en línea a través de redes de comunicaciones electrónicas, las obligaciones del presente artículo pueden satisfacerse mediante la publicación de políticas de privacidad, las que deben ser fácilmente accesibles e identificables.

Artículo 19º. Derecho de acceso del titular de datos personales

El titular de datos personales tiene derecho a obtener la información que sobre sí mismo sea objeto de tratamiento en bancos de datos de administración pública o privada, la forma en que sus datos fueron recopilados, las razones que motivaron su recopilación y a solicitud de quién se realizó la recopilación, así como las transferencias realizadas o que se prevén hacer de ellos.

Artículo 20º. Derecho de actualización, inclusión, rectificación y supresión

El titular de datos personales tiene derecho a la actualización, inclusión, rectificación y supresión de sus datos personales materia de tratamiento, cuando estos sean parcial o totalmente inexactos, incompletos, cuando se hubiere advertido omisión, error o falsedad, cuando hayan dejado de ser necesarios o pertinentes a la finalidad para la cual hayan sido recopilados o cuando hubiera vencido el plazo establecido para su tratamiento.

Si sus datos personales hubieran sido transferidos previamente, el encargado del banco de datos personales debe comunicar la actualización, inclusión, rectificación o supresión a quienes se hayan transferido, en el caso que se mantenga el tratamiento por este último, quien debe también proceder a la actualización, inclusión, rectificación o supresión, según corresponda.

Durante el proceso de actualización, inclusión, rectificación o supresión de datos personales, el encargado del banco de datos personales dispone su bloqueo, quedando impedido de permitir que terceros accedan a ellos. Dicho bloqueo no es aplicable a las entidades públicas que requieren de tal información para el adecuado ejercicio de sus competencias, según ley, las que deben informar que se encuentra en trámite cualquiera de los mencionados procesos.

La supresión de datos personales contenidos en bancos de datos personales de administración pública se sujeta a lo dispuesto en el artículo 21 del Texto Único Ordenado de la Ley 27806, Ley de Transparencia y Acceso a la Información Pública, o la que haga sus veces.

Artículo 21º. Derecho a impedir el suministro 

El titular de datos personales tiene derecho a impedir que estos sean suministrados, especialmente cuando ello afecte sus derechos fundamentales. El derecho a impedir el suministro no aplica para la relación entre el titular del banco de datos personales y el encargado del banco de datos personales para los efectos del tratamiento de estos.

Artículo 22º. Derecho de oposición

Siempre que, por ley, no se disponga lo contrario y cuando no hubiera prestado consentimiento, el titular de datos personales puede oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En caso de oposición justificada, el titular o el encargado del banco de datos personales, según corresponda, debe proceder a su supresión, conforme a ley.

Artículo 23º. Derecho al tratamiento objetivo 

El titular de datos personales tiene derecho a no verse sometido a una decisión con efectos jurídicos sobre él o que le afecte de manera significativa, sustentada únicamente en un tratamiento de datos personales destinado a evaluar determinados aspectos de su personalidad o conducta, salvo que ello ocurra en el marco de la negociación, celebración o ejecución de un contrato o en los casos de evaluación con fines de incorporación a una entidad pública, de acuerdo a ley, sin perjuicio de la posibilidad de defender su punto de vista, para salvaguardar su legítimo interés.

Artículo 24º. Derecho a la tutela

En caso de que el titular o el encargado del banco de datos personales deniegue al titular de datos personales, total o parcialmente, el ejercicio de los derechos establecidos en esta Ley, este puede recurrir ante la Autoridad Nacional de Protección de Datos Personales en vía de reclamación o al Poder Judicial para los efectos de la correspondiente acción de hábeas data.

El procedimiento a seguir ante la Autoridad Nacional de Protección de Datos Personales se sujeta a lo dispuesto en los artículos 219 y siguientes de la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces.

La resolución de la Autoridad Nacional de Protección de Datos Personales agota la vía administrativa y habilita la imposición de las sanciones administrativas previstas en el artículo 39. El reglamento determina las instancias correspondientes.

Contra las resoluciones de la Autoridad Nacional de Protección de Datos Personales procede la acción contencioso-administrativa.

Artículo 25º. Derecho a ser indemnizado 

El titular de datos personales que sea afectado a consecuencia del incumplimiento de la presente Ley por el titular o por el encargado del banco de datos personales o por terceros, tiene derecho a obtener la indemnización correspondiente, conforme a ley.

Artículo 26º. Contraprestación 

La contraprestación que debe abonar el titular de datos personales por el ejercicio de los derechos contemplados en los artículos 19, 20, 21, 22 y 23 ante los bancos de datos personales de administración pública se sujeta a las disposiciones previstas en la Ley 27444, Ley del Procedimiento Administrativo General.

Ante los bancos de datos personales de administración privada, el ejercicio de los derechos mencionados se sujeta a lo dispuesto por las normas especiales sobre la materia.

Artículo 27º. Limitaciones 

Los titulares y encargados de los bancos de datos personales de administración pública pueden denegar el ejercicio de los derechos de acceso, supresión y oposición por razones fundadas en la protección de derechos e intereses de terceros o cuando ello pueda obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o previsionales, a las investigaciones penales sobre la comisión de faltas o delitos, al desarrollo de funciones de control de la salud y del medio ambiente, a la verificación de infracciones administrativas, o cuando así lo disponga la ley.

TÍTULO IV.- OBLIGACIONES DEL TITULAR Y DEL ENCARGADO DEL BANCO DE DATOS PERSONALES

Artículo 28º. Obligaciones 

El titular y el encargado del banco de datos personales, según sea el caso, tienen las siguientes obligaciones:

  1. Efectuar el tratamiento de datos personales, solo previo consentimiento informado, expreso e inequívoco del titular de los datos personales, salvo ley autoritativa, con excepción de los supuestos consignados en el artículo 14 de la presente Ley.
  2. No recopilar datos personales por medios fraudulentos, desleales o ilícitos.
  3. Recopilar datos personales que sean actualizados, necesarios, pertinentes y adecuados, con relación a finalidades determinadas, explícitas y lícitas para las que se hayan obtenido.
  4. No utilizar los datos personales objeto de tratamiento para finalidades distintas de aquellas que motivaron su recopilación, salvo que medie procedimiento de anonimización o disociación.
  5. Almacenar los datos personales de manera que se posibilite el ejercicio de los derechos de su titular.
  6. Suprimir y sustituir o, en su caso, completar los datos personales objeto de tratamiento cuando tenga conocimiento de su carácter inexacto o incompleto, sin perjuicio de los derechos del titular al respecto.
  7. Suprimir los datos personales objeto de tratamiento cuando hayan dejado de ser necesarios o pertinentes a la finalidad para la cual hubiesen sido recopilados o hubiese vencido el plazo para su tratamiento, salvo que medie procedimiento de anonimización o disociación.
  8. Proporcionar a la Autoridad Nacional de Protección de Datos Personales la información relativa al tratamiento de datos personales que esta le requiera y permitirle el acceso a los bancos de datos personales que administra, para el ejercicio de sus funciones, en el marco de un procedimiento administrativo en curso solicitado por la parte afectada.
  9. Otras establecidas en esta Ley y en su reglamento.

TÍTULO V.- BANCOS DE DATOS PERSONALES

Artículo 29º. Creación, modificación o cancelación de bancos de datos personales

La creación, modificación o cancelación de bancos de datos personales de administración pública y de administración privada se sujetan a lo que establezca el reglamento, salvo la existencia de disposiciones especiales contenidas en otras leyes. En todo caso, se garantiza la publicidad sobre su existencia, finalidad, identidad y el domicilio de su titular y, de ser el caso, de su encargado. 

Artículo 30º. Prestación de servicios de tratamiento de datos personales

Cuando, por cuenta de terceros, se presten servicios de tratamiento de datos personales, estos no pueden aplicarse o utilizarse con un fi n distinto al que fi gura en el contrato o convenio celebrado ni ser transferidos a otras personas, ni aun para su conservación.

Una vez ejecutada la prestación materia del contrato o del convenio, según el caso, los datos personales tratados deben ser suprimidos, salvo que medie autorización expresa de aquel por cuenta de quien se prestan tales servicios cuando razonablemente se presuma la posibilidad de ulteriores encargos, en cuyo caso se pueden conservar con las debidas condiciones de seguridad, hasta por el plazo que determine el reglamento de esta Ley.

Artículo 31º. Códigos de conducta 

Las entidades representativas de los titulares o encargados de bancos de datos personales de administración privada pueden elaborar códigos de conducta que establezcan normas para el tratamiento de datos personales que tiendan a asegurar y mejorar las condiciones de operación de los sistemas de información en función de los principios rectores establecidos en esta Ley.

TÍTULO VI.- AUTORIDAD NACIONAL DE PROTECCIÓN DE DATOS PERSONALES

Artículo 32º. Órgano competente y régimen jurídico

El Ministerio de Justicia, a través de la Dirección Nacional de Justicia, es la Autoridad Nacional de Protección de Datos Personales. Para el adecuado desempeño de sus funciones, puede crear oficinas en todo el país.

La Autoridad Nacional de Protección de Datos Personales se rige por lo dispuesto en esta Ley, en su reglamento y en los artículos pertinentes del Reglamento de Organización y Funciones del Ministerio de Justicia.

Corresponde a la Autoridad Nacional de Protección de Datos Personales realizar todas las acciones necesarias para el cumplimiento del objeto y demás disposiciones de la presente Ley y de su reglamento. Para tal efecto, goza de potestad sancionadora, de conformidad con la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces, así como de potestad coactiva, de conformidad con la Ley 26979, Ley de Procedimiento de Ejecución Coactiva, o la que haga sus veces. La Autoridad Nacional de Protección de Datos Personales debe presentar periódicamente un informe sobre sus actividades al Ministro de Justicia.

Para el cumplimiento de sus funciones, la Autoridad Nacional de Protección de Datos Personales cuenta con el apoyo y asesoramiento técnico de la Oficina Nacional de Gobierno Electrónico e Informática (ONGEI) de la Presidencia del Consejo de Ministros, o la que haga sus veces.

Artículo 33º. Funciones de la Autoridad Nacional de Protección de Datos Personales

La Autoridad Nacional de Protección de Datos Personales ejerce las funciones administrativas, orientadoras, normativas, resolutivas, fiscalizadoras y sancionadoras siguientes:

  1. Representar al país ante las instancias internacionales en materia de protección de datos personales.
  2. Cooperar con las autoridades extranjeras de protección de datos personales para el cumplimiento de sus competencias y generar mecanismos de cooperación bilateral y multilateral para asistirse entre sí y prestarse debido auxilio mutuo cuando se requiera.
  3. Administrar y mantener actualizado el Registro Nacional de Protección de Datos Personales.
  4. Publicitar, a través del portal institucional, la relación actualizada de bancos de datos personales de administración pública y privada.
  5. Promover campañas de difusión y promoción sobre la protección de datos personales.
  6. Promover y fortalecer una cultura de protección de los datos personales de los niños y de los adolescentes.
  7. Coordinar la inclusión de información sobre la importancia de la vida privada y de la protección de datos personales en los planes de estudios de todos los niveles educativos y fomentar, asimismo, la capacitación de los docentes en estos temas.
  8. Supervisar el cumplimiento de las exigencias previstas en esta Ley, para el flujo transfronterizo de datos personales.
  9. Emitir autorizaciones, cuando corresponda, conforme al reglamento de esta Ley.
  10. Absolver consultas sobre protección de datos personales y el sentido de las normas vigentes en la materia, particularmente sobre las que ella hubiera emitido.
  11. Emitir opinión técnica respecto de los proyectos de normas que se refieran eran total o parcialmente a los datos personales, la que es vinculante.
  12. Emitir las directivas que correspondan para la mejor aplicación de lo previsto en esta Ley y en su reglamento, especialmente en materia de seguridad de los bancos de datos personales, así como supervisar su cumplimiento, en coordinación con los sectores involucrados.
  13. Promover el uso de mecanismos de autorregulación como instrumento complementario de protección de datos personales.
  14. Celebrar convenios de cooperación interinstitucional o internacional con la finalidad de velar por los derechos de las personas en materia de protección de datos personales que son tratados dentro y fuera del territorio nacional.
  15. Atender solicitudes de interés particular del administrado o general de la colectividad, así como solicitudes de información.
  16. Conocer, instruir y resolver las reclamaciones formuladas por los titulares de datos personales por la vulneración de los derechos que les conciernen y dictar las medidas cautelares o correctivas que establezca el reglamento.
  17. Velar por el cumplimiento de la legislación vinculada con la protección de datos personales y por el respeto de sus principios rectores.
  18. En el marco de un procedimiento administrativo en curso, solicitado por la parte afectada, obtener de los titulares de los bancos de datos personales la información que estime necesaria para el cumplimiento de las normas sobre protección de datos personales y el desempeño de sus funciones.
  19. Supervisar la sujeción del tratamiento de los datos personales que efectúen el titular y el encargado del banco de datos personales a las disposiciones técnicas que ella emita y, en caso de contravención, disponer las acciones que correspondan conforme a ley.
  20. Iniciar fiscalizaciones de oficio o por denuncia de parte por presuntos actos contrarios a lo establecido en la presente Ley y en su reglamento y aplicar las sanciones administrativas correspondientes, sin perjuicio de las medidas cautelares o correctivas que establezca el reglamento.
  21. Las demás funciones que le asignen esta Ley y su reglamento.

Artículo 34º. Registro Nacional de Protección de Datos Personales 

Créase el Registro Nacional de Protección de Datos Personales como registro de carácter administrativo a cargo de la Autoridad Nacional de Protección de Datos Personales, con la finalidad de inscribir en forma diferenciada, a nivel nacional, lo siguiente:

  1. Los bancos de datos personales de administración pública o privada, así como los datos relativos a estos que sean necesarios para el ejercicio de los derechos que corresponden a los titulares de datos personales, conforme a lo dispuesto en esta Ley y en su reglamento.
    El ejercicio de esta función no posibilita el conocimiento del contenido de los bancos de datos personales por parte de la Autoridad Nacional de Protección de Datos Personales, salvo procedimiento administrativo en curso.
  2. Las autorizaciones emitidas conforme al reglamento de la presente Ley.
  3. Las sanciones, medidas cautelares o correctivas impuestas por la Autoridad Nacional de Protección de Datos Personales conforme a esta Ley y a su reglamento.
  4. Los códigos de conducta de las entidades representativas de los titulares o encargados de bancos de datos personales de administración privada.
  5. Otros actos materia de inscripción conforme al reglamento.
    Cualquier persona puede consultar en el Registro Nacional de Protección de Datos Personales la existencia de bancos de datos personales, sus finalidades, así como la identidad y domicilio de sus titulares y, de ser el caso, de sus encargados.

Artículo 35º. Confidencialidad 

El personal de la Autoridad Nacional de Protección de Datos Personales está sujeto a la obligación de guardar confidencialidad sobre los datos personales que conozca con motivo de sus funciones. Esta obligación subsiste aun después de finalizada toda relación con dicha autoridad nacional, bajo responsabilidad.

Artículo 36º. Recursos de la Autoridad Nacional de Protección de Datos Personales

Son recursos de la Autoridad Nacional de Protección de Datos Personales los siguientes:

  1. Las tasas por concepto de derecho de trámite de los procedimientos administrativos y servicios de su competencia.
  2. Los montos que recaude por concepto de multas.
  3. Los recursos provenientes de la cooperación técnica internacional no reembolsable.
  4. Los legados y donaciones que reciba.
  5. Los recursos que se le transfieran conforme a ley.

Los recursos de la Autoridad Nacional de Protección de Datos Personales son destinados a financiar los gastos necesarios para el desarrollo de sus operaciones y para su funcionamiento.

TÍTULO VII.- INFRACCIONES Y SANCIONES ADMINISTRATIVAS

Artículo 37º. Procedimiento sancionador

El procedimiento sancionador se inicia de oficio, por la Autoridad Nacional de Protección de Datos Personales o por denuncia de parte, ante la presunta comisión de actos contrarios a lo dispuesto en la presente Ley o en su reglamento, sin perjuicio del procedimiento seguido en el marco de lo dispuesto en el artículo 24.
Las resoluciones de la Autoridad Nacional de Protección de Datos Personales agotan la vía administrativa. Contra las resoluciones de la Autoridad Nacional de Protección de Datos Personales procede la acción contencioso-administrativa.

Artículo 38º. Infracciones

Constituye infracción sancionable toda acción u omisión que contravenga o incumpla alguna de las disposiciones contenidas en esta Ley o en su reglamento.
Las infracciones se califican como leves, graves y muy graves.

  1. Son infracciones leves:
    • a. Dar tratamiento a datos personales sin recabar el consentimiento de sus titulares, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley.
    • b. No atender, impedir u obstaculizar el ejercicio de los derechos del titular de datos personales reconocidos en el título III, cuando legalmente proceda.
    • c. Obstruir el ejercicio de la función fiscalizadora de la Autoridad Nacional de Protección de Datos Personales.
  2. Son infracciones graves:
    • a. Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento.
    • b. Incumplir la obligación de confidencialidad establecida en el artículo 17.
    • c. No atender, impedir u obstaculizar, en forma sistemática, el ejercicio de los derechos del titular de datos personales reconocidos en el título III, cuando legalmente proceda.
    • d. Obstruir, en forma sistemática, el ejercicio de la función fiscalizadora de la Autoridad Nacional de Protección de Datos Personales.
    • e. No inscribir el banco de datos personales en el Registro Nacional de Protección de Datos Personales.
  3. Son infracciones muy graves:
    • a. Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales.
    • b. Crear, modificar, cancelar o mantener bancos de datos personales sin cumplir con lo establecido por la presente Ley o su reglamento.
    • c. Suministrar documentos o información falsa o incompleta a la Autoridad Nacional de Protección de Datos Personales.
    • d. No cesar en el tratamiento ilícito de datos personales, cuando existiese un previo requerimiento de la Autoridad Nacional de Protección de Datos Personales para ello.
    • e. No inscribir el banco de datos personales en el Registro Nacional de Protección de Datos Personales, no obstante haber sido requerido para ello por la Autoridad Nacional de Protección de Datos Personales.

La calificación, la graduación del monto de las multas, el procedimiento para su aplicación y otras tipificaciones se efectúan en el reglamento de la presente Ley.

Artículo 39º. Sanciones administrativas 

En caso de violación de las normas de esta Ley o de su reglamento, la Autoridad Nacional de Protección de Datos Personales puede aplicar las siguientes multas:

  1. Las infracciones leves son sancionadas con una multa mínima desde cero coma cinco de una unidad impositiva tributaria (UIT) hasta cinco unidades impositivas tributarias (UIT).
  2. Las infracciones graves son sancionadas con multa desde más de cinco unidades impositivas tributarias (UIT) hasta cincuenta unidades impositivas tributarias (UIT).
  3. Las infracciones muy graves son sancionadas con multa desde más de cincuenta unidades impositivas tributarias (UIT) hasta cien unidades impositivas tributarias (UIT).

En ningún caso, la multa impuesta puede exceder del diez por ciento de los ingresos brutos anuales que hubiera percibido el presunto infractor durante el ejercicio anterior.

La Autoridad Nacional de Protección de Datos Personales determina la infracción cometida y el monto de la multa imponible mediante resolución debidamente motivada. Para la graduación del monto de las multas, se toman en cuenta los criterios establecidos en el artículo 230, numeral 3), de la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces.

La imposición de la multa se efectúa sin perjuicio de las sanciones disciplinarias sobre el personal de las entidades públicas en los casos de bancos de datos personales de administración pública, así como de la
indemnización por daños y perjuicios y de las sanciones penales a que hubiera lugar.

Artículo 40º. Multas coercitivas

En aplicación de lo dispuesto en el artículo 199 de la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces, la Autoridad Nacional de Protección de Datos Personales puede imponer multas coercitivas por un monto que no supere las diez unidades impositivas tributarias (UIT), frente al incumplimiento de las obligaciones accesorias a la sanción, impuestas en el procedimiento sancionador. Las multas coercitivas se imponen una vez vencido el plazo de cumplimiento.

La imposición de las multas coercitivas no impide el ejercicio de otro medio de ejecución forzosa, conforme a lo dispuesto en el artículo 196 de la Ley 27444, Ley del Procedimiento Administrativo General.

El reglamento de la presente Ley regula lo concerniente a la aplicación de las multas coercitivas.

DISPOSICIONES COMPLEMENTARIAS FINALES

PRIMERA. Reglamento de la Ley 

Para la elaboración del proyecto de reglamento, se constituye una comisión multisectorial, la que es presidida por la Autoridad Nacional de Protección de Datos Personales.

El proyecto de reglamento es elaborado en un plazo máximo de ciento veinte días hábiles, a partir de la instalación de la comisión multisectorial, lo que debe ocurrir en un plazo no mayor de quince días hábiles, contado a partir del día siguiente de la publicación de la presente Ley.

SEGUNDA. Directiva de seguridad 

La Autoridad Nacional de Protección de Datos Personales elabora la directiva de seguridad de la información administrada por los bancos de datos personales en un plazo no mayor de ciento veinte días hábiles, contado a partir del día siguiente de la publicación de la presente Ley.

En tanto se apruebe y rija la referida directiva, se mantienen vigentes las disposiciones sectoriales sobre la materia.

TERCERA. Adecuación de documentos de gestión y del Texto Único de Procedimientos Administrativos del Ministerio de Justicia

Estando a la creación de la Autoridad Nacional de Protección de Datos Personales, en un plazo máximo de ciento veinte días hábiles, contado a partir del día siguiente de la publicación de la presente Ley, el Ministerio de Justicia elabora las modificaciones pertinentes en sus documentos de gestión y en su Texto Único de Procedimientos Administrativos.

CUARTA. Adecuación normativa 

Dentro del plazo de sesenta días hábiles, el Poder Ejecutivo remite al Congreso de la República un proyecto de ley que contenga las modificaciones necesarias a las leyes existentes a efectos de su adecuación a la presente Ley.
Para las normas de rango inferior, las entidades públicas competentes revisan la normativa correspondiente y elaboran las propuestas necesarias para su adecuación a lo dispuesto en esta Ley.
En ambos casos se requiere la opinión técnica favorable previa de la Autoridad Nacional de Protección de Datos Personales, de conformidad con el artículo 33 numeral 11.

QUINTA. Bancos de datos personales preexistentes 

Los bancos de datos personales creados con anterioridad a la presente Ley y sus respectivos reglamentos deben adecuarse a esta norma dentro del plazo que establezca el reglamento. Sin perjuicio de ello, sus titulares deben declararlos ante la Autoridad Nacional de Protección de Datos Personales, con sujeción a lo dispuesto en el artículo 29.

SEXTA. Hábeas data 

Las normas establecidas en el Código Procesal Constitucional sobre el proceso de hábeas data se aplican en el ámbito constitucional, independientemente del ámbito administrativo materia de la presente Ley. El
procedimiento administrativo establecido en la presente Ley no constituye vía previa para el ejercicio del derecho vía proceso constitucional.

SÉPTIMA. Competencias del Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual (Indecopi)

La Autoridad Nacional de Protección de Datos Personales es competente para salvaguardar los derechos de los titulares de la información administrada por las Centrales Privadas de Información de Riesgos (Cepirs) o similares conforme a los términos establecidos en la presente Ley. 

Sin perjuicio de ello, en materia de infracción a los derechos de los consumidores en general mediante la prestación de los servicios e información brindados por las Cepirs o similares, en el marco de las relaciones de consumo, son aplicables las normas sobre protección al consumidor, siendo el ente competente de manera exclusiva y excluyente para la supervisión de su cumplimiento la Comisión de Protección al Consumidor del Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual (Indecopi), la que debe velar por la idoneidad de los bienes y servicios en función de la información brindada a los consumidores.

OCTAVA. Información sensible

Para los efectos de lo dispuesto en la Ley 27489, Ley que Regula las Centrales Privadas de Información de Riesgos y de Protección al Titular de la Información, se entiende por información sensible la definida como dato sensible por la presente Ley.

Igualmente, precisase que la información confidencial a que se refiere el numeral 5) del artículo 17 del Texto Único Ordenado de la Ley 27806, Ley de Transparencia y Acceso a la Información Pública, constituye dato sensible conforme a los alcances de esta Ley.

NOVENA. Inafectación de facultades de la administración tributaria 

Lo dispuesto en la presente Ley no se debe interpretar en detrimento de las facultades de la administración tributaria respecto de la información que obre y requiera para sus registros, o para el cumplimiento de sus funciones.

DÉCIMA. Financiamiento 

La realización de las acciones necesarias para la aplicación de la presente Ley se ejecuta con cargo al presupuesto institucional del pliego Ministerio de Justicia y de los recursos a los que hace referencia el artículo 36, sin demandar recursos adicionales al Tesoro Público.

DUODÉCIMA. Vigencia de la Ley 

La presente Ley entra en vigencia conforme a lo siguiente:

  1. Las disposiciones previstas en el Título II, en el primer párrafo del artículo 32 y en las primera, segunda, tercera, cuarta, novena y décima disposiciones complementarias finales rigen a partir del día siguiente de la publicación de esta Ley.
  2. Las demás disposiciones rigen en el plazo de treinta días hábiles, contado a partir de la publicación del reglamento de la presente Ley.

Comuníquese al señor Presidente de la República para su promulgación.

En Lima, a los veintiún días del mes de junio de dos mil once.

CÉSAR ZUMAETA FLORES
Presidente del Congreso de la República
ALDA LAZO RÍOS DE HORNUNG
Segunda Vicepresidenta del Congreso de la República

AL SEÑOR PRESIDENTE CONSTITUCIONAL DE LA REPÚBLICA 

POR TANTO:

Mando se publique y cumpla.

Dado en la Casa de Gobierno, en Lima, a los dos días del mes de julio del año dos mil once.

ALAN GARCÍA PÉREZ
Presidente Constitucional de la República 
ROSARIO DEL PILAR FERNÁNDEZ FIGUEROA
Presidenta del Consejo de Ministros y Ministra de Justicia

27Abr/10

Decreto Ley Federal de Protección de Datos Personales

Decreto Ley Federal de Protección de Datos Personales

FELIPE DE JESÚS CALDERÓN HINOJOSA, Presidente de los Estados Unidos Mexicanos, a sus habitantes sabed:

Que el Honorable Congreso de la Unión, se ha servido dirigirme el siguiente DECRETO

EL CONGRESO GENERAL DE LOS ESTADOS UNIDOS MEXICANOS, DECRETA:

SE EXPIDE LA LEY FEDERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE LOS PARTICULARES Y SE REFORMAN LOS ARTÍCULOS 3, FRACCIONES II Y VII, Y 33, ASÍ COMO LA DENOMINACIÓN DEL CAPÍTULO II, DEL TÍTULO SEGUNDO, DE LA LEY FEDERAL DE TRANSPARENCIA Y ACCESO A LA INFORMACIÓN PÚBLICA GUBERNAMENTAL.

ARTÍCULO PRIMERO.- Se expide la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

LEY FEDERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE LOS PARTICULARES

CAPÍTULO I.- Disposiciones Generales

Artículo 1º.- La presente Ley es de orden público y de observancia general en toda la República y tiene por objeto la protección de los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas.

Artículo 2º.- Son sujetos regulados por esta Ley, los particulares sean personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales, con excepción de:
I. Las sociedades de información crediticia en los supuestos de la Ley para Regular las Sociedades de Información Crediticia y demás disposiciones aplicables, y
II. Las personas que lleven a cabo la recolección y almacenamiento de datos personales, que sea para uso exclusivamente personal, y sin fines de divulgación o utilización comercial.

Artículo 3º.- Para los efectos de esta Ley, se entenderá por:
I. Aviso de Privacidad: Documento físico, electrónico o en cualquier otro formato generado por el responsable que es puesto a disposición del titular, previo al tratamiento de sus datos personales, de conformidad con el artículo 15 de la presente Ley.
II. Bases de datos: El conjunto ordenado de datos personales referentes a una persona identificada o identificable.
III. Bloqueo: La identificación y conservación de datos personales una vez cumplida la finalidad para la cual fueron recabados, con el único propósito de determinar posibles responsabilidades en relación con su tratamiento, hasta el plazo de prescripción legal o contractual de éstas. Durante dicho periodo, los datos personales no podrán ser objeto de tratamiento y transcurrido éste, se procederá a su cancelación en la base de datos que corresponde.
IV. Consentimiento: Manifestación de la voluntad del titular de los datos mediante la cual se efectúa el tratamiento de los mismos.
V. Datos personales: Cualquier información concerniente a una persona física identificada o identificable.
VI. Datos personales sensibles: Aquellos datos personales que afecten a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave
para éste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como origen
racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual.
VII. Días: Días hábiles.
VIII. Disociación: El procedimiento mediante el cual los datos personales no pueden asociarse al titular ni permitir, por su estructura, contenido o grado de desagregación, la identificación del mismo.
IX. Encargado: La persona física o jurídica que sola o conjuntamente con otras trate datos personales por cuenta del responsable.
X. Fuente de acceso público: Aquellas bases de datos cuya consulta puede ser realizada por cualquier persona, sin más requisito que, en su caso, el pago de una contraprestación, de conformidad con lo señalado por el Reglamento de esta Ley.
XI. Instituto: Instituto Federal de Acceso a la Información y Protección de Datos, a que hace referencia la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental.
XII. Ley: Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
XIII. Reglamento: El Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
XIV. Responsable: Persona física o moral de carácter privado que decide sobre el tratamiento de datos personales.
XV. Secretaría: Secretaría de Economía.
XVI. Tercero: La persona física o moral, nacional o extranjera, distinta del titular o del responsable de los datos.
XVII. Titular: La persona física a quien corresponden los datos personales.
XVIII. Tratamiento: La obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales.
XIX. Transferencia: Toda comunicación de datos realizada a persona distinta del responsable o encargado del tratamiento.

Artículo 4º.- Los principios y derechos previstos en esta Ley, tendrán como límite en cuanto a su observancia y ejercicio, la protección de la seguridad nacional, el orden, la seguridad y la salud públicos, así como los derechos de terceros.

Artículo 5º.- A falta de disposición expresa en esta Ley, se aplicarán de manera supletoria las disposiciones del Código Federal de Procedimientos Civiles y de la Ley Federal de Procedimiento Administrativo.
Para la substanciación de los procedimientos de protección de derechos, de verificación e imposición de sanciones se observarán las disposiciones contenidas en la Ley Federal de Procedimiento Administrativo.

CAPÍTULO II.- De los Principios de Protección de Datos Personales

Artículo 6º.- Los responsables en el tratamiento de datos personales, deberán observar los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, previstos en la Ley.

Artículo 7º.- Los datos personales deberán recabarse y tratarse de manera lícita conforme a las disposiciones establecidas por esta Ley y demás normatividad aplicable.
La obtención de datos personales no debe hacerse a través de medios engañosos o fraudulentos.
En todo tratamiento de datos personales, se presume que existe la expectativa razonable de privacidad, entendida como la confianza que deposita cualquier persona en otra, respecto de que los datos personales proporcionados entre ellos serán tratados conforme a lo que acordaron las partes en los términos establecidos por esta Ley.

Artículo 8º.- Todo tratamiento de datos personales estará sujeto al consentimiento de su titular, salvo las excepciones previstas por la presente Ley.
El consentimiento será expreso cuando la voluntad se manifieste verbalmente, por escrito, por medios electrónicos, ópticos o por cualquier otra tecnología, o por signos inequívocos.
Se entenderá que el titular consiente tácitamente el tratamiento de sus datos, cuando habiéndose puesto a su disposición el aviso de privacidad, no manifieste su oposición.
Los datos financieros o patrimoniales requerirán el consentimiento expreso de su titular, salvo las excepciones a que se refieren los artículos 10 y 37 de la presente Ley.
El consentimiento podrá ser revocado en cualquier momento sin que se le atribuyan efectos retroactivos. Para revocar el consentimiento, el responsable deberá, en el aviso de privacidad, establecer los mecanismos y procedimientos para ello.

Artículo 9.º- Tratándose de datos personales sensibles, el responsable deberá obtener el consentimiento expreso y por escrito del titular para su tratamiento, a través de su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación que al efecto se establezca.
No podrán crearse bases de datos que contengan datos personales sensibles, sin que se justifique la creación de las mismas para finalidades legítimas, concretas y acordes con las actividades o fines explícitos que persigue el sujeto regulado.

Artículo 10.- No será necesario el consentimiento para el tratamiento de los datos personales cuando:
I. Esté previsto en una Ley;
II. Los datos figuren en fuentes de acceso público;
III. Los datos personales se sometan a un procedimiento previo de disociación;
IV. Tenga el propósito de cumplir obligaciones derivadas de una relación jurídica entre el titular y el responsable;
V. Exista una situación de emergencia que potencialmente pueda dañar a un individuo en su persona o en sus bienes;
VI. Sean indispensables para la atención médica, la prevención, diagnóstico, la prestación de asistencia sanitaria, tratamientos médicos o la gestión de servicios sanitarios, mientras el titular no esté en condiciones de otorgar el consentimiento, en los términos que establece la Ley General de Salud y demás disposiciones jurídicas aplicables y que dicho tratamiento de datos se realice por una persona sujeta al secreto profesional u obligación equivalente, o
VII. Se dicte resolución de autoridad competente.

Artículo 11.- El responsable procurará que los datos personales contenidos en las bases de datos sean pertinentes, correctos y actualizados para los fines para los cuales fueron recabados.
Cuando los datos de carácter personal hayan dejado de ser necesarios para el cumplimiento de las finalidades previstas por el aviso de privacidad y las disposiciones legales aplicables, deberán ser cancelados.
El responsable de la base de datos estará obligado a eliminar la información relativa al incumplimiento de obligaciones contractuales, una vez que transcurra un plazo de setenta y dos meses, contado a partir de la fecha calendario en que se presente el mencionado incumplimiento.

Artículo 12.- El tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad. Si el responsable pretende tratar los datos para un fin distinto que no resulte compatible o análogo a los fines establecidos en aviso de privacidad, se requerirá obtener nuevamente el consentimiento del titular.

Artículo 13.- El tratamiento de datos personales será el que resulte necesario, adecuado y relevante en relación con las finalidades previstas en el aviso de privacidad. En particular para datos personales sensibles, el responsable deberá realizar esfuerzos razonables para limitar el periodo de tratamiento de los mismos a efecto de que sea el mínimo indispensable.

Artículo 14.- El responsable velará por el cumplimiento de los principios de protección de datos personales establecidos por esta Ley, debiendo adoptar las medidas necesarias para su aplicación. Lo anterior aplicará aún y cuando estos datos fueren tratados por un tercero a solicitud del responsable. El responsable deberá tomar las medidas necesarias y suficientes para garantizar que el aviso de privacidad dado a conocer al titular, sea respetado en todo momento por él o por terceros con los que guarde alguna relación jurídica.

Artículo 15.- El responsable tendrá la obligación de informar a los titulares de los datos, la información que se recaba de ellos y con qué fines, a través del aviso de privacidad.

Artículo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información:
I. La identidad y domicilio del responsable que los recaba;
II. Las finalidades del tratamiento de datos;
III. Las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos;
IV. Los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición, de conformidad con lo dispuesto en esta Ley;
V. En su caso, las transferencias de datos que se efectúen, y
VI. El procedimiento y medio por el cual el responsable comunicará a los titulares de cambios al aviso de privacidad, de conformidad con lo previsto en esta Ley.
En el caso de datos personales sensibles, el aviso de privacidad deberá señalar expresamente que se trata de este tipo de datos.

Artículo 17.- El aviso de privacidad debe ponerse a disposición de los titulares a través de formatos impresos, digitales, visuales, sonoros o cualquier otra tecnología, de la siguiente manera:
I. Cuando los datos personales hayan sido obtenidos personalmente del titular, el aviso de privacidad deberá ser facilitado en el momento en que se recaba el dato de forma clara y fehaciente, a través de los formatos por los que se recaban, salvo que se hubiera facilitado el aviso con anterioridad, y
II. Cuando los datos personales sean obtenidos directamente del titular por cualquier medio electrónico, óptico, sonoro, visual, o a través de cualquier otra tecnología, el responsable deberá proporcionar al titular de manera inmediata, al menos la información a que se refiere las fracciones I y II del artículo anterior, así como proveer los mecanismos para que el titular conozca el texto completo del aviso de privacidad.

Artículo 18.- Cuando los datos no hayan sido obtenidos directamente del titular, el responsable deberá darle a conocer el cambio en el aviso de privacidad.
No resulta aplicable lo establecido en el párrafo anterior, cuando el tratamiento sea con fines históricos, estadísticos o científicos.
Cuando resulte imposible dar a conocer el aviso de privacidad al titular o exija esfuerzos desproporcionados, en consideración al número de titulares, o a la antigüedad de los datos, previa autorización del Instituto, el responsable podrá instrumentar medidas compensatorias en términos del Reglamento de esta Ley.

Artículo 19.- Todo responsable que lleve a cabo tratamiento de datos personales deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.
Los responsables no adoptarán medidas de seguridad menores a aquellas que mantengan para el manejo de su información. Asimismo se tomará en cuenta el riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de los datos y el desarrollo tecnológico.

Artículo 20.- Las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento que afecten de forma significativa los derechos patrimoniales o morales de los titulares, serán informadas de forma inmediata por el responsable al titular, a fin de que este último pueda tomar las medidas correspondientes a la defensa de sus derechos.

Artículo 21.- El responsable o terceros que intervengan en cualquier fase del tratamiento de datos personales deberán guardar confidencialidad respecto de éstos, obligación que subsistirá aun después de finalizar sus relaciones con el titular o, en su caso, con el responsable.

CAPÍTULO III.- De los Derechos de los Titulares de Datos Personales

Artículo 22.- Cualquier titular, o en su caso su representante legal, podrá ejercer los derechos de acceso, rectificación, cancelación y oposición previstos en la presente Ley. El ejercicio de cualquiera de ellos no es requisito previo ni impide el ejercicio de otro. Los datos personales deben ser resguardados de tal manera que permitan el ejercicio sin dilación de estos derechos.

Artículo 23.- Los titulares tienen derecho a acceder a sus datos personales que obren en poder del responsable, así como conocer el Aviso de Privacidad al que está sujeto el tratamiento.

Artículo 24.- El titular de los datos tendrá derecho a rectificarlos cuando sean inexactos o incompletos.

Artículo 25.- El titular tendrá en todo momento el derecho a cancelar sus datos personales.
La cancelación de datos personales dará lugar a un periodo de bloqueo tras el cual se procederá a la supresión del dato. El responsable podrá conservarlos exclusivamente para efectos de las responsabilidades nacidas del tratamiento. El periodo de bloqueo será equivalente al plazo de prescripción de las acciones derivadas de la relación jurídica que funda el tratamiento en los términos de la Ley aplicable en la materia.
Una vez cancelado el dato se dará aviso a su titular.
Cuando los datos personales hubiesen sido transmitidos con anterioridad a la fecha de rectificación o cancelación y sigan siendo tratados por terceros, el responsable deberá hacer de su conocimiento dicha solicitud de rectificación o cancelación, para que proceda a efectuarla también.

Artículo 26.- El responsable no estará obligado a cancelar los datos personales cuando:
I. Se refiera a las partes de un contrato privado, social o administrativo y sean necesarios para su desarrollo y cumplimiento;
II. Deban ser tratados por disposición legal;
III. Obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas;
IV. Sean necesarios para proteger los intereses jurídicamente tutelados del titular;
V. Sean necesarios para realizar una acción en función del interés público;
VI. Sean necesarios para cumplir con una obligación legalmente adquirida por el titular, y
VII. Sean objeto de tratamiento para la prevención o para el diagnóstico médico o la gestión de servicios de salud, siempre que dicho tratamiento se realice por un profesional de la salud sujeto a un deber de secreto.

Artículo 27.- El titular tendrá derecho en todo momento y por causa legítima a oponerse al tratamiento de sus datos. De resultar procedente, el responsable no podrá tratar los datos relativos al titular.

CAPÍTULO IV.-Del Ejercicio de los Derechos de Acceso, Rectificación, Cancelación y Oposición

Artículo 28.- El titular o su representante legal podrán solicitar al responsable en cualquier momento el acceso, rectificación, cancelación u oposición, respecto de los datos personales que le conciernen.

Artículo 29.- La solicitud de acceso, rectificación, cancelación u oposición deberá contener y acompañar lo siguiente:
I. El nombre del titular y domicilio u otro medio para comunicarle la respuesta a su solicitud;
II. Los documentos que acrediten la identidad o, en su caso, la representación legal del titular;
III. La descripción clara y precisa de los datos personales respecto de los que se busca ejercer alguno de los derechos antes mencionados, y
IV. Cualquier otro elemento o documento que facilite la localización de los datos personales.

Artículo 30.- Todo responsable deberá designar a una persona, o departamento de datos personales, quien dará trámite a las solicitudes de los titulares, para el ejercicio de los derechos a que se refiere la presente Ley. Asimismo fomentará la protección de datos personales al interior de la organización.

Artículo 31.- En el caso de solicitudes de rectificación de datos personales, el titular deberá indicar, además de lo señalado en el artículo anterior de esta Ley, las modificaciones a realizarse y aportar la documentación que sustente su petición.

Artículo 32.- El responsable comunicará al titular, en un plazo máximo de veinte días, contados desde la fecha en que se recibió la solicitud de acceso, rectificación, cancelación u oposición, la determinación adoptada, a efecto de que, si resulta procedente, se haga efectiva la misma dentro de los quince días siguientes a la fecha en que se comunica la respuesta. Tratándose de solicitudes de acceso a datos personales, procederá la entrega previa acreditación de la identidad del solicitante o representante legal, según corresponda.
Los plazos antes referidos podrán ser ampliados una sola vez por un periodo igual, siempre y cuando así lo justifiquen las circunstancias del caso.

Artículo 33.– La obligación de acceso a la información se dará por cumplida cuando se pongan a
disposición del titular los datos personales; o bien, mediante la expedición de copias simples, documentos electrónicos o cualquier otro medio que determine el responsable en el aviso de privacidad.
En el caso de que el titular solicite el acceso a los datos a una persona que presume es el responsable y ésta resulta no serlo, bastará con que así se le indique al titular por cualquiera de los medios a que se refiere el párrafo anterior, para tener por cumplida la solicitud.

Artículo 34.- El responsable podrá negar el acceso a los datos personales, o a realizar la rectificación o cancelación o conceder la oposición al tratamiento de los mismos, en los siguientes supuestos:
I. Cuando el solicitante no sea el titular de los datos personales, o el representante legal no esté debidamente acreditado para ello;
II. Cuando en su base de datos, no se encuentren los datos personales del solicitante;
III. Cuando se lesionen los derechos de un tercero;
IV. Cuando exista un impedimento legal, o la resolución de una autoridad competente, que restrinja el acceso a los datos personales, o no permita la rectificación, cancelación u oposición de los mismos, y
V. Cuando la rectificación, cancelación u oposición haya sido previamente realizada.
La negativa a que se refiere este artículo podrá ser parcial en cuyo caso el responsable efectuará el acceso, rectificación, cancelación u oposición requerida por el titular.
En todos los casos anteriores, el responsable deberá informar el motivo de su decisión y comunicarla al titular, o en su caso, al representante legal, en los plazos establecidos para tal efecto, por el mismo medio por el que se llevó a cabo la solicitud, acompañando, en su caso, las pruebas que resulten pertinentes.

Artículo 35.- La entrega de los datos personales será gratuita, debiendo cubrir el titular únicamente los gastos justificados de envío o con el costo de reproducción en copias u otros formatos.
Dicho derecho se ejercerá por el titular en forma gratuita, previa acreditación de su identidad ante el responsable. No obstante, si la misma persona reitera su solicitud en un periodo menor a doce meses, los costos no serán mayores a tres días de Salario Mínimo General Vigente en el Distrito Federal, a menos queexistan modificaciones sustanciales al aviso de privacidad que motiven nuevas consultas.
El titular podrá presentar una solicitud de protección de datos por la respuesta recibida o falta de respuesta del responsable, de conformidad con lo establecido en el siguiente Capítulo.

CAPÍTULO V.- De la Transferencia de Datos

Artículo 36.- Cuando el responsable pretenda transferir los datos personales a terceros nacionales o extranjeros, distintos del encargado, deberá comunicar a éstos el aviso de privacidad y las finalidades a las que el titular sujetó su tratamiento.
El tratamiento de los datos se hará conforme a lo convenido en el aviso de privacidad, el cual contendrá una cláusula en la que se indique si el titular acepta o no la transferencia de sus datos, de igual manera, el tercero receptor, asumirá las mismas obligaciones que correspondan al responsable que transfirió los datos.

Artículo 37.- Las transferencias nacionales o internacionales de datos podrán llevarse a cabo sin el consentimiento del titular cuando se dé alguno de los siguientes supuestos:
I. Cuando la transferencia esté prevista en una Ley o Tratado en los que México sea parte;
II. Cuando la transferencia sea necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios;
III. Cuando la transferencia sea efectuada a sociedades controladoras, subsidiarias o afiliadas bajo el control común del responsable, o a una sociedad matriz o a cualquier sociedad del mismo grupo del responsable que opere bajo los mismos procesos y políticas internas;
IV. Cuando la transferencia sea necesaria por virtud de un contrato celebrado o por celebrar en
interés del titular, por el responsable y un tercero;
V. Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público, o para la procuración o administración de justicia;
VI. Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, y
VII. Cuando la transferencia sea precisa para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y el titular.

CAPÍTULO VI.- De las Autoridades

Sección I.- Del Instituto

Artículo 38.- El Instituto, para efectos de esta Ley, tendrá por objeto difundir el conocimiento del derecho a la protección de datos personales en la sociedad mexicana, promover su ejercicio y vigilar por la debida observancia de las disposiciones previstas en la presente Ley y que deriven de la misma; en particular aquellas relacionadas con el cumplimiento de obligaciones por parte de los sujetos regulados por este ordenamiento.

Artículo 39.- El Instituto tiene las siguientes atribuciones:
I. Vigilar y verificar el cumplimiento de las disposiciones contenidas en esta Ley, en el ámbito de su competencia, con las excepciones previstas por la legislación;
II. Interpretar en el ámbito administrativo la presente Ley;
III. Proporcionar apoyo técnico a los responsables que lo soliciten, para el cumplimiento de las obligaciones establecidas en la presente Ley;
IV. Emitir los criterios y recomendaciones, de conformidad con las disposiciones aplicables de esta Ley, para efectos de su funcionamiento y operación;
V. Divulgar estándares y mejores prácticas internacionales en materia de seguridad de la información, en atención a la naturaleza de los datos; las finalidades del tratamiento, y las capacidades técnicas y económicas del responsable;
VI. Conocer y resolver los procedimientos de protección de derechos y de verificación señalados en esta Ley e imponer las sanciones según corresponda;
VII. Cooperar con otras autoridades de supervisión y organismos nacionales e internacionales, a efecto de coadyuvar en materia de protección de datos;
VIII. Rendir al Congreso de la Unión un informe anual de sus actividades;
IX. Acudir a foros internacionales en el ámbito de la presente Ley;
X. Elaborar estudios de impacto sobre la privacidad previos a la puesta en práctica de una nueva modalidad de tratamiento de datos personales o a la realización de modificaciones sustanciales en tratamientos ya existentes;
XI. Desarrollar, fomentar y difundir análisis, estudios e investigaciones en materia de protección de datos personales en Posesión de los Particulares y brindar capacitación a los sujetos obligados, y
XII. Las demás que le confieran esta Ley y demás ordenamientos aplicables.

Sección II.- De las Autoridades Reguladoras

Artículo 40.- La presente Ley constituirá el marco normativo que las dependencias deberán observar, en el ámbito de sus propias atribuciones, para la emisión de la regulación que corresponda, con la coadyuvancia del Instituto.

Artículo 41.- La Secretaría, para efectos de esta Ley, tendrá como función difundir el conocimiento de las obligaciones en torno a la protección de datos personales entre la iniciativa privada nacional e internacional con actividad comercial en territorio mexicano; promoverá las mejores prácticas comerciales en torno a la protección de los datos personales como insumo de la economía digital, y el desarrollo económico nacional en su conjunto.

Artículo 42.- En lo referente a las bases de datos de comercio, la regulación que emita la Secretaría, únicamente será aplicable a aquellas bases de datos automatizadas o que formen
parte de un proceso de automatización.

Artículo 43.- La Secretaría tiene las siguientes atribuciones:
I. Difundir el conocimiento respecto a la protección de datos personales en el ámbito comercial;
II. Fomentar las buenas prácticas comerciales en materia de protección de datos personales;
III. Emitir los lineamientos correspondientes para el contenido y alcances de los avisos de privacidad en coadyuvancia con el Instituto, a que se refiere la presente Ley;
IV. Emitir, en el ámbito de su competencia, las disposiciones administrativas de carácter general a que se refiere el artículo 40, en coadyuvancia con el Instituto;
V. Fijar los parámetros necesarios para el correcto desarrollo de los mecanismos y medidas de autorregulación a que se refiere el artículo 44 de la presente Ley, incluido la promoción de Normas Mexicanas o Normas Oficiales Mexicanas, en coadyuvancia con el Instituto;
VI. Llevar a cabo los registros de consumidores en materia de datos personales y verificar su funcionamiento;
VII. Celebrar convenios con cámaras de comercio, asociaciones y organismos empresariales en lo general, en materia de protección de datos personales;
VIII. Diseñar e instrumentar políticas y coordinar la elaboración de estudios para la modernización y operación eficiente del comercio electrónico, así como para promover el desarrollo de la economía digital y las tecnologías de la información en materia de protección de datos personales;
IX. Acudir a foros comerciales nacionales e internacionales en materia de protección de datos personales, o en aquellos eventos de naturaleza comercial, y
X. Apoyar la realización de eventos, que contribuyan a la difusión de la protección de los datos personales.

Artículo 44.- Las personas físicas o morales podrán convenir entre ellas o con organizaciones civiles o gubernamentales, nacionales o extranjeras, esquemas de autorregulación vinculante en la materia, que complementen lo dispuesto por la presente Ley. Dichos esquemas deberán contener mecanismos para medir su eficacia en la protección de los datos, consecuencias y medidas correctivas eficaces en caso de incumplimiento.
Los esquemas de autorregulación podrán traducirse en códigos deontológicos o de buena práctica profesional, sellos de confianza u otros mecanismos y contendrán reglas o estándares específicos que permitan armonizar los tratamientos de datos efectuados por los adheridos y facilitar el ejercicio de los derechos de los titulares. Dichos esquemas serán notificados de manera simultánea a las autoridades sectoriales correspondientes y al Instituto.

CAPÍTULO VII.- Del Procedimiento de Protección de Derechos

Artículo 45.- El procedimiento se iniciará a instancia del titular de los datos o de su representante legal, expresando con claridad el contenido de su reclamación y de los preceptos de esta Ley que se consideran vulnerados. La solicitud de protección de datos deberá presentarse ante el Instituto dentro de los quince días siguientes a la fecha en que se comunique la respuesta al titular por parte del responsable.
En el caso de que el titular de los datos no reciba respuesta por parte del responsable, la solicitud de protección de datos podrá ser presentada a partir de que haya vencido el plazo de respuesta previsto para el responsable. En este caso, bastará que el titular de los datos acompañe a su solicitud de protección de datos el documento que pruebe la fecha en que presentó la solicitud de acceso, rectificación, cancelación u oposición.
La solicitud de protección de datos también procederá en los mismos términos cuando el responsable no entregue al titular los datos personales solicitados; o lo haga en un formato incomprensible, se niegue a efectuar modificaciones o correcciones a los datos personales, el titular no esté conforme con la información entregada por considerar que es incompleta o no corresponda a la información requerida.
Recibida la solicitud de protección de datos ante el Instituto, se dará traslado de la misma al responsable, para que, en el plazo de quince días, emita respuesta, ofrezca las pruebas que estime pertinentes y manifieste por escrito lo que a su derecho convenga.
El Instituto admitirá las pruebas que estime pertinentes y procederá a su desahogo. Asimismo, podrá solicitar del responsable las demás pruebas que estime necesarias. Concluido el desahogo
de las pruebas, el Instituto notificará al responsable el derecho que le asiste para que, de considerarlo necesario, presente sus alegatos dentro de los cinco días siguientes a su notificación.
Para el debido desahogo del procedimiento, el Instituto resolverá sobre la solicitud de protección de datos formulada, una vez analizadas las pruebas y demás elementos de convicción que estime pertinentes, como pueden serlo aquéllos que deriven de la o las audiencias que se celebren con las partes.
El Reglamento de la Ley establecerá la forma, términos y plazos conforme a los que se desarrollará el procedimiento de protección de derechos.

Artículo 46.- La solicitud de protección de datos podrá interponerse por escrito libre o a través de los formatos, del sistema electrónico que al efecto proporcione el Instituto y deberá contener la siguiente información:
I. El nombre del titular o, en su caso, el de su representante legal, así como del tercero interesado, si lo hay;
II. El nombre del responsable ante el cual se presentó la solicitud de acceso, rectificación, cancelación u oposición de datos personales;
III. El domicilio para oír y recibir notificaciones;
IV. La fecha en que se le dio a conocer la respuesta del responsable, salvo que el procedimiento inicie con base en lo previsto en el artículo 50;
V. Los actos que motivan su solicitud de protección de datos, y
VI. Los demás elementos que se considere procedente hacer del conocimiento del Instituto.
La forma y términos en que deba acreditarse la identidad del titular o bien, la representación legal se establecerán en el Reglamento.
Asimismo, a la solicitud de protección de datos deberá acompañarse la solicitud y la respuesta que se recurre o, en su caso, los datos que permitan su identificación. En el caso de falta de respuesta sólo será necesario presentar la solicitud.
En el caso de que la solicitud de protección de datos se interponga a través de medios que no sean electrónicos, deberá acompañarse de las copias de traslado suficientes.

Artículo 47.- El plazo máximo para dictar la resolución en el procedimiento de protección de derechos será de cincuenta días, contados a partir de la fecha de presentación de la solicitud de protección de datos. Cuando haya causa justificada, el Pleno del Instituto podrá ampliar por una vez y hasta por un período igual este plazo.

Artículo 48.- En caso que la resolución de protección de derechos resulte favorable al titular de los datos, se requerirá al responsable para que, en el plazo de diez días siguientes a la notificación o cuando así se justifique, uno mayor que fije la propia resolución, haga efectivo el ejercicio de los derechos objeto de protección, debiendo dar cuenta por escrito de dicho cumplimiento al Instituto dentro de los siguientes diez días.

Artículo 49.- En caso de que la solicitud de protección de datos no satisfaga alguno de los requisitos a que se refiere el artículo 46 de esta Ley, y el Instituto no cuente con elementos para subsanarlo, se prevendrá al titular de los datos dentro de los veinte días hábiles siguientes a la presentación de la solicitud de protección de datos, por una sola ocasión, para que subsane las omisiones dentro de un plazo de cinco días. Transcurrido el plazo sin desahogar la prevención se tendrá por no presentada la solicitud de protección de datos. La prevención tendrá el efecto de interrumpir el plazo que tiene el Instituto para resolver la solicitud deprotección de datos.

Artículo 50.- El Instituto suplirá las deficiencias de la queja en los casos que así se requiera, siempre y cuando no altere el contenido original de la solicitud de acceso, rectificación, cancelación u oposición de datos personales, ni se modifiquen los hechos o peticiones expuestos en la misma o en la solicitud de protección de datos.

Artículo 51.– Las resoluciones del Instituto podrán:
I. Sobreseer o desechar la solicitud de protección de datos por improcedente, o
II. Confirmar, revocar o modificar la respuesta del responsable.

Artículo 52.– La solicitud de protección de datos será desechada por improcedente cuando:
I. El Instituto no sea competente;
II. El Instituto haya conocido anteriormente de la solicitud de protección de datos contra el mismo
acto y resuelto en definitiva respecto del mismo recurrente;
III. Se esté tramitando ante los tribunales competentes algún recurso o medio de defensa interpuesto por el titular que pueda tener por efecto modificar o revocar el acto respectivo;
IV. Se trate de una solicitud de protección de datos ofensiva o irracional, o
V. Sea extemporánea.

Artículo 53.- La solicitud de protección de datos será sobreseída cuando:
I. El titular fallezca;
II. El titular se desista de manera expresa;
III. Admitida la solicitud de protección de datos, sobrevenga una causal de improcedencia, y
IV. Por cualquier motivo quede sin materia la misma.

Artículo 54.- El Instituto podrá en cualquier momento del procedimiento buscar una conciliación entre el titular de los datos y el responsable.
De llegarse a un acuerdo de conciliación entre ambos, éste se hará constar por escrito y tendrá efectos vinculantes. La solicitud de protección de datos quedará sin materia y el Instituto verificará el cumplimiento del acuerdo respectivo.
Para efectos de la conciliación a que se alude en el presente ordenamiento, se estará al procedimiento que se establezca en el Reglamento de esta Ley.

Artículo 55.- Interpuesta la solicitud de protección de datos ante la falta de respuesta a una solicitud en ejercicio de los derechos de acceso, rectificación, cancelación u oposición por parte del responsable, el Instituto dará vista al citado responsable para que, en un plazo no mayor a diez días, acredite haber respondido en tiempo y forma la solicitud, o bien dé respuesta a la misma. En caso de que la respuesta atienda a lo solicitado, la solicitud de protección de datos se considerará improcedente y el Instituto deberá sobreseerlo.
En el segundo caso, el Instituto emitirá su resolución con base en el contenido de la solicitud original y la respuesta del responsable que alude el párrafo anterior.
Si la resolución del Instituto a que se refiere el párrafo anterior determina la procedencia de la solicitud, el responsable procederá a su cumplimiento, sin costo alguno para el titular, debiendo cubrir el responsable todos los costos generados por la reproducción correspondiente.

Artículo 56.- Contra las resoluciones del Instituto, los particulares podrán promover el juicio de nulidad ante el Tribunal Federal de Justicia Fiscal y Administrativa.

Artículo 57.- Todas las resoluciones del Instituto serán susceptibles de difundirse públicamente en versiones públicas, eliminando aquellas referencias al titular de los datos que lo identifiquen o lo hagan identificable.

Artículo 58.- Los titulares que consideren que han sufrido un daño o lesión en sus bienes o derechos como consecuencia del incumplimiento a lo dispuesto en la presente Ley por el responsable o el encargado, podrán ejercer los derechos que estimen pertinentes para efectos de la indemnización que proceda, en términos de las disposiciones legales correspondientes.

CAPÍTULO VIII.- Del Procedimiento de Verificación

Artículo 59.- El Instituto verificará el cumplimiento de la presente Ley y de la normatividad que de ésta derive. La verificación podrá iniciarse de oficio o a petición de parte.
La verificación de oficio procederá cuando se dé el incumplimiento a resoluciones dictadas con motivo de procedimientos de protección de derechos a que se refiere el Capítulo anterior o se presuma fundada y motivadamente la existencia de violaciones a la presente Ley.

Artículo 60.– En el procedimiento de verificación el Instituto tendrá acceso a la información y documentación que considere necesarias, de acuerdo a la resolución que lo motive.
Los servidores públicos federales estarán obligados a guardar confidencialidad sobre la información que conozcan derivada de la verificación correspondiente.
El Reglamento desarrollará la forma, términos y plazos en que se sustanciará el procedimiento a que se refiere el presente artículo.

CAPÍTULO IX.- Del Procedimiento de Imposición de Sanciones

Artículo 61.– Si con motivo del desahogo del procedimiento de protección de derechos o del procedimiento de verificación que realice el Instituto, éste tuviera conocimiento de un presunto incumplimiento de alguno de los principios o disposiciones de esta Ley, iniciará el procedimiento a que se refiere este Capítulo, a efecto de determinar la sanción que corresponda.

Artículo 62.- El procedimiento de imposición de sanciones dará comienzo con la notificación que efectúe el Instituto al presunto infractor, sobre los hechos que motivaron el inicio del procedimiento y le otorgará un término de quince días para que rinda pruebas y manifieste por escrito lo que a su derecho convenga. En caso de no rendirlas, el Instituto resolverá conforme a los elementos de convicción de que disponga.
El Instituto admitirá las pruebas que estime pertinentes y procederá a su desahogo. Asimismo, podrá solicitar del presunto infractor las demás pruebas que estime necesarias. Concluido el desahogo de las pruebas, el Instituto notificará al presunto infractor el derecho que le asiste para que, de considerarlo necesario, presente sus alegatos dentro de los cinco días siguientes a su notificación.
El Instituto, una vez analizadas las pruebas y demás elementos de convicción que estime pertinentes, resolverá en definitiva dentro de los cincuenta días siguientes a la fecha en que inició el procedimiento sancionador. Dicha resolución deberá ser notificada a las partes.
Cuando haya causa justificada, el Pleno del Instituto podrá ampliar por una vez y hasta por un período igual este plazo.
El Reglamento desarrollará la forma, términos y plazos en que se sustanciará el procedimiento de imposición de sanciones, incluyendo presentación de pruebas y alegatos, la celebración de audiencias y el cierre de instrucción.

CAPÍTULO X.- De las Infracciones y Sanciones

Artículo 63.- Constituyen infracciones a esta Ley, las siguientes conductas llevadas a cabo por el responsable:
I. No cumplir con la solicitud del titular para el acceso, rectificación, cancelación u oposición al tratamiento de sus datos personales, sin razón fundada, en los términos previstos en esta Ley;
II. Actuar con negligencia o dolo en la tramitación y respuesta de solicitudes de acceso, rectificación, cancelación u oposición de datos personales;
III. Declarar dolosamente la inexistencia de datos personales, cuando exista total o parcialmente en las bases de datos del responsable;
IV. Dar tratamiento a los datos personales en contravención a los principios establecidos en la presente Ley;
V. Omitir en el aviso de privacidad, alguno o todos los elementos a que se refiere el artículo 16 de esta Ley;
VI. Mantener datos personales inexactos cuando resulte imputable al responsable, o no efectuar las rectificaciones o cancelaciones de los mismos que legalmente procedan cuando resulten afectados los derechos de los titulares;
VII. No cumplir con el apercibimiento a que se refiere la fracción I del artículo 64;
VIII. Incumplir el deber de confidencialidad establecido en el artículo 21 de esta Ley;
IX. Cambiar sustancialmente la finalidad originaria del tratamiento de los datos, sin observar lo dispuesto por el artículo 12;
X. Transferir datos a terceros sin comunicar a éstos el aviso de privacidad que contiene las limitaciones a que el titular sujetó la divulgación de los mismos;
XI. Vulnerar la seguridad de bases de datos, locales, programas o equipos, cuando resulte imputable al responsable;
XII. Llevar a cabo la transferencia o cesión de los datos personales, fuera de los casos en que esté permitida por la Ley;
XIII. Recabar o transferir datos personales sin el consentimiento expreso del titular, en los casos en que éste sea exigible;
XIV. Obstruir los actos de verificación de la autoridad;
XV. Recabar datos en forma engañosa y fraudulenta;
XVI. Continuar con el uso ilegítimo de los datos personales cuando se ha solicitado el cese del mismo por el Instituto o los titulares;
XVII. Tratar los datos personales de manera que se afecte o impida el ejercicio de los derechos de acceso, rectificación, cancelación y oposición establecidos en el artículo 16 de la Constitución Política de los Estados Unidos Mexicanos;
XVIII. Crear bases de datos en contravención a lo dispuesto por el artículo 9, segundo párrafo de esta Ley, y
XIX. Cualquier incumplimiento del responsable a las obligaciones establecidas a su cargo en términos de lo previsto en la presente Ley.

Artículo 64.- Las infracciones a la presente Ley serán sancionadas por el Instituto con:
I. El apercibimiento para que el responsable lleve a cabo los actos solicitados por el titular, en los términos previstos por esta Ley, tratándose de los supuestos previstos en la fracción I del artículo anterior;
II. Multa de 100 a 160,000 días de salario mínimo vigente en el Distrito Federal, en los casos previstos en las fracciones II a VII del artículo anterior;
III. Multa de 200 a 320,000 días de salario mínimo vigente en el Distrito Federal, en los casos previstos en las fracciones VIII a XVIII del artículo anterior, y
IV. En caso de que de manera reiterada persistan las infracciones citadas en los incisos anteriores, se impondrá una multa adicional que irá de 100 a 320,000 días de salario mínimo vigente en el Distrito Federal. En tratándose de infracciones cometidas en el tratamiento de datos sensibles, las sanciones podrán incrementarse hasta por dos veces, los montos establecidos.

Artículo 65.- El Instituto fundará y motivará sus resoluciones, considerando:
I. La naturaleza del dato;
II. La notoria improcedencia de la negativa del responsable, para realizar los actos solicitados por el titular, en términos de esta Ley;
III. El carácter intencional o no, de la acción u omisión constitutiva de la infracción;
IV. La capacidad económica del responsable, y
V. La reincidencia.

Artículo 66.- Las sanciones que se señalan en este Capítulo se impondrán sin perjuicio de la responsabilidad civil o penal que resulte.

CAPÍTULO XI.- De los Delitos en Materia del Tratamiento Indebido de Datos Personales

Artículo 67.- Se impondrán de tres meses a tres años de prisión al que estando autorizado para tratar datos personales, con ánimo de lucro, provoque una vulneración de seguridad a las bases de datos bajo su custodia.

Artículo 68.- Se sancionará con prisión de seis meses a cinco años al que, con el fin de alcanzar un lucro indebido, trate datos personales mediante el engaño, aprovechándose del error en que se encuentre el titular o la persona autorizada para transmitirlos.

Artículo 69.- Tratándose de datos personales sensibles, las penas a que se refiere este Capítulo se duplicarán.

TRANSITORIOS

PRIMERO.- El presente Decreto entrará en vigor al día siguiente al de su publicación en el Diario Oficial de la Federación.

SEGUNDO.- El Ejecutivo Federal expedirá el Reglamento de esta Ley dentro del año siguiente a su entrada en vigor.

TERCERO.- Los responsables designarán a la persona o departamento de datos personales a que se refiere el artículo 30 de la Ley y expedirán sus avisos de privacidad a los titulares de datos personales de conformidad a lo dispuesto por los artículos 16 y 17 a más tardar un año después de la entrada en vigor de la presente Ley.

CUARTO.- Los titulares podrán ejercer ante los responsables sus derechos de acceso, rectificación, cancelación y oposición contemplados en el Capítulo IV de la Ley; así como dar inicio, en su caso, al procedimiento de protección de derechos establecido en el Capítulo VII de la misma, dieciocho meses después de la entrada en vigor de la Ley.

QUINTO.- En cumplimiento a lo dispuesto por el artículo tercero transitorio del Decreto por el que se adiciona la fracción XXIX-O al artículo 73 de la Constitución Política de los Estados Unidos Mexicanos, publicado en el Diario Oficial de la Federación el 30 de abril de 2009, las disposiciones locales en materia de protección de datos personales en posesión de los particulares se abrogan, y se derogan las demás disposiciones que se opongan a la presente Ley.

SEXTO.- Las referencias que con anterioridad a la entrada en vigor del presente Decreto, se hacen en las leyes, tratados y acuerdos internacionales, reglamentos y demás ordenamientos al Instituto Federal de Acceso a la Información Pública, en lo futuro se entenderán hechas al Instituto Federal de Acceso a la Información y Protección de Datos Personales.

SÉPTIMO.- Las acciones que, en cumplimiento a lo dispuesto en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, corresponda realizar al Ejecutivo Federal, se sujetarán a los presupuestos aprobados de las instituciones correspondientes y a las disposiciones de la Ley Federal de Presupuesto y Responsabilidad Hacendaria.

OCTAVO.- El Presupuesto de Egresos de la Federación para el Ejercicio Fiscal de 2011 considerará partidas suficientes para el adecuado funcionamiento del Instituto Federal de Acceso a la Información y Protección de Datos en las materias de esta Ley.

ARTÍCULO SEGUNDO. Se reforman los artículos 3, fracciones II y VII, y 33, así como la denominación del Capítulo II, del Título Segundo, de la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental, para quedar como sigue:

Artículo 3.- Para los efectos de esta Ley se entenderá por:
I. …
II. Datos personales: Cualquier información concerniente a una persona física identificada o identificable;
III. a VI. …
VII. Instituto: El Instituto Federal de Acceso a la Información y Protección de Datos, establecido en el Artículo 33 de esta Ley;
VIII. a XV. …
CAPÍTULO II
Del Instituto
Artículo 33.- El Instituto es un órgano de la Administración Pública Federal, con autonomía operativa, presupuestaria y de decisión, encargado de promover y difundir el ejercicio del derecho a la información; resolver sobre la negativa a las solicitudes de acceso a la información y proteger los datos personales en poder de las dependencias y entidades.

TRANSITORIO

ÚNICO.- El presente Decreto entrará en vigor al día siguiente al de su publicación en el Diario Oficial de la Federación.

México, D.F., a 27 de abril de 2010.-

Dip. Francisco Javier Ramirez Acuña, Presidente.- Sen. Carlos Navarrete Ruiz, Presidente.- Dip. Georgina Trujillo Zentella, Secretaria.- Sen. Renán Cleominio Zoreda Novelo, Secretario.-

En cumplimiento de lo dispuesto por la fracción I del Artículo 89 de la Constitución Política de los Estados Unidos Mexicanos, y para su debida publicación y observancia, expido el presente Decreto en la Residencia del Poder Ejecutivo Federal, en la Ciudad de México, Distrito Federal, a veintiocho de junio de dos mil diez.-

Felipe de Jesús Calderón Hinojosa.

El Secretario de Gobernación, Lic. Fernando Francisco Gómez Mont Urueta.

01Oct/08

La protección de datos personales

La protección de datos personales
El impactante caso del Arzobispado de Valencia

La protección de datos personales es un tema que día tras día nos lo vamos encontrando en la práctica jurídica;son cada vez mas las sentencias y pronunciamientos judiciales que en sus escritos aparece como núcleo esencial este relevante derecho de protección de datos cuya importancia supera y con creces al propio derecho de la intimidad.

En España está en vigor la Ley de Protección de Datos (en adelante LOPD desde el año 1999;ley que derogaba la anterior de 1992 que llevaba por título “del tratamiento automatizado de datos personales de carácter personal”.Nuestro actual texto omite en su enunciado el término “automatizado”,pero no supone una limitación a todos aquellos datos susceptibles de encontrarse en ficheros manuales o no automatizados,sino que es una ley que refuerza a estos últimos y los empareja,tratándolos de igual a igual,habida cuenta del estado actual de la técnica;pues no son pocas las empresas o instituciones varias que poseen ficheros que contienen dichos datos personales de personas físicas

El presente artículo trata de un posible conflicto de derechos:por un lado el derecho a la libertad religiosa (LOLR) y por otro el derecho a la protección de datos y digo conflicto puesto que estamos ante dos derechos fundamentales recogidos en nuestra Constitución Española del año 1978.

Contamos con el comentario de una reciente sentencia del Tribunal Supremo (TS) que resuelve en casación un recurso interpuesto por el Arzobispado de Valencia contra una sentencia de la Audiencia Nacional (AN) en la que consideraba ésta que los Libros de Bautismo eran ficheros y que como tales contenía datos personales. Estudiemos y analicemos este escrito:

Como he mencionado antes,estamos ante un Recurso de Casación, concretamente el 6031/2007 que resuelve y contradice el Recurso Contencioso-Administrativo 171/06 de 10 de octubre de 2007 de la Audiencia Nacional.

Una persona física pretende ejercer el derecho de cancelación y de forma exhaustiva,la cancelación de la anotación de su bautismo en el libro de éstos. Por otra parte,el Arzobispado de la ciudad española de Valencia no lo considera apropiado y se niega por completo a que el particular satisfaga sus propios intereses;intereses que de forma evidente están recogidos en la propia LOPD (acceso,rectificación,CANCELACION,oposición,bloqueo).

La Agencia Española de protección de Datos (en adelante AEPD) es el máximo órgano administrativo encargado de velar por los intereses de los perjudicados/personas físicas y emite una resolución contraria a su vez a la sentencia que es recurrida por la parte actora; en este caso el Arzobispado de Valencia.

La AN mediante Recurso Contencioso-Administrativo razona diversos fundamentos a modo de ejemplo el quinto y como ámbito objetivo:

“En primer lugar,ha de tratarse de datos de carácter personal y los que constan en el Libro de Bautismo lo son,pues se concretan en el nombre y apellidos del bautizado entre otros. En este sentido,el artículo 3.a) de la citada LO 15/1999,dispone que son datos de carácter personal”cualquier información concerniente a personas identificadas o identificables” y el nombre y apellidos insistimos lo son pues revelan una información de identificación del titular de los datos,como esta sala ha venido declarando con reiteración”.

La parte actora considera que los Libros de Bautismo carecen por completo de la consideración de ficheros y por tanto no hay datos personales. La complejidad radica en que se produce un conflicto de derechos:el alegado por el Arzobispado de Valencia que aduce que se está vulnerando el artículo 1.6 de los Acuerdos Jurídicos entre la Santa Sede y el estado español de 3 de Enero de 1979;que nos encontramos ante un tratado internacional que ya forma parte del derecho internacional de España (artículos 94 y 95 de la CE9 y que aun cabiendo la posibilidad de haber un derecho vulnerado de protección de datos personales la libre organización y funcionamiento de su plena autonomía debe establecerse y no obligar por tanto al Arzobispado de Valencia a realizar las anotaciones precisamente en el Libro de Bautismos (dejamos para después las opiniones personales);así lo dice el fundamento octavo de la todavía analizada sentencia de la AN:

“Invoca igualmente la entidad actora su plena autonomía en el establecimiento de sus formas de organizase y funcionar en cuanto manifestación de su derecho fundamental a la libertad religiosa (artículos 16.1 CE y artículo 6 LO 7/1980 de Libertad Religiosa).La llevanza de sus libros y su intangibilidad sería por tanto una manifestación de ese derecho fundamental que operaría como límite del derecho a la protección de datos del afectado,en cualquiera de sus manifestaciones,de suerte que una manifestación integrada en el Estado,como es la AEPD,encargada de velar por este último derecho,no podría cursarle órdenes que fuesen contrarias a sus propias normas de funcionamiento”.

En la representación del recurrente se formulan tres motivos de recurso,el primero:la infracción de dicho artículo 1.6 de los Acuerdos Santa Sede-estado español,al amparo del artículo 88.1 d) de la Ley Jurisdiccional.

El segundo motivo es la vulneración del artículo 6 de la Ley Orgánica de Libertad Religiosa en relación con el artículo 16.1 de la CE,en función de lo recientemente anotado:la autonomía en el establecimiento de sus formas de organización y establecimiento.

Y por último el tercer motivo de recurso es al amparo del también artículo 88.1 d) de la Ley Jurisdiccional en el que se consideran vulnerados los artículos 2,4,5 y 11 de la vigente LOPD,considerando que los Libros de Bautismo no son ficheros,sino hechos históricos en un momento dado. Incluye también que estos libros no están ordenados ni alfabéticamente ni por fecha de nacimiento,sino de bautismo.

Siguiendo la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de Octubre de 1995,referente a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de éstos,se define fichero como “todo conjunto organizado de datos de carácter personal,cualquiera que fuera la forma o modalidad de su creación,almacenamiento,organización y acceso”.Quiero por tanto dejar mi opinión en relación a la amplia definición de fichero que se ha leído:que pese a que no están ordenados ni alfabéticamente ni por fechas de nacimiento,sí lo están por bautismo y accediendo a éstos,podríamos llegar a saber mas datos personales de cualquiera. Me aproximo en este sentido a la doctrina de la AN de que la información que aparece en los libros de bautismo son datos personales y que aquéllos son ficheros strictu sensu;la ley evidentemente debería ser de aplicación en este caso y sí cabría fundamentar la práctica de anotación marginal.

La LOPD en su artículo 3 a) dispone que son de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”.Los nombres y apellidos son bajo mi punto de vista datos personales y deben estar completamente protegidos. El hecho de considerar que el fichero es un Libro de Bautismo no nos debe apartar de la consideración de encontrarse en un soporte físico y la ley habla perfectamente de soportes físicos u otros.

Resumiendo hasta ahora:tenemos nombre y apellidos (datos personales) que aparecen en un fichero registrado en soporte físico (Libro de Bautismos) y que pueden ser fácilmente tratados;atendemos en este caso a la definición de tratamiento;amplia definición por otro lado según los preceptos legales cuando nos referimos a la expedición de una partida de bautismo,pero incluso en estas partidas se hace referencia a personas fallecidas;¿a donde nos lleva esto?;pues a que los datos no están actualizados ni son veraces;vulneración también del artículo 4.3 de la LOPD: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”.De hecho,creo que podría tratarse de una infracción del principio de información puesto que contamos con datos de personas ya fallecidas y esos ficheros no han sido actualizados.

Según el Tribunal Supremo,no hay inexactitud de los datos y no es discutible;puede ser que todo lo reflejado en los Libros de Bautismo sea absolutamente certero,pero el criterio histórico a mi modo de ver no debería reflejarse aquí:serán datos históricos pero al fin y al cabo son datos personales,pues pueden comprobarse sus nombres y apellidos.

También me gustaría hacer referencia a un fragmento de este Recurso de Casación en lo atinente a la globalidad de procesos. Puede llegar uno a pensar en la informatización de esas partidas de bautismo;si así fuese ya estaríamos hablando de datos personales y en ficheros automatizados. Si además añadimos la posibilidad de entrecruzar esos datos de bautismo o acceder a ellos por parte de terceros,el resultado final es que con esas aplicaciones informáticas sabemos perfectamente los datos personales de los bautizados y aun así la doctrina del TS seguiría negando la consideración de los Libros de Bautismos como ficheros en sí.

Me aproximo mucho mas a la idea mostrada por la AN en su Recurso Contencioso-Administrativo de pensar en datos personales los reflejados en los Libros de Bautismos;en pensar que estos son ficheros (automatizados o no) y que el particular-persona física debería tener derecho a que se realizase por parte del Arzobispado de Valencia nota marginal en sus correspondientes Libros de Bautismos. El fallo definitivo que resuelve el TS es que casa y anula lo decidido por la AN y estima el inicial Recurso Contencioso-Administrativo interpuesto por aquel Arzobispado.

Como información añadida mencionar según nota de prensa de la propia AEPD que ésta recurrirá la sentencia del TS sobre cancelación de datos en los Libros de Bautismos,para ello presentará un incidente de nulidad de actuaciones ante el TS y de no prosperar este trámite interpondrá Recurso de Amparo ante el Tribunal Constitucional (TC).

01Sep/07

Breve comentario al artículo 7 sobre la protección de datos personales de la salud

Breve comentario al artículo 7 sobre la protección de datos personales de la salud

En la actualidad, el tema de la protección de los datos personales en lo concerniente a la salud y su ulterior consideración como datos sensibles, hace que lo concibamos no como una especie de “patito feo” en el mundo de la teoría de la protección de datos, sino en todo caso como la salvaguarda y esperanza posible de un mayor acercamiento a un campo digno de especial consideración como éste, que el presente artículo titula.

De forma ejemplificativa, la situación mencionada se enmarca dentro de los datos personales de la salud de las personas físicas con la proliferación de clínicas especializadas en el campo científico de la cirugía estética y demás cuestiones análogas, como puede ser el caso de una consultora determinada que representa a uno de estos centros privados; pues bien, una cuestión en modo alguno carente de relevancia práctica como es la posibilidad de incluir los datos estéticos a la categoría de datos personales relativos a la salud.

La primera idea que se nos puede venir a la cabeza es un no rotundo: nada tiene que ver un dato estético con un dato de salud. La estética está completamente reñida con la enfermedad, si bien lo primero puede derivar en lo segundo. No ha sido, ni es la primera vez que se han escuchado el caso de personas que estaban completamente interesadas en la realización de ciertas mejoras físicas y se han visto finalmente abocadas a complicaciones diversas de cierto calibre, muchas de ellas cuando no, con la propia muerte.

Para poder centrarnos en el tema, opino que los elementos de mayor relevancia serían los atinentes a los propios servicios que una empresa estética viene realizando desde hace tiempo y la categoría profesional a la que puede ser encuadrables los profesionales que atienden y hacen frente en dichos lugares.

Como primer enfoque y mediante una tarea de simple descarte, los datos personales referentes a las personas, aparecen en el artículo 7.3 de la Ley Orgánica de Protección de Datos (legislación actual).El presente artículo exige el consentimiento expreso a diferencia del párrafo anterior en el que dicho beneplácito presenta los rasgos de expreso y por escrito.

Al hablar de datos sensibles, creo que lo mas conveniente a la hora de reforzar su garantía debida y por tanto elevar la seguridad jurídica, hubiera sido mejor, medir por el mismo rasero los párrafos segundo y tercero del artículo 7 de la LOPD para evitar sobretodo, dudas específicas en la labor de interpretación llevada a cabo por los propios órganos judiciales o bien la posible unificación de ambos párrafos en uno solo con el fin de evitar la existencia de dos pequeños subgrupos de datos especialmente protegidos. Lo que no cabe duda es que es una cuestión en la que el legislador, debió prestar en su día mayor atención, como así dice Vizcaíno Calderón en su “Comentario a la Ley de Protección de Datos”.

Es una idea encomiable por parte del legislador, la consideración de aspectos psicológicos como la salud mental, los temas genéticos y el alcohol entre otros, para introducirlos en el articulado de la ley dentro de lo que son los datos sensibles, ciertamente merecen su injerencia en esta parte y como ejemplo de su utilidad pragmática y para su mejor consulta tenemos la posibilidad de consultar lo establecido en la Memoria Explicativa del Convenio 108 y la Recomendación número R (97) 5,del Comité de Ministros del Consejo de Europa, relativo a la protección de datos médicos, siendo éstos mismos ahora los textos de referencia en esta materia.

¿Pero y los datos estéticos? .¿ Donde los ubicamos, entonces? .Porque alguna cabida por mínima que sea deben de tener. La LOPD se olvida por completo de ello, no mencionando el término estética. Es curioso que en ocasiones el legislador tiene la intención de abarcar un gran número de supuestos pera ser regulados y una cuestión que aparentemente es tan simple como puede ser lo estético y todo lo que ello conlleva se le olvida o no lo tiene en cuenta sobretodo en una ley cuyo contexto social refleja una época de considerable avance. A mi modo de ver, podrían darse dos situaciones: por un lado optar por hacer una interpretación extensiva sobre lo establecido en la propia ley, con la consiguiente contrapartida de no obtener el respaldo judicial, basándose los tribunales en sus decisiones en el tenor literal de los preceptos normativos; por otra en la necesidad de refugiarnos en la Ley 41/2002 de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica que “viene a solventar varias de las interrogaciones suscitadas respecto al tratamiento de los datos de salud” como muy bien apunta Fanny Coudert en la obra ” Estudio práctico sobre la protección de datos de carácter personal”.

Esta ley puede ser la que mejor se acerque a las cuestiones que se han planteado sobre datos de estética; la mayor ayuda ya nos la da el artículo 4 al hablar de “datos, valoraciones e informaciones de un paciente a lo largo de su proceso asistencial”,no especificando además el tipo de profesional médico (enfermera, residente, supervisor etc).Debe ser un profesional cualificado, para una clínica pública o privada, cualificada a su vez y sometido ante todo al secreto profesional. Estas tres características se dan en el presente caso; de hecho si la LOPD es de aplicación a todo lo que no regule la ley del 2002, no veo a mi juicio inconveniente en tener en cuenta, no solo la propia LOPD, sino también la ya mencionada Ley 41/2002,como estudiar en profundidad la normativa autonómica vasca de la misma materia, que aunque no tenga la misma extensión que la anterior en lo que a su aplicación se refiere, creo que podría esclarecer alguna que otra duda así como realizar una tarea de relleno y complemento con la normativa estatal a efectos de una mejor comprensión.

 

09Ene/07

Algunos principios fundamentales en la recolección de Datos Personales

Algunos principios fundamentales en la recolección de Datos Personales a tomar en cuenta para un desarrollo legislativo en Venezuela

Ante la inexistencia de una regulación específica sobre protección de datos en Venezuela es permisible disertar respecto a cuáles deberían ser los principios fundamentales que deben tomarse en cuenta en una futura regulación de esta materia. Obviamente ya existen regulaciones en el mundo en las cuales se prevén tales principios pero sería prudente reconfirmar tales principios o agregar algunos que han venido surgiendo con la práctica.

El Convenio 108 del Consejo de Europa para la Protección de las Personas con respecto al tratamiento automatizado de datos de carácter personal, suscrito en Estrasburgo el 28 de enero de 1981, prevé algunos de los principios primarios en cuanto a la calidad y la recolección de datos personales. Son un conjunto de llamados o elementos que deben ser tomados en cuenta a la hora del desarrollo legislativo que debería hacer cada uno de los países miembros de la comunidad europea. No obstante, invita a los no miembros a tomar en cuentas tales recomendaciones.

De dicho convenio podemos extraer los siguiente principios. En primer lugar, se hace una mención sobre la lealtad y la legitimidad que debe imperar al momento de la obtención. Es un llamado a que en caso de que se disponga de un instrumentos normativo que regule la recolección u obtención de datos éste sea respetado por el recolector. De igual forma se exige un comportamiento ético al momento de la obtención, la lealtad en el sentido de no obtener la información bajo engaño o ardides. Que no se utilicen mecanismos que pudieran generar la obtención de una información que no quiere ser suministrada por el titular y el instrumento de obtención debe ser legítimo. Un segundo principio y coherente con el proceso de recolección, es la adecuación, pertinencia y la no excesividad de la información que se recoge con el objetivo o fin de tal acto. Es el principio del fin de la información. Esta debe ser recolectada para un fin determinado, específico que además ese fin como tal debe ser claro, preciso y obviamente informado y conocido por el titular de los datos. En tal sentido, debe haber una correspondencia y coherencia entre fin y datos tratando de ser lo mas equilibrado posible que no sobre información ni falte información. Es interesante porque no sólo no debe ser excesiva la información sino que además no debe ser carente. No debe faltar información ya que le faltaría certeza y precisión. A su vez, debe el recolector respetar, y queda así vinculado, al fin con el que fue recolectada la información. El fin que conoce el titular y que consintió suministrar información para tal fin no puede ser variado ni alterado por el recolector, en caso de que así se pretenda o suceda debe ser previamente informado por su titular sino estaríamos engañándolo y obteniendo información de manera desleal. También relacionado con el principio del fin de dato, es que una vez agotado el fin, si el mismo es de un solo efecto, el dato no tiene porque ser mantenido por el recolector y el mismo debería desaparecer. Depende mucho del fin. Como dije si es un sólo acto, habiéndose cumplido el fin, el dato recogido debería desaparecer pero si es de actos continuos o sucesivos durarán lo que se haya estipulado o cuando se haya agotado el fin en si mismo. Algunas legislaciones ya prevén un plazo de tiempo en el cual estos datos se mantendrán almacenados. Depende del fin, sino el plazo deber ser un plazo razonable.

Un tercer principio previsto en este importante convenio es de la exactitud y actualización de la información. Para estos casos se exige que el recolector y quien manipula la información la mantenga actualizada y que la misma sea exacta, en el sentido de que guarde correspondencia con la realidad. Lo que se pretende evitar es una difusión de información falsa o incierta que pueda generar algún tipo de perjuicio en el titular de la misma. Por tal razón, debe contarse con sistema de actualización o solicitar de manera periódica la información actualizable al titular, o advertir al momento de difundir la información la fecha de su recolección o la imposibilidad de su actualización por cualquier razón. El principio de la seguridad y confidencialidad de la información. En este caso se debe contar con mecanismos e instrumentos apropiados para que el recolector, no es el legislador, le garantice al titular de la información que esta se mantendrá bajo estricta reserva y seguridad. Se impedirá el acceso a la información de terceras personas que puedan manipular ilegítimamente la información. Es una obligación del recolector de resguardar la información de tal manera que la misma no sea difundida o utilizada por persona no autorizada.
Por otra parte, hay un impedimento claro en el convenio en que la información personal referida al origen racial, las opiniones políticas, las convicciones religiosas u otras convicciones, así como los datos de carácter personal relativos a la salud o a la vida sexual o al de las condenas penales no puedan tratarse automáticamente a menos que en el derecho interno se prevea garantías apropiadas.
Por nuestra parte, la legislación Venezolana de manera indirecta ha previsto algunos principios que vale la pena resaltar. En la ley de la función pública estadística se recogen los principios anteriormente señalados de manera muy acertada. En primer lugar, se declara que sólo de manera voluntaria y por consentimiento expreso y a los fines estadístico, se puede suministrar información referido al origen étnico, las opiniones políticas, las convicciones ideológicas, morales o religiosas y, en general, las referidas al honor y a la intimidad personal o familiar. Este tipo de información debe suministrarse con una manifestación expresa por parte del titular y aun así dicha información queda, en el momento en que es obtenida, resguardada por el secreto estadístico siendo por tanto imposible de ser consultada (salvo consentimiento del titular) sino hasta que haya transcurrido un plazo de veinte años desde la muerte de éste, si su fecha es conocida, o, en otro caso, de treinta años a partir de la fecha de obtención de los datos para el caso de la persona natural, y de quince años cuando se trate de información económica de persona jurídica o de diez años sino es económica.

Lo mas importante a destacar es que la voluntad del titular es lo que impera en estos actos. Es una verdadera declaración de libre disposición por parte del titular de su información. En estos casos hay que tener cuidado con la información que se suministra. Esta declaración debe contar con ciertas formalidades. No quisiera detenerme mucho en esto ya que sería muy extenso. Pero en líneas generales la manifestación debe ser expresa, lo que debe inferirse que debe constar por escrito. Es un consentimiento que no debe estar viciado, en el sentido, de que no debe ser arrancado con violencia, sorprendido por dolo o como consecuencia de un error excusable. El consentimiento permite autorizar quién recoge la información, para qué la usa, a quién se la trasmite o le permite acceso, cuánto tiempo la mantiene almacenada, entre otras facultades que se otorgan. Se puede generar un delito en estos casos conforme a los artículos 20 y 22 de nuestra la Ley de Delitos Informáticos.

En segundo lugar, y siempre en función del objeto de la Ley de la función pública estadística pero principios aplicables a cualquier recolector de datos, la ley señala que lo datos deben tener una finalidad determinada. No se puede recoger datos o información personal sin que previamente exista una finalidad que a su vez sea informada al titular de los datos. Esta finalidad debe no sólo ser determinada, lo cual significa que no puede ser ambigua u oscura, sino que además debe ser explicita y legitima.

La legitimidad viene dada en el sentido de que quien recoge la información en caso de un sujeto público es competente por ley para el ejercicio de esa actividad. Hay que insistir que la finalidad deber ser comunicada al momento en que se recoge la información al titular de la información. En ese mismo acto, no es que después que recojo la información al final le informo al titular su fin. De ser así estaríamos ante una situación de engaño que genera el suministro de información. El fin debe conocerse desde el principio. Ya que tal hecho es lo que motiva la voluntad del titular en suministrar o no la información, también delimita el contenido de la información que se solicita y la que se suministra y vincula al recolector a utilizarla únicamente para el fin. En cuanto al uso es importante destacar que también debe ser claro. No puede informarse sobre un uso ilegítimo de la información o un uso ambiguo que pudiera permitirle al recolector protegerse ante una denuncia por el uso dado a la información y el cual de haberlo conocido previamente el titular no hubiese suministrado la información recolectada.

El uso se puede agotar en un acto o en varios, hay que hacerlo saber. El fin y el uso se pueden diferenciar. El fin de la información puede ser generar una base de datos de consulta gratuita u obligatoria por parte de determinados sujetos. El uso puede ser sólo para el cumplimiento de tal fin, pero también puede ser utilizado para generar unos perfiles de consumidores y venderlo a sujetos interesados. Hay un limbo entre uso y finalidad. Nuestra ley de la función pública estadística advierte que un uso distinto al señalado no es permisible, es incompatible simplemente, a menos que se traten con fines históricos o científicos de manera disociadas. Queda el recolector vinculado al fin y el uso que le ha informado al titular de la información, límite que emerge del derecho del titular de disponer de su información y de decidir libremente a quién le suministra esa información, qué puede hacer o no ese tercero con la información que se le suministra, quién posee esa información y qué hace con ella.

Un tercer principio que podemos extraer de esta Ley, es la adecuación, pertinencia y lo no excesivo de los datos. La información que se solicita y se recoge debe ser un traje a la medida del fin. Si se pretende estadísticamente determinar el desempleo en la población venezolana comprendida entre 20 y 25 años, no parece adecuado preguntar su estado civil, su número telefónico, los bienes patrimoniales que posee, entre otras preguntas. La información que debe solicitarse como dice la ley debe ser pertinente. Obviamente alude a la relación que debe existir con el fin. Es un vínculo que hay y al cual se somete el recolector. El fin le impone la adecuación, la pertinencia y la frontera de la información. No excesiva la información pero agrego, tampoco no debe faltar información. Debe ser lo mas ajustado posible al fin que se pretende. Si falta información, como he dicho, se falsea queda desactualizada y también es perjudicial.

Jurisprudencialmente en análisis del Sistema de Información Crediticia (SICRI) nuestra Sala Constitucional del Tribunal Supremo de Justicia (SC-TSJ) ha señalado que “..la utilización de dicho sistema no se constituye como un mecanismo arbitrario y anárquico de los datos personales de los usuarios de la cartera crediticia bancaria, siempre y cuando se respeten los derechos y principios básicos de la autodeterminación informática, así como los principios de proporcionalidad, racionalidad, confidencialidad, veracidad y utilización acorde con la solicitud recabada, sin que se acuerde una intromisión en los datos personalísimos del ciudadano (vgr. Enfermedades, relaciones sexuales, antecedentes penales)” (4975-15-12-2005), pese a que el 6/12/2005 (3585 SC-TSJ) se había suspendido la aplicación del artículo 192 de la Ley General de Bancos y Otras Instituciones Financieras que regulaba este Sistema de Información Crediticia.

15Mar/05

Brevi considerazioni in merito ad alcune misure minime di sicurezza in vista della scadenza del 30 giugno

Brevi considerazioni in merito ad alcune misure minime di sicurezza in vista della scadenza del 30 giugno

Il Garante per la protezione dei dati personali ha recentemente chiesto ad alcuni esperti di sicurezza informatica, in vista della scadenza del 30 giugno, termine ultimo per l’adozione delle cd. “nuove” misure minime di sicurezza previste dal Codice in materia di trattamento di dati personali (il “Codice”), di elaborare una traccia di Documento programmatico sulla sicurezza (“DPS”) che possa essere d’ausilio a tutti i soggetti che dovranno provvedervi. Il risultato, denominato “Prime riflessioni sui criteri di redazione del Documento programmatico sulla sicurezza” è stato pubblicato sul sito del Garante [http://www.garanteprivacy.it/garante/doc.jsp?ID=1002143] con l’invito ad esprimere osservazioni al riguardo. Unitamente a tale documento è stato richiamato il parere 22 marzo 2004 reso a Confindustria sull’oggetto: “prima applicazione del Codice in materia di protezione dei dati personali in materia di “misure minime” di sicurezza (art. 31-36 e Allegato B) al d.lg. n. 196/2003″, già oggetto di un mio precedente commento su questa rivista. Decisamente si tratta di un’iniziativa molto positiva, da accogliere con il massimo del favore e non rimane che attendere di conoscere i risultati dei contributi che verranno espressi.

Al di là degli aspetti tecnico-operativi sottesi alla predisposizione e compilazione del documento, mi sembra vi sia un quesito di più generale portata giuridica che merita approfondimento, vale a dire se il DPS debba essere redatto con riferimento a tutti i trattamenti di dati personali effettuati tramite strumenti elettronici, ovvero limitatamente ai soli trattamenti riguardanti dati sensibili e dati giudiziari.

Il quesito non è di poco conto, giacché una conclusione favorevole alla prima ipotesi interpretativa comportarebbe un carico di lavoro notevolmente superiore rispetto alla seconda ipotesi.

Il modello di DPS predisposto dagli esperti incaricati dal Garante sembrerebbe dare per scontata l’interpretazione estensiva, in base alla quale esso debba riguardare tutti i trattamenti di dati effettuati con strumenti elettronici. Esaminiamo ora con attenzione i vari elementi normativi che potrebbero condurci ad una conclusione piuttosto che ad un’altra.

L’art. 34 del Codice dispone il generale obbligo di adozione delle misure minime di sicurezza per i trattamenti di dati personali effettuati con strumenti elettronici. In particolare, alla lettera g), stabilisce l’obbligo di “tenuta di un aggiornato documento programmatico sulla sicurezza”. In effetti, a prima vista, tale disposizione non prevede una distinzione tra tipologie di dati personali e sembrerebbe stabilire addirittura tale obbligo per tutti i titolari di trattamenti di dati personali, senza distinzione. Una tale interpretazione sarebbe, evidentemente, eccessiva. Al riguardo occorre infatti subito osservare come la disposizione generale contenuta nel comma 1 dell’art. 34 del Codice faccia esplicito rinvio, per quanto riguarda l’adozione delle misure minine, ai “modi previsti dal disciplinare tecnico contenuto dell’allegato B)”.

Ebbene, la regola 19 contenuta nell’allegato stabilisce testualmente che “il titolare di un trattamento di dati sensibili o di dati giudiziari redige … un DPS contenente …”. Viene quindi da domandarsi quale sia il rilievo di tale precisa specificazione in relazione al più generale obbligo disposto dall’art. 34 del Codice.

A mio giudizio sono possibili due interpretazioni: la prima tenderebbe a ritenere la specificazione come meramente diretta ad individuare i soggetti tenuti alla formazione del DPS, senza implicare ulteriori conseguenze con riferimento al contenuto del DPS; la seconda, viceversa, tenderebbe a ritenere che la specificazione non riguardi solo i soggetti, bensì anche l’ambito oggettivo di predisposizione del DPS.

Accedendo alla prima interpretazione, sostenibile nella misura in cui si osservi che nel sottopunto 19.1 si menzionano semplicemente i “dati personali”, si approderebbe tuttavia ad una palese incongruenza, dato che solamente determinati soggetti, vale a dire i titolari che trattano dati sensibili o giudiziari, risulterebbero obbligati ad adottare una misura la cui portata riguarderebbe, tuttavia, il contenimento del rischio derivante da tutti i trattamenti di dati personali. Ed allora non si capirebbe la ragione di tale differenziazione, che sarebbe anche iniqua, giacché, a parità di rischio (quello indotto dal trattamento di dati personali comuni, vale a dire diversi da quelli sensibili e giudiziari), solo alcuni titolari risulterebbero onerati dell’obbligo di una misura di sicurezza per il contenimento del medesimo rischio che colpirebbe anche altri titolari, non altrettanto obbligati.

Salvo considerare che per un titolare di trattamento di dati sensibili e giudiziari l’onere di protezione dei dati personali comuni sia maggiore rispetto ad altri titolari. Pur tuttavia tale ragione andrebbe dimostrata e non mi sembra tale allo stato dei fatti. Posto, dunque, che non si intravedono ragioni concrete per giustificare una simile ipotesi, sull’argomento occorrerebbe anche considerare l’ipotesi, alquanto frequente, in cui il titolare procede “internamente” al trattamento dei dati sensibili e giudiziari senza ricorrere all’ausilio di strumenti elettronici, salvo affidare all’esterno il trattamento dei medesimi (normalmente un fornitore di servizi di elaborazione di paghe e contributi nominato responsabile del trattamento), da effettuare con l’ausilio di strumenti elettronici. É intuitivo che in questo particolare caso vi sarebbe la possibilità di limitare la redazione del DPS al solo responsabile “esterno” del trattamento, il quale potrebbe garantire anche maggiore protezione in virtù della specializzazione che lo contraddistingue, possibilità che sarebbe tuttavia impedita sempre applicando prima ipotesi interpretativa.

Accedendo alla seconda interpretazione, vale a dire che la redazione del DPS sia dovuta dai soli titolari che trattano dati sensibili e giudiziari e con riferimento solamente ai trattamenti che riguardano tali specifici dati, si approda ad una soluzione certamente più logica e per questo anche più equa.
Ulteriore elemento che milita a favore della seconda interpretazione si trova analizzando i titoli che sono contenuti nell’Allegato B) al fine di raggruppare le varie regole presenti. Ebbene, dopo la sezione “Documento programmatico sulla sicurezza” troviamo “Ulteriori misure in caso di trattamento di dati sensibili o giudiziari”. Analizzando con attenzione il contenuto delle regole da 20 a 24 nessuno può dubitare che tali disposizioni siano riferite, e si applichino, esclusivamente al trattamento di dati sensibili e giudiziari e non può sorgere dubbio che tali regole non riguardino i trattamenti di altri dati personali. Proprio l’aggettivo “ulteriori” sembrerebbe indicarci che le disposizioni riguardanti il DPS sono esclusivamente rivolte ai trattamenti di dati sensibili e giudiziari e non altrimenti. Diversamente non avrebbe significato l’uso di tale aggettivo.

Per le ragioni sopra esposte, ritengo preferibile adottare l’interpretazione in base alla quale il DPS debba essere formato, ed aggiornato periodicamente, con riferimento esclusivamente al trattamento di dati personali sensibili o giudiziari. Naturalmente, ciò non toglie che sarebbe ottima pratica imprenditoriale decidere di estendere la predisposizione del DPS a tutti i dati personali oggetto di trattamento presso un titolare, in considerazione non solo del generale obbligo di protezione dei dati contenuto nell’art. 31 del Codice, bensì anche in ragione della necessità di tutelare il patrimonio informativo dell’impresa, asset determinante per la sopravvivenza sul mercato e per assicurare la continuità di business.


Vorrei ora effettuare qualche riflessione in merito alla misura di sicurezza prevista dalla regola n. 10 contenuta nell’Allegato B) al Codice.

La regola disciplina le modalità d’accesso ai dati o agli strumenti elettronici, da parte del titolare, quando siano protetti dalla componente riservata della credenziale per l’autenticazione di un incaricato. La domanda che ci si pone è se debba essere considerato obbligatorio per un titolare il ricorso alla procedura delineata nella parte finale della regola, che si basa su un sistema di custodia delle copie delle credenziali segrete attraverso l’individuazione di soggetti incaricati della custodia, ovvero se sia possibile realizzare analogo livello di protezione dei dati personali e degli strumenti elettronici anche mediante altra idonea procedura. Il quesito assume rilievo in ragione dell’onere indotto dalla procedura individuata dal legislatore, che risulta particolarmente macchinosa, soprattutto in considerazione dei periodici rinnovi delle credenziali stabiliti per legge.

Analizzando in dettaglio la regola n. 10 essa appare logicamente ripartita in due parti. Nella prima si ricava il principio che legittima l’accesso ai dati ed agli strumenti elettronici da parte del titolare quando siano protetti mediante impiego della componente riservata di una credenziale per l’autenticazione. In tal caso, sono complessivamente e contemporaneamente necessarie: i) idonee e preventive disposizioni scritte volte ad individuare le modalità di accesso da parte del titolare; ii) la prolungata assenza o impedimento dell’incaricato; iii) la circostanza, indotta dalle condizioni di cui sub ii) precedente, che l’accesso si renda indispensabile e indifferibile; iv) la circostanza che l’accesso avvenga per esclusive necessità di operatività e di sicurezza del sistema. Ebbene, in presenza di tutte queste condizioni l’accesso sostitutivo del titolare, rispetto all’incaricato, ai dati personali o agli strumenti elettronici è da ritenere legittimo nonché consentito.

Venendo alla parte terminale della regola n. 10, a me sembra che la procedura descritta sia da considerare quale esemplificativa delle “idonee e preventive disposizioni”, nel senso che qualora un titolare opti per un sistema di custodia delle copie delle credenziali, in tal caso sarà obbligato a seguire le prescrizioni fornite.

Non mi sembra, viceversa, che dalla norma si possa ricavare il principio di obbligatorietà del ricorso ad una simile procedura. E ciò in quanto tale procedura sarebbe di fatto applicabile solamente con una tipologia delle credenziali per l’autenticazione previste dalla regola n. 2 dell’Allegato B). É evidente, ad esempio, che una simile procedura non sarebbe minimamente applicabile qualora il titolare disponesse l’adozione di credenziali per l’autenticazione basate su di una caratteristica biometria dell’incaricato. In tal caso sarebbe veramente comico, se non da film dell’orrore, pensare al deposito ed alla custodia delle copie delle credenziali. Stesso discorso varrebbe per credenziali basate su certificati di autenticazione contenuti in smart cards (seconda possibilità prevista dalla regola n. 2). Ergo, la procedura descritta è esemplificativa per il caso in cui il titolare opti per un meccanismo di custodia delle copie delle credenziali. Diversamente, il titolare potrà, sempre mediante descrizione delle “idonee e preventive disposizioni scritte volte ad individuare le modalità di accesso”, disporre un sistema alternativo in base al quale: 1) l’accesso ai dati o agli strumenti elettronici avvenga solo e soltanto in presenza delle condizioni sopra delineate; 2) venga data notizia all’incaricato che è stato effettuato un accesso in sua sostituzione; 3) sia evitata la possibilità di accesso da parte di terzi alle credenziali per l’autenticazione di un incaricato.

Da questo punto di vista ritengo che il cd. “azzeramento” della credenziale per l’autenticazione di un incaricato assente, operata dal titolare al fine di consentire al titolare l’accesso a dati personali o strumenti elettronici, sia da considerare legittima nella misura in cui venga successivamente data notizia all’incaricato dell’avvenuto accesso e venga inoltre prevista, post accesso del titolare, la configurazione di una nuova componente riservata della credenziale dell’incaricato. Tale procedura potrebbe apparire, per certi versi, ancora più sicura rispetto a quella delineata nella regola n. 10, dal momento che eviterebbe di predisporre copie delle credenziali e quindi eviterebbe la necessità di protezione delle copie medesime, sempre mantenendo consapevole l’incaricato dell’avvenuto accesso e sempre limitando il diritto di accesso del titolare a ben determinate circostanze.

 

11Abr/04

Brevi considerazioni in merito al provvedimento del Garante per la protezione dei dati personali

Brevi considerazioni in merito al provvedimento del Garante per la protezione dei dati personali relativo ai casi da sottrarre all’obbligo di notificazione

Il Garante per la protezione dei dati personali è intervenuto con propria deliberazione n. 1 del 31 marzo 2004 [http://www.garanteprivacy.it/garante/doc.jsp?ID=852561] al fine di sottrarre all’obbligo di notificazione alcuni specifici trattamenti di dati personali.

Come noto, nel nuovo Codice per la protezione dei dati personali (nel seguito: il “Codice”) il sistema della notificazione è radicalmente cambiato rispetto al regime introdotto dalla legge 31 dicembre 1996, n. 675. Mentre in precedenza la notificazione era obbligatoria per tutti i titolari di trattamento, salvo alcune ridotte eccezioni di esonero (art. 7, comma 5-ter), essa risulta ora obbligatoria sono in specifiche ipotesi di trattamento di dati personali.

In particolare, l’art. 37, comma 1, del Codice individua alcuni trattamenti a fronte dei quali sorge l’obbligo di notificazione secondo le nuove modalità telematiche messe a punto dall’Ufficio del Garante. Il comma 2 dello stesso articolo, tuttavia, attribuisce al Garante (i) il potere di individuare ulteriori trattamenti da assoggettare all’obbligo di notificazione, in ragione del rischio di pregiudizio che potrebbero arrecare agli interessanti; così come, (ii) il potere di sottrarre dall’obbligo di notificazione trattamenti indicati nel comma 1 qualora ritenuti “non suscettibili di recare pregiudizio” agli interessati.

Con il provvedimento in commento il Garante ha, quindi, deciso di avvalersi del potere concessogli dal legislatore, per il momento unicamente nel senso di ridurre le fattispecie in cui la notificazione è obbligatoria. In via incidentale sembra interessante notare, da un punto di vista costituzionale, come l’art. 37, comma 2, contenga una specie di delega “in bianco” ad un organo non costituzionale, un’autorità indipendente, al fine di intervenire nell’ordinamento positivo, ampliando e riducendo di fatto, nemmeno temporaneamente, la portata di disposizioni normative di rango primario. Su quest’aspetto sarebbe interessante condurre un approfondimento: tuttavia, ragioni di brevità e la pressione degli adempimenti in scadenza impongono di rinviare al futuro ulteriori considerazioni.

Nonostante il provvedimento del Garante, che salutiamo naturalmente con favore, alcuni dubbi interpretativi rimangono in merito a talune fattispecie di trattamento per le quali molti titolari si domandano, in vista della prossima scadenza del 30 aprile, se la notificazione sia dovuta o meno.

Avvantaggiandomi dell’esperienza degli interventi che mi è capitato di effettuare in questi mesi, esaminerò nel seguito i principali casi per i quali qualche dubbio rimane.

A fine dello sviluppo delle argomentazioni, particolare attenzione verrà rivolta anche al contenuto delle tabelle (nel seguito: le “Tabelle”) che il Garante ha predisposto al fine della compilazione della notificazione [cfr. https://web.garanteprivacy.it/rgt/Tabelle_della_procedura_di_notificazione.pdf]. È opinione di chi scrive che esse contengano indicazioni di cui non si possa non tenere conto al fine di determinare il contenuto dei precetti stabiliti dall’art. 37, comma 1, del Codice.

Trattamento di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica

Tra i trattamenti individuati nella lettera a), preso atto delle esclusioni operate, uno in particolare desta notevoli dubbi interpretativi e riguarda, potenzialmente, un numero molto elevato di soggetti.

Sin dalla pubblicazione del Codice ci si è domandato se, nel trattamento in questione, rientrassero i cd. “sistemi di controllo accessi e/o rilevazione presenze” dei dipendenti, molto spesso basati sull’utilizzo di tessere magnetiche (badge) e se, pertanto, l’impiego di tali sistemi determinasse l’obbligo di notificazione quanto ai trattamenti indotti.

L’interesse appare giustificato tenuto conto della vastità dei soggetti che coinvolge in rapporto all’obiettivo dichiarato di drastica riduzione dei soggetti onerati dall’obbligo di notificazione.
Analizzando il contenuto delle Tabelle, in particolare tenuto conto che

  • quanto alle “categorie di dati”, esse individuano i “dati idonei a rilevare la posizione di persone”;
  • quanto alle “categorie di interessati cui si riferiscono i dati”, esse individuano “lavoratori e collaboratori”;
  • quanto alle “finalità”, esse individuano la “gestione del personale”;
  • quanto alle “modalità”, esse individuano la “rilevazione sistematica di dati senza particolari elaborazioni” così come la “cancellazione di dati immediata o nel breve periodo (massimo alcuni giorni)”;

prudenza imporrebbe di considerare come rientrante nella fattispecie in oggetto, e quindi soggetto a notificazione, un trattamento di dati correlato all’utilizzo di un “sistema di controllo accessi e/o rilevazione presenze” dei dipendenti, a condizione tuttavia che il sistema tratti i dati mediante una rete di comunicazioni elettronica.

Proprio in relazione a tale espressione sorge il dubbio maggiore. Se, cioè, vada considerata come rilevante anche una semplice rete interna, che metta in collegamento i vari dispositivi posti in corrispondenza delle entrate (o anche di una sola entrata) con il sistema che elabora/memorizza i dati delle presenze e degli accessi. Ovvero, se a fini dell’obbligo della notificazione sia richiesto un quid in più.

A mio giudizio dovrebbe risultare necessario un qualcosa in più. Vale a dire un vero e proprio “sistema di interconnessione” tra i sistemi di rilevazione del passaggio o della presenza dell’interessato (lavoratore e collaboratore) ed il sistema di elaborazione/memorizzazione dei dati, i quali dovrebbero inoltre insistere su luoghi fisicamente diversi tra loro. Ulteriore aspetto rilevante, mi sembra, dovrebbe essere la presenza di più sedi di lavoro ubicate su più siti, geograficamente distinti tra loro.

Ancorché indicativo della posizione fisica di una persona, la rilevazione presenza di un lavoratore presso un titolare che operi attraverso un sito unitario geograficamente non mi sembrerebbe rilevante ai fini della tutela delle libertà individuali dell’interessato. E’ evidente che un lavoratore deve recarsi (giornalmente) presso il luogo di lavoro, ed anzi solo in determinate e giustificate ipotesi è consentito che non si trovi in quel luogo.

Ben diverso appare, a giudizio di chi scrive, il caso di imprese ubicate su più siti operativi, distinti geograficamente. In questo caso mi sembra che la notificazione sia dovuta, sempre che venga impiegato un sistema di “rilevazione accessi” o “controllo presenze” collegato ad un sistema centrale attraverso una rete di comunicazione elettronica. Un dubbio potrebbe forse venire per il caso in cui tutti i siti operativi di un titolare siano ubicati nello stesso comune. In tal caso, tuttavia, ragioni di prudenza, consiglierebbero di procedere comunque alla notifica.

Trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria

L’intervento del Garante ha sottratto all’obbligo di notificazione alcuni trattamenti eseguiti da esercenti le professioni sanitarie. Tuttavia, anche il provvedimento del Garante “insiste” nell’uso di espressioni confuse, con predicati verbali e complementi di argomento impliciti.

Senza peccare d’esterofilia, dove l’uso della “tabulazione” nei documenti a carattere legale è “imposto” a fini di chiarezza, nell’ipotesi in commento una maggiore chiarezza sarebbe auspicabile.

Se dal un lato appare indubbio che l’ipotesi in commento riguardi il “trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita”, i problemi intepretativi nascono a mano a mano che ci si addentra nell’espressione utilizzata.

Ci si domanda, infatti, se “trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di” non debba essere considerata espressione comune, che regge tutte le altre che seguono.

In tal caso, sembrerebbe forse sensato individuare l’espressione “trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni”, ipotesi più circoscritta rispetto alla mera “prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni”, in entrambi i casi comunque oscura e di difficile decifrazione, anche se il riferimento ai dati idonei a rivelare la “vita sessuale” appare strampalato.

Stesse considerazioni valgono per le espressioni che seguono. Vale a dire se debbano essere considerate isolatamente le espressioni “indagini epidemiologiche”, “rilevazione di malattie mentali, infettive e diffusive, sieropositività”, “trapianto di organi e tessuti” e “monitoraggio della spesa sanitaria”, ovvero se anch’esse debbano essere raccordate alla radice comune.
Dato che non viene usata una formula disgiuntiva, bensì cumulativa, “dati idonei a rivelare lo stato di salute e la vita sessuale”, verrebbe da pensare che:

  • avrebbe, forse, qualche senso compiuto il risultato combinato “trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di indagini epidemiologiche”;
  • poco senso avrebbe l’espressione “trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di rilevazione di malattie mentali, infettive e diffusive, sieropositività” ;
  • ancor meno senso avrebbe l’espressione “trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di trapianto di organi e tessuti”, per non parlare del “trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di monitoraggio della spesa sanitaria”

Tutto sommato risulta preferibile concludere, anche se con dubbi circa la possibile arbitrarietà di una simile operazione, che si tratti di ipotesi distinte tra loro, non accomunate dall’ipotizzata radice comune e che la notificazione risulta dovuta qualora il trattamento riguardi:

  • dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita;
  • prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni;
  • indagini epidemiologiche;
  • rilevazione di malattie mentali, infettive e diffusive, sieropositività;
  • trapianto di organi e tessuti; e,
  • monitoraggio della spesa sanitaria.

Tutto questo anche se nel provvedimento del Garante tale radice comune viene in qualche modo indirettamente suggerita sub lettera A, punto 2).

Da notare che l’espressione utilizzata nella lettera b) appare particolarmente infelice, laddove si consideri che in talune ipotesi vengono in rilievo dati sensibili, sanitari o relativi alla vita sessuale in relazione a determinate finalità o anche modalità di trattamento, mentre in altre ipotesi, non vengono in rilievo particolari finalità e/o modalità, dal che si intuisce che la “pericolosità” del trattamento è insita nella natura dei dati.

Trattamento effettuato con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con l’esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti

Il provvedimento del Garante ha sottotratto all’obbligo di notificazione due trattamenti molto diffusi, che avrebbero interessato moltissimi soggetti: (i) definizione di profili professionali per finalità di occupazione e (ii) definizione di profili di investitori da parte di intermediari finanziari in esecuzione di specifici regolamenti (Consob). Ciò non di meno, potrebbe risultare ancora ampio il novero delle ipotesi che rientrano nella lettera d), tanto che un numero rilevante d’imprese si domanda se dovrà procedere o meno alla notificazione, giusto l’obiettivo (dichiarato dal legislatore) di ridurre al minimo tale onere.

Osservato preliminarmente che il Codice non fornisce una definizione di “profilo dell’interessato” né di “analisi delle abitudini o scelte di consumo”, e che quindi risulta più difficoltoso interpretare la disposizione, anche in questo caso conviene valutare il contenuto delle Tabelle per ottenere qualche elemento di chiarimento.

Ebbene, considerato che:

  • quanto alle “categorie di dati”, esse individuano un insieme ampio, tra cui “dati relativi allo svolgimento di attività economiche e informazioni commerciali (es. fatturato, bilanci, aspetti economici, finanziari, organizzativi, produttivi, industriali, commerciali, imprenditoriali)”;
  • quanto alle “categorie di interessati cui si riferiscono i dati”, esse individuano un novero molto ampio di soggetti interessati che comprende, tra l’altro, “persone giuridiche, fisiche”, “consumatori”, “clienti o utenti;
  • quanto alle “finalità”, esse individuano con ipotesi molto ampia “attività commerciale”, “creazione di profili professionali relativi a clienti o consumatori”, “analisi delle abitudini o scelte di consumo”, “fornitura di beni e servizi”;
  • quanto alle “modalità”, esse individuano la “definizione di profili dell’interessato” solo come aggiuntiva ed ulteriore rispetto a “raccolta” e soprattutto “organizzazione in banche dati in forma prevalentemente automatizzata” o addirittura “organizzazione in banche dati in forma prevalentemente non automatizzata”.

A prima vista sembrerebbe che anche la mera attività di raccolta ed organizzazione di informazioni commerciali relative a propri clienti e fornitori rientrerebbe nella fattispecie in oggetto, e quindi sarebbe soggetta a notificazione, a patto che sia effettuata mediante “l’ausilio di strumenti elettronici”. Tale conclusione appare tuttavia eccessiva.

Potrebbe forse sorgere il dubbio che l’espressione della lettera d), dell’art. 37 del Codice, “dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo” implichi la presenza di un quid in più del mero trattamento elettronico, della mera memorizzazione delle informazioni commerciali in archivi elettronici (files), anche tra loro non coordinati (di fatto slegati tra loro), e che sia, invece, richiesta una vera e propria “applicazione” informatica che fornisca come output il “profilo dell’interessato” o l’analisi delle “abitudini e scelte di consumo”. Tale quid aggiuntivo richiesto potrebbe essere ravvisato qualora si ritenesse che l’espressione ” volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo” sia riferita non ai “dati”, bensì agli “strumenti elettronici”.

Accedendo a tale interpretazione, è evidente, si eviterebbe la notificazione per un numero molto ampio di soggetti (imprese) i quali trattano sì dati di soggetti (clienti, fornitori), tuttavia semplicemente raccogliendo e memorizzando informazioni, senza l’ausilio di un vero e proprio sistema automatizzato in grado di produrre profili degli interessati.

Ed in effetti, tale interpretazione potrebbe trovare conferma se si considerano attentamente le espressioni utilizzate nel provvedimento del Garante ai fini d’individuazione dei trattamenti sottratti all’obbligo di notificazione. Il Garante, infatti, alle lettere a) e b) del punto 4) stabilisce l’esonero dalla notificazione per i “trattamenti di dati personali che non siano fondati unicamente su un trattamento automatizzato volto a definire profili professionali, effettuati per esclusive finalità di occupazione o di gestione del rapporto di lavoro …” ovvero per i “trattamenti di dati personali che non siano fondati unicamente su un trattamento automatizzato volto a definire il profilo di un investitore …”.

Da un lato, sembrerebbe subito da escludere che il Garante abbia inteso riferirsi, al fine dell’esonero, anche alla contemporanea presenza di trattamenti “senza l’ausilio di strumenti elettronici”, dato che la lettera d), dell’art 37 del Codice, è riferita esclusivamente a trattamenti effettuati con l’ausilio di strumenti elettronici, e quindi non avrebbe molto senso una simile ipotesi.

D’altro lato, è indubbio che il Garante ha utilizzato l’espressione “trattamenti automatizzati” mentre la lettera d), dell’art. 37 del Codice, utilizza l’espressione “dati trattati con l’ausilio di strumenti elettronici”. Dato che vi è una differenza, e considerato che l’esonero non sarebbe applicabile nel caso in cui il trattamento riguardasse o “categorie di interessati” o “finalità” differenti, o eccedenti, rispetto a quelle elencate, a questo punto sembrerebbe corretto interpretare l’espressione “che non siano fondati unicamente su un trattamento automatizzato” nel senso di prevedere l’obbligo di notificazione per i soli casi in cui sia operante un vero e proprio sistema automatizzato che produce profili di individui. Diversamente, sarebbe difficile trovare un senso compiuto all’espressione utilizzata a fini d’esonero.

Ed in effetti, ad ulteriore conferma, occorre notare come anche l’art. 14 del Codice, che disciplina la “definizione di profili e della personalità dell’interessato” parla di “trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato”.

Ora, se è vero che l’esonero è previsto solo per specifiche “categorie di interessati” e “finalità di trattamento” (quelle indicate alle lettere a) e b) del punto 4) del provvedimento del Garante), nonostante la presenza di un “trattamento automatizzato”, allora si può concludere, per logica conseguenza, che (i) per il caso di trattamenti che dovessero riguardare, o comprendere anche, altre “categorie di interessati” e/o “finalità di trattamento” (ovviamente) l’esonero non vale; ma anche, argomentando a contrariis, che (ii) in assenza di un vero e proprio “trattamento automatizzato” (vale a dire di un quid elaborativo in più rispetto al mero trattamento con l’ausilio di strumenti elettronici), l’obbligo di notificazione non è dovuto, dato che, in via interpretativa, non si rientrerebbe nella fattispecie prevista dalla lettera d) dell’art. 37 del Codice.

Se queste considerazioni sono valide, ne consegue che in tutti i casi in cui vengono raccolti e trattati dati commerciali, ad esempio di clienti e fornitori, e ciò mediante l’ausilio di strumenti elettronici, senza tuttavia la presenza di un vero e proprio trattamento automatizzato per mezzo di apposito sistema di generazione profili, allora non sarà dovuta la notificazione ai sensi della lettera d).

Naturalmente, l’obbligo di notificazione sarà dovuto, viceversa, per il caso in cui il titolare si avvalga di un sistema automatizzato (quid pluris) per la generazione dei profili (non essendo operante, al di fuori delle ipotesi descritte l’esonero concesso dal Garante).

Trattamento di dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti

Fortunatamente il provvedimento del Garante ha sottratto all’obbligo della notificazione ben sei fattispecie di trattamento di dati personali rientranti nelle ipotesi in commento e, tra queste, anche quella che maggiormente preoccupava le imprese e gli imprenditori. In effetti, analizzando il contenuto delle Tabelle sembrava ineluttabile concludere per l’obbligo di notificazione per qualunque soggetto che avesse anche solo strumenti minimi di controllo delle fatture emesse e dei crediti di fornitura non ancora estinti.

La formulazione adottata da Garante appare ampia e rassicurante, anche se il testo letterale appare non del tutto logico. Dispone, infatti, che non rilevano, e quindi non sono soggetti a notificazione, “i trattamenti di dati personali registrati in banche di dati utilizzate in rapporti con l’interessato di fornitura di beni, prestazioni o servizi, o per adempimenti contabili o fiscali, anche in caso di inadempimenti contrattuali, azioni di recupero del credito e contenzioso con l’interessato”.

La definizione non specifica la natura del rapporto, tuttavia concordo che appare superfluo dato che non potrebbe altro trattarsi che di rapporti di natura contrattuale o derivanti da atto unilaterale. Piuttosto, rilevo che viene effettuata una distinzione tra rapporti di fornitura e adempimenti contabili o fiscali. Ciò legittima l’interpretazione che il beneficio si estenda anche a chi effettua trattamenti per fini contabili o fiscali senza avere rapporto con l’interessano. Anche ciò appare logico e sensato.
Qualche dubbio desta la parte finale “anche in caso di inadempimenti contrattuali, azioni di recupero del credito e contenzioso con l’interessato”.

Dato che è stata individuata l’ipotesi principale del rapporto con l’interessato per la fornitura di beni, prestazioni o servizi (tripartizione singolare, giacché di solito cisi riferisce a “fornitura di beni” o “prestazione di servizi” ed è difficile immaginare la “fornitura di prestazioni”), ipotesi che include ogni possibile ulteriore attività conseguente o derivata, non si comprende il senso della specificazione estensiva. L’uso della parola “anche” esclude categoricamente che le ipotesi in questione possano essere considerate autonomamente. Anche perché, in tale ipotesi, sarebbe, ad esempio, esonerata l’attività (eventuale e susseguente) di vero e proprio recupero del credito, o contenziosa, mentre “scatterebbe” paradossalmente l’obbligo di notifica alla preventiva e naturale attività di mero controllo delle poste in scadenza, secondo la normale prassi commerciale. Preferisco concludere che si tratta d’espressione pleonastica ed irrilevante, ed osservo che sarebbe preferibile, in testi che modificano la portata di norme primarie, maggiore chiarezza.

01Sep/02

Requerimientos de copias de seguridad de ficheros que contengan datos personales

Requerimientos de copias de seguridad de ficheros que contengan datos personales

Se trata de un requerimiento para los ficheros que contengan datos de nivel alto exclusivamente. Viene contenido en los artículo 23 y 26 del Reglamento:

“CAPÍTULO IV
Medidas de seguridad de nivel alto

Artículo 23. Distribución de soportes.

La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que dicha información no sea inteligible ni manipulada durante su transporte.

Artículo 26. Telecomunicaciones.

La transmisión de datos de carácter personal a través de redes de telecomunicaciones se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros. ”

En la práctica, lo que significa es que los ficheros informáticos que contengan datos de nivel alto han de estar permanentemente cifrados, y al transmitirse por las redes de telecomunicaciones (por ejemplo, mandando un correo electrónico a través de la red Internet), igualmente, habrán de cifrarse de manera que no se pueda acceder al contenido de éstos. El reglamento habla de cifrado o “cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros”.

No encontramos una definición de cifrado ni en la Ley ni en el Reglamento. Está claro que es un mecanismo que va unido a la disponibilidad del dato a cifrar: se quiere que solo esté disponible para aquel que conozca la forma de descifrarlo. Se trata de un término muy unido a la Criptografía: técnica de transformar un mensaje inteligible, denominado texto en claro, en otro que sólo puedan entender las personas autorizadas a ello, que llamaremos criptograma o texto cifrado.

Por lo tanto, vemos que el Reglamento impone el uso del cifrado en ficheros de datos de nivel alto. Sin embargo, es grato encontrarse con programas que usan complicados sistemas de encriptación y que hacen prácticamente inaccesible a un determinado documento o fichero con un par de clicks. Es importante que desaparezca la idea de “dificultad” del uso del cifrado: con el uso de los programas que desde este site recomendamos, cifrar, firmar, descifrar…es prácticamente un juego de niños. Es necesario que los ficheros que contengan datos sensibles (nivel alto) estén cifrados con alguno de los programas de cifrado existentes en la actualidad, y que cuando éstos se transmitan por las redes de telecomunicaciones (internet, redes lan o wan) vayan igualmente cifrados.

Las soluciones software existentes en la actualidad cumplen sobradamente el objeto de garantizar la confidencialidad de los archivos de datos personales de estas características. A continuación, recomendamos los programas más usuales que garantizan esta confidencialidad, a la vez que señalamos los sites oficiales de Internet desde donde pueden ser descargados.

Programas de Cifrado

Gnupg

Reune prácticamente todo lo que se le puede pedir un software: es efectivo, claro, sencillo, conciso, no requiere de mucho procesador…y para colmo es libre y la licencia que lo acompaña es gratuita, incluso para usos comerciales, lo que hace que lo recomendemos encarecidamente. Sus tres primeras letras (gnu) ya nos referencian que se trata de un software bajo este tipo de licencia, muy común en los sistemas operativos linux. Sin embargo, podemos encontrar versiones para windows desde su página web, en http://gnupg.org. Actualmente, es el programa de cifrado de mas éxito y se está imponiendo de forma apabullante. Además, está siendo avalado de una manera muy fuerte por toda la comunidad del software libre.

Pgp freeware

Se ha anunciado que no habrá nuevas versiones de este soft, pero eso no quita para que en la actualidad sea poco menos que un estándar. Con pgp, siglas que corresponden a “pretty good privacy”, se pueden firmar y cifrar emails y ficheros de datos, lo que lo hace ideal para los requerimientos del Reglamento. PGP está bien caracterizado y es rápido, con un sofisticado manejo de llaves, firmas digitales, compresión de datos, y un buen diseño ergonómico. La página web oficial del programa es http://www.pgp.com. Se trata de un software para todo tipo de plataformas y es completamente gratuito. Recomendamos la guía sobre el pgp que la Asociación de internautas ha preparado en su página web:
http://seguridad.internautas.org/pgp.php

 

 

14Feb/01

Iniciativa de Ley Federal de Protección de Datos Personales

Iniciativa de Ley Federal de Protección de Datos Personales, presentada por el Senador Antonio García Torres, del Grupo Parlamentario del PRI, en la sesión de la Comisión Permanente del Miércoles 14 de Febrero de 2001

Antonio García Torres, senador de la República por el Estado Libre y Soberano de Michoacán de Ocampo, en ejercicio de la facultad que me concede el artículo 71, fracción II, de la Constitución Política de los Estados Unidos Mexicanos, someto a la consideración y, en su caso, aprobación de esa Asamblea, iniciativa de Ley Federal de Protección de Datos Personales, apoyándome para ello en la siguiente:

Exposición de motivos

La historia muestra la importancia que ha tenido la información en el desarrollo de la sociedad humana.

Sin embargo, la información, su tratamiento, nunca antes tuvo la potencialidad de daño que tiene actualmente por la misma fuerza de las nuevas tecnologías. Ahora, gracias a las computadoras que se conectan en una red local, o mundial, por ejemplo, se pueden conocer y manipular datos de las personas, físicas o jurídicas.

Esto ha hecho evidente la necesidad de contener los efectos nocivos de estas nuevas tecnologías sobre los derechos fundamentales de las personas.

Con este objetivo, han surgido nuevas garantías procesales en las que se puede reconocer al habeas data1 y otros recursos.

En el exterior existen antecedentes diversos de esta nueva garantía procesal y de los recursos que se han establecido para la defensa de la intimidad y el honor de la persona en el tratamiento de sus datos.

Antecedentes externos

En el orden internacional destacan como antecedentes de la protección de la intimidad y el honor de la persona en el tratamiento de sus datos:

La Declaración Universal de los Derechos Humanos

* En su artículo 8 dice que “Toda persona tiene derecho a un recurso efectivo, ante los tribunales nacionales, que la ampare contra actos que violen sus derechos fundamentales reconocidos por la Constitución o la ley”.* El artículo 12 prescribe: “Nadie será objeto de injerencias arbitrarias en su vida privada, su familia, su domicilio o su correspondencia ni de ataques a su honra o su reputación. Toda persona tiene derecho a la protección de la ley contra tales injerencias o ataques”.

La Declaración Americana de los Derechos y Deberes del Hombre

* El artículo 5 declara que “Toda persona tiene derecho a la protección de la ley contra los ataques abusivos a su honra, a su reputación y a su vida privada y familiar”.* El artículo 18 proclama que “Toda persona puede recurrir a los tribunales para hacer valer sus derechos. Asimismo debe disponer de un procedimiento sencillo y breve por el cual la justicia la ampare contra actos de la autoridad que violen, en perjuicio suyo, alguno de los derechos fundamentales consagrados constitucionalmente”.

Incluso, cabe destacar el Proyecto de Convención Americana sobre Autodeterminación informativa de 1997, compuesto de 21 artículos en los que se propone una regulación para la protección y movimiento internacional de datos, y el cual aborda temas importantes como el derecho a la información en la recolección de los datos, el consentimiento del afectado, la calidad, categorías, seguridad y cesión de los datos, los derechos y las garantías de las personas, el habeas data, las sanciones, los recursos, la agencia de protección de datos y el registro de datos.

En Europa

En Alemania

El 7 de abril de 1970, el Parlamento del estado alemán de Hesse, promulga su normativa de protección de datos Datenshutz convirtiéndose en el primer territorio con una norma dirigida a la protección de datos.

Después, el 27 de febrero de 1977, el Parlamento Federal de Alemania aprueba la Datenshutz Federal. En estos casos, se crea un Comisario Federal para la Protección de Datos (Bundesbeauftragter fur den Datenshutz).

En Francia

En 1978 se establece la Comisión Nacional de la Informática y de las Libertades, un organismo colegiado que tiene por objeto establecer un registro de bancos de datos de consulta ciudadana.

En España

Desde 1978, la Constitución, en su artículo 18, apartado 4, dice: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos … ”

Relacionada con esta disposición constitucional, en España se ha publicado la Ley Orgánica 5/1992, de 29 de octubre, de regulación de tratamiento automatizado de los datos de carácter personal que tiene como objeto básico la protección de la intimidad y el honor de las personas.

En los Estados Unidos de América

El 31 de diciembre de 1974, el Congreso expide el “Privacy Act (literalmente acto de retiro)”, con el objeto de proteger a los individuos en sus libertades y derechos fundamentales frente a la recolección y tratamiento automatizado de datos personales por parte de las agencias federales.

En América Latina

En Brasil

En 1988 la Constitución Brasileña, en su artículo 5, numeral LXXII, se refiere al “conocimiento de informaciones relativas a la persona de la impetrante…” y a la rectificación de datos.

Aproximadamente 10 años más tarde, en Brasil se expide la Ley número 9.507, de 12 de noviembre de 1997 que reglamenta la disposición constitucional, con base en 23 artículos.

En Colombia

A partir de 1991, el artículo 15 de la Constitución de este país reconoce al habeas data como un derecho fundamental aún no reglamentado.

En Paraguay

Es a partir de 1992, teniendo como antecedente los registros obrantes en poder de la Policía Nacional, que la Constitución, en su artículo 135 reconoce el derecho de las personas para acceder a la información que le corresponda en archivos públicos y privados, para conocer la finalidad de esos registros y para actualizar, rectificar o destruir los mismos datos.

En Perú

Desde 1993, el artículo 200, inciso 3, de la Constitución establece de manera expresa el habeas data con los objetivos de que el interesado pueda acceder a la información pública, con ciertas limitantes, y evitar la difamación de la persona por la difusión o suministro a terceros de informaciones que afecten la intimidad personal y familiar.

En Ecuador

El artículo 30 de la Constitución vigente establece el habeas data con los objetos de acceder a los registros, bancos o bases de datos, conocer su uso y finalidad, así como para solicitar la rectificación, actualización, eliminación o anulación de los datos, en caso de que éstos sean erróneos o afecten ilegítimamente los derechos de las personas.

La ley de Control Constitucional de 1997 ya ha reglamentado la acción de habeas data.

En Argentina

La nueva Constitución de 1994, en su artículo 43, en su párrafo tercero, establece el habeas data como un amparo especial.

Sin embargo, pese a la gran demanda porque se regulara en ley secundaria el habeas data, es hasta el año 2000 que se expide la Ley 25326 de Protección de los Datos Personales, publicada en el Boletín Oficial correspondiente al 2 de noviembre del año mencionado.

En Argentina, el habeas data ha tenido gran recepción, y muestra de ello es que las provincias de Buenos Aires (artículo 20, inciso c de la Constitución local), Córdoba (artículo 50 de su Constitución), Chubut (artículo 56 de su Ley primaria) y Jujuy (artículo 23, inciso 6, de su Constitución), entre otras, prevén el habeas data.

En México, no obstante la gran tradición y entramado constitucional que se posee, no se ha otorgado a los gobernados la garantía procesal del habeas data. México no puede quedarse atrás de los países europeos y latinoamericanos, máxime si se toma en cuenta que los países que ya regulan el habeas data limitan el movimiento internacional de datos con aquellos países que no brinden condiciones equivalentes de seguridad a las propias, de donde se sigue que México, en alguna medida, se encontraría marginado de este movimiento internacional de datos en diferentes materias en las que pueden incluirse la comercial y económica.

La autonomía, la inviolabilidad y la dignidad de la persona

En un estado democrático que se consolida cada día más como el mexicano, se reconocen a las personas prerrogativas de libertad, de igualdad, de equidad, de seguridad, como el derecho de tránsito, de elegir el trabajo que más le acomode, de asociación con todo fin lícito, de un salario digno y remunerador, el derecho a la tierra, el derecho a un proceso justo, entre otras.

Estas prerrogativas descansan en los principios de autonomía, inviolabilidad y dignidad de la persona que se traducen en una esfera de derecho, en la legitimación para buscar la felicidad en el modo particular que se entienda, privilegiando el interés general, pero sin demérito de la persona en lo particular, quien además puede, en cierta medida y en ciertos casos limitar sus derechos.

Sobre estos principios, es natural, descansa el derecho a la integridad física y moral de la persona, el derecho a que se proteja su intimidad, personal y familiar, y su honor.

Paralelos a estos derechos se ubica la garantía procesal del habeas data que tiene el objeto de su tutela efectiva.

Objeto jurídico

Se propone que la garantía procesal tenga por objeto:

1. Que el interesado pueda acceder a los datos personales que le conciernen.

2. Que toda persona pueda acceder a los registros, archivos y bancos de datos públicos o privados de carácter público, y conocer su uso o fin para el que están destinados.

3. Que el interesado pueda pedir la inclusión, actualización, complementación, rectificación, reserva, suspensión y cancelación de los datos relativos a su persona.

Bienes protegidos

Los bienes protegidos se identifican con el honor, la intimidad y cualquiera otra garantía del gobernado.

Legitimación activa

Del interesado, esto es, de la persona a la que corresponden o conciernen los datos registrados o archivados, para acceder a ellos, para incluir datos, para actualizarlos, complementarlos, rectificarlos, reservarlos, suspenderlos o cancelarlos.

De toda persona para acceder a los registros, archivos o bancos de datos públicos o privados de carácter público, así como para conocer el uso o fin para el que están destinados.

Legitimación pasiva

Son sujetos pasivos del proceso los archivos, registros, bancos o bases de datos públicos o privados en sus diferentes hipótesis.

En esta tesitura se propone que al artículo 16 de la Constitución Política de los Estados Unidos Mexicanos se adicionen la garantía procesal indicada, en documento por separado y que de ninguna manera condiciona la procedencia de esta proposición, pues ésta sólo tiene por objeto ampliar el marco de garantías existente, no su limitación, además de que esta iniciativa no se contrapone a lo dispuesto en la proposición de reforma constitucional indicada.

En esta iniciativa se comprenden V capítulos, el primero relativo a las disposiciones generales, el segundo a los derechos de los interesados o titulares de los datos, así como a los responsables de los registros, el tercero al Instituto Federal de Protección de Datos Personales, el cuarto a las sanciones, y el quinto a la acción protectora de datos.

En el Capítulo I, se mencionan los objetos de la ley, las expresiones equivalentes, el ámbito de validez, y los principios sobre los cuales descansa la ley, sobresaliendo la circunstancia de que en ningún caso se pueden afectar los archivos, registros, bases o bancos de datos ni las fuentes de información periodísticas.

En el Capítulo II, se regulan los derechos de los interesados, estableciendo un catálogo de obligaciones correspondientes a los organismos públicos y privados titulares de los datos.

De este apartado conviene resaltar los derechos de los interesados para solicitar al Instituto Federal de Protección de Datos Personales la existencia de registros personales, las finalidades y la identidad de los responsables, así como el derecho de pedir a los responsables de archivos, registros, bases o bancos de datos informes, y de pedir de igual manera la inclusión, actualización, complementación, rectificación, reserva, suspensión y cancelación de los registros de datos que les correspondan, siempre que no se lesionen derechos de terceros o se atente contra intereses de carácter general o social.

Asimismo, en este Capítulo II, se habla de las responsabilidades de los titulares de los Registros de las diversas categorías (públicos y privados) de bases o bancos de datos, quienes deben adoptar todas las medidas necesarias para la seguridad y conservación idónea de los datos, imponiéndoseles, incluso, el deber de secreto que se extiende a todos aquellos que hayan intervenido en el tratamiento automatizado de los datos.

En el Capítulo III, se establecen las líneas generales para la creación y operación del organismo que tendrá por objeto el control de los responsables de los registros, bases o bancos de datos, así como sus atribuciones, en las que destaca la facultad de sancionar a los responsables de los archivos o registros por la comisión de violaciones leves y graves a esta ley.

En el Capítulo IV, se propone la regulación específica de las sanciones, que van desde el apercibimiento hasta la cancelación de los registros, archivos, bases o bancos de datos.

En el Capítulo V, se propone la regulación de un procedimiento especial del que conozcan los juzgados de distrito competentes con relación a causas federales, pues ello persigue que se resuelvan las controversias de manera pronta y sin obstáculos en tiempos más breves que los que corresponden, incluso a los juicios de amparo, pues una administración de justicia que no se otorgue en esos términos, prácticamente inutilizaría el recurso.

El objeto, los bienes protegidos, la legitimación pasiva y la legitimación activa, han quedado ya establecidas con anterioridad.

Cabe señalar que este procedimiento se establece con entera independencia de los procedimientos que correspondan en tratándose de responsabilidad civil, administrativa o penal.

Finalmente, en las disposiciones transitorias se prevé que los archivos, bases o bancos de datos existentes se puedan registrarse, conforme lo determine el reglamento, en un lapso posterior al establecimiento del Instituto Federal de Protección de Datos.

En estos términos, y de conformidad con lo dispuesto en los artículos 55, fracción II, y 56 del Reglamento para el Gobierno Interior del Congreso General de los Estados Unidos Mexicanos, presento a la consideración de esa Asamblea, la siguiente iniciativa de

Ley Federal de Protección de Datos Personales

Capítulo I
Disposiciones generales

Artículo 1.

1. Esta ley tiene por objeto asegurar que el trato de datos personales se realice con respeto a las garantías de las personas físicas.2. Las disposiciones de esta ley también son aplicables, en lo conducente, a los datos de las personas jurídicas.

3. En ningún caso se podrán afectar los registros y fuentes periodísticas.

Artículo 2.

1. Esta ley es aplicable a los datos de carácter personal que figuren en archivos, registros, bancos o bases de datos de personas físicas o jurídicas, públicas o privadas, y a todo uso posterior, incluso no automatizado, de datos de carácter personal registrados en soporte físico susceptible de tratamiento automatizado.2. Esta ley no es aplicable a los archivos, registros, bases o bancos de datos:

I. De titularidad pública cuyo objeto por ley sea almacenar datos para su publicidad con carácter general;

II. Cuyo titular sea una persona física y tengan un fin exclusivamente personal;

III. De información científica, tecnológica o comercial que reproduzcan datos ya publicados en medios de comunicación oficial;

IV. De resoluciones judiciales publicadas en medios de comunicación oficial; y,

V. Administrados por los partidos políticos, sindicatos, iglesias y asociaciones religiosas, sola y exclusivamente en lo tocante a los datos que se refieren a sus asociados, miembros o ex miembros y que se relacionen con su objeto, sin perjuicio de que la cesión de datos quede sometida a lo dispuesto en esta ley.

3. Se regulan por sus disposiciones específicas los archivos, registros, bases o bancos de datos:

I. Electorales, conforme a los ordenamientos aplicables;

II. Referentes al registro civil, a la prevención, persecución y sanción de los delitos, así como a la ejecución de las sanciones penales;

III. Con fines exclusivamente estadísticos, regulados por la Ley del Instituto Nacional de Geografía, Estadística e Informática; y,

IV. Personales concernientes a integrantes de las fuerzas armadas y los cuerpos de seguridad pública o a datos relativos a esos cuerpos.

4. los archivos, registros, bancos o bases de datos relativos a la prevención, persecución, sanción de los delitos, ejecución de sanciones penales, o a los datos correspondientes a los cuerpos de las fuerzas armadas y de seguridad pública o a sus integrantes, serán reservados, y se actualizarán, complementarán, corregirán, suspenderán, o cancelarán en los términos de sus propias disposiciones, sin que les resulte aplicable el régimen general de esta ley.

Artículo 3.

1. La integración, implementación y funcionamiento de los archivos, registros, bancos y bases de datos es lícita cuando se ajusta a los principios que establece esta ley y su reglamentación.2. En ningún caso los archivos, registros, bases o bancos de datos pueden tener un fin contrario a la ley o la moral.

3. Los datos sensibles y los relativos a condenas y sanciones penales, sólo se pueden tratar automatizadamente para su acceso al público o a institución no competente con el permiso previo del interesado y siempre que el responsable del archivo, registro, base o banco de datos garantice, a satisfacción del Instituto Federal de Protección de Datos Personales, la disociación de datos.

Artículo 4.

1. Para los efectos de esta ley se entiende por:I. Datos personales: La información de persona física o jurídica determinada o determinable;

II. Datos sensibles: Aquellos que revelan el origen racial, étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, salud o vida sexual;

III. Archivo, registro, base o banco de datos: Conjunto de datos personales organizados, tratados automatizadamente;

IV. Tratamiento de datos: Operaciones y procedimientos sistemáticos que tienen por objeto recolectar, guardar, ordenar, modificar, relacionar, cancelar y cualquiera otra que implique el procesamiento de datos, o su cesión a terceros a través de comunicaciones, consultas, interconexiones y transferencias;

V. Responsable del archivo, registro, base o banco de datos: Persona física o jurídica que ostenta la titularidad del archivo, registro, banco o base de datos;

VI. Datos informáticos: Los datos personales tratados automatizadamente;

VII. Usuario de datos: Toda persona física, jurídica, pública o privada que trata datos personales de manera voluntaria, ya sea en archivos, registros, bancos de datos propios o a través de conexión con los mismos;

VIII. Disociación de datos: Todo tratamiento de datos personales que impida asociarlos a persona determinada o determinable; y,

IX. Interesado: La persona física o jurídica a la que conciernen los datos personales.

Artículo 5.

1. Los datos colectados deben ser adecuados, ciertos, pertinentes y proporcionales al ámbito y fin para el que se colectan.2. La colecta de datos se debe hacer por medios lícitos que garanticen el respeto a las garantías individuales y, especialmente, de los derechos al honor y a la intimidad de la persona a la que conciernen.

3. Los datos sólo pueden ser utilizados para los fines que motivaron su obtención, o para fines compatibles con estos.

4. Los datos objeto de tratamiento deben ser exactos y actualizados de manera que sean congruentes con los concernientes al interesado.

5. Los datos no incluidos, incompletos, inexactos o que estén en desacuerdo con la realidad de los que corresponden a la persona que conciernen, deben ser incluidos, complementados, actualizados, rectificados o cancelados, según corresponda.

6. Los datos deben ser almacenados de modo que permitan el ejercicio del derecho de acceso por parte del interesado.

7. Los datos deben ser cancelados cuando hayan dejado de ser necesarios o pertinentes para los fines para los que fueron colectados.

Capítulo II
De los interesados y los responsables de los registros

Artículo 7.

1. Todo interesado tiene derecho a que se le informe de manera expresa y suficiente:I. De la existencia de un archivo, registro, base o banco de datos de carácter personal, el ámbito y la finalidad de la colección de éstos y de los destinatarios de la información;

II. Del carácter obligatorio o potestativo de su respuesta a las preguntas planteadas para la colecta de datos;

III. De las consecuencias de la obtención de los datos o de la negativa a suministrarlos;

IV. De la posibilidad de ejercitar los derechos de acceso, inclusión, complementación, rectificación, suspensión, reserva y cancelación de los datos personales que le conciernan y de la forma y términos en que puede ejercitarlos; y,

V. De la identidad, dirección y domicilio del responsable del archivo, registro, base o banco de datos.

Artículo 8.

1. La colecta y el tratamiento automatizado de los datos requieren del consentimiento previo del interesado, salvo que la ley disponga otra cosa.2. El interesado, sin su responsabilidad, tiene el derecho de revocar su consentimiento para el tratamiento automatizado de datos, dando aviso oportuno e indubitable al titular del archivo, registro, base o banco de datos, salvo que la ley disponga otra cosa.

3. No se requiere el consentimiento del interesado, cuando los datos de carácter personal se colecten de fuentes de información de acceso público, cuando se recojan para el ejercicio de las funciones propias de entidades y organismos públicos en el ámbito de su competencia, ni cuando se refieran a personas vinculadas por una relación comercial, laboral, administrativa, contractual y sean necesarios para el mantenimiento de la relación o para el cumplimiento del contrato.

Artículo 9.

1. Ninguna persona está obligada a proporcionar datos personales de carácter sensible que le conciernen.2. Los datos sensibles sólo pueden ser colectados y tratados por razones de interés general previstas en la ley, cuando previamente el interesado ha otorgado su consentimiento, o cuando se colecten y traten con fines estadísticos o científicos, siempre que no se puedan atribuir a persona determinada o determinable.

3. Queda prohibida la formación de archivos, registros, bases o bancos que revelen datos sensibles, salvo lo dispuesto en esta ley.

4. Los datos personales relativos a los antecedentes penales o faltas administrativas sólo pueden ser tratados por los órganos y organismos públicos correspondientes en la esfera de su competencia.

5. Queda prohibido a los responsables de los archivos, registros, bancos o bases de datos formular juicios de valor sobre los datos personales que traten automatizadamente.

Artículo 10.

1. Los organismos públicos o privados de salud y los profesionales vinculados a las ciencias de la salud, pueden colectar y tratar los datos personales relativos a la salud física o mental de los pacientes que acudan a los mismos o que estén o hayan estado bajo tratamiento de aquellos, respetando en todo caso el secreto profesional, y siempre que esos datos se disocien.Artículo 11.

1. Queda prohibido registrar datos personales en archivos, registros o bancos de datos que no reúnan condiciones técnicas de integridad o seguridad.2. El responsable del archivo, registro, base o banco de datos debe adoptar todas las medidas técnicas y de organización necesarias para evitar la adulteración, pérdida, inexactitud, insuficiencia, falta, consulta, reserva, cancelación o tratamiento de datos no autorizado.

3. El reglamento de esta ley determinará los requisitos y condiciones mínimas de seguridad y de organización, en función del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos.

Artículo 12.

1. El responsable del archivo, registro, base o banco de datos y quienes intervengan en la colecta y el tratamiento de los datos personales están obligados a guardar el secreto profesional, incluso aún después de que concluyan sus relaciones con el interesado.2. El titular del archivo, registro, base o banco de datos, o quienes intervengan en la colecta o el tratamiento de los datos personales los deben revelar cuando se les pida en cumplimiento de una resolución judicial, por razones de interés social o relativas a la seguridad pública o nacional, o a la salud pública.

Artículo 13.

1. Los datos que obren en archivos, registros, bases o bancos de datos personales sólo se pueden ceder a persona con interés legítimo, con el previo consentimiento del interesado, al que se debe informar suficientemente sobre la identidad del cesionario, y la finalidad de la cesión.2. El consentimiento de la cesión es revocable, mediante notificación indubitable al titular del archivo, registro, base o banco de datos.

3. La cesión no requiere el consentimiento del interesado, cuando:

I. La ley no lo exija;

II. La cesión se realice entre dependencias y organismos públicos en forma directa, en el ejercicio de sus atribuciones y en el ámbito de sus competencias;

III. Por razones de interés social, de seguridad pública o nacional, o salud pública; y,

IV. Se aplique un procedimiento de disociación de datos de manera que no se puedan atribuir a persona determinada o determinable.

4. El cesionario queda sujeto a las mismas obligaciones legales y reglamentadas del cedente y éste responderá solidaria y conjuntamente por la observancia de las mismas ante el organismo de control y el interesado.

Artículo 14.

1. Se prohibe la transferencia de datos personales con Estados u organismos internacionales, que no proporcionen niveles de seguridad y protección cuando menos equivalentes a los que se proporcionan en el Estado Mexicano.2. La prohibición no rige en los supuestos siguientes:

I. Colaboración judicial internacional;

II. Intercambio de datos en materia de salud, cuando así lo exija el tratamiento del afectado, o una investigación epidemiológica;

III. Transferencias bancarias o bursátiles, conforme a la legislación que le resulte aplicable;

IV. Cuando la transferencia se acuerde en un tratado, convenio o instrumento internacional vigente en el que el Estado Mexicano sea parte; y,

V. Cuando la transferencia tenga por objeto la cooperación internacional para la lucha contra el crimen organizado, el terrorismo, el narcotráfico y delitos contra la humanidad.

Artículo 15.

1. Toda persona tiene derecho de solicitar al Instituto Federal de Protección de Datos Personales, informes sobre la existencia de archivos, registros, bases o bancos de datos personales, sobre las finalidades y la identidad de sus responsables.2. El registro en el que conste la información anterior será de consulta pública y gratuita.

Artículo 16.

1. Todo interesado que se identifique tiene derecho de solicitar y obtener informes de los datos personales que le conciernan y obren en archivos, registros, bases o bancos de datos públicos o privados que se destinen a proveer informes.2. Los informes que se otorguen conforme al inciso anterior, pueden consistir en la simple observación o la comunicación por cualquier medio fiable que garantice la comunicación integra, y la constancia de su envío y recepción.

El informe se debe proporcionar dentro de los diez días hábiles posteriores a la recepción de la solicitud; vencido el plazo sin que se haya rendido el informe, el interesado puede promover la acción de protección de datos personales prevista en esta ley.

3. El derecho de información a que se refiere este artículo sólo se puede ejercer de manera gratuita a intervalos no menores de tres meses, salvo que el afectado acredite un interés legítimo, caso en el cual puede ejercerlo antes y cuantas veces sea necesario.

4. Para el caso de que el interesado directo haya fallecido, el representante legítimo de la sucesión pueden solicitar y recibir la información a que se refiere este artículo, previa la acreditación de su carácter.

Artículo 18.

1. Los informes se deben realizar de manera clara y sencilla, de forma que se puedan entender por el interesado.2. La información debe ser completa y concerniente al interesado, aunque éste haya solicitado sólo parte de la información, pero no se podrán revelar datos relativos a terceros aunque estos se relacionen con aquél.

3. Los informes se suministrarán, dependiendo de la capacidad técnica del responsable del archivo, registro, base o banco de datos: impresos en papel, en medios electrónicos, ópticos o cualquiera otro que determine el interesado.

Artículo 19.

1. Toda persona tiene derecho de solicitar y obtener, en su caso y sin costo alguno, la inclusión, complementación, rectificación, actualización, reserva, suspensión, o cancelación de los datos personales que le conciernen y se contengan en archivos, registros, bases o bancos de datos.2. Dentro de los cinco días hábiles siguientes a la recepción de la solicitud, el titular del archivo, registro, base o banco de datos debe incluir, complementar, rectificar, actualizar, reservar, suspender o cancelar los datos personales concernientes al interesado, informándole por escrito de manera completa, clara y sencilla el tratamiento realizado.

3. Si el titular del archivo, registro, base o banco de datos no cumple con la obligación que le impone el inciso anterior, el interesado puede ejercitar la acción de protección de datos o habeas data prevista en esta ley.

4. En el caso de que la información se haya cedido o transferido, el responsable del archivo, registro, base o banco de datos, sin cargo alguno para el interesado, debe comunicar la inclusión, complementación, rectificación, actualización o cancelación de los datos al cesionario, dentro de los tres días hábiles siguientes al en que se haya resuelto el tratamiento correspondiente.

5. La cancelación de los datos no procede por razones de interés social, de seguridad pública o nacional, de salud pública o por afectarse derechos de terceros, en los términos que lo disponga la ley.

6. Durante el procedimiento que se siga para complementar, rectificar, actualizar, reservar, suspender o cancelar los datos personales que conciernan al interesado, el titular del archivo, registro, base o banco de datos, debe bloquear los datos materia de la solicitud o consignar al proveer la información relativa que se tramita un procedimiento con determinado objeto.

7. Los datos se deben conservar por el tiempo que determinen la ley o las disposiciones contractuales vigentes entre las partes.

Artículo 20.

1. Los titulares de los archivos, registros, bases o bancos de datos públicos pueden negar la inclusión, complementación, actualización, rectificación, reserva o cancelación de datos personales solicitada, por resolución debidamente fundada y motivada en ley, la cual debe ser notificada al interesado.2. Los interesados tienen derecho de acceder a los datos personales que les conciernan y que obren en archivos, registros, bases o bancos de datos con el fin de ejercer cabalmente su derecho de defensa.

Artículo 21.

1. Todo archivo, registro, base o banco de datos que tenga como fin proporcionar informes se debe inscribir en el Registro que al efecto implemente y establezca el Instituto de Federal de Protección de Datos Personales.2. El Registro al que se refiere el inciso antecedente, cuando menos debe recabar del titular del archivo, registro, base o banco de datos la información siguiente:

I. El nombre, dirección y domicilio del responsable;

II. En el caso de personas jurídicas de derecho privado, nombre del representante legal, integrantes del consejo de administración, objeto de la sociedad o asociación, razón social, fecha de constitución y registro federal de causantes;

III. Características y finalidad del archivo;

IV. Categorías de datos personales que se han de colectar y tratar;

V. Forma, tiempo y lugar de recolección y actualización de los datos;

VI. Destino de los datos y personas físicas o jurídicas a las que se pueden transmitir o se les puede permitir la consulta;

VII. Procedimiento para relacionar la información colectada y tratada;

VIII. Metodologías y procedimientos técnicos para asegurar la información colectada y tratada;

IX. Nombre y domicilio de las personas que intervienen en la colecta y tratamiento de los datos;

X. Tiempo durante el cual se han de conservar los datos; y,

XI. Formas y procedimientos por los cuales las personas pueden acceder a los datos personales que les conciernen, o por los cuales se puede solicitar su inclusión, complementación, actualización, rectificación, reserva y cancelación.

3. Cualquier modificación a la información contenida en el registro debe ser comunicada por el responsable dentro de los tres días hábiles siguientes al en que haya tenido lugar.

4. El incumplimiento de las normas anticipadas dará lugar a las sanciones previstas en esta Ley.

Artículo 22.

1. Los archivos, registros, bases o bancos de datos de carácter público sólo se pueden crear, modificar o extinguir por medio de disposiciones de carácter general de conformidad con las normas jurídicas aplicables, que se deberán publicar en el Diario Oficial de la Federación.2. Las disposiciones a que hace referencia el inciso anterior, deben indicar:

I. El órgano u organismo público responsable del archivo, registro, base o banco de datos, y dependencia o entidad pública de la que dependa, en su caso;

II. Estructura básica, características y finalidad del archivo;

III. Personas de las que se pretende colectar datos y el carácter potestativo u obligatorio del suministro de la información;

IV. Categorías de datos personales que se han de colectar y tratar;

V. Forma, tiempo y lugar de recolección y actualización de los datos;

VI. Cesiones, transferencias o interconexiones previstas; y,

VII. Organos u organismos públicos ante los que el interesado puede solicitar los derechos de inclusión, complementación, actualización, rectificación, reserva, suspensión o cancelación.

3. En la resolución o disposición que determine la cancelación de archivos, registros, bases o bancos de datos personales, se debe precisar el destino de los mismos o las medidas tomadas para su destrucción.

Artículo 23.

1. Los archivos, registros, bancos o bases da datos personales que por ser colectados y tratados para fines administrativos, deben permanecer indefinidamente, estarán sujetos al régimen general de esta ley.2. La colecta y el tratamiento automatizado de datos personales que se hayan realizado con fines de seguridad pública, se limitarán a los necesarios para prevenir un peligro inminente de seguridad pública, policial o para la represión de infracciones penales, se almacenarán en archivos específicos establecidos al efecto y se clasificarán por categorías en función de su grado de fiabilidad.

3. Los datos personales con fines de seguridad pública o policiales se cancelarán luego que se haya cumplido el objeto para el cual fueron colectados y tratados o ya no sean útiles para el mismo objeto.

Artículo 24.

1. Los particulares que formen archivos, registros, bancos o bases de datos personales que no sean para uso exclusivamente personal, deben registrarse conforme a lo dispuesto en el artículo 21 de esta ley.Artículo 25.

1. Los terceros que presten servicios de tratamiento automatizado de datos personales, no pueden aplicarlos o utilizarlos para fin distinto del que figure en el contrato de servicios, ni cederlos a persona diversa, aún para fines de conservación.2. Cumplida la prestación contractual, los datos personales tratados que hayan quedado en poder del prestador de servicios deberán ser destruidos, salvo que medie autorización expresa de aquel por cuenta de quien se prestan tales servicios cuando razonablemente se presuma la posibilidad de ulteriores encargos, en cuyo caso se podrá almacenar con las debidas condiciones de seguridad por un periodo de hasta dos años.

Artículo 26.

1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y de crédito sólo podrán tratar automatizadamente datos de carácter personal obtenidos de fuentes accesibles al público, facilitados por el interesado o con su consentimiento previo.2. Los datos personales concernientes al cumplimiento de las obligaciones pecuniarias pueden ser tratados automatizadamente cuando sean facilitados por el acreedor, con su consentimiento previo o por quien actúe en su nombre y cuenta.

3. Los titulares de los archivos, registros, bancos o bases de los datos referidos en los incisos anteriores, dentro de los treinta días siguientes a su registro, deben comunicar a los interesados los datos que se hayan incluido y el derecho que les asiste para recabar informe total de ellos, en los términos establecidos en la ley.

4. En caso de que el interesado lo solicite, el responsable del archivo le informará los datos que le conciernen, las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos tres meses y el nombre, domicilio y dirección del cesionario.

5. Sólo se pueden archivar, registrar o ceder los datos personales que sean significativos para evaluar la solvencia económico financiera de los afectados durante los últimos cinco años. Dicho plazo se reducirá a dos años cuando el deudor cancele o de otro modo se extinga la obligación, debiéndose hacer constar dicho hecho.

6. La prestación de servicios de información crediticia no requerirá el previo consentimiento del interesado, cuando estén relacionados con el giro de las actividades comerciales o crediticias de los cesionarios.

7. Los responsables de los archivos, registros, bancos o bases de datos rendirán informes sobre la solvencia patrimonial y de crédito de los interesados sin calificar la viabilidad de éstos para ser sujetos de obligaciones pecuniarias.

Artículo 27.

1. Los archivos, registros, bases o bancos de datos destinados al reparto de documentos, publicidad, venta directa u otras actividades análogas sólo pueden incorporar datos personales con el consentimiento de la persona a la cual concierne, cuando ésta los ha facilitado, o cuando los datos obren en fuentes accesibles al público.2. El interesado puede acceder sin costo alguno a los archivos, registros, bases o bancos de datos referidos en el inciso anterior.

3. El interesado tiene en todo tiempo el derecho de conocer el origen de sus datos personales, el destino de los mismos, y a que se cancelen, bastando en este caso su simple solicitud.

Artículo 28.

1. Sólo se pueden colectar y tratar automatizadamente datos de carácter personal por encuestas de opinión, investigación científica y actividades análogas si el interesado otorga su consentimiento.2. Los datos personales a que hace referencia el inciso anterior se deben destinar exclusivamente al cumplimiento de la finalidad para la que fueron recabados y sólo se pueden ceder con el consentimiento previo del interesado.

Capítulo III
Del Instituto Federal de Protección de Datos Personales

Artículo 29.

1. El Instituto Federal de Protección de Datos Personales es el organismo público descentralizado de la administración pública federal, con personalidad jurídica y patrimonio propios que tiene por objeto el control de los responsables de los archivos, registros, bases o bancos de datos personales y la protección de éstos.

2. El domicilio del Instituto se ubica en la ciudad de México, Distrito Federal, independientemente de que puede establecer delegaciones en diversos puntos de la República.Artículo 30.

1. Compete al Instituto Federal de Protección de Datos Personales el ejercicio de las atribuciones siguientes:I. Otorgar asesoría a las personas físicas o jurídicas que lo requieran acerca del contenido y alcance de la presente ley;

II. Dictar las normas y disposiciones administrativas necesarias para la realización de su objeto en el ámbito de su competencia;

III. Llevar un registro actualizado y completo de los archivos, registros, bases o bancos de datos personales;

IV. Vigilar que las normas sobre integridad y seguridad de los datos personales se respeten y apliquen por los titulares de los archivos, registros, bases o bancos de datos correspondientes;

Con ese objeto, podrá solicitar a la autoridad judicial competente autorización para inspeccionar los inmuebles, equipos, herramientas y programas de captura y tratamiento de datos;

V. Solicitar la información que requiera para el cumplimiento de su objeto a las entidades públicas y privadas titulares de los archivos, registros, bases o bancos de datos personales, garantizando en todo caso la seguridad, la integridad y confidencialidad de la información;

VI. Imponer las sanciones administrativas que correspondan a los infractores de esta ley;

VII. Formular y presentar las denuncias y querellas por violaciones a lo dispuesto en esta ley; y,

VIII. Cerciorarse de que los archivos, registros, bases o bancos de datos personales destinados a suministrar informes cuenten con los requisitos necesarios para que proceda su inscripción en el Registro de Archivos, Registros, Bases o Bancos de Datos.

Artículo 31.

1. El Director del Instituto será nombrado y removido libremente por el Titular del Poder Ejecutivo Federal.

Artículo 32.

1. El Director del Instituto debe reunir los requisitos siguientes:I. Ser mexicano por nacimiento, con plena capacidad de goce y ejercicio de sus derechos políticos y civiles;

II. Tener 30 años cumplidos al momento de ser designado;

III. Tener título oficial de profesión afín al objeto del Instituto;

IV. Haberse destacado por sus estudios y/o aplicaciones en el ámbito de la informática o de las nuevas tecnologías de la información; y,

V. No haber sido condenado por la comisión de delito intencional.

Artículo 33.

1. El Instituto de Protección de Datos contará con la siguiente estructura básica para el cumplimiento de sus funciones:I. Junta de Gobierno;

II. Dirección General;

III. Consejo Consultivo;

IV. Dirección del Registro de Archivos, Registros, Bases o Banco de Datos;

V. Dirección Seguridad y Protección de Datos;

VI. Dirección de Programas y Comunicaciones, y,

VII. Dirección Jurídica.

2. El Instituto contará con el personal profesional, técnico y administrativo que autorice el presupuesto.

Artículo 34.

1. La Junta de Gobierno se compone por los integrantes siguientes:I. Titular del Poder Ejecutivo Federal o su representante, quien la presidirá;

II. El Secretario de Gobernación, como Secretario;

III. El Secretario de Energía, como vocal;

IV. El Secretario de Educación Pública, como vocal;

V. El Secretario de Hacienda y Crédito Público, como vocal;

VI. El Secretario de Economía, como vocal;

VII. Un representante de la Cámara de Diputados, como vocal;

VIII. Un representante de la Cámara de Senadores, como vocal;

IX. Un representante del Poder Judicial Federal, como vocal; y,

X. Un representante del Consejo Nacional de Ciencia y Tecnología, como vocal.

2. La Junta de Gobierno se considera válidamente constituida con la asistencia de la mitad más uno de sus integrantes.

3. Las decisiones se tomarán por mayoría de votos de los integrantes presentes y, en caso de empate, el Presidente tiene voto de calidad.

Artículo 35.

1. Compete a la Junta de Gobierno:

I. Conocer de los planes y programas del Instituto que someta a su consideración el Director General del mismo;II. Aprobar el Reglamento Interior del Instituto que, en proyecto, presente a su consideración el Director General;

III. Supervisar y dar seguimiento a los trabajos realizados por el Instituto;

IV. Aprobar el informe semestral que le presente el Director General;

V. Emitir las recomendaciones e instrucciones que estime necesarias para el correcto funcionamiento del Instituto;

VI. Nombrar a los directores de las diversas áreas del Instituto que le proponga el Director General, removiéndolos en su caso; y,

VII. Las demás que le correspondan conforme al derecho vigente.

Artículo 36.

1. El Titular del Poder Ejecutivo Federal o quien éste designe en su representación, presidirá la Junta de Gobierno y dirigirá sus sesiones, velando por el buen orden y despacho de los asuntos sometidos a su conocimiento.2. En caso de que el Titular del Poder Ejecutivo Federal o su representante no asistan, presidirá y dirigirá los trabajos de la sesión el Secretario, y a falta de éste cualquiera de los vocales, por designación de la propia Junta.

Artículo 37.

1. El Consejo Consultivo se integra por.I. Un experto en la materia, designado por la Asociación Nacional de Universidades e Instituciones de Educación Superior;

II. Un representante designado por los titulares de archivos, registros, bases o bancos de datos reconocidos oficialmente;

III. Un representante de la Comisión Nacional de Derechos Humanos; y,

IV. Un representante de la Procuraduría General de la República.

2. Los integrantes del Consejo Consultivo durarán en su encargo tres años, y será honorífico.

3. El Consejo Consultivo es el órgano de asesoría de la Junta de Gobierno y de la Dirección General del Instituto.

4. El funcionamiento del Consejo Consultivo se determinará en el Reglamento de esta ley.

Artículo 38.

1. La organización y funcionamiento interior de las direcciones de área del Instituto se regularán en el Reglamento del propio Instituto.2. los titulares de las direcciones de área del Instituto, deben reunir los mismos requisitos que el Director General.

Capítulo IV
De las sanciones

Artículo 39.

1. Son infracciones leves a esta Ley:I. Omitir la inclusión, complementación, rectificación, actualización, reserva, suspensión o cancelación, de oficio o a petición del interesado, de los datos personales que obren en archivos, registros, bases o bancos de datos;

II. Incumplir las instrucciones dictadas por el Director General del Instituto; y,

III. Cualquiera otra de carácter puramente formal o documental que no pueda ser catalogada como grave.

Artículo 40.

1. Son infracciones graves a esta Ley:I. Colectar o tratar datos de carácter personal para constituir, o implementar archivos, registros, bases o bancos de datos de titularidad pública, sin la previa autorización de la normativa aplicable;

II. Colectar o tratar automatizadamente datos de carácter personal para constituir, o implementar archivos, registros, bases o bancos de datos de titularidad privada, sin el consentimiento del interesado o de quien legítimamente puede otorgarlo;

III. Colectar, tratar automatizadamente o administrar datos de carácter personal con violación de los principios que rigen esta ley o de las disposiciones que sobre protección y seguridad de datos sean vigentes;

IV. Impedir u obstaculizar el ejercicio del derecho de acceso, así como negar injustificadamente la información solicitada;

V. Violentar el secreto profesional que debe guardar por disposición de esta ley;

VI. Mantener archivos, registros, bases o bancos de datos, inmuebles, equipos o herramientas sin las condiciones mínimas de seguridad requeridas por las disposiciones aplicables; y,

VII. Obstruir las inspecciones que realice el Instituto.

Artículo 41.

1. Sin perjuicio de las responsabilidades administrativas que correspondan en los casos de responsables o usuarios de bancos de datos públicos; de la responsabilidad por daños y perjuicios derivados de la inobservancia de la presente ley, y de las sanciones penales que correspondan, el organismo de control podrá aplicar las sanciones de:I. Apercibimiento;

II. Suspensión de operaciones;

III. Multa hasta por el equivalente de 1 a 100 días de salario mínimo vigente en el Distrito Federal al momento de comisión de la infracción; y,

IV. Clausura o cancelación del archivo, registro o banco de datos.

2. En el caso de infracciones leves a esta ley, se aplicarán al infractor, dependiendo de las circunstancias del caso, del daño causado y de las condiciones del propio infractor, la sanción que corresponda conforme a las fracciones de la I a la III de este artículo.

3. En el caso de infracciones graves, se impondrán al infractor dependiendo de las circunstancias del caso, del daño causado y de las condiciones del propio infractor, la sanción que corresponda conforme a las fracciones III y IV de este artículo.
Capítulo V
De la acción de protección de datos personales

Artículo 42.

1. la acción de protección de los datos personales o de habeas data procede:I. Para conocer los datos personales almacenados en archivos, registros o bancos de datos públicos o privados destinados a proporcionar informes, y de la finalidad de aquellos; y,

II. En los casos en que se presuma la falsedad, inexactitud, desactualización, omisión, total o parcial, o ilicitud de la información de que se trata, para exigir su rectificación, actualización, inclusión, complementación, reserva, suspensión o cancelación.

Artículo 43.

1. La acción de protección de los datos personales o de habeas data puede ser ejercida por el afectado, sus tutores o curadores y los sucesores de las personas físicas señalados por el Código Civil Federal, por sí o por medio de apoderado con cláusula especial.2. Cuando la acción sea ejercida por personas jurídicas, deberá ser interpuesta por sus representantes legales, o apoderados con cláusula especial que éstas designen al efecto.

3. En el proceso podrá intervenir en forma coadyuvante el Defensor Público Federal.

Artículo 44.

1. La acción procede respecto de los responsables y usuarios de bancos de datos públicos, y de los privados destinados a proveer informes.Artículo 45.

1. Es competente para conocer de esta acción el juez de distrito del domicilio del actor; el del domicilio del demandado; el del lugar en el que el hecho o acto se exteriorice o pudiera tener efecto, a elección del actor.2. Procede la competencia federal:

I. Cuando se interponga en contra de los responsables de archivos, registros, bancos o bases de datos públicos de órganos u organismos públicos federales; y,

II. Cuando los archivos, bases o bancos de datos de datos de carácter público o privado se encuentren interconectados en redes interestatales, nacionales o internacionales.

Artículo 46.

1. La demanda debe expresar:I. El tribunal ante el cual se promueve;

II. El nombre del actor y del demandado;

III. El objeto de la acción;

IV. Con la mayor precisión que sea posible, el nombre y domicilio del archivo, registro, banco o base de datos y, en su caso, el nombre y responsable del usuario del mismo;

V. En el caso de archivos, registros, bancos o bases de datos públicos, se procurará establecer el organismo estatal del cual dependen;

VI. los hechos en que el actor funde su petición, narrando sucintamente, con claridad y precisión, los motivos en los que apoya su acción, y por los cuales considera que los registros, archivos, bancos o bases de datos son omisos, incompletos, incorrectos, falsos, inexactos, o por los cuales considera que los datos deben reservarse, suspenderse, o cancelarse y destruirse;

VII. El interesado o quien promueva en su nombre y representación pueden solicitar que se asiente mientras dure el proceso que la información cuestionada se encuentra sujeta a proceso judicial;

VIII. El juez puede disponer de oficio, por causa fundada y motivada, la suspensión o reserva de los datos personales;

IX. El fundamento de derecho; y,

X. Lo que se pida, designándolo con toda exactitud, en términos claros y precisos.

Artículo 47.

1 . Con la demanda, el actor debe presentar los documentos en que funde su acción, o señalar, bajo protesta de decir verdad, el archivo o lugar en donde se encuentren si no los tiene a su disposición.2. Con la sola protesta que haga el actor, el juez mandará expedir a costa de aquél copia de los documentos correspondientes.

Artículo 48.

1. De la demanda admitida, se correrá traslado a la persona contra la que se proponga, emplazándola para que la conteste dentro de los tres días siguientes.

2. Las cuestiones de jurisdicción, competencia y personalidad, deberán promoverse en la contestación de demanda y se resolverán de plano en el auto en el que se provea sobre ella.3. En los procedimientos seguidos por el ejercicio de una acción de protección de datos personales no procede la contrademanda, ni la ampliación de la contestación.

Artículo 49.

1. El juez puede, en todo momento, y hasta antes de dictar sentencia, recabar informes sobre el soporte técnico de datos, documentación de base relativa a la recolección y cualquier otro aspecto que resulte conducente a la resolución de la causa.Artículo 50.

1. Los responsables de los archivos, registros, bancos o bases de datos no puedan alegar confidencialidad de la información que se les requiera, salvo en el caso de que se afecten fuentes de información periodística o así corresponda conforme a esta ley.2. Cuando la confidencialidad se alegue en los casos de excepción previstos en la ley, el juez puede tomar conocimiento personal y directo de los datos, asegurando el mantenimiento de su confidencialidad.

Artículo 51.

1. Contestada la demanda, inmediatamente el juez de oficio abrirá el proceso a prueba por un término único de 5 días comunes a las partes.Artículo 52.

1. Vencido el plazo de prueba, de oficio el juez dictará sentencia dentro de los tres días siguientes.2. Si la acción se resuelve fundada, el juez determinará los datos que deben ser incluidos, complementados, actualizados, rectificados, reservados, suspendidos o cancelados y destruidos, estableciendo un plazo no superior de quince días para su cumplimiento y acreditación y, en su caso, la forma de hacerlo.

3. La improcedencia de la acción no presume responsabilidad alguna en la que pudiera incurrir el demandante.

4. La sentencia, cualquiera que sea el sentido en que se pronuncie, se comunicará inmediatamente al Instituto Federal de Protección de Datos Personales, con el objeto de que lleve un registro al efecto.

Artículo 53.

1. La acción de protección de datos o habeas data se tramitará según las disposiciones de la presente ley y supletoriamente por las normas del Código Federal de Procedimientos Civiles.Artículos Transitorios

Artículo primero. La presente ley entrará en vigor a los 180 días siguientes al de su publicación en el Diario Oficial de la Federación.

Artículo segundo. El Ejecutivo Federal establecerá el Instituto Federal de Protección de Datos Personales dentro de los 30 días siguientes a la entrada en vigor de la presente ley.

Artículo tercero. El Ejecutivo Federal reglamentará esta ley dentro de los 180 días siguientes a su publicación.

Artículo cuarto. El Ejecutivo Federal determinará en el reglamento de esta ley la forma, términos y plazos en que los archivos, registros, bancos o bases de datos destinados a otorgar informes deben registrarse en el organismo a que se refiere el artículo 33, fracción IV.

Artículo quinto. Se derogan las disposiciones legales, reglamentarias y administrativas que se opongan a lo dispuesto en esta ley.

México Distrito Federal, enero 31 de 2001.

Túrnese a las Comisiones de Puntos Constitucionales y de Estudios legislativos de la Cámara de Senadores y Publíquese en la Gaceta Parlamentaria y en el Diario de los Debates. Febrero 14 de 2001.

Notas:

1 Habeas data significa, en términos generales, un recurso pronto y expedito para lograr que un dato que obre en archivos, registros, bancos o bases de datos sea complementado, actualizado, corregido, suspendido, bloqueado, destruido, o bien que una sede de datos sean incluidos en esos mismos registros, archivos, bancos o bases de datos, además de que se pueda acceder a registros o bancos de datos.

31Ene/01

Propuesta de reformas al Art. 16 constitucional en materia de protección de datos personales

Propuesta de reformas al Art. 16 constitucional en materia de protección de datos personales

Iniciativa de reformas al articulo 16 de la Constitución Política de los Estados Unidos Mexicanos, suscrita por el Senador Antonio García Torres, del Grupo Parlamentario del PRI – Protección de Datos Personales

Antonio García Torres, Senador de la República por el Estado Libre y Soberano de Michoacán de Ocampo, en ejercicio de la facultad que me concede el artículo 71, fracción II, de la Constitución Política de los Estados Unidos Mexicanos, someto a la consideración y, en su caso, aprobación del órgano a que se refiere el artículo 135 de la Constitución, Iniciativa de adición al artículo 16 de la propia Constitución, apoyándome para ello en la siguiente:

Exposición de Motivos

La concepción de garantía tiene su antecedente en la Declaración de los Derechos y Deberes del Hombre de 1789, en Francia, que parte de la idea del respeto de estos derechos para la construcción de una sociedad justa, y además de la necesidad de reconocerlos expresamente.

Los derechos del hombre requieren de ser asegurados mediante el reconocimiento formal del Estado en lo que comúnmente conocemos como garantía.

Es así como la Declaración de los Derechos y Deberes del Hombre, en su artículo 16 disponía que una sociedad que no garantiza los derechos del hombre, ni establece la separación de poderes (condición esta necesaria, incluso, para el respeto y aseguramiento de los derechos del hombre), no tiene constitución o, dicho en otros términos, se encuentra en el desorden y la arbitrariedad.

Posteriormente, en la Constitución de Francia de 1791 se reitera esta idea y se establece un catálogo de derechos naturales y civiles del hombre.

Las garantías, por otro lado, tienen una concepción doble, esto es, desde un punto de vista sustantivo y, por el otro, desde un ángulo procesal.

Desde la óptica sustantiva, las garantías constituyen derechos que tiene el hombre, ya sea porque el Estado se los otorga, esto quiere decir que el orden jurídico crea esas garantías, o bien, porque simplemente reconoce que el hombre ya posee esos derechos por el hecho mismo de ser hombre, esto es, que son consustanciales a su naturaleza humana.

Por otro lado, desde el vértice procesal, la garantía es el medio que otorga la Constitución al gobernado para asegurar o hacer valer eficazmente esos derechos.

Esta explicación es importante para reconocer que, independientemente de los puntos de vista que se adopten:

1. Es necesario que los derechos del hombre se reconozcan formalmente por la ley con el objeto de asegurar de mejor manera su respeto, y que estos sean un dique a los excesos en el ejercicio del poder público, a la vez que un objetivo de fortalecimiento de éste y que, en cierta medida, puedan ser oponibles, incluso a los propios particulares.

2. Los derechos del hombre deben estar provistos de los medios para asegurar su goce, pues un derecho que no se puede hacer valer es punto menos que una declaración.

3. Y finalmente, también hay que señalar con toda precisión que la Constitución Política de los Estados Unidos Mexicanos, en su artículo 1º, concibe que ella es la que otorga los derechos al hombre, sus garantías, por lo que esto viene a fortalecer la idea de que las garantías, tanto del ángulo sustantivo, como del punto de vista procesal deben incorporarse a la Constitución para su aseguramiento mayor.

Un punto importante que no debe soslayarse es la calidad de derechos mínimos de estas garantías que bien pueden ampliarse en otros ordenamientos jurídicos, así como pueden restringirse, fundamentalmente por razones de interés público, social, en suma, por el derecho de las mayorías de manera directa o indirecta.

En nuestra historia constitucional, el primer antecedente conocido se encuentra en la Constitución de Cádiz de 1812, en su artículo 4º, que decía: “La nación está obligada a conservar y proteger por leyes sabias y justas la libertad civil, la propiedad y los demás derechos legítimos de todos los individuos que la componen”.

Posteriormente, José María Morelos redacta el 14 de septiembre de 1813 sus Sentimientos de la Nación, en cuyos 23 puntos encontramos diseminadas múltiples garantías de igualdad, de seguridad jurídica e, incluso, económicas.

El Decreto Constitucional para la Libertad de la América Mexicana, sancionado en Apatzingán el 22 de octubre de 1814, reitera la vocación de protección a los derechos del hombre en sus artículos 19, 24 y 27.

En adelante, el Reglamento Provisional Político del Imperio Mexicano de 1822, (artículos 6º y 9º), el Acta Constitutiva de la Federación de 1824 (artículo 30, entre otros), las Leyes Constitucionales de la República de 1836 (artículo 45, fracción V, de la ley tercera), las Bases Orgánicas de 1843 (artículo 67, fracción IV), el Acta Constitutiva de las Reformas de 1847 (artículo 5º), el Estatuto Orgánico Provisional de la República Mexicana de 1856 (artículos 3º, 5º, 30, 73, 77), la Constitución Política de la República Mexicana de 1857 (artículo 1º), el Estatuto Provisional del Imperio Mexicano de 1865 (artículos 58 y 59), hasta llegar a la Constitución Política de los Estados Unidos Mexicanos en su artículo 1º, reconocen u otorgan derechos mínimos a las personas.

La Constitución Política de los Estados Unidos Mexicanos es la primera del siglo anterior que incorpora garantías sociales, además de las individuales, lo que sin lugar a dudas sugiere que los principios que sustentan a la Constitución son de corte liberal social, a saber:

El principio de autonomía, el de inviolabilidad y el de dignidad personal, conforme a los cuales las personas tienen ciertos derechos mínimos para procurar su felicidad en el modo particular en que entienden esta felicidad y la consecución legítima de sus intereses; en tanto que se debe suponer que los intereses de las mayorías, por regla general, son prevalentes frente a los intereses particulares, existiendo la posibilidad para el equilibrio entre ambas ideas de que las persona puedan renunciar a ciertos y determinados derechos.

Con base en estos principios, la Constitución incorpora garantías de libertad, de seguridad jurídica, de equidad, entre otras, que se expresan en el derecho de libre tránsito, en la libre manifestación de las ideas, en el derecho de acceder a la justicia de manera pronta, expedita, completa e imparcial, en el derecho de huelga, a un salario mínimo, digno y suficiente.

Estas garantías, en sus orígenes tienen como medio circundante uno diverso al que prevalece en la actualidad en el que las nuevas tecnologías han dado lugar a hechos y actos que potencialmente pueden lesionar los derechos reconocidos expresamente y otros que, bajo una interpretación sistemática y finalista, se encuentran subsumidos: el derecho a la intimidad y al honor.

Este derecho a la intimidad y al honor se puede definir como un derecho a la vida personal propia, a controlarla y a que los testimonios que existan sobre ella sean congruentes con la realidad para la conservación de la imagen propia.

Este derecho, implícitamente reconocido en la Constitución Política de los Estados Unidos Mexicanos, en su artículo 16, se encuentra en constante riesgo ante el avance de las nuevas tecnologías, fundamentalmente de la información que, ahora, tienen la potencialidad de colectar, tratar y comunicar o difundir en tiempos, formas y condiciones prontas, rápidas e, incluso, automáticas, la información atinente a una persona, con riesgo de lesionar sus derechos fundamentales, cualquiera que estos sean, y de manera especial, los derechos a la intimidad subyacentes en el supramencionado artículo 16 constitucional.

En el orden mundial, ordenamientos internacionales y la mayoría de las Constituciones han reconocido este derecho, incluyendo la garantía procesal para su tutela efectiva, además de que se ha reglamentado puntualmente; para este efecto se citan a continuación los antecedentes subsecuentes:

La Declaración Universal de los Derechos Humanos:

* En su artículo 8 dice que “Toda persona tiene derecho a un recurso efectivo, ante los tribunales nacionales, que la ampare contra actos que violen sus derechos fundamentales reconocidos por la Constitución o la ley”.

* El artículo 12 prescribe: “Nadie será objeto de injerencias arbitrarias en su vida privada, su familia, su domicilio o su correspondencia ni de ataques a su honra o su reputación. Toda persona tiene derecho a la protección de la ley contra tales injerencias o ataques”.

La Declaración Americana de los Derechos y Deberes del Hombre:

* El artículo 5 declara que “Toda persona tiene derecho a la protección de la ley contra los ataques abusivos a su honra, a su reputación y a su vida privada y familiar”.

* El artículo 18 proclama que “Toda persona puede recurrir a los tribunales para hacer valer sus derechos. Asimismo debe disponer de un procedimiento sencillo y breve por el cual la justicia la ampare contra actos de la autoridad que violen, en perjuicio suyo, alguno de los derechos fundamentales consagrados constitucionalmente”.

Incluso, cabe destacar el Proyecto de Convención Americana sobre Autodeterminación Informativa de 1997, compuesto de 21 artículos en los que se propone una regulación para la protección y movimiento internacional de datos, y el cual aborda temas importantes como el derecho a la información en la recolección de los datos, el consentimiento del afectado, la calidad, categorías, seguridad y cesión de los datos, los derechos y las garantías de las personas, el habeas data, las sanciones, los recursos, la agencia de protección de datos y el registro de datos.

Europa:

En Alemania

El 7 de abril de 1970, el Parlamento del Estado alemán de Hesse, promulga su normativa de protección de datos “Datenshutz” convirtiéndose en el primer territorio con una norma dirigida a la protección de datos.

Después, el 27 de febrero de 1977, el Parlamento Federal de Alemania aprueba la normativa protectora de datos Datenshutz Federal. En estos casos, se crea un Comisario Federal para la Protección de Datos (Bundesbeauftragter fur den Datenshutz).

En Francia

En 1978 se establece la Comisión Nacional de la Informática y de las Libertades, un organismo colegiado que tiene por objeto establecer un registro de bancos de datos de consulta ciudadana.

En España

Desde 1978, la Constitución, en su artículo 18, apartado 4, dice: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos…”

Relacionada con esta disposición constitucional, en España se ha publicado la Ley Orgánica 5/1992, de 29 de octubre, de regulación de tratamiento automatizado de los datos de carácter personal que tiene como objeto básico la protección de la intimidad y el honor de las personas.

En los Estados Unidos de América

El 31 de diciembre de 1974, el Congreso expide el “Privacy Act (ley de privacía)”, con el objeto de proteger a los individuos en sus libertades y derechos fundamentales frente a la recolección y tratamiento automatizado de datos personales por parte de las agencias federales.

En América Latina

En Brasil

En 1988 la Constitución Brasileña, en su artículo 5, numeral LXXII, se refiere al “conocimiento de informaciones relativas a la persona de la impetrante…” y a la rectificación de datos.

Aproximadamente 10 años más tarde, en Brasil se expide la Ley número 9.507, de 12 de noviembre de 1997 que reglamenta la disposición constitucional, con base en 23 artículos.

En Colombia

A partir de 1991, el artículo 15 de la Constitución de este país reconoce al habeas data como un derecho fundamental aún no reglamentado.

En Paraguay

Es a partir de 1992, teniendo como antecedente los registros obrantes en poder de la Policía Nacional, que la Constitución, en su artículo 135 reconoce el derecho de las personas para acceder a la información que le corresponda en archivos públicos y privados, para conocer la finalidad de esos registros y para actualizar, rectificar o destruir los mismos datos.

En Perú

Desde 1993, el artículo 200, inciso 3, de la Constitución establece de manera expresa el habeas data con los objetivos de que el interesado pueda acceder a la información pública, con ciertas limitantes, y evitar la difamación de la persona por la difusión o suministro a terceros de informaciones que afecten la intimidad personal y familiar.

En Ecuador

El artículo 30 de la Constitución vigente establece el habeas data con los objetos de acceder a los registros, bancos o bases de datos, conocer su uso y finalidad, así como para solicitar la rectificación, actualización, eliminación o anulación de los datos, en caso de que estos sean erróneos o afecten ilegítimamente los derechos de las personas.

La Ley de Control Constitucional de 1997 ya ha reglamentado la acción de habeas data.

En Argentina

La nueva Constitución de 1994, en su artículo 43, en su párrafo tercero, establece el habeas data como un amparo especial.

Sin embargo, pese a la gran demanda porque se regulara en ley secundaria el habeas data, es hasta el año 2000 que se expide la Ley 25326 de Protección de los Datos Personales, publicada en el Boletín Oficial correspondiente al 2 de noviembre del año mencionado.

En Argentina, el habeas data ha tenido gran recepción, y muestra de ello es que las provincias de Buenos Aires (artículo 20, inciso c, de la Constitución local), Córdoba (artículo 50 de su Constitución), Chubut (artículo 56 de su Ley primaria) y Jujuy (artículo 23, inciso 6, de su Constitución), entre otras, prevén el habeas data.

En México, no obstante la gran tradición y entramado constitucional que se posee, no se ha otorgado expresamente a los gobernados la garantía a la intimidad y honor, sobre todo frente a los avances tecnológicos, ni se ha reconocido la garantía procesal del habeas data. México no puede quedarse atrás de los países europeos y latinoamericanos, máxime si se toma en cuenta que los países que ya regulan el habeas data limitan el movimiento internacional de datos con aquellos países que no brinden condiciones equivalentes de seguridad a las propias, de donde se sigue que México, en alguna medida, se encontraría marginado de este movimiento internacional de datos en diferentes materias en las que pueden incluirse la comercial y económica.

Por ello se propone reconocer el derecho a la intimidad y el honor, así como la garantía procesal de la misma, considerando como:

Objeto jurídico

Se propone que la garantía procesal tenga por objeto:

1. Que el interesado pueda acceder a los datos personales que le conciernen.

2. Que toda persona pueda acceder a los registros, archivos y bancos de datos públicos o privados de carácter público, y conocer su uso o fin para el que están destinados.

3. Que el interesado pueda pedir la inclusión, actualización, complementación, rectificación, reserva, suspensión y cancelación de los datos relativos a su persona.

Bienes protegidos

Los bienes protegidos se identifican con el honor, la intimidad y cualquiera otra garantía del gobernado.

Legitimación activa

Del interesado, esto es, de la persona a la que corresponden o conciernen los datos registrados o archivados, para acceder a ellos, para incluir datos, para actualizarlos, complementarlos, rectificarlos, reservarlos, suspenderlos o cancelarlos.

De toda persona para acceder a los registros, archivos o bancos de datos públicos o privados de carácter público, así como para conocer el uso o fin para el que están destinados.

Legitimación pasiva

Son sujetos pasivos del proceso los archivos, registros, bancos o bases de datos públicos o privados en sus diferentes hipótesis.

El reconocimiento coadyuvaría a la cristalización de un México más democrático y más justo, de manera indiscutible.

Atento a ello se propone la adición al artículo 16 de la Constitución en los términos siguientes:

Decreto

Artículo Unico. Se adicionan tres párrafos, un undécimo, otro duodécimo y un décimo tercero, recorriéndose los restantes del artículo 16 de la Constitución Política de los Estados Unidos Mexicanos, para quedar como sigue:

Artículo 16. Del párrafo primero al párrafo décimo…

Toda persona tiene derecho a la protección y al acceso de los datos personales que le conciernen, así como el de acceder a la información de archivos o registros públicos y privados destinados a dar informes, y a conocer el uso o finalidad de tales registros. Los datos se obtendrán y tratarán de modo que no se afecten el honor, la intimidad o cualquier otro derecho de las personas, para fin lícito determinado y con el previo consentimiento, libre e informado de su titular.

No se considera que la obtención y el tratamiento de datos afecta el honor, la intimidad o cualquier otra garantía de la persona a la que conciernen, cuando se realizan atendiendo al interés general del Estado mexicano, a intereses sociales, o con el fin de proteger los derechos fundamentales de terceros por causa legítima.

La persona tiene derecho a la inclusión, actualización, complementación, rectificación, suspensión, reserva y cancelación de los datos que le conciernen.

Artículos Transitorios

Artículo Primero. El presente Decreto entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Federación.

Artículo Segundo. Se derogan todas las disposiciones jurídicas que se opongan a lo dispuesto en este Decreto.

México, Distrito Federal, enero 31 de 2001.

09Abr/97

Law 2472/1997 on the Protection of Individuals with regard to the Processing of Personal Data

Law 2472/1997 on the Protection of Individuals with regard to the Processing of Personal Data of 9 April 1997. (amended by Laws 2819/2000 and 2915/2001)

CHAPTER A. GENERAL PROVISIONS

Article 1. Object

The object of this law is to establish the terms and conditions under which the processing of personal data is to be carried out so as to protect the fundamental rights and freedoms of natural persons and in particular their right to privacy.

Article 2. Definitions

For the purposes of this law:

a) “Personal data” shall mean any information relating to the data subject. Personal data are not considered to be the consolidated data of a statistical nature whence data subjects may no longer be identified.

b) “Sensitive data” shall mean the data referring to racial or ethnic origin, political opinions, religious or philosophical beliefs, membership to a society, association or trade-union, health, social welfare and sexual life as well as criminal charges or convictions.

c) “Data Subject” shall mean any natural person to whom such data refer and whose identity is known or may be found, i.e., his/her identity may be determined directly or indirectly, in particular by reference to an identity card number or to one or more factors specific to his/her physical, physiological, mental, economic, cultural, political or social identity.

d) “Processing of personal data” (“processing”) shall mean any operation or set of operations which is performed upon personal data by Public Administration or by a public law entity or private law entity or an association or a natural person, whether or not by automatic means, such as collection, recording, organisation, preservation or storage, modification, retrieval, use, disclosure by transmission, dissemination or otherwise making available, correlation or combination, interconnection, blocking (locking), erasure or destruction.

e) “Personal Data File” (“File”) shall mean any set of personal data which are or may be processed and which are kept by Public Administration or by a public law entity or a private law entity or an association or a natural person.

f) “Interconnection” shall mean a means of processing consisting in the possibility of co-relating the data from a file to the data from a file or files kept by another Controller or Controllers or with data from a file or files kept by the same Controller for another purpose.

g) “Controller” shall mean any person who determines the scope and means of the processing of personal data, such as any natural or legal person, public authority or agency or any other organisation. Where the purposes and means of processing are determined by national or Community laws or regulations, the Controller or the specific criteria for his/her nomination shall be designated by national or Community law.

h) “Processor” shall mean any person who processes personal data on behalf of a Controller, such as any natural person or legal person, public authority or agency or any other organisation.

i) “Third party” shall mean any natural or legal person, public authority or agency or any other body other than the data subject, the Controller and the persons authorised to process the data, provided that they act under the direct supervision or on behalf of the Controller.

j) “Recipient” shall mean any natural or legal person, public authority or agency or any other organisation to whom data are disclosed or transmitted, whether a third party or not.

k) “The Data Subject’s Consent” shall mean any freely given, explicit and specific indication of will, whereby the data subject expressly and fully cognisant signifies his/her informed agreement to personal data relating to him being processed. Such information shall include at least information as to the purpose of processing, the data or data categories being processed, the recipient or categories of recipients of personal data as well as the name, trade name and address of the Controller and his/her representative, if any. Such consent may be revoked at any time without retroactive effect.

l) “Authority” shall mean the Authority for the Protection of Personal Data, which is established pursuant to Chapter D of this law.

Article 3. Scope

1. The provisions of this law shall apply to the processing, in whole or in part, by automatic, means as well as to the processing by non-automatic means, of personal data which form part of a file or are intended to form part of a file.

2. The provisions of this law shall not apply to the processing of personal data, which is carried out by a natural person in the course of a purely personal or household activity.

3. The present law shall apply to any processing of personal data, provided that such processing is carried out:

a) by a Controller or a Processor established in Greek Territory or in a place where Greek law applies by virtue of public international law.

b) by a Controller who is not established in Greek Territory or in a place where Greek law applies, when such processing refers to persons established in Greek Territory. In this case, the Controller must designate in writing, by a statement addressed to the Authority, a representative established in Greek territory, who will substitute the Controller to all the Controller’s rights and duties, without prejudice to any liability the latter may be subject to. The same shall also apply when the Controller is subject to exterritoriality, immunity or any other reason inhibiting criminal prosecution.

c) by a Controller who is not established in the territory of a member-state of the European Union but in a third country and who, for the purposes of processing personal data, makes use of equipment, automated or otherwise, situated on the Greek territory, unless such equipment is used only for purposes of transit through such territory. In this case, the Controller must designate in writing by a statement addressed to the Authority a representative established in Greek territory, who will substitute the Controller to all the Controller’s rights and duties, without prejudice to any liability s/he may be subject to. The same shall also apply when the Controller is subject to exterritoriality, immunity or any other reason inhibiting criminal prosecution.

CHAPTER B. PROCESSING OF PERSONAL DATA

Article 4. Characteristics of personal data

1. Personal data, in order to be lawfully processed, must be:

a) collected fairly and lawfully for specific, explicit and legitimate purposes and fairly and lawfully processed in view of such purposes.

b) adequate, relevant and not excessive in relation to the purposes for which they are processed at any given time.

c) accurate and, where necessary, kept up to date.

d) kept in a form which permits identification of data subjects for no longer than the period required, according to the Authority, for the purposes for which such data were collected or processed. Once this period of time is lapsed, the Authority may, by means of a reasoned decision, allow the maintenance of personal data for historical, scientific or statistical purposes, provided that it considers that the rights of the data subjects or even third parties are not violated in any given case. It shall be for the Controller to ensure compliance with the provisions of this paragraph.

2. Personal data, which have been collected or are being processed in breach of the previous paragraph, shall be destroyed, such destruction being the Controller’s responsibility. The Authority, once such a breach is established, either ex officio or upon submission of a relevant complaint, shall order any such collection or processing ceased and the destruction of the personal data already collected or processed.

Article 5. Conditions for processing

1. Processing of personal data will be permitted only when the data subject has given his/her consent.

2. Exceptionally, data may be processed even without such consent, only if :

a) processing is necessary for the execution of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract.

b) processing is necessary for the compliance with a legal obligation to which the Controller is subject.

c) processing is necessary in order to protect the vital interests of the data subject, if s/he is physically or legally incapable of giving his/her consent.

d) processing is necessary for the performance of a task carried out in the public interest or a project carried out in the exercise of public function by a public authority or assigned by it to the Controller or a third party to whom such data are communicated.

e) processing is absolutely necessary for the purposes of a legitimate interest pursued by the Controller or a third party or third parties to whom the data are communicated and on condition that such a legitimate interest evidently prevails over the rights and interests of the persons to whom the data refer and that their fundamental freedoms are not affected.

3. The Authority may issue special data processing rules for the more usual categories of data processing and files, which do not evidently affect the rights and freedoms of the persons to whom such data refer. These categories will be specified by regulations enacted by the Authority and ratified by Presidential Decrees, issued upon a proposal by the Minister of Justice.

Article 6. Notification

1. The Controller must notify the Authority in writing about the establishment and operation of a file or the commencement of data processing.

2. In the course of the aforementioned notification the Controller must necessarily declare the following:

a) his/her name, trade name or distinctive title, as well as his/her address. If the Controller is not established in the Greek territory or in a place where Greek law applies, then the name, trade name or distinctive title and the address of his/her representative in Greece must also be declared.

b) the address where the file or the main hardware supporting the data processing are established.

c) the description of the purpose of the processing of personal data included or about to be included in the file.

d) the category of personal data that are being processed or about to be processed or included or about to be included in the file.

e) the time period during which s/he intends to carry out data processing or preserve the file.

f) the recipients or the categories of recipients to whom such personal data are or may be communicated.

g) any transfer and the purpose of such transfer of personal data to third countries.

h) the basic characteristics of the system and the safety measures taken for the protection of the file or data processing.

i) In the event that such data processing or file falls within one of the categories for which the Authority has issued special data processing rules, then the Controller must submit to the Authority a statement whereby s/he confirms that such data processing will be carried out or the file will be kept according to the special rules established by the Authority, which will prescribe in detail the form and contents of such statement.

3. The data referred to in the preceding paragraph will be registered with the Files and Data Processing Register kept by the Authority.

4. Any modification of the data referred to in paragraph 2 must be communicated in writing and without any undue delay by the Controller to the Authority.

Article 7. Processing of sensitive data

1. The collection and processing of sensitive data is prohibited.

2. Exceptionally, the collection and processing of sensitive data, as well as the establishment and operation of the relevant file, will be permitted by the Authority, when one or more of the following conditions occur:

a) The data subject has given his/her written consent, unless such a consent has been extracted in a manner contrary to the law or bonos mores or if law provides that any consent given may not lift the relevant prohibition.

b) Processing is necessary to protect the vital interests of the data subject, if s/he is physically or legally incapable of giving his/her consent.

c) Processing relates to data made public by the data subject or is necessary for the recognition, exercise or defence of rights in a court of justice or before a disciplinary body.

d) Processing relates to health matters and is carried out by a health professional subject to the obligation of professional secrecy or relevant codes of conduct, provided that such processing is necessary for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services.

e) Processing is carried out by a Public Authority and is necessary for the purposes of aa) national security, bb) criminal or correctional policy and pertains to the detection of offences, criminal convictions or security measures, cc) public health or for the exercise of public control on social welfare services.

f) Processing is carried out exclusively for research and scientific purposes provided that anonymity is maintained and all necessary measures for the protection of the persons involved are taken.

g) Processing concerns data pertaining to public figures, provided that such data are in connection with the holding of public office or the management of third parties’ interests, and is carried out solely for journalistic purposes. The Authority may grant a permit only if such processing is absolutely necessary in order to ensure the right to information on matters of public interest, as well as within the framework of literary expression and provided that the right to protection of private and family life is not violated in any way whatsoever.

3. The Authority shall grant a permit for the collection and processing of sensitive data, as well as a permit for the establishment and operation of the relevant file, upon request of the Controller. Should the Authority ascertain that processing of sensitive data is carried out, the notification of the existence of such a file pursuant to article 6 of this law is considered to be a request for a permit. The Authority may impose terms and conditions for a more effective protection of the data subjects’ or third parties’ right to privacy. Before granting the permit, the Authority shall summon the Controller or his/her representative and the Processor to a hearing.

4. The permit will be issued for a specific period of time, depending on the purpose of the data processing. It may be renewed upon request of the Controller.

5. The permit shall necessarily contain the following:

a) The full name or trade name or distinctive title, as well as the address, of the Controller and his/her representative, if any.
b) The address of the place where the file is established.
c) The categories of personal data which are allowed to be included in the file.
d) The time period for which the permit is granted.
e) The terms and conditions, if any, imposed by the Authority for the establishment and operation of the file.
f) The obligation to disclose the recipient or recipients as soon as they are identified.

6. A copy of the permit shall be registered with the Permits Register kept by the Authority.

7. Any change in the data referred to in paragraph 5 shall be communicated without undue delay to the Authority. Any change other than a change of address of the Controller or his/her representative shall entail the issuance of a new permit, provided that the terms and conditions stipulated by law are fulfilled.

Article 7a. Exemption from the obligation to notify and receive a permit

1. The Controller is exempted from the obligation of notification, according to article 6, and the obligation to receive a permit, according to article 7 of the present Law in the following cases:

a) When processing is carried out exclusively for purposes relating directly to an employment or project relationship or to the provision of services to the public sector and is necessary for the fulfilment of an obligation imposed by law or for the accomplishment of obligations arising from the aforementioned relationships, and upon prior notification of the data subject.
b) When processing relates to clients’ or suppliers’ personal data, provided that such data are neither transferred nor disclosed to third parties. In order that this provision may be applied courts of justice and public authorities are not considered to be third parties, provided that such a transfer or disclosure is imposed by law or a judicial decision. Insurance companies, for all types of insurance, pharmaceutical companies, companies whose main activities involve trading of data, credit and financial institutions, such as banks and institutions issuing credit cards are not exempted from the obligation of notification.
c) When processing is carried out by societies, enterprises, associations and political parties and relates to personal data of their members or companies, provided that the latter have given their consent and that such data are neither transferred nor disclosed to third parties. Members and partners are not considered to be third parties, provided that said transfer is carried out among said members and partners for the purposes of the aforementioned legal entities or associations. Courts of justice and public authorities are not considered to be third parties, provided that such a transfer is imposed by law or a judicial decision.
d) When processing is carried out by doctors or other persons rendering medical services and relates to medical data, provided that the Controller is bound by medical confidentiality or other obligation of professional secrecy, provided for in Law or code of practice, and data are neither transferred nor disclosed to third parties. In order that this provision may be applied, courts of justice and public authorities are not considered to be third parties, provided that such a transfer or disclosure is imposed by law or judicial decision. Legal entities or organisations rendering health care services, such as clinics, hospitals, medical centres, recovery and detoxication centres, insurance funds and insurance companies, as well as Controllers processing personal data within the framework of programmes of telemedicine or provision of health care services via Internet.
e) When processing is carried out by lawyers, notaries, unpaid land registrars and court officers and relates to the provision of legal services to their clients, provided that the Controller is bound by an obligation of confidentiality imposed by Law and that data are neither transferred nor disclosed to third parties, except for those cases where this is necessary and is directly related to the fulfilment of a client’s mandate.

2. In every case of paragraph 1 of the present article, the Controller is subject to all obligations specified by the present law and is obliged to conform with any special processing rules issued by the Authority pursuant to article 5 paragraph 3 of the present law.

3. The deadlines referred to in paragraphs 1, 2 and 3 of article 24 of Law 2472/1997 are prolonged until January 21st 2001.

Article 8. Interconnection of files

1. Interconnection of files is permitted only according to the terms and conditions set out in this article.

2. Every interconnection will be communicated to the Authority by means of a declaration jointly submitted by the Controllers or the Controller who interconnects two or more files serving different purposes.

3. If at least one of the files about to be interconnected contains sensitive data or if the interconnection results to the disclosure of sensitive data or if for the implementation of the interconnection a uniform code number is about to be used, such an interconnection will be permitted only following a prior permit by the Authority (interconnection permit).

4. The interconnection permit referred to in the preceding paragraph may be granted upon a prior hearing of the Controllers of such files and shall necessarily include the following:
a) The purpose for which the interconnection is deemed necessary.
b) The categories of personal data to which the interconnection refers.
c) The time period for which the interconnection is permitted.
d) The terms and conditions, if any, for the more effective protection of the rights and freedoms and, in particular, of the right to privacy of the data subjects or third parties.

5. The interconnection permit may be renewed upon request of the Controllers.

6. The declarations referred to in paragraph 2 of this article, as well as any copies of the interconnection permits, shall be registered with the Interconnections Register kept by the Authority.

Article 9. Transboundary flow of personal data

1. The transfer of personal data to states of the European Union is permitted. The transfer to a state non member to the European Union of personal data which are undergoing processing or are intended for processing after transfer shall be permitted only following a permit granted by the Authority. The Authority may grant such permit only if it deems that the country in question ensures an adequate level of protection. For this purpose it shall particularly take into account the nature of the data, the purpose and the duration of the processing, the relevant general and particular rules of law, the codes of conduct, the security measures for the protection of personal data, as well as the protection level in the countries of origin, transit and final destination of the data.

2. The transfer of personal data to a state non member to the European Union which does not ensure an adequate level of protection is exceptionally allowed only following a permit granted by the Authority, provided that one or more of the following conditions occur:

a) The data subject has consented to such transfer, unless such consent has been extracted in a manner contrary to the law or bonos mores.

b) The transfer is necessary:
i) in order to protect the vital interests of the data subject, provided s/he is physically or legally incapable of giving his/her consent, or
ii) for the conclusion and performance of a contract between the data subject and the Controller or between the Controller and a third party in the interest of the data subject, if s/he is incapable of giving his/her consent, or
iii) for the implementation of precontractual measures taken in response to the data subject’s request.

c) The transfer is necessary in order to address an exceptional need and safeguard a superior public interest, especially for the performance of a co-operation agreement with the public authorities of the other country, provided that the Controller provides adequate safeguards with respect to the protection of privacy and fundamental liberties and the exercise of the corresponding rights.

d) The transfer is necessary for the establishment, exercise or defence of a right in court.

e) The transfer is made from a public register which by law is intended to provide information to the public and which is accessible by the public or by any person who can demonstrate legitimate interest, provided that the conditions set out by law for access to such register are in each particular case fulfilled.

3. In the cases referred to in the preceding paragraphs, the Authority shall inform the European Commission and the respective Authorities of the other member-states, when it considers that a specific state does not ensure an adequate protection level.

Article 10. Confidentiality and security of processing

1. The processing of personal data shall be confidential. It shall be carried out solely and exclusively by persons acting under the authority of the Controller or the Processor and upon his/her instructions.

2. In order to carry out data processing the Controller must choose persons with corresponding professional qualifications providing sufficient guarantees in respect of technical expertise and personal integrity to ensure such confidentiality.

3. The Controller must implement appropriate organisational and technical measures to secure data and protect them against accidental or unlawful destruction, accidental loss, alteration, unauthorised disclosure or access as well as any other form of unlawful processing. Such measures must ensure a level of security appropriate to the risks presented by processing and the nature of the data subject to processing. The Authority shall issue from time to time instructions as to the level of security of such data as well as on the protection measures necessary for each category of data in view of technological developments.

4. If the data processing is carried out on behalf of the Controller, by a person not dependent upon him, the relevant assignment must necessarily be in writing. Such assignment must necessarily provide that the Processor carries out such data processing only on instructions from the Controller and that all other obligations arising from this article shall mutatis mutandis be borne by him.

CHAPTER C. THE DATA SUBJECT’S RIGHTS

Article 11. Right to information

1. The Controller must, during the stage of collection of personal data, inform the data subject in an appropriate and express manner of the following data:

a) his/her identity and the identity of his/her representative, if any,
b) the purpose of data processing,
c) the recipients or the categories of recipients of such data,
d) the existence of a right to access.

2. If the Controller, in order to collect personal data, requests the data subject’s assistance, s/he must inform him specifically and in writing of the data referred to in paragraph 1 of this article as well as of his/her rights according to articles 11-13 of this law. By means of such notification the Controller shall also inform the data subject whether s/he is obliged to assist in the collection of data, on the basis of which provisions, as well as of any sanctions resulting from his/her failure to co-operate.

3. If the data are to be disclosed to third parties, the data subject will be kept informed of such disclosure before it is effected.

4. By virtue of a decision by the Authority, the obligation to inform, pursuant to paragraphs 1 and 3, may be lifted in whole or in part, provided that data processing is carried out for reasons of national security or for the detection of particularly serious crimes. In a state of emergency said obligation may be lifted by way of a provisional, immediately enforceable judgement by the President, who shall convene as soon as possible the Board in order that a final judgement on the matter may be issued.

5. Without prejudice to the rights arising from paragraphs 12 and 13, the right to inform does not exist when such collection is carried out solely for journalistic purposes and refers to public figures.

Article 12. Right to access

1. Everyone is entitled to know whether personal data relating to him are being processed or have been processed. As to this the Controller must answer in writing.

2. The data subject shall be entitled to request and obtain from the Controller, without undue delay and in an intelligible and express manner, the following information:
a) All the personal data relating to him as well as their source.
b) The purposes of data processing, the recipient or the categories of recipients.
c) Any developments as to such processing for the period since s/he was last notified or advised.
d) The logic involved in the automated data processing.
The data subject may exercise his/her right to access with the assistance of a specialist.

3. The right referred to in the preceding paragraph and the rights arising from article 13 are exercised by means of a relevant application to the Controller and the simultaneous payment of an amount of money, the amount of which, the method of payment as well as any other relevant matter will be regulated by a decision of the Authority. This amount will be returned to the applicant if his/her request to rectify or delete data is considered valid by the processor or the Authority, in case of an appeal before it. The Controller must in this case provide the applicant without undue delay, free of charge and in an intelligible form, a copy of the rectified part of the data relating to him.

4. Should the Controller not reply within a period of fifteen (15) days or should his/her answer be unsatisfactory, the data subject shall be entitled to appeal before the Authority. In the event the Controller refuses to satisfy the request of the party concerned, s/he must notify the Authority as to his/her response and inform the party concerned as to his/her right of appeal before it.

5. By virtue of a decision by the Authority, upon application by the Controller, the obligation to inform, pursuant to paragraphs 1 and 2 of the present article, may be lifted in whole or in part, provided that the processing of personal data is carried out on national security grounds or for the detection of particularly serious crimes. In this case the President of the Authority or his/her substitute carries out all necessary acts and has free access to the files.

6. Data pertaining to health matters will be communicated to the data subject by means of a medical doctor.

Article 13. Right to object

1. The data subject shall be entitled to object at any time to the processing of data relating to him. Such objections shall be addressed in writing to the Controller and must contain a request for a specific action, such as correction, temporary non-use, locking, non-transfer or deletion. The Controller must reply in writing to such objection within an exclusive deadline of fifteen (15) days. His/her response must advise the data subject as to the actions s/he carried out or, alternatively, as to the grounds for not acceding to his/her request. In case the objection is rejected, the relevant response must also be communicated to the Authority.

2. If the Controller does not respond within the specified time limit or his/her reply is unsatisfactory, then the data subject has the right to appeal before the Authority and request that his/her objections are examined. Should the Authority consider that such objections are reasonable and furthermore there is a risk of serious damage being caused to the data subject as a result of the processing, it may order the immediate suspension of the processing until a final decision on the objections is issued.

3. Any person shall be entitled to declare to the Authority that s/he does not wish data relating to him to be submitted to processing in order to promote the sale of goods or long distance services. The Authority shall keep a register for the identification of such persons. The Controllers of the relevant files must consult the said register prior to any processing and delete from their files the persons referred therein.

Article 14. Right to provisional judicial protection

1. Everyone is entitled to request from the competent court the immediate suspension or non-application of an act or decision affecting him, issued by an administrative authority or public law entity or private law entity or association or natural person solely on automated processing of data intended to evaluate his/her personality and especially his/her effectiveness at work, creditworthiness, reliability and general conduct.

2. The right referred to in this article may also be satisfied even when the other substantive conditions for provisional judicial protection, as stipulated from time to time, do not occur.

CHAPTER D. PERSONAL DATA PROTECTION AUTHORITY

Article 15. Establishment – Task – Legal Nature

1. A Personal Data Protection Authority (hereinafter: the Authority) is hereby created with the task to supervise the implementation of this law and all other regulations pertaining to the protection of individuals from the processing of personal data as well as to the exercise of the duties assigned to it from time to time.

2. The Authority constitutes an independent public authority, shall have its own budget and will be assisted by its own Secretariat. The Authority shall not be subject to any administrative control. In the course of their duties the members of the Authority shall enjoy personal and functional independence. The Authority reports to the Minister of Justice and its seat is in Athens.

3. The Authority’s budget shall be submitted by the Minister of Justice following a proposal by the Authority. A percentage of all kinds of state revenues resulting from the implementation of this law, including the fees and penalties imposed by the Authority, shall be made available for the needs of the Authority. This percentage will be determined from time to time by virtue of a joint decision of the Ministers of Finance and Justice.

Article 16. Composition of the Authority

1. The Authority shall be composed of a judge of a rank corresponding at least to that of a Conseiller d’État as President and six members as follows:
a) A University, full or associate, professor specialised in law.
b) A University, full or associate, professor specialised in information technology.
c) A University, full or associate, professor.
d), e), f) Three persons of high standing and experience in the field of the protection of personal data.
The judge-President and the professors-members may be on active service or not.

2. The President of the Authority will be employed on a full and exclusive time basis and will be appointed by a Presidential Decree issued upon proposal of the Cabinet following a report by the Minister of Justice. If a judge on active service is selected for the position of the President, then a decision of the competent Supreme Judicial Council is also required. The same procedure is to be followed for the selection and appointment of the President’s substitute.

3. The members of the Authority will be appointed by means of the following procedure: the Minister of Justice submits to the Speaker of the Parliament a proposal for the appointment of the six ordinary members of the Authority and an equal number of substitutes. The proposal shall include a double number of candidates. The Speaker will then forward the proposal to the Committee on Institutions and Transparency, which renders an opinion. The ordinary members of the Authority and their substitutes are selected by the [Parliamentary Committees] Chairmen Conference. The persons selected are then appointed by virtue of a presidential decree issued following a proposal by the Minister of Justice and published in the Official Gazette.

4. The President and members of the Authority will be appointed for a specific term of office. Their term of office will be of four years and may be renewed only once. None may serve for a total period exceeding eight (8) years. Half of the Authority’s six members will be renewed every two years. Once the Authority is established, a draw will take place among the six ordinary members so as to decide which three of them will serve for a four-year period and which for a two-year period.

5. The President and members of the Authority shall be appointed with an equal number of substitutes who must have the same status and qualifications. The substitutes for the President and the members will participate in the meetings of the Authority only if the corresponding ordinary member is provisionally absent or unable to participate. By means of a decision the President of the Authority may delegate special duties to the substitutes. The term of office of each substitute will equal the term of office of the corresponding ordinary member.

Article 17. Impediments – Incompatibilities of the members of the Authority

1. No one may be appointed as a member of the Authority :

a) Ifs/he is a Minister, Assistant Minister, Secretary-General to a Ministry or to an independent Secretariat General or a Member of Parliament.

b) Ifs/he is a governor, manager, administrator, member of the Board of Directors or a person performing managerial duties, in general, in an enterprise producing, manufacturing, selling or trading in materials being used in information technology or telecommunications or rendering services in connection to information technology, telecommunications or personal data processing, as well as persons bound by a work contract to such an enterprise.

2. Membership of the Authority is automatically forfeit for anyone who, following his/her appointment:

a) acquires one of the positions impeding membership of the Authority by virtue of the preceding paragraph.

b) performs any acts or undertakes any tasks or projects or acquires any other position which, at the Authority’s discretion, is incompatible with his/her duties as a member of the Authority.

3. Evidence on the incompatibility, pursuant to the preceding paragraph, is taken by the Authority without the participation of the member, whose position may be incompatible. The Authority shall decide having previously heard the said member. The procedure may be initiated either by the President of the Authority or by the Minister of Justice.

4. The loss of the qualifications on the basis of which a member of the Authority was appointed, pursuant to article 16 paragraph 1 of this law, shall entail his/her automatic forfeiture, if due to an irrevocable disciplinary or criminal conviction.

Article 18. Duties and rights of the members of the Authority

1. When exercising their duties the members of the Authority are subject to their conscience and the law. They have a duty of confidentiality. As witnesses or expert witnesses they may testify only on facts exclusively and solely pertaining to the observance of the provisions of this law by Controllers. The duty of confidentiality continues to exist even after the members of the Authority are in any way retired.

2. The monthly wages of the President and the members of the Authority as well as their remuneration for each session will be stipulated by a decision of the Ministers of Finance and Justice, notwithstanding any other provision. The substitutes will be paid 1/3 of the monthly wages paid to the members of the Authority as well as a remuneration for each session in which they participate. The provisions applicable from time to time regarding travel expenses of persons travelling upon official instructions in the exercise of their duties shall also apply for travel by the members of the Authority and employees of the Secretariat of the Authority. The President of the Authority shall issue the relevant travel instructions.

3. For any breach of their duties arising from this law the members of the Authority are held disciplinarily liable. The disciplinary procedure will be initiated before the Disciplinary Council by the Minister of Justice with regard to the President and the members of the Authority and by the President of the Authority with regard to its members. The Disciplinary Council consists of a Vice-President of the Conseil d’État as Chairman, an Areios Pagos judge, a Councillor of the Court of Auditors and two University law professors. An employee of the Authority shall perform the duties of the Secretary to the Council. The Chairman, the members and the Secretary of the Council will be appointed along with an equal number of substitutes. For those members of the Council who are judges a decision of the competent Supreme Judicial Council is also required. The Council is established by virtue of a decision by the Minister of Justice with a three-year term of office. The Council is in session when at least four of its members are present, among which necessarily the President or his/her substitute, and decides by the absolute majority vote of those present. In case of split vote, the Chairman’s vote shall prevail. In case of more than two opinions, those of the lesser dissent, must accede to one of the two prevailing ones. The Disciplinary Council shall decide at first and last instance whether the defendant is released of all charges or discharged from the service. The compensation payable to the President, the members and the Secretary of the Council is specified by a joint decision of the Ministers of Finance and Justice, notwithstanding any other provision.

4. A member of the Authority who, in breach of this law, discloses in any way whatsoever personal data accessible to him in the course of his/her duties or allows such data to become known to a third party shall be punished by imprisonment for a period of at least two (2) years and a fine amounting between two million Drachmas (GRD 2,000,000) and ten million Drachmas (GRD 10,000,000). If, however, s/he has committed the act with the purpose of gaining unlawful benefit on his/her behalf or on behalf of another or for the purpose of causing harm to another person, then s/he will be punished by confinement in a penitentiary. If the act referred to in the first section of this paragraph has been committed as a result of negligence, then the perpetrator will be punished by imprisonment for a period of at least three (3) months and a fine.

Article 19. Competence, operation and decisions of the Authority

1. The Authority shall mainly have the following powers:

a) It shall issue instructions for the purpose of a uniform application of the rules pertaining to the protection of individuals against the processing of personal data.
b) It shall call on and assist trade unions and other associations of legal and natural persons keeping personal data files in the preparation of codes of conduct for the more effective protection of the right to privacy and in general the rights and fundamental liberties of all natural persons active in their field.
c) It shall address recommendations and instructions to Controllers or to their representatives, if any, and shall publicise them, at its discretion.
d) It shall grant the permits provided for in this law and shall stipulate the amount of the relevant fees.
e) It shall denounce any breach of the provisions of this law to the competent administrative and judicial authorities.
f) It shall impose the administrative sanctions stipulated in article 21 of this law.
g) It shall assign to one or more of its members the conduct of administrative examinations.
h) It shall proceed ex officio or following a complaint to administrative review of any file. It shall have, to that effect, the right of access to personal data and the right to collect any kind of information for the purposes of such review, notwithstanding any kind of confidentiality. Exceptionally, the Authority shall not have access to identity data relating to associates and contained in files kept for reasons of national security or for the detection of particularly serious crimes. Such review is carried out by one or more members of the Authority or an employee of the Secretariat, duly authorised to that effect by the President of the Authority. In the course of reviewing files kept for reasons of national security the President of the Authority shall be present in person.
i) It shall deliver opinions with respect to any rules relating to the processing and protection of personal data.
j) It shall issue regulations pertaining to special, technical and detailed matters to which the present law refers.
k) It shall communicate to the Parliament any breach of the rules relating to the protection of individuals from the processing of personal data.
l) It shall draw up every year a report on the performance of its duties over the previous calendar year. The report shall also point out any legislative changes required in the area of the protection of individuals from the processing of personal data. The report will be submitted by the President of the Authority to the Speaker of the Parliament and to the Prime Minister and it will be published in the Official Gazette, care of the Authority, who may also decide to publicise the report in any other way.
m) It shall examine complaints relating to the implementation of the law and the protection of the applicants’ rights when such rights are affected by the processing of data relating to them and its shall also examine applications requesting checks on the lawfulness of such processing and it shall advise the applicants as to its actions.
n) It shall co-operate with the respective authorities of other member states of the European Union and the Council of Europe on matters relevant to the exercise of its powers.

2. The Authority shall hold regular sessions upon an invitation by its President. It shall hold extraordinary sessions upon an invitation by the President or an application by at least two of its members. The Authority will decide by the majority vote of at least four of its members. In case of split vote, the President’s vote or that of his/her substitute shall prevail.

3. The Authority may also hold meetings in sections, comprised of at least three regular or substitute members presided by the President of the Authority or his/her substitute. The rules of procedure of the Authority further regulates the composition, the terms of operation of the sections and the allocation of duties between the plenum and the sections. Any decisions of the sections may be amended or revoked by the plenum. The Authority shall adopt its rules of procedure, thus regulating more specifically the allocation of duties among its members, the prior hearing of interested parties, matters relating to the disciplinary procedure, and the methods of carrying out the reviews stipulated in case h) of paragraph 1 of the present article.

4. The Authority shall keep the following registries:

a) the Files and Processing Register, which contains the files and processing communicated to the Authority.

b) the Permits Register, which contains the permits issued by the Authority for the establishment and operation of files containing sensitive data.

c) the Interconnections Register, which contains the declarations and permits issued by the Authority for the interconnection of data.

d) the Register of Persons, who do not want to be included in files for the purposes of promoting the sale or goods or long distance services.

e) the Transfer Permits Register, which contains the permits for the transfer of personal data.

f) the Secret Files Register, which contains, following a decision of the Authority upon application by the competent Controller, files kept by the Ministry of National Defence, the Ministry of Public Order and the National Intelligence Service for reasons of national security or for the detection of particularly serious crimes. The Secret Files Register also contains all interconnections with at least one file of this category.

5. Everyone shall have access to the registries under a), b), c), d) and e) of the previous paragraph. Following an application by the party concerned and a decision by the Authority access may also be permitted, in whole or in part, to the Secret Files Register. Following an application by the Controller or his/her representative and by virtue of a decision of the Authority access to the Transfer Permits Register may be prohibited, in whole or in part, if it may jeopardise the privacy of a third party, national security, the detection of particularly serious crimes and the performance of obligations of the state arising out of international treaties.

6. The President will represent the Authority before all other authorities as well as before committees and groups, in sessions and conferences of institutions of the European Union and of any other international organisation and institution created by an international convention or in which representatives of similar authorities of other countries participate. The President may delegate the representation of the Authority to one of its members, a substitute or even an employee of the Controllers branch of the Secretariat.

7. The President bears responsibility for the operation of the Authority as well as for the operation of the Secretariat. The President may authorise a member of the Authority or the person in charge of the Secretariat or the person in charge of a department of the Secretariat to sign “by order of the President” documents, payment warrants or other acts. The President shall be the Administrative Head of the personnel of the Secretariat. S/he shall exercise disciplinary power over them and may impose disciplinary sanctions, at most a fine equal to half the monthly wages of the defendant.

7a. In the event that the protection of an individual with regard to the processing of personal data calls for immediate decision-making, the President may, upon request of the party concerned, issue a provisional order for immediate suspension of the processing or the file operation, in whole or in part. Said order shall apply until the Authority issues a final judgement. The Authority shall be equally responsible when dealing with the matter.

8. The regulations issued by the Authority shall be published in the Official Gazette. All other decisions of the Authority shall come into force as of the date of their issuance or as of the date they were notified to their recipients.

9. Remedies against the decisions of the Authority may also be filed by the State. Such remedy shall be initiated by the competent Minister as the case may be. In every trial relating to a decision issued by the Authority, the party to the legal proceedings shall be the latter represented by the President. The appearer in court shall be either a member of the Legal Council of the State or a member of the Authority, regular or substitute, or an auditor, who is attorney-at-law and acts by order of the President, without remuneration.

10. All public authorities shall render assistance to the Authority.

Article 20. The Secretariat of the Authority

1. The Authority shall be assisted by a Secretariat. The Secretariat operates at the directorate level. The status of its employees will be governed by the provisions applicable from time to time on administrative civil servants.

2. The organisation of the Secretariat, its division into departments and services and the competence thereof, the number of personnel by branch and speciality as well as any other necessary detail are stipulated by a presidential decree issued upon a proposal by the Ministers of the Interior, Public Administration and Decentralisation, Finance and Justice following a report by the Authority delivered within two months from its establishment. The same decree provides for the establishment, as an administrative unit within the Secretariat, of a Department of Controllers, whose method of employment and status shall also be determined, notwithstanding any other provisions in force from time to time. The person in charge of the Secretariat shall necessarily come from the Controllers branch. The number of positions of the Secretariat of all categories shall not exceed thirty (30).

3. Vacancies in the Secretariat Section will be filled according to the provisions applicable from time to time on civil servants. The employees of the Controllers branch in particular shall be employed by the Secretariat, upon selection or by an examination procedure following a relevant advertisement.

4. Matters pertaining to the employment status of the personnel of the Secretariat shall be subject to a Service Council established by a decision of the President of the Authority and comprising two of its members, one employee appointed by it and two elected representatives of the employees. In all other matters the provisions applicable from time to time to the Service Councils for civil servants and the personnel of legal entities of public law shall apply.

5. Ordinary employees of the Authority’s Secretariat will be subject, as to their secondary social security, to the Assistance Fund for Employees Supervised by the Ministry of Justice. Those coming from other agencies shall continue to be covered by the social security funds of their previous position. The employees of the Secretariat shall be necessarily registered with the Lawyers’ Pension Fund under the same terms and conditions applicable on salaried lawyers covered by it. The provisions of this paragraph shall also apply to employees transferred to the Secretariat of the Authority from legal entities of private law.

6. For the first time the positions of the persons in charge of service units of the Secretariat, with the exception of the Controllers’ Department, shall be filled following an advertisement by the Authority either by a transfer of civil servants or employees of legal entities of public law of grade A or equivalent thereof or by appointment. The appointment procedure shall take place only for those positions not filled by transfer. The selection of those to be transferred or appointed is carried out by the Authority. Those selected are appointed by a decision of the Minister of Justice and those transferred by a decision of the same and the competent Minister. For such transfer to be effected it is not necessary to have an opinion by the competent Service Council of the department of origin. The person in charge of the Secretariat is selected by the Authority among the employees of the Controllers’ Department, notwithstanding any other provision.

7. For the first time the remaining positions of the Secretariat shall be filled under the terms and conditions and according to the procedure stipulated in the preceding paragraph. Candidates with a proven experience in information technology shall be preferred. Regarding the employees of the Controllers’ Department the provisions of paragraph 3 of this article apply.

8. Regarding persons transferred from legal entities of public or private law prior service time shall be deemed as actual service time entailing all lawful consequences.

9. The provisions of paragraph 4 of article 18 shall also apply regarding the employees of the Secretariat.

CHAPTER E. SANCTIONS

Article 21. Administrative Sanctions

1. The Authority may impose on the Controllers or on their representatives, if any, the following administrative sanctions for breach of their duties arising from this law as well as from any other regulation on the protection of individuals from the processing of personal data:

a) a warning with an order for the violation to cease within a specified time limit.
b) a fine amounting between three hundred thousand Drachmas (GRD 300,000) and fifty million Drachmas (GRD 50,000,000).
c) a temporary revocation of the permit.
d) a definitive revocation of the permit.
e) the destruction of the file or a ban of the processing and the destruction of the relevant data.

2. The administrative sanctions referred to in the preceding paragraph under b, c, d and e shall only be imposed following a hearing of the Controller or his representative. Such sanctions shall be commensurate to the gravity of the violation impeached. The administrative sanctions under c, d, and e shall be imposed in case of a particularly serious or repeated violation. A fine may be imposed in conjunction with the sanctions provided for under c, d and e. If the sanction of file destruction is imposed, then the Controller is responsible for such destruction taking place upon payment of a fine in case of non-compliance.

3. The fines referred to in paragraph 1 may be readjusted by a decision of the Minister of Justice following a proposal by the Authority.

4. Any acts of the Authority imposing a fine shall constitute an enforceable instrument and will be served to the Controller or his/her representative, if any. The collection of fines will be effected pursuant to the provisions of the Public Revenues Collection Code (K.E.D.E.).

Article 22. Penal Sanctions

1. Anyone who fails to notify the Authority, according to the provisions of article 6 of this law, of the establishment or the operation of a file or any change in the terms and conditions regarding the granting of the permit referred to in paragraph 3 of article 7 of this law, will be punished by imprisonment for up to three (3) years and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000).

2. Anyone who, in breach of article 7 of this law, keeps a file without permit or in breach of the terms and conditions referred to in the Authority’s permit, will be punished by imprisonment for a period of at least one (1) year and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000).

3. Anyone who, in breach of article 8 of this law, proceeds to the interconnection of files without notifying the Authority accordingly will be punished by imprisonment for up to three (3) years and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000). Anyone who proceeds to the interconnection of files without the Authority’s permit, wherever such permit is required, or in breach of the terms of the permit granted to him, will be punished by imprisonment for a period of at least one (1) year and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000).

4. Anyone who unlawfully interferes in any way whatsoever with a personal data file or takes notice of such data or extracts, alters, affects in a harmful manner, destroys, processes, transfers, discloses, makes accessible to unauthorised persons or permit such persons to take notice of such data or anyone who exploits such data in any way whatsoever, will be punished by imprisonment and a fine and, regarding sensitive data, by imprisonment for a period of at least one (1) year and a fine amounting between one million Drachmas (GRD 1,000,000) and ten million Drachmas (GRD 10,000,000), unless otherwise subject to more serious sanctions.

5. Any Controller who does not comply with decisions issued by the Authority in the exercise of the right of access, pursuant to paragraph 4 of article 12, in the exercise of the right to object, pursuant to paragraph 2 of article 13, as well as with acts imposing the administrative sanctions provided under c, d and e of paragraph 1 of article 21 shall be punished by imprisonment for a period of at least two (2) years and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000). By the sanctions referred to in the preceding sentence shall also be punished any Controller who transfers personal data in breach of article 9 as well as the person who does not comply with the court decision referred to in article 14 of this law.

6. If the perpetrator of the acts referred to in paragraphs 1-5 of this article purported to gain unlawful benefit on his/her behalf or on behalf of another person or to cause harm to a third party, then s/he shall be punished confinement in a penitentiary for a period of up to ten (10) years and a fine amounting between two million Drachmas (GRD 2,000,000) and ten million Drachmas (GRD 10,000,000).

7. If the acts referred to in paragraphs 1-5 of this Article have jeopardised the free operation of democratic governance or national security, then the sanction imposed shall be confinement in a penitentiary and a fine amounting between five million Drachmas (GRD 5,000,000) and ten million Drachmas (GRD 10,000,000).

8. If the acts referred to in paragraphs 1-5 of this Article were committed as a result of negligence, then imprisonment for a period of at least three (3) months and a fine shall be imposed.

9. For the purposes of the present article, if the Controller is not a natural person, then liable shall be the representative of the legal entity or the head of the public authority or agency or organisation, provided s/he also carries out in effect administrative or managerial duties.

10. For the purposes of the present article, the President and the members of the Authority as well as the employees of the Secretariat’s Controllers Department who are especially authorised to that effect shall be deemed as special investigating officers having all the powers invested to them by the Code of Criminal Procedure. They shall be entitled to carry out a preliminary investigation, even without an order by the Public Prosecutor, in case of an act caught in flagrante delicto, a misdemeanour, or if there is risk in any delay.

11. Regarding the offences referred to in paragraph 5 of this article as well as in any other case where an administrative review has been previously carried out by the Authority, the President of the same shall notify the competent Public Prosecutor in writing as to any eventuality that became the object of an investigation by the Authority and shall forward to him all the relevant records and evidence.

12. The preliminary investigation for the offences referred to in this article shall be completed within a period of maximum two (2) months since charges were brought and, provided that there is reasonable cause to remand the defendant to trial, the court date shall be set at a date no later than three (3) months since the preliminary investigation was completed or, if remand was effected by means of an order of the Judicial Council, within two (2) months since the date such order became irrevocable. In the event the case is sent to trial by direct summons, no appeal will be permitted against the writ of summons.

13. No continuation is allowed with regard to the offences referred to in this article, except for extremely important reasons and only once. In this case, the court is adjourned for a specific day within no more than two (2) months and the case shall, exceptionally, be heard first.

14. The felonies, provided for in this law, shall be subject to the jurisdiction of the Court of Appeal.

Article 23. Civil Liability

1. Any natural person or legal entity of private law, who in breach of this law, causes material damage shall be liable for damages in full. If the same causes non pecuniary damage, s/he shall be liable for compensation. Liability shall entail even when the person liable pecuniary should have known that such damage could be brought about.

2. The compensation payable according to article 932 of the Civil Code for non pecuniary damage caused in breach of this law is hereby set at the amount of at least two million Drachmas (GRD 2,000,000), unless the plaintiff claims a lesser amount or the said breach was due to negligence. Such compensation shall be awarded irrespective of the claim for damages.

3. The claims referred to in the present Article shall be litigated according to articles 664-676 of the Code of Civil Procedure, notwithstanding whether the Authority has issued a relevant decision or whether criminal charges have been brought or suspended or postponed on any grounds whatsoever. The decision of the Court shall be issued within a period of two (2) months since the first hearing in court.

CHAPTER F. FINAL – TRANSITIONAL PROVISIONS

Article 24. Responsibilities of the Controller

1. The Controllers of files operating on the date this law enters into force must submit to the Authority the notification of operation referred to in article 6 within six (6) months from the date the Authority commenced operations.

2. The same obligation applies to Controllers of sensitive data files operating on the date this law enters into force, in order to have the permit referred to in paragraph 3 of article 7 issued.

3. Regarding files operating and processing carried out on the date this law enters into force, Controllers must inform the data subjects, according to paragraph 1 of article 11, within six (6) months from the sate the Authority commenced operations. In the event such information pertains to a large number of data subjects, it may also be carried out through the press. In this case the relevant details shall be determined by the Authority. The provisions of paragraph 4 of article 11 shall also apply in this instance.

4. Regarding wholly non-files the deadlines referred to in the preceding paragraphs will extend to one (1) year.

5. The provisions of articles 11, 12, 13 and 19 paragraph 1 of this law shall not apply on criminal records and the official records kept by the competent judicial authorities in order to meet the operational needs of criminal justice and in the context thereof.

Article 25. Commencement of the operation of the Authority

1. Within a period of sixty (60) days since this law enters into force, the President of the Authority and his/her substitute shall be appointed. Within the same time limit the Minister of Justice shall submit to the Speaker of Parliament a proposal for the appointment of the four ordinary members of the Authority and an equal number of substitutes.

2. The time of commencement of the operation of the Authority shall be determined by a decision of the Minister of Justice issued no later than four (4) months since the Authority was established. For the period between the appointment of its members and the recruitment of its Secretariat, the Authority shall be served by personnel temporarily seconded to it by means of its own decision, notwithstanding any other provision.

3. Until such time as the Authority operates according to the preceding paragraph, the administrative control of its expenses shall be effected by the Department of Finance of the Central Service of the Ministry of Justice at the expense of the budget of the Ministry of Justice.

4. The decision of the Minister of Justice, pursuant to paragraph 2 of this article, whereby the date of commencement of the operations of the Authority is determined shall be published in the Official Gazette and in at least four (4) daily political newspapers of broad circulation published in Athens and Thessaloniki and in at least two (2) daily financial newspapers.

Article 26. Entry into force

1. The provisions of Articles 15, 16, 17, 18 and 20 of this law shall enter into force on the date the present law is published in the Official Gazette.

2. The remaining provisions shall enter into force on the date of the commencement of the operations of the Authority, pursuant to the preceding article.

We order that the present law is published in the Official Gazette and is executed as a law of the land.

Athens, 9 April 1997

Law 2472/1997 on the Protection of Individuals with regard to the Processing of Personal Data
(as amended by Laws 2819/2000, 2915/2001, 3431/2006, 3471/2006, 3783/2009 and 3197/2011)  

CHAPTER A

.- GENERAL PROVISIONS

Article 1.- Object

The object of this law is to establish the terms and conditions under which the processing of personal data is to be carried out so as to protect the fundamental rights and freedoms of natural persons and in particular their right to privacy.

Article 2.- Definitions

For the purposes of this law:

a) “Personal data” shall mean any information relating to the data subject. Personal data are not considered to be the consolidated data of a statistical nature whence data subjects may no longer be identified.

b) “Sensitive data” shall mean the data referring to racial or ethnic origin, political opinions, religious or philosophical beliefs, membership to a trade-union, health, social welfare and sexual life, criminal charges or convictions as well as membership to societies dealing with the aforementioned areas.

In particular, in cases of criminal charges or convictions, it is possible to allow their publication by the Public Prosecutor’s Office for the offences referred to in item b, paragraph 2 of Article 3 following an order by the competent Public Prosecutor of the Court of First Instance or the chief Public Prosecutor if the case is pending before the Court of Appeal. The publication of criminal charges or convictions aims at the protection of the community, of minors and of vulnerable or disadvantaged groups, as well as at the facilitation of the punishment of those offences by the State.

c) “Data Subject” shall mean any natural person to whom such data refer and whose identity is known or may be found, i.e., his/her identity may be determined directly or indirectly, in particular by reference to an identity card number or to one or more factors specific to his/her physical, physiological, mental, economic, cultural, political or social identity.

d) “Processing of personal data” (“processing”) shall mean any operation or set of operations which is performed upon personal data by Public Administration or by a public law entity or private law entity or an association or a natural person, whether or not by automatic means, such as collection, recording, organisation, preservation or storage, modification, retrieval, use, disclosure by transmission, dissemination or otherwise making available, correlation or combination, interconnection, blocking (locking), erasure or destruction.

e) “Personal Data File” (“File”) shall mean any structured set of personal data which are accessible on the basis of specific criteria.

f) “Interconnection” shall mean a means of processing consisting in the possibility of co-relating the data from a file to the data from a file or files kept by another Controller or Controllers or with data from a file or files kept by the same Controller for another purpose. g) “Controller” shall mean any person who determines the scope and means of the processing of personal data, such as any natural or legal person, public authority or agency or any other organisation. Where the purposes and means of processing are determined by national or Community laws or regulations, the Controller or the specific criteria for his/her nomination shall be designated by national or Community law.

h) “Processor” shall mean any person who processes personal data on behalf of a Controller, such as any natural person or legal person, public authority or agency or any other organisation.

i) “Third party” shall mean any natural or legal person, public authority or agency or any other body other than the data subject, the Controller and the persons authorised to process the data, provided that they act under the direct supervision or on behalf of the Controller.

j) “Recipient” shall mean any natural or legal person, public authority or agency or any other organisation to whom data are disclosed or transmitted, whether a third party or not.

k) “The Data Subject’s Consent” shall mean any freely given, explicit and specific indication of will, whereby the data subject expressly and fully cognisant signifies his/her informed agreement to personal data relating to him being processed. Such information shall include at least information as to the purpose of processing, the data or data categories being processed, the recipient or categories of recipients of personal data as well as the name, trade name and address of the Controller and his/her representative, if any. Such consent may be revoked at any time without retroactive effect.

l) “Authority” shall mean the Authority for the Protection of Personal Data, which is established pursuant to Chapter D of this law.

Article 3.- Scope

1. The provisions of this law shall apply to the processing, in whole or in part, by automatic means as well as to the processing by non-automatic means, of personal data which form part of a file or are intended to form part of a file.

2. The provisions of this law shall not apply to the processing of personal data, which is carried out:

a) by a natural person in the course of a purely personal or household activity.

b) by judicial-public prosecution authorities and authorities which act under their supervision in the framework of attributing justice or for their proper operation needs with the aim of verifying crimes which are punished as felonies or misdemeanors with intent, and especially with the aim of verifying crimes against life, against sexual freedom, crimes involving the economic exploitation of sexual life, crimes against personal freedom, against property, against the right to property, violations of legislation regarding drugs, plotting against public order, as well as crimes against minors.

With regard to the above, the current essential and procedural penal provisions shall apply. In cases where citizens exercise their right to assemble, in accordance with Article 11 of the Constitution, the simple operation of sound or image recording devices is allowed with a view to recording, subject to the conditions mentioned below. The recording of sound or image using special technical devices with a view to verifying the perpetration of crimes mentioned above shall only be allowed following an order by a Public Prosecutor

representative and provided a serious danger to the public order and security is imminent. The aim of such a recording shall solely be to use the data to verify the perpetration of crimes as evidence in front of any public investigative authority, prosecution authority or court of law. The processing of data which are not necessary for the verification of crimes shall be prohibited, while the recordings shall be destroyed following an order by the Public Prosecutor.

c) By a public authority using special technical devices for the recording of sound or image in public areas with the aim of safeguarding the security of the state, national defense, public security, the protection of persons and property, the management of traffic for which they are competent. The material collected through the above mentioned devices means (as long as it does not fall under point b of the present article) is stored for a period of seven 7 days, after which it is destroyed by the order of the public prosecution authority. Any breach of the above provisions shall be punished by imprisonment for a period of at least one year, unless a stricter punishment is provided for it in some other law.

3. The present law shall apply to any processing of personal data, provided that such processing is carried out:

a) by a Controller or a Processor established in Greek Territory or in a place where Greek law applies by virtue of public international law.

b) by a Controller who is not established in the territory of a member-state of the European Union or of a member of the European Economic Area (EEA) but in a third country and who, for the purposes of processing personal data, makes use of equipment, automated or otherwise, situated on the Greek territory, unless such equipment is used only for purposes of transit through such territory. In this case, the Controller must designate in writing, by a statement addressed to the Authority, a representative established in the Greek territory, who will substitute the Controller to all the Controller’s rights and duties, without prejudice to any liability the latter may be subject to. The same shall also apply when the Controller is subject to exterritoriality, immunity or any other reason inhibiting criminal prosecution.

CHAPTER B.- PROCESSING OF PERSONAL DATA

Article 4.- Characteristics of personal data

1. Personal data, in order to be lawfully processed, must be:

a) collected fairly and lawfully for specific, explicit and legitimate purposes and fairly and lawfully processed in view of such purposes.

b) adequate, relevant and not excessive in relation to the purposes for which they are processed at any given time.

c) accurate and, where necessary, kept up to date.

d) kept in a form which permits identification of data subjects for no longer than the period required, according to the Authority, for the purposes for which such data were collected or processed. Once this period of time is lapsed, the Authority may, by means of a reasoned decision, allow the maintenance of personal data for

historical, scientific or statistical purposes, provided that it considers that the rights of the data subjects or even third parties are not violated in any given case.

2. It shall be for the Controller to ensure compliance with the provisions of the previous paragraph. Personal data, which have been collected or are being processed in breach of the previous paragraph, shall be destroyed, such destruction being the Controller’s responsibility. The Authority, once such a breach is established, either ex officio or upon submission of a relevant complaint, shall order any such collection or processing ceased and the destruction of the personal data already collected or processed.

Article 5.- Conditions of processing

1) Processing of personal data will be permitted only when the data subject has given his/her consent.

2) Exceptionally, data may be processed even without such consent, only if:

a) processing is necessary for the execution of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract.

b) processing is necessary for the compliance with a legal obligation to which the Controller is subject.

c) processing is necessary in order to protect the vital interests of the data subject, if s/he is physically or legally incapable of giving his/her consent.

d) processing is necessary for the performance of a task carried out in the public interest or a project carried out in the exercise of public function by a public authority or assigned by it to the Controller or a third party to whom such data are communicated.

e) processing is absolutely necessary for the purposes of a legitimate interest pursued by the Controller or a third party or third parties to whom the data are communicated and on condition that such a legitimate interest evidently prevails over the rights and interests of the persons to whom the data refer and that their fundamental freedoms are not affected.

3. The Authority may issue special data processing rules for the more usual categories of data processing and files, which do not evidently affect the rights and freedoms of the persons to whom such data refer. These categories will be specified by regulations enacted by the Authority and ratified by Presidential Decrees, issued upon a proposal by the Minister of Justice.

Article 6.- Notification

1. The Controller must notify the Authority in writing about the establishment and operation of a file or the commencement of data processing.

2. In the course of the aforementioned notification, the Controller must necessarily declare the following:

a) his/her name, trade name or distinctive title, as well as his/her address.

b) the address where the file or the main hardware supporting the data processing are established.

c) the description of the purpose of the processing of personal data included or about to be included in the file.

d) the category of personal data that are being processed or about to be processed or included or about to be included in the file.

e) the time period during which s/he intends to carry out data processing or preserve the file.

f) the recipients or the categories of recipients to whom such personal data are or may be communicated.

g) any transfer and the purpose of such transfer of personal data to third countries.

h) the basic characteristics of the system and the safety measures taken for the protection of the file or data processing.

i)

deleted

3. The data referred to in the preceding paragraph will be registered with the Files and Data Processing Register kept by the Authority.

4. Any modification of the data referred to in paragraph 2 must be communicated in writing and without any undue delay by the Controller to the Authority.

Article 7.- Processing of sensitive data

1. The collection and processing of sensitive data is prohibited.

2. Exceptionally, the collection and processing of sensitive data, as well as the establishment and operation of the relevant file, will be permitted by the Authority, when one or more of the following conditions occur:

a) The data subject has given his/her written consent, unless such consent has been extracted in a manner contrary to the law or bonos mores or if law provides that any consent given may not lift the relevant prohibition.

b) Processing is necessary to protect the vital interests of the data subject or the interests provided for by the law of a third party, if s/he is physically or legally incapable of giving his/her consent.

c) Processing relates to data made public by the data subject or is necessary for the recognition, exercise or defence of rights in a court of justice or before a disciplinary body.

d) Processing relates to health matters and is carried out by a health professional subject to the obligation of professional secrecy or relevant codes of conduct, provided that such processing is necessary for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services.

e) Processing is carried out by a Public Authority and is necessary for the purposes of aa) national security, bb) criminal or correctional policy and pertains to the detection of offences, criminal convictions or security measures, cc) protection of public health or dd) the exercise of public control on fiscal or social services.

f) Processing is carried out exclusively for research and scientific purposes provided that anonymity is maintained and all necessary measures for the protection of the persons involved are taken.

g) Processing concerns data pertaining to public figures, provided that such data are in connection with the holding of public office or the management of third parties’ interests, and is carried out solely for journalistic purposes. The Authority may grant a permit only if such processing is absolutely necessary in order to ensure the right to information on matters of public interest, as well as within the framework of literary expression and provided that the right to protection of private and family life is not violated in any way whatsoever.

3. The Authority shall grant a permit for the collection and processing of sensitive data, as well as a permit for the establishment and operation of the relevant file, upon request of the Controller. Should the Authority ascertain that processing of sensitive data is carried out, the notification of the existence of such a file pursuant to article 6 of this law is considered to be a request for a permit. The Authority may impose terms and conditions for a more effective protection of the data subjects’ or third parties’ right to privacy.

4. The permit will be issued for a specific period of time, depending on the purpose of the data processing. It may be renewed upon request of the Controller.

5. The permit shall necessarily contain the following:

a) The full name or trade name or distinctive title, as well as the address, of the Controller and his/her representative, if any.

b) The address of the place where the file is established.

c) The categories of personal data which are allowed to be included in the file.

d) The time period for which the permit is granted.

e) The terms and conditions, if any, imposed by the Authority for the establishment and operation of the file.

f) The obligation to disclose the recipient or recipients as soon as they are identified.

6. A copy of the permit shall be registered with the Permits Register kept by the Authority.

7. Any change in the data referred to in paragraph 5 shall be communicated without undue delay to the Authority. Any change other than a change of address of the Controller or his/her representative shall entail the issuance of a new permit, provided that the terms and conditions stipulated by law are fulfilled.

Article 7a.- Exemption from the obligation to notify and receive a permit

1. The Controller is exempted from the obligation of notification, according to article 6, and the obligation to receive a permit, according to article 7 of the present Law in the following cases:

a. When the processing is carried out exclusively for purposes relating directly to an employment or project relationship or to the provision of services to the public sector and is necessary for the fulfilment of an obligation imposed by law or for the accomplishment of obligations arising from the aforementioned relationships, and upon prior announcement to the data subject.

b. When the processing involves clients’ or suppliers’ personal data, provided that such data are neither transferred nor disclosed to third parties. In order that this provision may be applied courts of justice and public authorities are not considered to be third parties, provided that such a transfer or disclosure is imposed by law or a judicial decision. Insurance companies, for all types of insurance, pharmaceutical companies, companies whose main activities involve trading of data, credit and financial institutions, such as banks and institutions issuing credit cards are not exempted from the obligation of notification.

c. When the processing is carried out by societies, enterprises, associations and political parties and relates to personal data of their members or companies, provided that the latter have given their consent and that such data are neither transferred nor disclosed to third parties. Members and partners are not considered to be third parties, provided that said transfer is carried out among said members and partners for the purposes of the aforementioned legal entities or associations. Courts of justice and public authorities are not considered to be third parties, provided that such a transfer is imposed by law or a judicial decision.

d. When the processing involves medical data and is carried out by doctors or other persons rendering medical services a, provided that the Controller is bound by medical confidentiality or other obligation of professional secrecy, provided for in Law or code of practice, and data are neither transferred nor disclosed to third parties. In order for this provision to be applied, courts of justice and public authorities are not considered to be third parties, provided that such a transfer or disclosure is imposed by law or judicial decision. Legal entities or organisations rendering health care services, such as clinics, hospitals, medical centres, recovery and detoxication centres, insurance funds and insurance companies, as well as Controllers processing personal data within the framework of programmes of telemedicine or provision of health care services via Internet.

e. When the processing is carried out by lawyers, notaries, unpaid land registrars and court officers or companies formed by the aforementioned and involves the provision of legal services to their clients, provided that the Controller and the members of the companies are bound by an obligation of confidentiality imposed by Law and that data are neither transferred nor disclosed to third parties, except for those cases where this is necessary and is directly related to the fulfilment of a client’s mandate.

f. When the processing is carried out by judicial authorities or services, with the exception of the authorities referred to under item b of paragraph 2 of article 3, in the framework of attributing justice or for their proper operation needs.

2. In every case of paragraph 1 of the present article, the Controller is subject to all obligations specified by the present law and is obliged to conform with any special processing rules issued by the Authority pursuant to article 5 paragraph 3 of the present law.

3. The deadlines referred to in paragraphs 1, 2 and 3 of article 24 of Law 2472/1997 are prolonged until January 21st

2001.

Article 8.- Interconnection of files

1. Interconnection of files is permitted only according to the terms and conditions set out in this article.

2. Every interconnection will be communicated to the Authority by means of a declaration jointly submitted by the

Controllers or the Controller who interconnects two or more files serving different purposes. 3. If at least one of the files about to be interconnected contains sensitive data or if the interconnection results to the disclosure of sensitive data or if for the implementation of the interconnection a uniform code number is to be used, such an interconnection will be permitted only following a prior permit by the Authority (interconnection permit).

4. The interconnection permit referred to in the preceding paragraph may be granted upon a prior hearing of the Controllers of such files and shall necessarily include the following:

a. The purpose for which the interconnection is deemed necessary.

b. The categories of personal data to which the interconnection refers.

c. The time period for which the interconnection is permitted.

d. The terms and conditions, if any, for the more effective protection of the rights and freedoms and, in

particular, of the right to privacy of the data subjects or third parties.

5. The interconnection permit may be renewed upon request of the Controllers.

6. The declarations referred to in paragraph 2 of this article, as well as any copies of the interconnection permits, shall be registered with the Interconnections Register kept by the Authority.

Article 9.- Transboundary flow of personal data

1. The transfer of personal data is permitted:

The transfer of personal data is permitted:

a) for member-states of the European Union,

b) for a non-member of the European Union following a permit granted by the Authority if it deems that the country in question guarantees an adequate level of protection. For this purpose it shall particularly take into account the nature of the data, the purpose and the duration of the processing, the relevant general and particular rules of law, the codes of conduct, the security measures for the protection of personal data, as well as the protection level in the countries of origin, transit and final destination of the data. A permit by the Authority is not required if the European Commission has decided, on the basis of the process of article 31, paragraph 2 of Directive 95/46/EC of the Parliament and the Council of 24 October 1995, that the country in question guarantees an adequate level of protection, in the sense of article 25 of the aforementioned Directive.

2. The transfer of personal data to a state non member of the European Union which does not ensure an adequate level of protection is exceptionally allowed only following a permit granted by the Authority, provided that one or more of the following conditions occur:

a. The data subject has consented to such transfer, unless such consent has been extracted in a manner contrary to the law or bonos mores.

b. The transfer is necessary:

i) in order to protect the vital interests of the data subject, provided s/he is physically or legally incapable of giving his/her consent, or

ii) for the conclusion and performance of a contract between the data subject and the Controller or between the Controller and a third party in the interest of the data subject, if s/he is incapable of giving his/her consent, or

iii) for the implementation of precontractual measures taken in response to the data subject’s request.

c) The transfer is necessary in order to address an exceptional need and safeguard a superior public interest, especially for the performance of a co-operation agreement with the public authorities of the other country, provided that the Controller provides adequate safeguards with respect to the protection of privacy and fundamental liberties and the exercise of the corresponding rights.

d) The transfer is necessary for the establishment, exercise or defence of a right in court.

e) The transfer is made from a public register which by law is intended to provide information to the public and which is accessible by the public or by any person who can demonstrate legitimate interest, provided that the conditions set out by law for access to such register are in each particular case fulfilled.

f) The Controller shall provide adequate safeguards with respect to the protection of the data subjects’ personal data and the exercise of their rights, when the safeguards arise from conventional clauses which are in accordance with the regulations of the present law. A permit is not required if the European Commission has decided, on the basis of article 26, paragraph 4 of Directive 95/46/EC, that certain conventional clauses offer adequate safeguards for the protection of personal data.

3. In the cases referred to in the preceding paragraphs, the Authority shall inform the European Commission and the respective Authorities of the other member-states a) when it considers that a specific state does not ensure an adequate protection level and b) for the permits granted pursuant to paragraph 2, point f.

Article 10.- Confidentiality and security of processing

1. The processing of personal data shall be confidential. It shall be carried out solely and exclusively by persons acting under the authority of the Controller or the Processor and upon his/her instructions.

2. In order to carry out data processing the Controller must choose persons with corresponding professional qualifications providing sufficient guarantees in respect of technical expertise and personal integrity to ensure such confidentiality.

3. The Controller must implement appropriate organisational and technical measures to secure data and protect them against accidental or unlawful destruction, accidental loss, alteration, unauthorised disclosure or access as well as any other form of unlawful processing. Such measures must ensure a level of security appropriate to the risks presented by processing and the nature of the data subject to processing. Without prejudice to other provisions, the Authority shall offer instructions and issue regulations in accordance with article 19 paragraph 1 k involving the level of security of data and of the computer and information infrastructure, the security measures that are required for each category and processing of data as well as the use of technology for the strengthening of privacy.

4. If the data processing is carried out on behalf of the Controller, by a person not dependent upon him, the relevant assignment must necessarily be in writing. Such assignment must necessarily provide that the Processor carries out such data processing only on instructions from the Controller and that all other obligations arising from this article shall mutatis mutandis be borne by him.

CHAPTER C

.- THE DATA SUBJECT’S RIGHTS

Article 11.- Right to information

1. The Controller must, during the stage of collection of personal data, inform the data subject in an appropriate and express manner of the following data:

a) his/her identity and the identity of his/her representative, if any,

b) the purpose of data processing,

c) the recipients or the categories of recipients of such data,

d) the existence of a right to access.

2. If the Controller, in order to collect personal data, requests the data subject’s assistance, s/he must inform him specifically and in writing of the data referred to in paragraph 1 of this article as well as of his/her rights according to articles 11-13 of this law. By means of such notification the Controller shall also inform the data subject whether s/he is obliged to assist in the collection of data, on the basis of which provisions, as well as of any sanctions resulting from his/her failure to co-operate.

3. If the data are to be disclosed to third parties, the data subject will be kept informed of such disclosure before it is effected.

4. By virtue of a decision by the Authority, the obligation to inform, pursuant to paragraphs 1 and 3, may be lifted in whole or in part, provided that data processing is carried out for reasons of national security or for the detection of particularly serious crimes. In a state of emergency said obligation may be lifted by way of a provisional, immediately enforceable judgement by the President, who shall convene as soon as possible the Board in order that a final judgement on the matter may be issued.

5. Without prejudice to the rights arising from paragraphs 12 and 13, the right to inform does not exist when such collection is carried out solely for journalistic purposes and refers to public figures.

Article 12.- Right to access

1. Everyone is entitled to know whether personal data relating to him are being processed or have been processed. As to this the Controller must answer in writing.

2. The data subject shall be entitled to request and obtain from the Controller, without undue delay and in an intelligible and express manner, the following information:

a) All the personal data relating to him as well as their source.

b) The purposes of data processing, the recipient or the categories of recipients.

c) Any developments as to such processing for the period since s/he was last notified or advised.

d) The logic involved in the automated data processing.

e) The correction, deletion or locking of data, the processing of which is not in accordance with the provisions of the present law, especially due to the incomplete or inaccurate nature of data and

f) The notification to third parties, to whom the data have been announced, of any correction, deletion or locking which is carried out in accordance with case (e), taken that the notification is not impossible or does not demand disproportionate efforts.

3. The right referred to in the preceding paragraph and the rights arising from article 13 are exercised by means of a relevant application to the Controller and the simultaneous payment of an amount of money, the amount of which, the method of payment as well as any other relevant matter will be regulated by a decision of the Authority. This amount will be returned to the applicant if his/her request to rectify or delete data is considered valid by the processor or the Authority, in case of an appeal before it. The Controller must in this case provide the applicant without undue delay, free of charge and in an intelligible form, a copy of the rectified part of the data relating to him.

4. Should the Controller not reply within a period of fifteen (15) days or should his/her answer be unsatisfactory, the data subject shall be entitled to appeal before the Authority. In the event the Controller refuses to satisfy the request of the party concerned, s/he must notify the Authority as to his/her response and inform the party concerned as to his/her right of appeal before it.

5. By virtue of a decision by the Authority, upon application by the Controller, the obligation to inform, pursuant to paragraphs 1 and 2 of the present article, may be lifted in whole or in part, provided that the processing of personal data is carried out on national security grounds or for the detection of particularly serious crimes. In this case the President of the Authority or his/her substitute carries out all necessary acts and has free access to the files.

6. Data pertaining to health matters will be communicated to the data subject by means of a medical doctor.

Article 13.- Right to object

1. The data subject shall be entitled to object at any time to the processing of data relating to him. Such objections shall be addressed in writing to the Controller and must contain a request for a specific action, such as correction, temporary non-use, locking, non-transfer or deletion. The Controller must reply in writing to such objection within an exclusive deadline of fifteen (15) days. His/her response must advise the data subject as to the actions s/he carried out or, alternatively, as to the grounds for not acceding to his/her request. In case the objection is rejected, the relevant response must also be communicated to the Authority.

2. If the Controller does not respond within the specified time limit or his/her reply is unsatisfactory, then the data subject has the right to appeal before the Authority and request that his/her objections are examined. Should the Authority consider that such objections are reasonable and furthermore there is a risk of serious damage being caused to the data subject as a result of the processing, it may order the immediate suspension of the processing until a final decision on the objections is issued.

3. Any person shall be entitled to declare to the Authority that s/he does not wish data relating to him to be submitted to processing in order to promote the sale of goods or long distance services. The Authority shall keep a register for the identification of such persons. The Controllers of the relevant files must consult the said register prior to any processing and delete from their files the persons referred therein.

Article 14.- Right to provisional judicial protection

1. Everyone is entitled to request from the competent court the immediate suspension or non-application of an act or decision affecting him, issued by an administrative authority or public law entity or private law entity or association or natural person solely on automated processing of data intended to evaluate his/her personality and especially his/her effectiveness at work, creditworthiness, reliability and general conduct.

2. The right referred to in this article may also be satisfied even when the other substantive conditions for provisional judicial protection, as stipulated from time to time, do not occur.

CHAPTER D

.- PERSONAL DATA PROTECTION AUTHORITY

Article 15.- Establishment – Task – Legal Nature

1. A Personal Data Protection Authority (hereinafter: the Authority) is hereby created with the task to supervise the implementation of this law and all other regulations pertaining to the protection of individuals from the processing of personal data as well as to the exercise of the duties assigned to it each time.

2. The Authority constitutes an independent public authority and will be assisted by its own Secretariat. The Authority shall not be subject to any administrative control. In the course of their duties the members of the Authority shall enjoy personal and functional independence. The Authority reports to the Minister of Justice and its seat is in Athens.

3. All necessary appropriations for the operation of the Authority shall be entered in a special code which shall be integrated in the annual Budget of the Ministry of Justice. The authorizing officer for the expenditure is the President or his substitute.

Article 16 Composition of the Authority

1. The Authority shall be composed of a judge of a rank corresponding at least to that of a Conseiller d’Etat as President and six members as follows:

a) A University, full or associate, professor specialised in law.

b) A University, full or associate, professor specialised in information technology.

c) A University, full or associate, professor.

(d, e, f) Three persons of high standing and experience in the field of the protection of personal data.

The judge-President and the professors-members may be on active service or not.

“It is allowed for the members of the Data Protection Authority to exercise duties as members of a University faculty on a full or part-time basis”.

2. The President of the Authority shall be employed on a full and exclusive time basis and will be appointed by a Presidential Decree issued upon proposal of the Cabinet following a report by the Minister of Justice. If a judge on active service is selected for the position of the President, then a decision of the competent Supreme Judicial Council is also required. The same procedure is to be followed for the selection and appointment of the President’s substitute.

3. The members of the Authority will be appointed by means of the following procedure: the Minister of Justice submits to the Speaker of the Parliament a proposal for the appointment of the six ordinary members of the Authority and an equal number of substitutes. The proposal shall include a double number of candidates. The Speaker will then forward the proposal to the Committee on Institutions and Transparency, which renders an opinion. The ordinary members of the Authority and their substitutes are selected by the [Parliamentary Committees] Chairmen Conference. The persons selected are then appointed by virtue of a presidential decree issued following a proposal by the Minister of Justice and published in the Official Gazette.

4. The President and members of the Authority will be appointed for a specific term of office. Their term of office will be of four years and may be renewed only once. None may serve for a total period exceeding eight (8) years. Half of the Authority’s six members will be renewed every two years. In the first application of these presents the term of office of the six (6) members of the Authority shall be of four years. After the second composition of the Authority, a draw will take place among the six ordinary members so as to decide which three of them will serve for a four-year period and which for a two-year period.

5. The President and members of the Authority shall be appointed with an equal number of substitutes who must have the same status and qualifications. The substitutes for the President and the members will participate in the meetings of the Authority only if the corresponding ordinary member is provisionally absent or unable to participate. By means of a decision the President of the Authority may delegate special duties to the substitutes. “Therefore the latter shall participate in the meeting and shall have the right to vote even if the ordinary member is present”. The term of office of each substitute will equal the term of office of the corresponding ordinary member.

Article 17.- Impediments – Incompatibilities of the members of the Authority

1. No one may be appointed as a member of the Authority:

a) If s/he is a Minister, Assistant Minister, Secretary-General to a Ministry or to an independent Secretariat General or a Member of Parliament.

b) If s/he is a governor, manager, administrator, member of the Board of Directors or a person performing managerial duties, in general, in an enterprise producing, manufacturing, selling or trading in materials being used in information technology or telecommunications or rendering services in connection to information technology, telecommunications or personal data processing, as well as persons bound by a work contract to such an enterprise.

2. Membership of the Authority is automatically forfeit for anyone who, following his/her appointment:

a) acquires one of the positions impeding membership of the Authority by virtue of the preceding paragraph.

b) performs any acts or undertakes any tasks or projects or acquires any other position which, at the Authority’s discretion, is incompatible with his/her duties as a member of the Authority.

3. Evidence on the incompatibility, pursuant to the preceding paragraph, is taken by the Authority without the participation of the member, whose position may be incompatible. The Authority shall decide having previously heard the said member. The procedure may be initiated either by the President of the Authority or by the Minister of Justice.

4. The loss of the qualifications on the basis of which a member of the Authority was appointed, pursuant to article 16 paragraph 1 of this law, shall entail his/her automatic forfeiture, if due to an irrevocable disciplinary or criminal conviction.

Article 18.- Duties and rights of the members of the Authority

1. When exercising their duties the members of the Authority are subject to their conscience and the law. They have a duty of confidentiality. As witnesses or expert witnesses they may testify only on facts exclusively and solely pertaining to the observance of the provisions of this law by Controllers. The duty of confidentiality continues to exist even after the members of the Authority are in any way retired.

2. The monthly wages of the President of the Authority correspond to those of the President of the Legal Council of the State and the monthly wages of the members of the Authority equal to forty per cent (40%) of those of the President notwithstanding any other provision. The substitutes of the President and the members of the Authority will be paid 1/3 of the monthly wages paid to the President and the ordinary members of the Authority provided that the President certifies that they have rendered services during the month other than participating in the Authority’s meetings. The remuneration of the President, the members of the Authority and the Secretary for each session in which they participate shall be stipulated by a joint decision by the Ministers of Justice and Finance. The provisions applicable from time to time regarding travel expenses of persons travelling upon official instructions in the exercise of their duties shall also apply for travel by the members of the Authority and employees of the Secretariat of the Authority. The President of the Authority shall issue the relevant travel mandates. The aforementioned provisions shall come into force on the date of the commencement of the operations of the Authority.

3. For any breach of their duties arising from this law the members of the Authority are held disciplinarily liable. The disciplinary procedure will be initiated before the Disciplinary Council by the Minister of Justice with regard to the President and the members of the Authority and by the President of the Authority with regard to its members. The Disciplinary Council consists of a Vice-President of the Conseil d’Etat as Chairman, an Areios Pagos (Supreme Court) judge, a Councillor of the Court of Auditors and two University law professors. An employee of the Authority shall perform the duties of the Secretary to the Council. The Chairman, the members and the Secretary of the Council will be appointed along with an equal number of substitutes. For those members of the Council who are judges a decision of the competent Supreme Judicial Council is also required. The Council is established by virtue of a decision by the Minister of Justice with a three-year term of office. The Council is in session when at least four of its members are present, among which necessarily the President or his/her substitute, and decides by the absolute majority vote of those present.

In case of split vote, the Chairman’s vote shall prevail. In case of more than two opinions, those of the lesser dissent, must accede to one of the two prevailing ones. The Disciplinary Council shall decide at first and last instance whether the defendant is released of all charges or discharged from the service. The compensation payable to the President, the members and the Secretary of the Council is specified by a joint decision of the Ministers of Finance and Justice, notwithstanding any other provision.

4. A member of the Authority who, in breach of this law, discloses in any way whatsoever personal data accessible to him in the course of his/her duties or allows such data to become known to a third party shall be punished by imprisonment for a period of at least two (2) years and a fine amounting between two million Drachmas (GRD 2,000,000) and ten million Drachmas (GRD 10,000,000). If, however, s/he has committed the act with the purpose of gaining unlawful benefit on his/her behalf or on behalf of another or for the purpose of causing harm to another person, then s/he will be punished by confinement in a penitentiary. If the act referred to in the first section of this paragraph has been committed as a result of negligence, then the perpetrator will be punished by imprisonment for a period of at least three (3) months and a fine.

Article 19.- Competence, operation and decisions of the Authority

1. The Authority shall mainly have the following powers:

a. It shall issue instructions for the purpose of a uniform application of the rules pertaining to the protection of individuals against the processing of personal data.

b. It shall call on and assist trade unions and other associations of legal and natural persons keeping personal data files in the preparation of codes of conduct for the more effective protection of the right to privacy and in general the rights and fundamental liberties of all natural persons active in their field.

c. It shall address recommendations and instructions to Controllers or to their representatives, if any, and shall publicise them, at its discretion.

d. It shall grant the permits provided for in this law and shall stipulate the amount of the relevant fees.

e. It shall denounce any breach of the provisions of this law to the competent administrative and judicial authorities.

f. It shall impose the administrative sanctions stipulated in article 21 of this law.

g. It shall assign to one or more of its members the conduct of administrative examinations.

h. It shall proceed ex officio or following a complaint to administrative reviews, in the framework of which the technological infrastructure and other means, automated or not, supporting the processing of data are reviewed. It shall have, to that effect, the right of access to personal data and the right to collect any kind of information for the purposes of such review, notwithstanding any kind of confidentiality. Exceptionally, the Authority shall not have access to identity data relating to associates and contained in files kept for reasons of national security or for the detection of particularly serious crimes. Such review is carried out by one or more members of the Authority or an employee of the Secretariat, duly authorised to that effect by the

President of the Authority. In the course of reviewing files kept for reasons of national security the President of the Authority shall be present in person.

i. It shall deliver opinions with respect to any rules relating to the processing and protection of personal data.

j. It shall issue regulations pertaining to special, technical and detailed matters to which the present law refers.

k. It shall communicate to the Parliament any breach of the rules relating to the protection of individuals from the processing of personal data.

l. It shall draw up every year a report on the performance of its duties over the previous calendar year. The report shall also point out any legislative changes required in the area of the protection of individuals from the processing of personal data. The report will be submitted by the President of the Authority to the

Speaker of the Parliament and to the Prime Minister and it will be published in the Official Gazette, care of the Authority, who may also decide to publicise the report in any other way.

m. It shall examine the complaints of data subjects relating to the implementation of the law and the protection of the applicants’ rights when such rights are affected by the processing of data relating to them. It shall also examine applications by the Controller requesting checks on the lawfulness of such processing. The Authority can file applications or complaints which are deemed broadly vague, unfounded or are submitted misappropriately or anonymously. The Authority shall notify the data subjects and the applicants of its actions.

n. It shall co-operate with the respective authorities of other member states of the European Union and the Council of Europe on matters relevant to the exercise of its powers.

o. It carries out an independent review of the national section of the Schengen Information System, pursuant to article 114, paragraph 1 of the Convention Implementing the Schengen Agreement (Law 2514/1997, Official Gazette 140 A), it exercises the duties of the national supervisory authority as laid down in article 23 of the EUROPOL Convention (Law 2605/1998, Official Gazette 88 A) and the duties of the national supervisory authority as laid down in article 17 of the Convention for the use of Information Technology for customs purposes (Law 2706/1999, Official Gazette 77 A), as well as the duties that arise from any

international agreement.

2. The Authority shall hold regular sessions upon an invitation by its President. It shall hold extraordinary sessions upon an invitation by the President or an application by at least two of its members. The Authority will decide by the majority vote of at least four of its members. In case of split vote, the President’s vote or that of his/her substitute shall prevail.

3. The Authority shall adopt its rules of procedure, thus regulating more specifically the allocation of duties among its members, the prior hearing of interested parties, matters relating to the disciplinary procedure, and the methods of carrying out the reviews stipulated in paragraph 1 case (h) of the present article.

“The Authority may also hold meetings in sections, comprised of at least three regular or substitute members presided by the President of the Authority or his/her substitute. The rules of procedure of the Authority further regulate the composition, the terms of operation of the sections and the allocation of duties between the plenum and the sections.

Any decisions of the sections may be amended or revoked by the plenum”.

4. The Authority shall keep the following registries:

a. the Files and Processing Register, which contains the files and processing communicated to the Authority.

b. the Permits Register, which contains the permits issued by the Authority for the establishment and operation of files containing sensitive data.

c. the Interconnections Register, which contains the declarations and permits issued by the Authority for the interconnection of data.

d. the Register of Persons, who do not want to be included in files for the purposes of promoting the sale or goods or long distance services.

e. the Transfer Permits Register, which contains the permits for the transfer of personal data.

f. the Secret Files Register, which contains, following a decision of the Authority upon application by the competent Controller, files kept by the Ministry of National Defence, the Ministry of Public Order and the National Intelligence Service for reasons of national security or for the detection of particularly serious crimes. The Secret Files Register also contains all interconnections with at least one file of this category.

5. Everyone shall have access to the registries under a), b), c), d) and e) of the previous paragraph. Following an application by the party concerned and a decision by the Authority access may also be permitted, in whole or in part, to the Secret Files Register. Following an application by the Controller or his/her representative and by virtue of a decision of the Authority access to the Transfer Permits Register may be prohibited, in whole or in part, if it may jeopardise the privacy of a third party, national security, the detection of particularly serious crimes and the performance of obligations of the state arising out of international treaties.

6. The President will represent the Authority before all other authorities as well as before committees and groups, in sessions and conferences of institutions of the European Union and of any other international organisation and institution created by an international convention or in which representatives of similar authorities of other countries participate. The President may delegate the representation of the Authority to one of its members, a substitute or even an employee of the Auditors branch of the Secretariat.

7. The President bears responsibility for the operation of the Authority as well as for the operation of the Secretariat.

The President may authorise a member of the Authority or the person in charge of the Secretariat or the person in charge of a department of the Secretariat to sign “by order of the President” documents, payment warrants or other acts.

The President shall be the Administrative Head of the personnel of the Secretariat. S/he shall exercise disciplinary power over them and may impose disciplinary sanctions, at most a fine equal to half the monthly wages of the defendant.

7a. In the event that the protection of an individual with regard to the processing of personal data calls for immediate decision-making, the President may, upon request of the party concerned, issue a provisional order for immediate suspension of the processing or the file operation, in whole or in part. Said order shall apply until the Authority issues a final judgement. The Authority shall be equally responsible when dealing with the matter. 8. The regulations issued by the Authority shall be published in the Official Gazette. All other decisions of the Authority shall come into force as of the date of their issuance or as of the date they were notified to their recipients.

9. Remedies against the decisions of the Authority may also be filed by the State. Such remedy shall be initiated by the competent Minister as the case may be.

In every trial relating to a decision issued by the Authority, the party to the legal proceedings shall be the latter represented by the President. The appearer in court shall be either a member of the Legal Council of the State or a member of the Authority, regular or substitute, or an auditor, who is attorney-at-law and acts by order of the President, without remuneration.

10. All public authorities shall render assistance to the Authority.

Article 20.- The Secretariat of the Authority

1. The Authority shall be assisted by a Secretariat. The Secretariat operates at the Directorate level. The status of its employees will be governed by the provisions applicable from time to time on administrative civil servants.

2. The organisation of the Secretariat, its division into departments and services and the competence thereof, the number of personnel by branch and speciality as well as any other necessary detail are stipulated by a presidential decree issued upon a proposal by the Ministers of the Interior, Public Administration and Decentralisation, Finance and Justice following a report by the Authority delivered within two months from its establishment. The same decree provides for the establishment, as an administrative unit within the Secretariat, of a Department of Auditors, whose method of employment and status shall also be determined, notwithstanding any other provisions in force from time to time. The person in charge of the Secretariat shall necessarily come from the Auditors branch. The number of positions of the Secretariat of all categories shall not exceed thirty (30).

Lawyers may also be employed in the Auditors Department of the Authority’s Secretariat. However, without relinquishing their capacity as lawyers, they may not practice law during their term of office. 3. Vacancies in the Secretariat Section will be filled according to the provisions applicable from time to time on civil servants. The employees of the Auditors branch in particular shall be employed by the Secretariat, upon selection or by an examination procedure following a relevant advertisement.

4. Matters pertaining to the employment status of the personnel of the Secretariat shall be subject to a Service Council established by a decision of the President of the Authority and comprising two of its members, one employee appointed by it and two elected representatives of the employees. In all other matters the provisions applicable from time to time to the Service Councils for civil servants and the personnel of legal entities of public law shall apply.

5. Ordinary employees of the Authority’s Secretariat will be subject, as to their secondary social security, to the Assistance Fund for Employees Supervised by the Ministry of Justice. Those coming from other agencies may continue to be covered by the social security funds of their previous position. The employees of the Secretariat shall be necessarily registered with the Lawyers’ Pension Fund under the same terms and conditions applicable on salaried lawyers covered by it. The provisions of this paragraph shall also apply to employees transferred to the Secretariat of the Authority from legal entities of private law.

6. For the first time the positions of the persons in charge of service units of the Secretariat, with the exception of the Auditors Department, shall be filled following an advertisement by the Authority either by a transfer of civil servants or employees of legal entities of public law of grade A or equivalent thereof or by appointment. The appointment procedure shall take place only for those positions not filled by transfer. The selection of those to be transferred or appointed is carried out by the Authority. Those selected are appointed by a decision of the Minister of Justice and those transferred by a decision of the same and the competent Minister. For such transfer to be effected it is not necessary to have an opinion by the competent Service Council of the department of origin. The person in charge of the Secretariat is selected by the Authority among the employees of the Auditors Department, notwithstanding any other provision.

7. For the first time the remaining positions of the Secretariat shall be filled under the terms and conditions and according to the procedure stipulated in the preceding paragraph. Candidates with a proven experience in information technology shall be preferred. Regarding the employees of the Auditors Department the provisions of paragraph 3 of this article apply.

8. Regarding persons transferred from legal entities of public or private law prior service time shall be deemed as actual service time entailing all lawful consequences.

9. The provisions of paragraph 4 of article 18 shall also apply regarding the employees of the Secretariat.

10. In addition to the monthly wages, and other benefits paid to the ordinary employees of the Ministry of Justice, an extra pay may be granted to the personnel of the Secretariat of the Authority, depending on each category, upon a joint decision of the Ministers of Finance and Justice.

CHAPTER E

.- SANCTIONS

Article 21.- Administrative Sanctions

1. The Authority may impose on the Controllers or on their representatives, if any, the following administrative sanctions for breach of their duties arising from this law as well as from any other regulation on the protection of individuals from the processing of personal data:

a) a warning with an order for the violation to cease within a specified time limit.

b) a fine amounting between three hundred thousand Drachmas (GRD 300,000) and fifty million Drachmas (GRD 50,000,000).

c) a temporary revocation of the permit.

d) a definitive revocation of the permit.

e) the destruction of the file or a ban of the processing and the destruction, return or locking of the relevant data.

2. The administrative sanction 3156/2003 31s referred to in the preceding paragraph under b, c, d and e shall only be imposed following a hearing of the Controller or his representative. Such sanctions shall be commensurate to the gravity of the violation impeached. The administrative sanctions under c, d, and e shall be imposed in case of a particularly serious or repeated violation. A fine may be imposed in conjunction with the sanctions provided for under c, d and e. If the sanction of file destruction is imposed, then the Controller is responsible for such destruction taking place upon payment of a fine in case of noncompliance.

3. The fines referred to in paragraph 1 may be readjusted by a decision of the Minister of Justice following a proposal by the Authority.

4. Any acts of the Authority imposing a fine shall constitute an enforceable instrument and will be served to the Controller or his/her representative, if any. The collection of fines will be effected pursuant to the provisions of the Public Revenues Collection Code.

Article 22.- Penal Sanctions

1. Anyone who fails to notify the Authority, according to the provisions of article 6 of this law, of the establishment or the operation of a file or any change in the terms and conditions regarding the granting of the permit referred to in paragraph 3 of article 7 of this law, will be punished by imprisonment for up to three (3) years and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000).

2. Anyone who, in breach of article 7 of this law, keeps a file without permit or in breach of the terms and conditions referred to in the Authority’s permit, will be punished by imprisonment for a period of at least one (1) year and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000).

3. Anyone who, in breach of article 8 of this law, proceeds to the interconnection of files without notifying the Authority accordingly will be punished by imprisonment for up to three (3) years and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000). Anyone who proceeds to the interconnection of files without the Authority’s permit, wherever such permit is required, or in breach of the terms of the permit granted to him, will be punished by imprisonment for a period of at least one (1) year and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000).

4. Anyone who unlawfully interferes in any way whatsoever with a personal data file or takes notice of such data or extracts, alters, affects in a harmful manner, destroys, processes, transfers, discloses, makes accessible to unauthorised persons or permits such persons to take notice of such data or anyone who exploits such data in any way whatsoever, will be punished by imprisonment and a fine and, regarding sensitive data, by imprisonment for a period of at least one (1) year and a fine amounting between one million Drachmas (GRD 1,000,000) and ten million Drachmas (GRD 10,000,000), unless otherwise subject to more serious sanctions.

5. Any Controller who does not comply with decisions issued by the Authority in the exercise of the right of access, pursuant to paragraph 4 of article 12, in the exercise of the right to object, pursuant to paragraph 2 of article 13, as well as with acts imposing the administrative sanctions provided under c, d and e of paragraph 1 of article 21 shall be punished by imprisonment for a period of at least two (2) years and a fine amounting between one million Drachmas (GRD 1,000,000) and five million Drachmas (GRD 5,000,000). By the sanctions referred to in the preceding sentence shall also be punished any Controller who transfers personal data in breach of article 9 as well as the person who does not comply with the court decision referred to in article 14 of this law.

6. If the perpetrator of the acts referred to in paragraphs 1-5 of this article purported to gain unlawful benefit on his/her behalf or on behalf of another person or to cause harm to a third party, then s/he shall be punished with confinement in a penitentiary for a period of up to ten (10) years and a fine amounting between two million Drachmas (GRD 2,000,000) and ten million Drachmas (GRD 10,000,000).

7. If the acts referred to in paragraphs 1-5 of this Article have jeopardised the free operation of democratic governance or national security, then the sanction imposed shall be confinement in a penitentiary and a fine amounting between five million Drachmas (GRD 5,000,000) and ten million Drachmas (GRD 10,000,000).

8. If the acts referred to in paragraphs 1-5 of this Article were committed as a result of negligence, then imprisonment for a period of at least three (3) months and a fine shall be imposed.

9. For the purposes of the present article, if the Controller is not a natural person, then liable shall be the representative of the legal entity or the head of the public authority or agency or organisation, provided s/he also carries out in effect administrative or managerial duties.

10. Regarding the offences of the present article, the President and the members of the Authority as well as the employees of the Secretariat’s Auditors Department who are especially authorised to that effect shall be deemed as special investigating officers having all the powers invested to them by the Code of Criminal Procedure. They shall be entitled to carry out a preliminary investigation, even without an order by the Public Prosecutor, in case of an act caught in flagrante delicto, a misdemeanour, or if there is risk in any delay.

11. Regarding the offences referred to in paragraph 5 of this article as well as in any other case where an administrative review has been previously carried out by the Authority, the President of the same shall notify the competent Public Prosecutor in writing as to any eventuality that became the object of an investigation by the Authority and shall forward to him all the relevant records and evidence.

12. The preliminary investigation for the offences referred to in this article shall be completed within a period of maximum two (2) months since charges were brought and, provided that there is reasonable cause to remand the defendant to trial, the court date shall be set at a date no later than three (3) months since the preliminary investigation was completed or, if remand was effected by means of an order of the Judicial Council, within two (2) months since the date such order became irrevocable. In the event the case is sent to trial by direct summons, no appeal will be permitted against the writ of summons.

13. No continuation is allowed with regard to the offences referred to in this article, except for extremely important reasons and only once. In this case, the court is adjourned for a specific day within no more than two (2) months and the case shall, exceptionally, be heard first.

14. The felonies, provided for in this law, shall be subject to the jurisdiction of the Court of Appeal.

Article 23.- Civil Liability

1. Any natural person or legal entity of private law, who in breach of this law, causes material damage shall be liable for damages in full. If the same causes non pecuniary damage, s/he shall be liable for compensation. Liability subsists even when said person or entity should have known that such damage could be brought about.

2. The compensation payable according to article 932 of the Civil Code for non pecuniary damage caused in breach of this law is hereby set at the amount of at least two million Drachmas (GRD 2,000,000), unless the plaintiff claims a lesser amount or the said breach was due to negligence. Such compensation shall be awarded irrespective of the claim for damages.

3. The claims referred to in the present Article shall be litigated according to articles 664-676 of the Code of Civil Procedure, notwithstanding whether the Authority has issued a relevant decision or whether criminal charges have been brought or suspended or postponed on any grounds whatsoever. The decision of the Court shall be issued within a period of two (2) months since the first hearing in court.

CHAPTER F

.- FINAL – TRANSITIONAL PROVISIONS

Article 24.- Responsibilities of the Controller

1. The Controllers of files operating on the date this law enters into force must submit to the Authority the notification of operation referred to in article 6 within six (6) months from the date the Authority commenced operations.

2. The same obligation applies to Controllers of sensitive data files operating on the date this law enters into force, in order to have the permit referred to in paragraph 3 of article 7 issued.

3. Regarding files operating and processing carried out on the date this law enters into force, Controllers must inform the data subjects, according to paragraph 1 of article 11, within six (6) months from the date the Authority commenced operations. In the event such information pertains to a large number of data subjects, it may also be carried out through the press. In this case the relevant details shall be determined by the Authority. The provisions of paragraph 4 of article 11 shall also apply in this instance.

4. Regarding wholly non-automated files the deadlines referred to in the preceding paragraphs will extend to one (1) year.

5. The provisions of articles 11, 12, 13 and 19 paragraph 1 of this law shall not apply on criminal records and the official records kept by the competent judicial authorities in order to meet the operational needs of criminal justice and in the context thereof.

Article 25.- Commencement of the operation of the Authority

1. Within a period of sixty (60) days since this law enters into force, the President of the Authority and his/her substitute shall be appointed. Within the same time limit the Minister of Justice shall submit to the Speaker of Parliament a proposal for the appointment of the four ordinary members of the Authority and an equal number of substitutes.

2. The time of commencement of the operation of the Authority shall be determined by a decision of the Minister of Justice issued no later than four (4) months since the Authority was established. For the period between the appointment of its members and the recruitment of its Secretariat, according to article 20 paragraphs 6 and 7 of the present Law, the Authority shall be served by personnel temporarily seconded to it by means of its own decision, notwithstanding any other provision.

3. Until such time as the Authority operates according to the preceding paragraph, the administrative control of its expenses shall be effected by the Department of Finance of the Central Service of the Ministry of Justice at the expense of the budget of the Ministry of Justice.

4. The decision of the Minister of Justice, pursuant to paragraph 2 of this article, whereby the date of commencement of the operations of the Authority is determined shall be published in the Official Gazette and in at least four (4) daily political newspapers of broad circulation published in Athens and Thessaloniki and in at least two (2) daily financial newspapers.

Article 26.- Entry into force

1. The provisions of Articles 15, 16, 17, 18 and 20 of this law shall enter into force on the date the present law is published in the Official Gazette.

2. The remaining provisions shall enter into force on the date of the commencement of the operations of the Authority, pursuant to the preceding article.

24Oct/95

Directiva 95/46/CE

Directiva 95/46/CE, de 24 de octubre de 1995. (Derogada por Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016).

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto  el  Tratado constitutivo de la Comunidad Europea, y, en particular, su artículo 100 A,

Vista la propuesta de la Comisión,

Visto el dictamen del Comité Económico y Social,

De  conformidad  con  el  procedimiento establecido en el artículo 189 B del Tratado,

(1)  Considerando que los objetivos de la Comunidad definidos en el Tratado, tal y como quedó modificado por el Tratado de la Unión Europea, consisten en lograr  una  unión  cada  vez  más  estrecha  entre  los  pueblos  europeos, establecer  relaciones  más  estrechas  entre  los  Estados  miembros  de la Comunidad,  asegurar,  mediante  una  acción  común, el progreso económico y social,  eliminando  las  barreras  que dividen Europa, fomentar la continua mejora  de las condiciones de vida de sus pueblos, preservar y consolidar la paz  y  la  libertad  y  promover  la  democracia, basándose en los derechos fundamentales  reconocidos  en  las  constituciones  y  leyes de los Estados miembros y en el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales;

(2)  Considerando que los sistemas de tratamiento de datos están al servicio del hombre; que deben, cualquiera que sea la nacionalidad o la residencia de las  personas  físicas,  respetar las libertades v derechos fundamentales de las  personas  físicas  y,  en  particular,  la  intimidad,  y contribuir al progreso  económico y social, al desarrollo de los intercambios, así como al bienestar de los individuos;

(3)  Considerando  que  el  establecimiento  y  funcionamiento  del  mercado interior,  dentro del cual está garantizada, con arreglo al artículo 7 A del Tratado,   la   libre  circulación  de  mercancías,  personas,  servicios  y capitales,  hacen necesaria no sólo la libre circulación de datos personales de  un  Estado  miembro  a  otro, sino también la protección de los derechos fundamentales de las personas;

(4)  Considerando que se recurre cada vez más en la Comunidad al tratamiento de  datos  personales  en  los  diferentes sectores de actividad económica y social;  que  el  avance  de  las  tecnologías  de  la  información facilita considerablemente el tratamiento y el intercambio de dichos datos;

(5)  Considerando  que  la  integración  económica  y  social resultante del establecimiento  y  funcionamiento  del  mercado  interior,  definido  en el artículo 7 A del Tratado, va a implicar necesariamente un aumento notable de los  flujos  transfronterizos de datos personales entre todos los agentes de la  vida  económica y social de los Estados miembros, ya se trate de agentes públicos  o  privados; que el intercambio de datos personales entre empresas establecidas en los diferentes Estados miembros experimentará un desarrollo; que  las  administraciones nacionales de los diferentes Estados miembros, en aplicación  del  Derecho  comunitario,  están  destinadas  a  colaborar  y a intercambiar  datos  personales  a  fin  de  cumplir  su  cometido o ejercer funciones  por  cuenta de las administraciones de otros Estados miembros, en el marco del espacio sin fronteras que constituye el mercado interior;

(6)  Considerando,  por  lo  demás, que el fortalecimiento de la cooperación científica y técnica, así como el establecimiento coordinado de nuevas redes de  telecomunicaciones  en  la  Comunidad  exigen y facilitan la circulación transfronteriza de datos personales;

(7)  Considerando que las diferencias entre los niveles de protección de los derechos  y  libertades  de  las personas y, en particular, de la intimidad, garantizados  en  los Estados miembros por lo que respecta al tratamiento de datos  personales,  pueden  impedir  la  transmisión  de  dichos  datos  del territorio  de  un  Estado  miembro  al  de  otro;  que, por lo tanto, estas diferencias pueden constituir un obstáculo para el ejercicio de una serie de actividades  económicas  a  escala  comunitaria,  falsear  la  competencia e impedir  que  las administraciones cumplan los cometidos que les incumben en virtud  del  Derecho  comunitario;  que  estas diferencias en los niveles de protección  se  deben  a  la  disparidad  existente  entre las disposiciones legales, reglamentarias y administrativas de los Estados miembros;

(8) Considerando que, para eliminar los obstáculos a la circulación de datos personales,  el  nivel  de  protección  de  los derechos y libertades de las personas,  por  lo  que  se refiere al tratamiento de dichos datos, debe ser equivalente  en  todos los Estados miembros; que ese objetivo, esencial para el  mercado  interior,  no  puede lograrse mediante la mera actuación de los Estados miembros, teniendo en cuenta, en particular, las grandes diferencias existentes en la actualidad entre las legislaciones nacionales aplicables en la  materia  y  la  necesidad  de coordinar las legislaciones de los Estados miembros  para que el flujo transfronterizo de datos personales sea regulado de  forma  coherente  y  de conformidad con el objetivo del mercado interior definido en el artículo 7 A del Tratado; que, por tanto, es necesario que la Comunidad intervenga para aproximar las legislaciones;

(9) Considerando que, a causa de la protección equivalente que resulta de la aproximación  de  las  legislaciones  nacionales, los Estados miembros ya no podrán obstaculizar la libre circulación entre ellos de datos personales por motivos  de protección de los derechos y libertades de las personas físicas, y,  en  particular,  del  derecho  a  la intimidad; que los Estados miembros dispondrán de un margen de maniobra del cual podrán servirse, en el contexto de  la  aplicación de la presente Directiva, los interlocutores económicos y sociales;  que  los  Estados  miembros  podrán, por lo tanto, precisar en su derecho  nacional  las  condiciones  generales de licitud del tratamiento de datos;  que,  al  actuar  así,  los  Estados  miembros procurarán mejorar la protección  que  proporciona su legislación en la actualidad; que, dentro de los  límites  de  dicho  margen  de maniobra y de conformidad con el Derecho comunitario,  podrán  surgir  disparidades  en  la aplicación de la presente Directiva,  y  que ello podrá tener repercusiones en la circulación de datos tanto en el interior de un Estado miembro como en la Comunidad;

(10)  Considerando que las legislaciones nacionales relativas al tratamiento de  datos personales tienen por objeto garantizar el respeto de los derechos y  libertades  fundamentales,  particularmente  del derecho al respeto de la vida  privada  reconocido  en  el  artículo  8  del Convenio Europeo para la Protección  de  los  Derechos Humanos y de las Libertades Fundamentales, así como en los principios generales del Derecho comunitario; que, por lo tanto, la  aproximación  de dichas legislaciones no debe conducir a una disminución de  la  protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad;

(11)  Considerando  que  los  principios  de la protección de los derechos y libertades  de  las  personas y, en particular, del respeto de la intimidad, contenidos  en la presente Directiva, precisan y amplían los del Convenio de 28 de enero de 1981 del Consejo de Europa para la protección de las personas en lo que respecta al tratamiento automatizado de los datos personales;

(12)  Considerando  que  los  principios  de la protección deben aplicarse a todos  los  tratamientos  de  datos  personales  cuando  las actividades del responsable  del  tratamiento  entren en el ámbito de aplicación del Derecho comunitario;  que  debe  excluirse el tratamiento de datos efectuado por una persona  física  en  el ejercicio de actividades exclusivamente personales o domésticas,  como  la  correspondencia  y  la  llevanza  de un repertorio de direcciones;

(13)  Considerando  que las actividades a que se refieren los títulos V y VI del  Tratado  de  la  Unión  Europea  relativos  a  la seguridad pública, la defensa,  la  seguridad del Estado y las actividades del Estado en el ámbito penal  no  están  comprendidas  en  el  ámbito  de  aplicación  del  Derecho comunitario,  sin  perjuicio  de las obligaciones que incumben a los Estados miembros  con  arreglo  al apartado 2 del artículo 56 y a los artículos 57 y 100  A del Tratado; que el tratamiento de los datos de carácter personal que sea  necesario  para  la  salvaguardia del bienestar económico del Estado no está  comprendido en el ámbito de aplicación de la presente Directiva en los casos en que dicho tratamiento esté relacionado con la seguridad del Estado;

(14)  Considerando  que, habida cuenta de la importancia que, en el marco de la  sociedad de la información, reviste el actual desarrollo de las técnicas para captar, transmitir, manejar, registrar, conservar o comunicar los datos relativos  a  las  personas  físicas  constituidos  por  sonido e imagen, la presente  Directiva  habrá  de  aplicarse  a  los tratamientos que afectan a dichos datos;

(15)  Considerando  que  los  tratamientos  que  afectan a dichos datos sólo quedan  amparados  por  la  presente  Directiva cuando están automatizados o cuando  los datos a que se refieren se encuentran contenidos o se destinan a encontrarse   contenidos   en   un   archivo  estructurado  según  criterios específicos  relativos  a  las  personas,  a  fin  de  que  le pueda acceder fácilmente a los datos de carácter personal de que se trata;

(16)  Considerando  que  los tratamientos de datos constituidos por sonido e imagen,  como los de la vigilancia por videocámara, no están comprendidos en el ámbito de aplicación de la presente Directiva cuando se aplican con fines de  seguridad  pública, defensa, seguridad del Estado o para el ejercicio de las actividades del Estado relacionadas con ámbitos del derecho penal o para el  ejercicio de otras actividades que no están comprendidos en el ámbito de aplicación del Derecho comunitario;

(17)  Considerando  que en lo que respecta al tratamiento del sonido y de la imagen  aplicados  con  fines  periodísticos  o  de  expresión  literaria  o artística,  en  particular  en  el  sector audiovisual, los principios de la Directiva  se aplican de forma restringida según lo dispuesto en al artículo 9;

(18)  Considerando  que,  para  evitar  que  una  persona sea excluida de la protección  garantizada  por  la  presente  Directiva, es necesario que todo tratamiento  de  datos  personales  efectuado  en  la  Comunidad  respete la legislación  de  uno  de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que  actúe  bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;

(19)  Considerando  que  el  establecimiento  en  el territorio de un Estado miembro  implica  el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple  sucursal  o  una  empresa filial con personalidad jurídica, no es un factor  determinante  al  respecto;  que  cuando  un  mismo responsable esté establecido  en  el territorio de varios Estados miembros, en particular por medio  de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las  obligaciones  impuestas  por  el  Derecho  nacional  aplicable  a estas actividades;

(20)  Considerando  que  el  hecho  de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de  las personas contemplada en la presente Directiva; que en estos casos el tratamiento  de  datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adoptarse garantías para que se  respeten  en  la práctica los derechos y obligaciones contempladas en la presente Directiva;

(21)  Considerando  que  la  presente  Directiva  no  afecta a las normas de territorialidad aplicables en materia penal;

(22) Considerando que los Estados miembros precisarán en su legislación o en la  aplicación  de  las  disposiciones  adoptadas  en  virtud de la presente Directiva  las  condiciones  generales  de licitud del tratamiento de datos; que,  en  particular,  el  artículo  5  en relación con los artículos 7 y 8, ofrece  a  los Estados miembros la posibilidad de prever, independientemente de  las  normas generales, condiciones especiales de tratamiento de datos en sectores  específicos,  así  como  para  las  diversas  categorías  de datos contempladas en el artículo 8;

(23)  Considerando que los Estados miembros están facultados para garantizar la  protección  de las personas tanto mediante una ley general relativa a la protección de las personas respecto del tratamiento de los datos de carácter personal   como  mediante  leyes  sectoriales,  como  las  relativas  a  los institutos estadísticos;

(24)  Considerando  que  las  legislaciones relativas a la protección de las personas  jurídicas respecto del tratamiento de los datos que las conciernan no son objeto de la presente Directiva;

(25)  Considerando  que los principios de la protección tienen su expresión, por  una  parte,  en las distintas obligaciones que incumben a las personas, autoridades  públicas,  empresas,  agencias  u otros organismos que efectúen tratamientos  -obligaciones  relativas,  en  particular, a la calidad de los datos,  la seguridad técnica, la notificación a las autoridades de control y las  circunstancias en las que se puede efectuar el tratamiento- y, por otra parte,  en  los derechos otorgados a las personas cuyos datos sean objeto de tratamiento  de ser informadas acerca de dicho tratamiento, de poder acceder a  los datos, de poder solicitar su rectificación o incluso de oponerse a su tratamiento en determinadas circunstancias;

(26)  Considerando  que  los principios de la protección deberán aplicarse a cualquier  información  relativa a una persona identificada o identificable; que,  para determinar si una persona es identificable, hay que considerar el conjunto  de  los  medios  que  puedan  ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha  persona;  que  los  principios  de  la  protección  no se aplicarán a aquellos  datos  hechos  anónimos  de  manera  tal  que  ya  no  sea posible identificar  al  interesado;  que  los  códigos  de  conducta con arreglo al artículo   27   pueden   constituir   un  elemento  útil  para  proporcionar indicaciones  sobre los medios gracias a los cuales los datos pueden hacerse anónimos y conservarse de forma tal que impida identificar al interesado;

(27)  Considerando que la protección de las personas debe aplicarse tanto al tratamiento automático de datos como a su tratamiento manual; que el alcance de  esta protección no debe depender, en efecto, de las técnicas utilizadas, pues la contrario daría lugar a riesgos graves de elusión; que, no obstante, por lo que respecta al tratamiento manual, la presente Directiva sólo abarca los ficheros, y no se aplica a las carpetas que no están estructuradas; que, en  particular,  el  contenido  de  un fichero debe estructurarse conforme a criterios  específicos  relativos  a  las  personas,  que  permitan  acceder fácilmente a los datos personales; que, de conformidad con la definición que recoge  la  letra  c)  del  artículo 2, los distintos criterios que permiten determinar  los  elementos  de un conjunto estructurado de datos de carácter personal y los distintos criterios que regulan el acceso a dicho conjunto de datos  pueden  ser  definidos  por  cada Estado miembro; que, las carpetas y conjuntos  de  carpetas,  así  como sus portadas, que no estén estructuradas conforme  a criterios específicos no están comprendidas en ningún caso en el ámbito de aplicación de la presente Directiva;

(28)  Considerando  que todo tratamiento de datos personales debe efectuarse de  forma  lícita  y leal con respecto al interesado; que debe referirse, en particular,  a  datos  adecuados, pertinentes y no excesivos en relación con los  objetivos  perseguidos;  que  estos  objetivos  han de ser explícitos y legítimos,  y  deben  estar determinados en el momento de obtener los datos; que  los  objetivos de los tratamientos posteriores a la obtención no pueden ser incompatibles con los objetivos originalmente especificados;

(29) Considerando que el tratamiento ulterior de datos personales, con fines históricos,  estadísticos  o científicos no debe por lo general considerarse incompatible con los objetivos para los que se recogieron los datos, siempre y  cuando  los  Estados  miembros  establezcan  las garantías adecuadas; que dichas garantías deberán impedir que dichos datos sean utilizados para tomar medidas o decisiones contra cualquier persona;

(30)  Considerando  que  para  ser lícito el tratamiento de datos personales debe  basarse además en el consentimiento del interesado o ser necesario con vistas  a  la  celebración  o  ejecución  de  un  contrato  que  obligue  al interesado,  o  para  la  observancia  de  una  obligación  legal  o para el cumplimiento  de  una  misión  de  interés público o para el ejercicio de la autoridad  pública  o  incluso para la realización de un interés legítimo de una  persona,  siempre  que  no  prevalezcan  los intereses o los derechos y libertades  del  interesado; que, en particular, para asegurar el equilibrio de  los  intereses en juego, garantizando a la vez una competencia efectiva, los  Estados  miembros  pueden precisar las condiciones en las que se podrán utilizar  y comunicar a terceros datos de carácter personal, en el desempeño de actividades legítimas de gestión ordinaria de empresas y otras entidades; que   los  Estados  miembros  pueden  asimismo  establecer  previamente  las condiciones  en  que  pueden efectuarse comunicaciones de datos personales a terceros  con  fines de prospección comercial o de prospección realizada por una  institución benéfica u otras asociaciones o fundaciones, por ejemplo de carácter  político,  dentro  del respeto de las disposiciones que permiten a los   interesados  oponerse,  sin  alegar  los  motivos  y  sin  gastos,  al tratamiento de los datos que les conciernan;

(31)  Considerando  que  un  tratamiento  de datos personales debe estimarse lícito  cuando se efectúa con el fin de proteger un interés esencial para la vida del interesado;

(32)  Considerando que corresponde a las legislaciones nacionales determinar si  el responsable del tratamiento que tiene conferida una misión de interés público   o   inherente  al  ejercicio  del  poder  público,  debe  ser  una administración pública u otra persona de derecho público o privado, como por ejemplo una asociación profesional;

(33)  Considerando, por lo demás, que los datos que por su naturaleza puedan atentar  contra  las  libertades  fundamentales  o la intimidad no deben ser objeto  de  tratamiento alguno, salvo en caso de que el interesado haya dado su  consentimiento  explícito;  que  deberán  constar de forma explícita las excepciones  a  esta prohibición para necesidades específicas, en particular cuando  el tratamiento de dichos datos se realice con fines relacionados con la  salud, por parte de personas físicas sometidas a una obligación legal de secreto  profesional,  o  para  actividades  legítimas  por parte de ciertas asociaciones  o  fundaciones cuyo objetivo sea hacer posible el ejercicio de libertades fundamentales;

(34)  Considerando  que  también se deberá autorizar a los Estados miembros, cuando  esté  justificado por razones de interés público importante, a hacer excepciones  a  la  prohibición  de  tratar categorías sensibles de datos en sectores como la salud pública y la protección social, particularmente en lo relativo  a  la  garantía  -de  la  calidad  y la rentabilidad, así como los procedimientos  utilizados para resolver las reclamaciones de prestaciones y de   servicios  en  el  régimen  del  seguro  enfermedad,  la  investigación científica  y  las  estadísticas  públicas;  que  a  ellos  corresponde,  no obstante,  prever  las  garantías  apropiadas  y  específicas a los fines de proteger los derechos fundamentales y la vida privada de las personas;

(35)  Considerando, además, que el tratamiento de datos personales por parte de   las   autoridades  públicas  con  fines,  establecidos  en  el  Derecho constitucional  o  en  el  Derecho  internacional  público,  de asociaciones religiosas  reconocidas  oficialmente, se realiza por motivos importantes de interés público;

(36)  Considerando  que,  si en el marco de actividades relacionadas con las elecciones,  el  funcionamiento  del  sistema democrático en algunos Estados miembros  exige  que los partidos políticos recaben datos sobre la ideología política  de los ciudadanos, podrá autorizarse el tratamiento de estos datos por  motivos  importantes de interés público, siempre que se establezcan las garantías adecuadas;

(37)  Considerando  que  para  el  tratamiento de datos personales con fines periodísticos  o  de  expresión  artística  o literaria, en particular en el sector   audiovisual,   deben   preverse   excepciones  o  restricciones  de determinadas  disposiciones  de  la  presente Directiva siempre que resulten necesarias  para  conciliar  los derechos fundamentales de la persona con la libertad  de  expresión y, en particular, la libertad de recibir o comunicar informaciones,  tal  y  como  se  garantiza  en  el artículo 10 del Convenio Europeo  para  la  Protección  de  los  Derechos Humanos y de las Libertades Fundamentales; que por lo tanto, para ponderar estos derechos fundamentales, corresponde   a   los   Estados   miembros  prever  las  excepciones  y  las restricciones  necesarias  en  lo  relativo a las medidas generales sobre la legalidad  del  tratamiento  de datos, las medidas sobre la transferencia de datos a terceros países y las competencias de las autoridades de control sin que  esto  deba  inducir,  sin  embargo,  a  los  Estados  miembros a prever excepciones  a las medidas que garanticen la seguridad del tratamiento; que, igualmente,  debería  concederse a la autoridad de control responsable en la materia  al  menos  una  serie de competencias a posteriori como por ejemplo publicar periódicamente un informe al respecto o bien iniciar procedimientos legales ante las autoridades judiciales;

(38)   Considerando  que  el  tratamiento  leal  de  datos  supone  que  los interesados  deben  estar  en  condiciones  de  conocer la existencia de los tratamientos y, cuando los datos se obtengan de ellos mismos, contar con una información  precisa  y  completa  respecto  a  las  circunstancias de dicha obtención;

(39)  Considerando  que determinados tratamientos se refieren a datos que el responsable no ha recogido directamente del interesado; que, por otra parte, pueden  comunicarse  legítimamente  datos  a  un  tercero  aún  cuando dicha comunicación no estuviera prevista en el momento de la recogida de los datos del  propio  interesado;  que,  en todos estos supuestos, debe informarse al interesado  en  el  momento  del  registro  de los datos o, a más tardar, al comunicarse los datos por primera vez a un tercero;

(40)  Considerando, no obstante, que no es necesario imponer esta obligación si  el  interesado ya está informado, si el registro o la comunicación están expresamente  previstos por la ley o si resulta imposible informarle, o ello implica   esfuerzos   desproporcionados,   como   puede  ser  el  caso  para tratamientos  con  fines  históricos, estadísticos o científicos; que a este respecto  pueden  tomarse  en  consideración  el  número  de interesados, la antigüedad de los datos, y las posibles medidas compensatorias;

(41) Considerando que cualquier persona debe disfrutar del derecho de acceso a   los  datos  que  le  conciernan  y  sean  objeto  de  tratamiento,  para cerciorarse,  en  particular,  de  su  exactitud  y  de  la  licitud  de  su tratamiento;  que por las mismas razones cualquier persona debe tener además el  derecho  de conocer la lógica que subyace al tratamiento automatizado de los  datos  que  la  conciernan,  al  menos  en  el  caso  de las decisiones automatizadas  a  que  se  refiere  el  apartado 1 del artículo 15; que este derecho  no  debe  menoscabar  el  secreto  de  los negocios ni la propiedad intelectual  y  en  particular  el  derecho de autor que proteja el programa informático;  que no obstante esto no debe suponer que se deniegue cualquier información al interesado;

(42)  Considerando  que,  en  interés  del interesado de que se trate y para proteger  los derechos y libertades de terceros, los Estados miembros podrán limitar  los  derechos  de acceso y de información; que podrán, por ejemplo, precisar  que  el  acceso  a  los  datos de carácter médico únicamente pueda obtenerse a través de un profesional de la medicina;

(43)  Considerando  que  los Estados miembros podrán imponer restricciones a los  derechos  de  acceso  e  información  y a determinadas obligaciones del responsable  del  tratamiento,  en  la  medida  en  que  sean  estrictamente necesarias  para,  por  ejemplo,  salvaguardar  la  seguridad del Estado, la defensa,  la  seguridad  pública,  los  intereses  económicos  o financieros importantes  de  un  Estado  miembro  o  de la Unión, así como para realizar investigaciones y entablar procedimientos penales y perseguir violaciones de normas  deontológicas en las profesiones reguladas; que conviene enumerar, a efectos  de  excepciones y limitaciones, las tareas de control, inspección o reglamentación necesarias en los tres últimos sectores mencionados relativos a  la  seguridad  pública,  los  intereses  económicos  o  financieros  y la represión  penal;  que  esta  enumeración  de  tareas  relativas  a los tres sectores   citados   no  afecta  a  la  legitimidad  de  las  excepciones  y restricciones establecidas por razones de seguridad del Estado o de defensa;

(44) Considerando que los Estados miembros podrán verse obligados, en virtud de las disposiciones del Derecho comunitario, a establecer excepciones a las disposiciones  de la presente Directiva relativas al derecho de acceso, a la información de personas y a la, calidad de los datos para garantizar algunas de las finalidades contempladas más arriba;

(45)  Considerando que cuando se pudiera efectuar lícitamente un tratamiento de  datos  por  razones  de  interés público o del ejercicio de la autoridad pública,  o  en  interés  legítimo  de una persona física, cualquier persona deberá,  sin  embargo,  tener  derecho  a  oponerse  a  que los datos que le conciernan  sean  objeto  de un tratamiento, en virtud de motivos fundados y legítimos  relativos  a  su  situación  concreta;  que  los Estados miembros tienen,  no  obstante, la posibilidad de establecer disposiciones nacionales contrarias;

(46)  Considerando  que  la  protección  de los derechos y libertades de los interesados  en lo que respecta a los tratamientos de datos personales exige la  adopción  de  medidas técnicas y de organización apropiadas, tanto en el momento  de  la  concepción  del  sistema  de  tratamiento  como en el de la aplicación  de  los tratamientos mismos, sobre todo con objeto de garantizar la  seguridad  e  impedir,  por  tanto,  todo tratamiento no autorizado; que corresponde  a  los  Estados  miembros  velar  por  que los responsables del tratamiento  respeten dichas medidas; que esas medidas deberán garantizar un nivel  de seguridad adecuado teniendo en cuenta el estado de la técnica y el coste  de  su  aplicación  en  relación  con  los  riesgos  que  presente el tratamiento y con la naturaleza de los datos que deban protegerse;

(47) Considerando que cuando un mensaje con datos personales sea transmitido a  través  de  un servicio de telecomunicaciones o de correo electrónico cuyo único  objetivo  sea  transmitir  mensajes  de  ese  tipo,  será considerada normalmente responsable del tratamiento de los datos personales presentes en el  mensaje  aquella persona de quien proceda el mensaje y no la que ofrezca el  servicio  de  transmisión;  que,  no obstante, las personas que ofrezcan estos  servicios normalmente serán consideradas responsables del tratamiento de  los datos personales complementarios y necesarios para el funcionamiento del servicio;

(48)  Considerando  que los procedimientos de notificación a la autoridad de control  tienen  por  objeto  asegurar  la  publicidad  de  los fines de los tratamientos y de sus principales características a fin de controlarlos a la luz  de  las disposiciones nacionales adoptadas en aplicación de la presente Directiva;

(49)  Considerando  que  para evitar trámites administrativos improcedentes, los  Estados  miembros pueden establecer exenciones o simplificaciones de la notificación  para los tratamientos que no atenten contra los derechos y las libertades  de  los  interesados,  siempre y cuando sean conformes a un acto adoptado  por  el  Estado miembro en el que se precisen sus límites; que los Estados  miembros pueden igualmente disponer la exención o la simplificación cuando  un  encargado,  nombrado  por  el  responsable  del  tratamiento, se cerciore  de  que  los  tratamientos efectuados no pueden atentar contra los derechos  y  libertades  de  los interesados; que la persona encargada de la protección  de  los datos, sea o no empleado del responsable del tratamiento de datos, deberá ejercer sus funciones con total independencia;

(50) Considerando que podrán establecerse exenciones o simplificaciones para los  tratamientos  cuya  única  finalidad  sea el mantenimiento de registros destinados,  de  conformidad  con  el Derecho nacional, a la información del público y que sean accesibles para la consulta del público o de toda persona que justifique un interés legítimo;

(51)  Considerando,  no obstante, que el beneficio de la simplificación o de la  exención de la obligación de notificación no dispensa al responsable del tratamiento  de  ninguna  de las demás obligaciones derivadas de la presente Directiva;

(52)  Considerando  que, en este contexto, el control a posteriori por parte de  las  autoridades  competentes  debe considerarse, en general, una medida suficiente;

(53)   Considerando,  no  obstante,  que  determinados  tratamientos  pueden presentar riesgos particulares desde el punto de vista de los derechos y las libertades  de  los  interesados,  ya sea por su naturaleza, su alcance o su finalidad,  como  los  de  excluir  a  los  interesados  del beneficio de un derecho,  de una prestación o de un contrato, o por el uso particular de una tecnología  nueva;  que  es  competencia  de los Estados miembros, si así lo desean, precisar tales riesgos en sus legislaciones;

(54)  Considerando que, a la vista de todos los tratamientos llevados a cabo en  la  sociedad,  el número de los que presentan tales riesgos particulares debería ser muy limitado; que los Estados miembros deben prever, para dichos tratamientos, un examen previo a su realización por parte de la autoridad de control  o  del  encargado  de  la  protección  de  datos en cooperación con aquélla;  que, tras dicho control previo, la autoridad de control, en virtud de lo que disponga su Derecho nacional, podrá emitir un dictamen o autorizar el  tratamiento de datos; que este examen previo podrá realizarse también en el  curso  de  la  elaboración  de  una  medida  legislativa aprobada por el Parlamento  nacional o de una medida basada en dicha medida legislativa, que defina la naturaleza del tratamiento y precise las garantías adecuadas;

(55)  Considerando  que las legislaciones nacionales deben prever un recurso judicial  para  los casos en los que el responsable del tratamiento de datos no  respete los derechos de los interesados; que los daños que pueden sufrir las  personas  a  raíz de un tratamiento ilícito han de ser reparados por el responsable  del  tratamiento  de  datos,  el cual sólo podrá ser eximido de responsabilidad  si  demuestra  que no le es imputable el hecho perjudicial, principalmente  si  demuestra la responsabilidad del interesado o un caso de fuerza mayor; que deben imponerse sanciones a toda persona, tanto de derecho privado como de derecho público, que no respete las disposiciones nacionales adoptadas en aplicación de la presente Directiva;

(56)  Considerando  que  los flujos transfronterizos de datos personales son necesarios  para la desarrollo del comercio internacional; que la protección de  las personas garantizada en la Comunidad por la presente Directiva no se opone  a  la  transferencia  de  datos  personales  a  terceros  países  que garanticen  un  nivel  de  protección adecuado; que el carácter adecuado del nivel de protección ofrecido por un país tercero debe apreciarse teniendo en cuenta  todas  las  circunstancias  relacionadas  con  la transferencia o la categoría de transferencias;

(57)  Considerando, por otra parte, que cuando un país tercero no ofrezca un nivel  de  protección  adecuado debe prohibirse la transferencia al mismo de datos personales;

(58)  Considerando que han de establecerse excepciones a esta prohibición en determinadas   circunstancias,   cuando   el   interesado   haya   dado   su consentimiento,  cuando  la  transferencia  sea necesaria en relación con un contrato  o  una  acción  judicial,  cuando así lo exija la protección de un interés   público   importante,   por  ejemplo  en  casos  de  transferencia internacional  de  datos  entre  las administraciones fiscales o aduaneras o entre  los servicios competentes en materia de seguridad social, o cuando la transferencia se haga desde un registro previsto en la legislación con-fines de  consulta  por  el público o por personas con un interés legítimo; que en tal  caso  dicha transferencia no debe afectar a la totalidad de los datos o las  categorías de datos que contenga el mencionado registro; que, cuando la finalidad de un registro sea la consulta por parte de personas que tengan un interés  legítimo, la transferencia sólo debería poder efectuarse a petición de dichas personas o cuando éstas sean las destinatarias;

(59)  Considerando  que pueden adoptarse medidas particulares para paliar la insuficiencia  del  nivel de protección en un tercer país, en caso de que el responsable  del tratamiento ofrezca garantías adecuadas; que, por lo demás, deben preverse procedimientos de negociación entre la Comunidad y los países terceros de que se trate;

(60)  Considerando  que,  en cualquier caso, las transferencias hacia países terceros  sólo podrán efectuarse si se respetan plenamente las disposiciones adoptadas  por  los Estados miembros en aplicación de la presente Directiva, y, en particular, de su artículo 8;

(61)  Considerando  que  los  Estados  miembros y la Comisión, dentro de sus respectivas  competencias,  deben  alentar a los sectores profesionales para que  elaboren  códigos  de  conducta  a  fin de facilitar, habida cuenta del carácter  específico  del  tratamiento  de  datos  efectuado en determinados sectores,   la   aplicación   de   la   presente  Directiva  respetando  las disposiciones nacionales adoptadas para su aplicación;

(62) Considerando que la creación de una autoridad de control que ejerza sus funciones  con  plena  independencia  en  cada  uno  de los Estados miembros constituye  un  elemento esencial de la protección de las personas en lo que respecta al tratamiento de datos personales;

(63) Considerando que dicha autoridad debe disponer de los medios necesarios para  cumplir  su  función,  ya  se  trate  de poderes de investigación o de intervención,  en  particular  en  casos  de  reclamaciones presentadas a la autoridad  o  de  poder  comparecer  en  juicio;  que  tal  autoridad  ha de contribuir  a la transparencia de los tratamientos de datos efectuados en el Estado miembro del que dependa;

(64)  Considerando  que  las  autoridades  de los distintos Estados miembros habrán  de  prestarse ayuda mutua en el ejercicio de sus funciones, de forma que  se  garantice  el  pleno respeto de las normas de protección en toda la Unión Europea;

(65)  Considerando  que se debe crear, en el ámbito comunitario, un grupo de protección  de  las  personas  en  lo  que  respecta al tratamiento de datos personales,  el cual habrá de ejercer sus funciones con plena independencia; que,  habida  cuenta de este carácter específico, el grupo deberá asesorar a la  Comisión  y  contribuir,  en particular, a la aplicación uniforme de las normas nacionales adoptadas en aplicación de la presente Directiva;

(66) Considerando que, por lo que respecta a la transferencia de datos hacia países  terceros,  la  aplicación  de  la presente Directiva requiere que se atribuya  a  la  Comisión  competencias  de  ejecución  y  que  se  cree  un procedimiento  con  arreglo  a  las  modalidades establecidas en la Decisión 87/373/CEE del Consejo;

(67) Considerando que el 20 de diciembre de 1994 se alcanzó un acuerdo sobre un  modus  vivendi  entre  el  Parlamento  Europeo, el Consejo y la Comisión concerniente  a  las  medidas  de  aplicación  de  los  actos  adoptados  de conformidad  con  el  procedimiento  establecido  en  el  artículo 189 B del Tratado CE;

(68)  Considerando  que  los  principios  de  protección  de  los derechos y libertades  de las personas y, en particular, del respeto de la intimidad en lo  que  se  refiere  al  tratamiento  de  los datos personales objeto de la presente   Directiva   podrán   completarse  o  precisarse,  sobre  todo  en determinados   sectores,  mediante  normas  específicas  conformes  a  estos principios;

(69)  Considerando  que  resulta oportuno conceder a los Estados miembros un plazo  que no podrá ser superior a tres años a partir de la entrada en vigor de  las  medidas nacionales de transposición de la presente Directiva, a fin de  que  puedan  aplicar  de  manera  progresiva  las  nuevas  disposiciones nacionales mencionadas a todos los tratamientos de datos ya existentes; que, con  el  fin  de  facilitar  una  aplicación que presente una buena relación coste/ eficacia,  se concederá a los Estados miembros un período suplementario que  expirará  a  los  doce  años  de  la fecha en que se adopte la presente Directiva,  para  garantizar  que  los ficheros manuales existentes en dicha fecha  se  hayan  ajustado  a  las disposiciones de la Directiva; que si los datos  contenidos  en  dichos  ficheros  son tratados efectivamente de forma manual  en  ese  período  transitorio  ampliado  deberán,  sin  embargo, ser ajustados a dichas disposiciones cuando se realice tal tratamiento;

(70)  Considerando  que  no es procedente que el interesado tenga que dar de nuevo su consentimiento a fin de que el responsable pueda seguir efectuando, tras la entrada en vigor de las disposiciones nacionales adoptadas en virtud de  la  presente Directiva, el tratamiento de datos sensibles necesario para la ejecución de contratos celebrados previo consentimiento libre e informado antes de la entrada en vigor de las disposiciones mencionadas;

(71)  Considerando  que  la  presente  Directiva no se opone a que un Estado miembro  regule  las  actividades  de prospección comercial destinadas a los consumidores  que  residan  en  su  territorio,  en  la  medida en que dicha regulación  no  afecte  a la protección de las personas en lo que respecta a tratamientos de datos personales;

(72)  Considerando que la presente Directiva autoriza que se tenga en cuenta el  principio  de  acceso  público  a  los documentos oficiales a la hora de aplicar los principios expuestos en la presente Directiva,

HAN ADOPTADO LA PRESENTE DIRECTIVA:

CAPITULO I . DISPOSICIONES GENERALES

Artículo 1. Objeto de la Directiva

1.  Los Estados miembros garantizarán, con arreglo a las disposiciones de la presente  Directiva,  la  protección  de  las  libertades  y de los derechos fundamentales  de  las  personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales.

2.   Los  Estados  miembros  no  podrán  restringir  ni  prohibir  la  libre circulación  de  datos  personales  entre  los  Estados miembros por motivos relacionados con la protección garantizada en virtud del apartado 1.

Artículo 2. Definiciones

A efectos de la presente Directiva, se entenderá por:

a)   “datos   personales”:   toda   información  sobre  una  persona  física identificada o identificable (el “interesado”); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular  mediante  un  número  de identificación o uno o varios elementos específicos,  característicos de su identidad física, fisiológica, psíquica, económica, cultural o social;

b)  “tratamiento  de datos personales” “tratamiento”): cualquier operación o conjunto   de   operaciones,   efectuadas   o   no  mediante  procedimientos automatizados,  y  aplicadas a datos personales, como la recogida, registro, organización,   conservación,   elaboración   o   modificación,  extracción, consulta,  utilización,  comunicación  por transmisión, difusión o cualquier otra  forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;

c)  “fichero de datos personales” (“fichero”): todo conjunto estructurado de datos  personales,  accesibles  con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

d)  “responsable  del  tratamiento”: la persona física o jurídica, autoridad pública,  servicio  o  cualquier otro organismo que sólo o conjuntamente con otros  determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones  legislativas  o  reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario;

e)  “encargado  del  tratamiento”:  la  persona física o jurídica, autoridad pública,  servicio  o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento;

f)  “tercero”:  la  persona física o jurídica, autoridad pública, servicio o cualquier  otro  organismo  distinto  del  interesado,  del  responsable del tratamiento,  del  encargado  del  tratamiento y de las personas autorizadas para  tratar  los  datos  bajo  la  autoridad  directa  del  responsable del tratamiento o del encargado del tratamiento;

g) “destinatario”: la persona física o jurídica, autoridad pública, servicio o  cualquier  otro organismo que reciba comunicación de datos, se trate o no de  un  tercero.  No  obstante,  las  autoridades  que  puedan  recibir  una comunicación  de  datos en el marco de una investigación específica no serán considerados destinatarios;

h)  “consentimiento  del interesado”: toda manifestación de voluntad, libre, específica   e  informada,  mediante  la  que  el  interesado  consienta  el tratamiento de datos personales que le conciernan.

Artículo 3. Ámbito de aplicación

1.  Las  disposiciones  de la presente Directiva se aplicarán al tratamiento total   o  parcialmente  automatizado  de  datos  personales,  así  como  al tratamiento  no  automatizado  de datos personales contenidos o destinados a ser incluidos en un fichero.

2. Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales:

–  efectuado  en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de  los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al  tratamiento  de  datos  que  tenga  por  objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal;

–   efectuado  por  una  persona  física  en  el  ejercicio  de  actividades exclusivamente personales o domésticas.

Artículo 4. Derecho nacional aplicable

1.  Los  Estados  miembros  aplicarán  las disposiciones nacionales que haya aprobado  para  la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:

a)  el  tratamiento  sea  efectuado  en  el  marco  de las actividades de un establecimiento  del responsable del tratamiento en el territorio del Estado miembro.  Cuando el mismo responsable del tratamiento esté establecido en el territorio  de varios Estados miembros deberá adoptar las medidas necesarias para   garantizar  que  cada  uno  de  dichos  establecimientos  cumple  las obligaciones previstas por el Derecho nacional aplicable;

b)  el  responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;

c) el responsable del tratamiento no esté establecido en el territorio de la Comunidad  y  recurra,  para  el  tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea.

2.  En  el caso mencionado en la letra c) del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.

CAPITULO II. CONDICIONES GENERALES PARA LA LICITUD DEL TRATAMIENTO DE DATOS PERSONALES

Artículo 5. 

Los  Estados miembros precisarán, dentro de los límites de las disposiciones del  presente  capítulo, las condiciones en que son lícitos los tratamientos de datos personales.

SECCIÓN I. PRINCIPIOS RELATIVOS A LA CALIDAD DE LOS DATOS

Artículo 6

1. Los Estados miembros dispondrán que los datos personales sean:

a) tratados de manera leal y lícita;

b)  recogidos  con  fines  determinados,  explícitos  y legítimos, y no sean tratados  posteriormente  de  manera  incompatible  con  dichos fines; no se considerará  incompatible  el  tratamiento  posterior  de  datos  con  fines históricos,  estadísticos  o  científicos,  siempre  y  cuando  los  Estados miembros establezcan las garantías oportunas;

c)  adecuados,  pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente;

d)  exactos y, cuando sea necesario, actualizados; deberán tomarse todas las medidas  razonables para que los datos inexactos o incompletos, con respecto a  los  fines  para  los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados;

e) conservados en una forma que permita la identificación de los interesados durante  un  período  no  superior  al necesario para los fines para los que fueron  recogidos  o  para  los  que  se  traten  ulteriormente. Los Estados miembros  establecerán  las  garantías  apropiadas para los datos personales archivados  por  un  período más largo del mencionado, con fines históricos, estadísticos o científicos.

2.   Corresponderá   a   los  responsables  del  tratamiento  garantizar  el cumplimiento de lo dispuesto en el apartado 1.

SECCIÓN II. PRINCIPIOS RELATIVOS A LA LEGITIMACIÓN DEL TRATAMIENTO DE DATOS

Artículo 7 

Los  Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

a) el interesado ha dado su consentimiento de forma inequívoca, o

b) es necesario para la ejecución de un contrato en el que el interesado sea parte  o para la aplicación de medidas precontractuales adoptadas a petición del interesado, o

c)  es  necesario  para  el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o

d) es necesario para proteger el interés vital del interesado, o

e)  es  necesario  para  el  cumplimiento de una misión de interés público o inherente  al  ejercicio  del  poder  público  conferido  al responsable del tratamiento o a un tercero a quien se comuniquen los datos, o

f)  es necesario para la satisfacción del interés legítimo perseguido por el responsable  del  tratamiento  o  por  el  tercero  o  terceros a los que se comuniquen  los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.

SECCIÓN III. CATEGORÍAS ESPECIALES DE TRATAMIENTOS

Artículo 8. Tratamiento de categorías especiales de datos

1.  Los  Estados  miembros prohibirán el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas   o  filosóficas,  la  pertenencia  a  sindicatos,  así  como  el tratamiento de los datos relativos a la salud o a la sexualidad.

2. Lo dispuesto en el apartado 1 no se aplicará cuando:

a)  el interesado haya dado su consentimiento explícito a dicho tratamiento, salvo en los casos en los que la legislación del Estado miembro disponga que la  prohibición  establecida  en  el  apartado  1 no pueda levantarse con el consentimiento del interesado, o

b)  el  tratamiento  sea necesario para respetar las obligaciones y derechos específicos del responsable del tratamiento en materia de Derecho laboral en la  medida en que esté autorizado por la legislación y ésta prevea garantías adecuadas, o

c)  el  tratamiento  sea  necesario  para  salvaguardar el interés vital del interesado  o  de  otra  persona,  en  el supuesto de que el interesado esté física o jurídicamente incapacitado para dar su consentimiento, o

d)  el  tratamiento sea efectuado en el curso de sus actividades legítimas y con las debidas garantías por una fundación, una asociación o cualquier otro organismo  sin  fin  de  lucro,  cuya  finalidad  sea  política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a  las  personas  que  mantengan  contactos  regulares  con la fundación, la asociación  o  el  organismo  por razón de su finalidad y con tal de que los datos  no se comuniquen a terceros sin el consentimiento de los interesados, o

e)  el  tratamiento  se  refiera  a  datos  que  el  interesado  haya  hecho manifiestamente públicos o sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial.

3.  El  apartado  1  no  se  aplicará cuando el tratamiento de datos resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia  sanitaria  o  tratamientos  médicos  o  la  gestión de servicios sanitarios,  siempre  que  dicho  tratamiento  de datos sea realizado por un profesional  sanitario  sujeto  al  secreto  profesional sea en virtud de la legislación  nacional,  o  de  las  normas  establecidas por las autoridades nacionales  competentes, o por otra persona sujeta asimismo a una obligación equivalente de secreto.

4.  Siempre  que  dispongan  las  garantías  adecuadas, los Estados miembros podrán,  por  motivos  de  interés  público  importantes,  establecer  otras excepciones,  además  de  las  previstas  en el apartado 2, bien mediante su legislación nacional, bien por decisión de la autoridad de control.

5.  El  tratamiento  de  datos  relativos a infracciones, condenas penales o medidas  de seguridad, sólo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías específicas en el Derecho nacional, sin perjuicio  de  las  excepciones  que  podrá  establecer  el  Estado  miembro basándose  en  disposiciones  nacionales  que prevean garantías apropiadas y específicas.  Sin  embargo,  sólo  podrá  llevarse  un  registro completo de condenas penales bajo el control de los poderes públicos.

Los Estados miembros podrán establecer que el tratamiento de datos relativos a  sanciones administrativas o procesos civiles se realicen asimismo bajo el control de los poderes públicos.

6.  Las  excepciones  a  las disposiciones del apartado 1 que establecen los apartados 4 y 5 se notificarán a la Comisión.

7.  Los  Estados  miembros determinarán las condiciones en las que un número nacional  de  identificación  o  cualquier  otro  medio de identificación de carácter general podrá ser objeto de tratamiento.

Artículo 9. Tratamiento de datos personales y libertad de expresión

En  lo referente al tratamiento de datos personales con fines exclusivamente periodísticos  o  de  expresión  artística o literaria, los Estados miembros establecerán,  respecto  de  las  disposiciones  del  presente capítulo, del capítulo IV y del capítulo VI, exenciones y excepciones sólo en la medida en que  resulten  necesarias  para  conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión.

SECCIÓN IV. INFORMACIÓN DEL INTERESADO

Artículo 10. Información en caso de obtención de datos recabados del propio interesado

Los  Estados  miembros  dispondrán  que  el responsable del tratamiento o su representante  deberán  comunicar a la persona de quien se recaben los datos que   le   conciernan,  por  lo  menos  la  información  que  se  enumera  a continuación, salvo si la persona ya hubiera sido informada de ello:

a)  la  identidad  del  responsable  del  tratamiento  y,  en su caso, de su representante;

b) los fines del tratamiento de que van a ser objeto los datos;

c) cualquier otra información tal como:

– los destinatarios o las categorías de destinatarios de los datos,

–  el  carácter  obligatorio  o  no  de la respuesta y las consecuencias que tendría para la persona interesada una negativa a responder,

–  la  existencia  de derechos de acceso y rectificación de los datos que la conciernen,

en  la medida en que, habida cuenta de las circunstancias específicas en que se  obtengan  los  datos,  dicha información suplementaria resulte necesaria para garantizar un tratamiento de datos leal respecto del interesado.

Artículo 11. Información cuando los datos no han sido recabados del propio interesado

1.  Cuando  los  datos  no  hayan sido recabados del interesado, los Estados miembros  dispondrán  que  el responsable del tratamiento o su representante deberán,  desde  el  momento  del registro de los datos o, en caso de que se piense  comunicar  datos  a  un  tercero,  a más tardar, en el momento de la primera  comunicación  de  datos,  comunicar  al  interesado por lo menos la información que se enumera a continuación, salvo si el interesado ya hubiera sido informado de ello:

a)  la  identidad  del  responsable  del  tratamiento  y,  en su caso, de su representante;

b) los fines del tratamiento de que van a ser objeto los datos;

c) cualquier otra información tal como:

– las categorías de los datos de que se trate,

– los destinatarios o las categorías de destinatarios de los datos,

–  la  existencia  de derechos de acceso y rectificación de los datos que la conciernen,

en  la medida en que, habida cuenta de las circunstancias específicas en que se  hayan  obtenido  los  datos,  dicha  información  suplementaria  resulte necesaria  para  garantizar  un  tratamiento  de  datos  leal  respecto  del interesado.

2.  Las  disposiciones del apartado 1 no se aplicarán, en particular para el tratamiento   con   fines   estadísticos  o  de  investigación  histórica  o científica,  cuando  la  información al interesado resulte imposible o exija esfuerzos  desproporcionados  o  el  registro o la comunicación a un tercero estén  expresamente prescritos por ley. En tales casos, los Estados miembros establecerán las garantías apropiadas.

SECCIÓN V. DERECHO DE ACCESO DEL INTERESADO A LOS DATOS

Artículo 12. Derecho de acceso

Los  Estados  miembros  garantizarán  a  todos los interesados el derecho de obtener del responsable del tratamiento:

a)  libremente,  sin  restricciones  y  con una periodicidad razonable y sin retrasos ni gastos excesivos:

–  la  confirmación de la existencia o inexistencia del tratamiento de datos que  le conciernen, así como información por lo menos de los fines de dichos tratamientos,  las categorías de datos a que se refieran y los destinatarios o las categorías de destinatarios a quienes se comuniquen dichos datos;

–  la  comunicación,  en  forma  inteligible,  de  los  datos  objeto de los tratamientos, así como toda la información disponible sobre el origen de los datos;

–  el  conocimiento de la lógica utilizada en los tratamientos automatizados de  los  datos  referidos  al  interesado,  al  menos  en  los  casos de las decisiones automatizadas a que se refiere el apartado 1 del artículo 15;

b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento  no  se  ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos;

c) la notificación a los terceros a quienes se hayan comunicado los datos de toda  rectificación,  supresión  o  bloqueo  efectuado de conformidad con la letra b), si no resulta imposible o supone un esfuerzo desproporcionado.

SECCIÓN VI. EXCEPCIONES Y LIMITACIONES

Artículo 13. Excepciones y limitaciones

1.  Los  Estados  miembros  podrán  adoptar  medidas legales para limitar el alcance  de  las  obligaciones y los derechos previstos en el apartado 1 del artículo  6,  en  el artículo 10, en el apartado 1 del artículo 11, y en los artículos 12 y 21 cuando tal limitación constituya una medida necesaria para la salvaguardia de:

a) la seguridad del Estado;

b) la defensa;

c) la seguridad pública;

d)  la  prevención,  la  investigación,  la  detección  y  la  represión  de infracciones  penales  o  de  las  infracciones  de  la  deontología  en las profesiones reglamentadas;

e) un interés económico y financiero importante de un Estado miembro o de la Unión Europea, incluidos los asuntos monetarios, presupuestarios y fiscales;

f) una función de control, de inspección o reglamentaria relacionada, aunque sólo  sea  ocasionalmente,  con  el ejercicio de la autoridad pública en los casos a que hacen referencia las letras c), d) y e);

g)  la  protección  del  interesado  o de los derechos y libertades de otras personas.

2.  Sin  perjuicio  de  las  garantías  legales apropiadas, que excluyen, en particular,  que  los  datos puedan ser utilizados en relación con medidas o decisiones  relativas  a personas concretas, los Estados miembros podrán, en los  casos en que manifiestamente no exista ningún riesgo de atentado contra la  intimidad  del  interesado,  limitar  mediante una disposición legal los derechos  contemplados  en el artículo 12 cuando los datos se vayan a tratar exclusivamente  con  fines de investigación científica o se guarden en forma de  archivos de carácter personal durante un período que no supere el tiempo necesario para la exclusiva finalidad de la elaboración de estadísticas.

SECCIÓN VII. DERECHO DE OPOSICIÓN DEL INTERESADO

Artículo 14. Derecho de oposición del interesado

Los Estados miembros reconocerán al interesado el derecho a:

a)  oponerse,  al  menos en los casos contemplados en las letras e) y f) del artículo  7,  en  cualquier  momento  y  por razones legítimas propias de su situación  particular,  a  que  los  datos  que le conciernan sean objeto de tratamiento,  salvo  cuando  la  legislación nacional disponga otra cosa. En caso  de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos;

b)  oponerse,  previa  petición y sin gastos, al tratamiento de los datos de carácter  personal  que  le conciernan respecto de los cuales el responsable prevea  un  tratamiento destinado a la prospección; o ser informado antes de que  los  datos se comuniquen por primera vez a terceros o se usen en nombre de  éstos  a  efectos  de prospección, y a que se le ofrezca expresamente el derecho de oponerse, sin gastos, a dicha comunicación o utilización.

Los  Estados miembros adoptarán todas las medidas necesarias para garantizar que  los  interesados conozcan la existencia del derecho a que se refiere el párrafo primero de la letra b).

Artículo 15. Decisiones individuales automatizadas

1.  Los  Estados  miembros  reconocerán a las personas el derecho a no verse sometidas  a una decisión con efectos jurídicos sobre ellas o que les afecte de   manera   significativa,  que  se  base  únicamente  en  un  tratamiento automatizado  de  datos  destinado  a  evaluar  determinados  aspectos de su personalidad,  como  su  rendimiento laboral, crédito, fiabilidad, conducta, etc.

2.  Los  Estados  miembros  permitirán, sin perjuicio de lo dispuesto en los demás  artículos  de  la  presente  Directiva,  que  una persona pueda verse sometida  a una de las decisiones contempladas en el apartado 1 cuando dicha decisión:

a)  se  haya  adoptado  en  el  marco  de  la  celebración o ejecución de un contrato,  siempre  que  la petición de celebración o ejecución del contrato presentada  por  el  interesado  se  haya  satisfecho  o que existan medidas apropiadas,  como  la  posibilidad  de  defender  su punto de vista, para la salvaguardia de su interés legítimo; o

b)  esté  autorizada  por  una  ley que establezca medidas que garanticen el interés legítimo del interesado.

SECCIÓN VIII. CONFIDENCIALIDAD Y SEGURIDAD DEL TRATAMIENTO

Artículo 16. Confidencialidad del tratamiento

Las  personas  que  actúen bajo la autoridad del responsable o del encargado del tratamiento, incluido este último, solo podrán tratar datos personales a los  que tengan acceso, cuando se lo encargue el responsable del tratamiento o salvo en virtud de un imperativo legal.

Artículo 17. Seguridad del tratamiento

1.  Los  Estados  miembros  establecerán  la  obligación del responsable del tratamiento  de  aplicar  las  medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o  ilícita,  la  pérdida accidental y contra la alteración, la difusión o el acceso  no  autorizados,  en  particular  cuando  el  tratamiento incluya la transmisión  de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales.

Dichas  medidas  deberán  garantizar,  habida  cuenta  de  los conocimientos técnicos  existentes  y  del  coste  de su aplicación, un nivel de seguridad apropiado  en  relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse.

2.  Los Estados miembros establecerán que el responsable del tratamiento, en caso  de  tratamiento  por  cuenta del mismo, deberá elegir un encargado del tratamiento  que  reúna garantías suficientes en relación con las medidas de seguridad   técnica   y  de  organización  de  los  tratamientos  que  deban efectuarse, y se asegure de que se cumplen dichas medidas.

3.  La  realización de tratamientos por encargo deberá estar regulada por un contrato  u  otro acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento, y que disponga, en particular:

–  que  el  encargado del tratamiento sólo actúa siguiendo instrucciones del responsable del tratamiento;

–  que  las  obligaciones del apartado 1, tal como las define la legislación del Estado miembro en el que esté establecido el encargado, incumben también a éste.

4.  A  efectos  de  conservación de la prueba, las partes del contrato o del acto  jurídico  relativas  a  la  protección  de  datos  y  a los requisitos relativos  a  las  medidas a que hace referencia el apartado 1 constarán por escrito o en otra forma equivalente.

SECCIÓN IX. NOTIFICACIÓN

Artículo 18. Obligación de notificación a la autoridad de control

1.  Los Estados miembros dispondrán que el responsable del tratamiento o, en su  caso,  su  representante,  efectúe  una  notificación  a la autoridad de control  contemplada en el artículo 28, con anterioridad a la realización de un  tratamiento  o  de  un  conjunto  de  tratamientos, total o parcialmente automatizados,  destinados  a  la  consecución  de  un fin o de varios fines conexos.

2. Los Estados miembros podrán disponer la simplificación o la omisión de la notificación, sólo en los siguientes casos y con las siguientes condiciones:

–  cuando,  para  las categorías de tratamientos que no puedan afectar a los derechos y libertades de los interesados habida cuenta de los datos a que se refiere  el  tratamiento,  los  Estados  miembros  precisen los fines de los tratamientos,  los  datos  o  categorías  de  datos tratados, la categoría o categorías   de   los   interesados,   los  destinatarios  o  categorías  de destinatarios a los que se comuniquen los datos y el período de conservación de los datos y/o

–  cuando  el  responsable  del  tratamiento designe, con arreglo al Derecho nacional  al  que  está  sujeto,  un  encargado  de  protección de los datos personales que tenga por cometido, en particular:

–  hacer  aplicar  en  el  ámbito  interno,  de  manera  independiente,  las disposiciones nacionales adoptadas en virtud de la presente Directiva,

–  llevar  un registro de los tratamientos efectuados por el responsable del tratamiento,  que  contenga  la  información  enumerada en el apartado 2 del artículo 21,

garantizando  así  que  el  tratamiento  de los datos no pueda ocasionar una merma de los derechos y libertades de los interesados.

3.  Los  Estados  miembros podrán disponer que no se aplique el apartado 1 a aquellos tratamientos cuya única finalidad sea la de llevar un registro que, en  virtud  de  disposiciones  legales  o  reglamentarias,  esté destinado a facilitar  información  al  público  y  estén  abiertos a la consulta por el público  en  general  o  por  toda  persona  que  pueda demostrar un interés legítimo.

4.  Los  Estados  miembros  podrán eximir de la obligación de notificación o disponer  una  simplificación de la misma respecto de los tratamientos a que se refiere la letra d) del apartado 2 del artículo 8.

5.   Los   Estados   miembros   podrán  disponer  que  los  tratamientos  no automatizados  de  datos  de  carácter  personal  o  algunos  de  ellos sean notificados eventualmente de una forma simplificada.

Artículo 19. Contenido de la notificación

1.  Los  Estados miembros determinarán la información que debe figurar en la notificación, que será como mínimo:

a)  el  nombre y la dirección del responsable del tratamiento y, en su caso, de su representante;

b) el o los objetivos del tratamiento;

c)  una  descripción  de  la  categoría o categorías de interesados y de los datos o categorías de datos a los que se refiere el tratamiento;

d)  los  destinatarios  o  categorías  de  destinatarios a los que se pueden comunicar los datos;

e) las transferencias de datos previstas a países terceros;

f)  una  descripción  general  que permita evaluar de modo preliminar si las medidas  adoptadas  en  aplicación  del  artículo 17 resultan adecuadas para garantizar la seguridad del tratamiento.

2.  Los  Estados  miembros  precisarán  los  procedimientos  por  los que se notificarán  a  la  autoridad de control las modificaciones que afecten a la información contemplada en el apartado 1.

Artículo 20. Controles previos

1.  Los  Estados  miembros  precisarán  los  tratamientos que puedan suponer riesgos  específicos  para  los  derechos  y libertades de los interesados y velarán por que sean examinados antes del comienzo del tratamiento.

2. Estas comprobaciones previas serán realizadas por la autoridad de control una  vez que haya recibido la notificación del responsable del tratamiento o por  el  encargado  de la protección de datos quien, en caso de duda, deberá consultar a la autoridad de control.

3.  Los  Estados miembros podrán también llevar a cabo dicha comprobación en el  marco de la elaboración de una norma aprobada por el Parlamento o basada en  la  misma norma, que defina el carácter del tratamiento y establezca las oportunas garantías.

Artículo 21. Publicidad de los tratamientos

1.  Los Estados miembros adoptarán las medidas necesarias para garantizar la publicidad de los tratamientos.

2.  Los  Estados  miembros establecerán que la autoridad de control lleve un registro de los tratamientos notificados con arreglo al artículo 18.

En el registro se harán constar, como mínimo, las informaciones a las que se refieren las letras a) a e) del apartado 1 del artículo 19.

El registro podrá ser consultado por cualquier persona.

3. Los Estados miembros dispondrán, en lo que respecta a los tratamientos no sometidos a notificación, que los responsables del tratamiento u otro órgano designado  por los Estados miembros comuniquen, en la forma adecuada, a toda persona  que  lo  solicite, al menos las informaciones a que se refieren las letras a) a e) del apartado 1 del artículo 19.

Los  Estados miembros podrán establecer que esta disposición no se aplique a los  tratamientos  cuyo  fin único sea llevar un registro, que, en virtud de disposiciones  legales  o  reglamentarias,  esté  concebido  para  facilitar información  al  público  y que esté abierto a la consulta por el público en general o por cualquier persona que pueda demostrar un interés legítimo.

CAPITULO III. RECURSOS JUDICIALES, RESPONSABILIDAD Y SANCIONES

Artículo 22. Recursos

Sin   perjuicio  del  recurso  administrativo  que  pueda  interponerse,  en particular  ante  la  autoridad  de  control mencionada en el artículo 28, y antes  de  acudir a la autoridad judicial, los Estados miembros establecerán que toda persona disponga de un recurso judicial en caso de violación de los derechos  que le garanticen las disposiciones de Derecho nacional aplicables al tratamiento de que se trate.

Artículo 23. Responsabilidad

1.  Los  Estados miembros dispondrán que toda persona que sufra un perjuicio como consecuencia de un tratamiento ilícito o de una acción incompatible con las   disposiciones  nacionales  adoptadas  en  aplicación  de  la  presente Directiva,  tenga  derecho  a  obtener  del  responsable  del tratamiento la reparación del perjuicio sufrido.

2.  El responsable del tratamiento podrá ser eximido parcial o totalmente de dicha  responsabilidad  si demuestra que no se le puede imputar el hecho que ha provocado el daño.

Artículo 24. Sanciones

Los  Estados  miembros  adoptarán  las  medidas adecuadas para garantizar la plena   aplicación   de   las  disposiciones  de  la  presente  Directiva  y determinarán,  en  particular,  las sanciones que deben aplicarse en caso de incumplimiento  de,  las disposiciones adoptadas en ejecución de la presente Directiva.

CAPITULO IV. TRANSFERENCIA DE DATOS PERSONALES A PAÍSES TERCEROS

Artículo 25. Principios

1. Los Estados miembros dispondrán que la transferencia a un país tercero de datos personales que sean objeto de tratamiento o destinados a ser objeto de tratamiento   con   posterioridad   a  su  transferencia,  únicamente  pueda efectuarse  cuando,  sin  perjuicio del cumplimiento de las disposiciones de Derecho  nacional  adoptadas  con  arreglo  a  las demás disposiciones de la presente  Directiva,  el  país tercero de que se trate garantice un nivel de protección adecuado.

2.  El  carácter adecuado del nivel de protección que ofrece un país tercero se  evaluará  atendiendo  a  todas  las  circunstancias que concurran en una transferencia  o en una categoría de transferencias de datos; en particular, se  tomará  en  consideración  la naturaleza de los datos, la finalidad y la duración  del tratamiento o de los tratamientos previstos, el país de origen y  el país de destino final, las normas de Derecho, generales o sectoriales, vigentes  en  el  país  tercero  de  que  se  trate,  así  como  las  normas profesionales y las medidas de seguridad en vigor en dichos países.

3.  Los  Estados  miembros y la Comisión se informarán recíprocamente de los casos  en  que  consideren  que  un  tercer  país  no  garantiza un nivel de protección adecuado con arreglo al apartado 2.

4. Cuando la Comisión compruebe, con arreglo al procedimiento establecido en el  apartado  2 del artículo 31, que un tercer país no garantiza un nivel de protección  adecuado  con  arreglo  al apartado 2 del presente artículo, los Estado  miembros  adoptarán  las  medidas  necesarias para impedir cualquier transferencia de datos personales al tercer país de que se trate.

5.  La Comisión iniciará en el momento oportuno las negociaciones destinadas a  remediar  la  situación que se produzca cuando se compruebe este hecho en aplicación del apartado 4.

6.  La  Comisión  podrá  hacer  constar, de conformidad con el procedimiento previsto  en el apartado 2 del artículo 31, que un país tercero garantiza un nivel  de  protección adecuado de conformidad con el apartado 2 del presente artículo,  a  la  vista  de  su  legislación  interna  o  de sus compromisos internacionales,  suscritos  especialmente  al  término de las negociaciones mencionadas  en  el apartado 5, a efectos de protección de la vida privada o de las libertades o de los derechos fundamentales de las personas.

Los  Estados  miembros  adoptarán las medidas necesarias para ajustarse a la decisión de la Comisión.

Artículo 26. Excepciones

1.  No obstante lo dispuesto en el artículo 25 y salvo disposición contraria del Derecho nacional que regule los casos particulares, los Estados miembros dispondrán  que  pueda efectuarse una transferencia de datos personales a un país  tercero que no garantice un nivel de protección adecuado con arreglo a lo establecido en el apartado 2 del artículo 25, siempre y cuando:

a)   el   interesado  haya  dado  su  consentimiento  inequívocamente  a  la transferencia prevista, o

b)  la transferencia sea necesaria para la ejecución de un contrato entre el interesado  y  el responsable del tratamiento o para la ejecución de medidas precontractuales tomadas a petición del interesado, o

c)  la  transferencia  sea  necesaria  para la celebración o ejecución de un contrato  celebrado  o  por  celebrar  en  interés  del interesado, entre el responsable del tratamiento y un tercero, o

d)  La transferencia sea necesaria o legalmente exigida para la salvaguardia de  un  interés  público  importante,  o para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial, o

e) la transferencia sea necesaria para la salvaguardia del interés vital del interesado, o

f)  la transferencia tenga lugar desde un registro público que, en virtud de disposiciones  legales  o  reglamentarias,  esté  concebido  para  facilitar información  al  público  y  esté  abierto  a  la consulta por el público en general  o  por  cualquier  persona que pueda demostrar un interés legítimo, siempre  que  se  cumplan,  en  cada  caso  particular,  las condiciones que establece la ley para la consulta.

2.  Sin  perjuicio  de  lo  dispuesto en el apartado 1, los Estados miembros podrán  autorizar  una  transferencia o una serie de transferencias de datos personales a un tercer país que no garantice un nivel de protección adecuado con  arreglo  al  apartado  2  del  artículo  25,  cuando el responsable del tratamiento  ofrezca  garantías  suficientes respecto de la protección de la vida  privada,  de  los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de los respectivos derechos; dichas garantías podrán derivarse, en particular, de cláusulas contractuales apropiadas.

3.  Los  Estados  miembros  informarán  a  la Comisión y a los demás Estados miembros  acerca  de las autorizaciones que concedan con arreglo al apartado 2.

En  el  supuesto  de  que  otro  Estado  miembro o la Comisión expresaron su oposición  y  la  justificaren  debidamente  por  motivos  derivados  de  la protección  de  la vida privada y de los derechos y libertades fundamentales de  las  personas, la Comisión adoptará las medidas adecuadas con arreglo al procedimiento establecido en el apartado 2 del artículo 31.

Los  Estados  miembros  adoptarán las medidas necesarias para ajustarse a la decisión de la Comisión.

4.  Cuando  la  Comisión  decida,  según  el procedimiento establecido en el apartado  2  del  artículo 31, que determinadas cláusulas contractuales tipo ofrecen las garantías suficientes establecidas en el apartado 2, los Estados miembros adoptarán las medidas necesarias para ajustarse a la decisión de la Comisión.

CAPITULO V. CÓDIGOS DE CONDUCTA

Artículo 27 

1. Los Estados miembros y la Comisión alentarán la elaboración de códigos de conducta destinados a contribuir, en función de las particularidades de cada sector,  a  la correcta aplicación de las disposiciones nacionales adoptadas por los Estados miembros en aplicación de la presente Directiva.

2.  Los  Estados miembros establecerán que las asociaciones profesionales, y las  demás organizaciones representantes de otras categorías de responsables de  tratamientos,  que hayan elaborado proyectos de códigos nacionales o que tengan  la  intención de modificar o prorrogar códigos nacionales existentes puedan someterlos a examen de las autoridades nacionales.

Los  Estados  miembros  establecerán  que  dicha autoridad vele, entre otras cosas,  por  la  conformidad  de los proyectos que le sean sometidos con las disposiciones  nacionales  adoptadas en aplicación de la presente Directiva. Si  lo considera conveniente, la autoridad recogerá las observaciones de los interesados o de sus representantes.

3.  Los  proyectos  de  códigos  comunitarios, así como las modificaciones o prórrogas  de códigos comunitarios existentes, podrán ser sometidos a examen del  grupo  contemplado  en el artículo 29. Este se pronunciará, entre otras cosas,  sobre  la conformidad de los proyectos que le sean sometidos con las disposiciones  nacionales  adoptadas en aplicación de la presente Directiva. Si  lo  considera  conveniente,  el  Grupo recogerá las observaciones de los interesados  o  de  sus  representantes.  La  Comisión  podrá  efectuar  una publicidad  adecuada de los códigos que hayan recibido un dictamen favorable del grupo.

CAPITULO VI. AUTORIDAD  DE  CONTROL  Y  GRUPO  DE  PROTECCIÓN  DE  LAS PERSONAS EN LO QUE RESPECTA AL TRATAMIENTO DE DATOS PERSONALES

Artículo 28. Autoridad de control

1.  Los  Estados  miembros  dispondrán que una o más autoridades públicas se encarguen  de  vigilar  la  aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.

Estas  autoridades  ejercerán las funciones que les son atribuidas con total independencia.

2.  Los  Estados  miembros  dispondrán  que se consulte a las autoridades de control  en  el  momento  de  la elaboración de las medidas reglamentarias o administrativas  relativas  a  la protección de los derechos y libertades de las  personas  en  lo  que  se  refiere  al tratamiento de datos de carácter personal.

3. La autoridad de control dispondrá, en particular, de:

–  poderes de investigación, como el derecho de acceder a los datos que sean objeto  de un tratamiento y el de recabar toda la información necesaria para el cumplimiento de su misión de control;

–  poderes  efectivos  de  intervención,  como,  por ejemplo, el de formular dictámenes antes de realizar los tratamientos, con arreglo al artículo 20, y garantizar una publicación adecuada de dichos dictámenes, o el de ordenar el bloqueo,  la  supresión  o  la  destrucción  de  datos,  o  incluso prohibir provisional   o   definitivamente  un  tratamiento,  o  el  de  dirigir  una advertencia o amonestación al responsable del tratamiento o el de someter la cuestión a los parlamentos u otras instituciones políticas nacionales;

–  capacidad procesal en caso de infracciones a las disposiciones nacionales adoptadas  en  aplicación  de  la  presente  Directiva  o  de  poner  dichas infracciones en conocimiento de la autoridad judicial.

Las  decisiones  de  la  autoridad de control lesivas de derechos podrán ser objeto de recurso jurisdiccional.

4.  Toda  autoridad  de  control  entenderá de las solicitudes que cualquier persona,  o  cualquier asociación que la represente, le presente en relación con  la  protección de sus derechos y libertades respecto del tratamiento de datos personales. Esa persona será informada del curso dado a su solicitud.

Toda  autoridad  de  control entenderá, en particular, de las solicitudes de verificación  de  la  licitud  de  un  tratamiento que le presente cualquier persona  cuando  sean  de aplicación las disposiciones nacionales tomadas en virtud  del  artículo  13  de  la  presente  Directiva.  Dicha  persona será informada en todos los casos de que ha tenido lugar una verificación.

5.  Toda autoridad de control presentará periódicamente un informe sobre sus actividades. Dicho informe será publicado.

6.  Toda  autoridad  de  control  será  competente,  sean  cuales  sean  las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado 3 del presente artículo. Dicha autoridad podrá  ser  instada  a  ejercer sus poderes por una autoridad de otro Estado miembro.

Las  autoridades  de control cooperarán entre sí en la medida necesaria para el  cumplimiento  de sus funciones, en particular mediante el intercambio de información que estimen útil.

7.  Los  Estados  miembros  dispondrán  que  los  miembros  y agentes de las autoridades  de  control estarán sujetos, incluso después de haber cesado en sus   funciones,   al  deber  de  secreto  profesional  sobre  informaciones confidenciales a las que hayan tenido acceso.

Artículo 29. Grupo  de  protección  de  las personas en lo que respecta al tratamiento de datos personales.

1.  Se  crea  un  grupo  de protección de las personas en lo que respecta al tratamiento de datos personales, en lo sucesivo denominado “Grupo”.

Dicho Grupo tendrá carácter consultivo e independiente.

2.  El  Grupo estará compuesto por un representante de la autoridad o de las autoridades   de   control  designadas  por  cada  Estado  miembro,  por  un representante  de la autoridad o autoridades creadas por las instituciones y organismos comunitarios, y por un representante de la Comisión.

Cada  miembro  del  Grupo  será  designado  por  la institución, autoridad o autoridades a que represente. Cuando un Estado miembro haya designado varias autoridades  de  control, éstas nombrarán a un representante común. Lo mismo harán   las   autoridades   creadas   por  las  instituciones  y  organismos comunitarios.

3.  El  Grupo tomará sus decisiones por mayoría simple de los representantes de las autoridades de control.

4.  El  Grupo  elegirá a su presidente. El mandato del presidente tendrá una duración de dos años. El mandato será renovable.

5. La Comisión desempeñará las funciones de secretaría del Grupo.

6. El Grupo aprobará su reglamento interno.

7.  El  Grupo  examinará  los  asuntos  incluidos en el orden del día por su presidente,  bien  por  iniciativa  de  éste,  bien  previa  solicitud de un representante  de  las  autoridades  de  control,  bien  a  solicitud  de la Comisión.

Artículo 30 

1. El Grupo tendrá por cometido:

a)  estudiar  toda  cuestión  relativa  a la aplicación de las disposiciones nacionales  tomadas para la aplicación de la presente Directiva con vistas a contribuir a su aplicación homogénea;

b)  emitir  un dictamen destinado a la Comisión sobre el nivel de protección existente dentro de la Comunidad y en los países terceros;

c)  asesorar  a  la  Comisión sobre cualquier proyecto de modificación de la presente  Directiva, cualquier proyecto de medidas adicionales o específicas que  deban  adoptarse  para  salvaguardar  los  derechos y libertades de las personas  físicas en lo que respecta al tratamiento de datos personales, así como  sobre  cualquier  otro  proyecto  de medidas comunitarias que afecte a dichos derechos y libertades;

d)  emitir  un  dictamen  sobre  los códigos de conducta elaborados a escala comunitaria.

2. Si el Grupo comprobare la existencia de divergencias entre la legislación y la práctica de los Estados miembros que pudieron afectar a la equivalencia de  la  protección  de  las  personas en lo que se refiere al tratamiento de datos personales en la Comunidad, informará de ello a la Comisión.

3.  El  Grupo  podrá,  por iniciativa propia, formular recomendaciones sobre cualquier  asunto  relacionado  con  la protección de las personas en lo que respecta al tratamiento de datos personales en la Comunidad.

4.  Los dictámenes y recomendaciones del Grupo se transmitirán a la Comisión y al Comité contemplado en el artículo 31.

5. La Comisión informará al Grupo del curso que haya dado a los dictámenes y recomendaciones.  A  tal  efecto, elaborará un informe, que será transmitido asimismo al Parlamento Europeo y al Consejo. Dicho informe será publicado.

6.  El  Grupo elaborará un informe anual sobre la situación de la protección de  las  personas  físicas  en  lo  que  respecta  al  tratamiento  de datos personales  en  la  Comunidad  y en los países terceros, y lo transmitirá al Parlamento  Europeo,  al  Consejo  y  a  la  Comisión.  Dicho  informe  será publicado.

CAPITULO VII. MEDIDAS DE EJECUCIÓN COMUNITARIAS

Artículo 31. El Comité

1. La Comisión estará asistida por un Comité compuesto por representantes de los Estados miembros y presidido por el representante de la Comisión.

2.  El  representante de la Comisión presentará al Comité un proyecto de las medidas  que  se hayan de adoptar. El Comité emitirá su dictamen sobre dicho proyecto  en  un  plazo  que el presidente podrá determinar en función de la urgencia de la cuestión de que se trate.

El  dictamen  se  emitirá  según  la  mayoría  prevista en el apartado 2 del artículo  148  del  Tratado.  Los votos de los representantes de los Estados miembros  en  el  seno  del  Comité se ponderarán del modo establecido en el artículo anteriormente citado. El presidente no tomará parte en la votación.

La  Comisión  adoptará  las  medidas  que serán de aplicación inmediata. Sin embargo,  si  dichas  medidas  no  fueren  conformes al dictamen del Comité, habrán  de  ser  comunicadas  sin demora por la Comisión al Consejo. En este caso:

–  la  Comisión aplazará la aplicación de las medidas que ha decidido por un período de tres meses a partir de la fecha de dicha comunicación;

–  el  Consejo, actuando por mayoría cualificada, podrá adoptar una decisión diferente dentro del plazo de tiempo mencionado en el primer guión.

DISPOSICIONES FINALES

Artículo 32  

1.  Los Estados miembros adoptarán las disposiciones legales, reglamentarias y  administrativas  necesarias  para dar cumplimiento a lo establecido en la presente  Directiva,  a  más  tardar  al  final de un período de tres años a partir de su adopción.

Cuando  los  Estados  miembros  adopten  dichas  disposiciones,  éstas harán referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

2.  Los  Estados miembros velarán por que todo tratamiento ya iniciado en la fecha de entrada en vigor de las disposiciones de Derecho nacional adoptadas en  virtud  de la presente Directiva se ajuste a dichas disposiciones dentro de un plazo de tres años a partir de dicha fecha.

No  obstante lo dispuesto en el párrafo primero, los Estados miembros podrán establecer  que  el  tratamiento  de datos que ya se encuentren incluidos en ficheros  manuales  en  la  fecha  de  entrada en vigor de las disposiciones nacionales  adoptadas en aplicación de la presente Directiva, deba ajustarse a  lo  dispuesto en los artículos 6, 7 y 8 en un plazo de doce años a partir de  la  adopción de la misma. No obstante, los Estados miembros otorgarán al interesado, previa solicitud y, en particular, en el ejercicio de su derecho de  acceso,  el  derecho a que se rectifiquen, supriman o bloqueen los datos incompletos,  inexactos  o  que hayan sido conservados de forma incompatible con los fines legítimos perseguidos por el responsable del tratamiento.

3.  No  obstante  lo dispuesto en el apartado 2, los Estados miembros podrán disponer,  con sujeción a las garantías adecuadas, que los datos conservados únicamente  a  efectos  de  investigación  histórica no deban ajustarse a lo dispuesto en los artículos 6, 7 y 8 de la presente Directiva.

4.  Los  Estados  miembros  comunicarán  a  la  Comisión  el  texto  de  las disposiciones  de  Derecho  interno que adopten en el ámbito regulado por la presente Directiva.

Artículo 33 

La  Comisión  presentará al Consejo y al Parlamento Europeo periódicamente y por  primera vez en un plazo de tres años a partir de la fecha mencionada en el  apartado 1 del artículo 32 un informe sobre la aplicación de la presente Directiva,   acompañado,   en  su  caso,  de  las  oportunas  propuestas  de modificación. Dicho informe será publicado.

La Comisión estudiará, en particular, la aplicación de la presente Directiva al  tratamiento  de  datos  que  consistan en sonidos e imágenes relativos a personas físicas y presentará las propuestas pertinentes que puedan resultar necesarias en función de los avances de la tecnología de la información, y a la luz de los trabajos de la sociedad de la información.

Artículo 34 

Los destinatarios de la presente Directiva serán los Estados miembros.

Hecho en Luxemburgo, el 24 de octubre de 1995.

Por el Parlamento Europeo                                   Por el Consejo

El Presidente                                                    El Presidente

K. HANSCH                                                 L. ATIENZA SERNA

29Oct/92

LORTAD

LORTAD
Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal. (BOE. 262 del 31 octubre 1992)

Exposición de motivos

1. La Constitución Española, en su artículo 18.4, emplaza al legislador a limitar el uso de la informática para garantizar el honor, la intimidad personal y familiar de los ciudadanos y el legítimo ejercicio de sus derechos. La aún reciente aprobación de nuestra Constitución y, por tanto, su moderno carácter, le permitió expresamente la articulación de garantías contra la posible utilización torticera de ese fenómeno de la contemporaneidad que es la informática.

El progresivo desarrollo de las técnicas de recolección y almacenamiento de datos y de acceso a los mismos ha expuesto a la privacidad, en efecto, a una amenaza potencial antes desconocida. Nótese que se habla de la privacidad y no de la intimidad: Aquélla es más amplia que ésta, pues en tanto la intimidad protege la esfera en que se desarrollan las facetas más singularmente reservadas de la vida de la persona -el domicilio donde realiza su vida cotidiana, las comunicaciones en las que expresa sus sentimientos, por ejemplo-, la privacidad constituye un conjunto, más amplio, más global, de facetas de su personalidad que, aisladamente consideradas, pueden carecer de significación intrínseca pero que, coherentemente enlazadas entre sí, arrojan como precipitado un retrato de la personalidad del individuo que éste tiene derecho a mantener reservado. Y si la intimidad, en sentido estricto, está suficientemente protegida por las previsiones de los tres primeros párrafos del artículo 18 de la Constitución y por las leyes que los desarrollan, la privacidad puede resultar menoscabada por la utilización de las tecnologías informáticas de tan reciente desarrollo.

Ello es así porque, hasta el presente, las fronteras de la privacidad estaban defendidas por el tiempo y el espacio. El primero procuraba, con su transcurso, que se evanescieran los recuerdos de las actividades ajenas, impidiendo, así, la configuración de una historia lineal e ininterrumpida de la persona; el segundo, con la distancia que imponía, hasta hace poco difícilmente superable, impedía que tuviésemos conocimiento de los hechos que, protagonizados por los demás, hubieran tenido lugar lejos de donde nos hallábamos. El tiempo y el espacio operaban, así, como salvaguarda de la privacidad de la persona.

Uno y otro límite han desaparecido hoy: Las modernas técnicas de comunicación permiten salvar sin dificultades el espacio, y la informática posibilita almacenar todos los datos que se obtienen a través de las comunicaciones y acceder a ellos en apenas segundos, por distante que fuera el lugar donde transcurrieron los hechos, o remotos que fueran éstos. Los más diversos -datos sobre la infancia, sobre la vida académica, profesional o laboral, sobre los hábitos de vida y consumo, sobre el uso del denominado “dinero plástico”, sobre las relaciones personales o, incluso, sobre las creencias religiosas e ideologías, por poner sólo algunos ejemplos- relativos a las personas podrían ser, así, compilados y obtenidos sin dificultar. Ello permitiría a quien dispusiese de ellos acceder a un conocimiento cabal de actitudes, hechos o pautas de comportamiento que, sin duda, pertenecen a la esfera privada de las personas; a aquélla a la que sólo deben tener acceso el individuo y, quizás, quienes le son más próximos, o aquellos a los que él autorice. Aún más: El conocimiento ordenado de esos datos puede dibujar un determinado perfil de la persona, o configurar una determinada reputación o fama que es, en definitiva, expresión del honor; y este perfil, sin duda, puede resultar luego valorado, favorable o desfavorablemente, para las más diversas actividades públicas o privadas, como pueden ser la obtención de un empleo, la concesión de un préstamo o la admisión en determinados colectivos.

Se hace preciso, pues, delimitar una nueva frontera de la intimidad y del honor, una frontera que, sustituyendo los límites antes definidos por el tiempo y el espacio, los proteja frente a la utilización mecanizada, ordenada y discriminada de los datos a ellos referentes; una frontera, en suma, que garantice que un elemento objetivamente provechoso para la Humanidad no redunde en perjuicio para las personas. La fijación de esa nueva frontera es el objetivo de la previsión contenida en el artículo 18.4 de la Constitución, y al cumplimiento de ese objetivo responde la presente Ley.

2.  Partiendo de que su finalidad es hacer frente a los riesgos que para los derechos de la personalidad puede suponer el acopio y tratamiento de datos por medios informáticos, la Ley se nuclea en torno a los que convencionalmente se denominan “ficheros de datos”: Es la existencia de estos ficheros y la utilización que de ellos podría hacerse la que justifica la necesidad de la nueva frontera de la intimidad y del honor.

A tal efecto, la Ley introduce el concepto de tratamiento de datos, concibiendo los ficheros desde una perspectiva dinámica; dicho en otros términos, no los entiende sólo como un mero depósito de datos, sino también, y sobre todo, como una globalidad de procesos o aplicaciones informáticas que se llevan a cabo con los datos almacenados y que son susceptibles, si llegasen a conectarse entre sí, de configurar el perfil personal al que antes se hizo referencia.

La Ley está animada por la idea de implantar mecanismos cautelares que prevengan las violaciones de la privacidad que pudieran resultar del tratamiento de la información. A tal efecto se estructura en una parte general y otra especial.

La primera atiende a recoger los principios en los que ha cristalizado una opinio iuris, generada a lo largo de dos décadas, y define derechos y garantías encaminados a asegurar la observancia de tales principios generales. Alimentan esta parte general, pues, preceptos delimitadores del ámbito de aplicación de la Ley, principios reguladores de la recogida, registro y uso de datos personales y, sobre todo, garantías de la persona.

El ámbito de aplicación se define por exclusión, quedando fuera de él, por ejemplo, los datos anónimos, que constituyen información de dominio público o recogen información, con la finalidad, precisamente, de darla a conocer al público en general -como pueden ser los registros de la propiedad o mercantiles-, así como, por último, los de uso estrictamente personal. De otro lado, parece conveniente la permanencia de las regulaciones especiales que contienen ya suficientes normas de protección y que se refieren a ámbitos que revisten tal singularidad en cuanto a sus funciones y sus mecanismos de puesta al día y rectificación que aconsejan el mantenimiento de su régimen específico. Así ocurre, por ejemplo, con las regulaciones de los ficheros electorales, del Registro Civil o del Registro Central de Penados y Rebeldes; así acontece, también, con los ficheros regulados por la Ley 12/1989, de 9 de mayo , sobre función estadística pública, si bien que, en este último caso, con sujeción a la Agencia de Protección de Datos. En fin, quedan también fuera del ámbito de la norma aquellos datos que, en virtud de intereses público prevalentes, no deben estar sometidos a su régimen cautelar.

Los principios generales, por su parte, definen las pautas a las que debe atenerse la recogida de datos de carácter personal, pautas encaminadas a garantizar tanto la veracidad de la información contenida en los datos almacenados cuanto la congruencia y la racionalidad de la utilización de los datos. Este principio, verdaderamente cardinal, de la congruencia y la racionalidad, garantiza que los datos no puedan ser usados sino cuando lo justifique la finalidad para la que han sido recabados; su observancia es, por ello, capital para evitar la difusión incontrolada de la información que, siguiendo el mandado constitucional, se pretende limitar.

Por su parte, el principio de consentimiento, o de autodeterminación, otorga a la persona la posibilidad de determinar el nivel de protección de los datos a ella referentes. Su base está constituida por la exigencia del consentimiento consciente e informado del afectado para que la recogida de datos sea lícita; sus contornos, por otro lado, se refuerzan singularmente en los denominados “datos sensibles”, como pueden ser, de una parte, la ideología o creencias religiosas -cuya privacidad está expresamente garantizada por la Constitución en su artículo 16.2- y, de otra parte, la raza, la salud y la vida sexual. La protección reforzada de estos datos viene determinada porque los primeros de entre los datos mencionados sólo serán disponibles con el consentimiento expreso y por escrito del afectado, y los segundos sólo serán susceptibles de recopilación mediando dicho consentimiento o una habilitación legal expresa, habilitación que, según exigencia de la propia Ley Orgánica, ha de fundarse en razones de interés general; en todo caso, se establece la prohibición de los ficheros creados con la exclusiva finalidad de almacenar datos personales que expresen las mencionadas características. En este punto, y de acuerdo con lo dispuesto en el artículo 10 de la Constitución, se atienden las exigencias y previsiones que para estos datos se contienen en el Convenio Europeo para la protección de las personas con respecto al tratamiento automatizado de datos con carácter personal, de 1981, ratificado por España.

Para la adecuada configuración, que esta Ley se propone, de la nueva garantía de la intimidad y del honor, resulta esencial la correcta regulación de la cesión de los datos almacenados. Es, en efecto, el cruce de los datos almacenados en diversas instancias o ficheros el que puede arrojar el repetidamente aludido perfil personal, cuya obtención transgredería los límites de la privacidad. Para prevenir estos perturbadores efectos, la Ley completa el principio del consentimiento, exigiendo que, al procederse la recogida de los datos, el afectado sea debidamente informado del uso que se les puede dar, al objeto de que el consentimiento se preste con conocimiento cabal de su exacto alcance. Sólo las previsiones del Convenio Europeo para la protección de los Derechos Fundamentales de la Persona -artículo 8.2- y del Convenio 108 del Consejo de Europa           -artículo 9.2-, que se fundamentan en exigencias lógicas en toda sociedad democrática, constituyen excepciones a esta regla.

3. Las garantías de la persona son los nutrientes nucleares de la parte general, y se configuran jurídicamente como derechos subjetivos encaminados a hacer operativos los principios genéricos. Son, en efecto, los derechos de autodeterminación, de amparo, de rectificación y de cancelación los que otorgan virtualidad normativa y eficacia jurídica a los principios consagrados en la parte general, principios que, sin los derechos subjetivos ahora aludidos, no rebasarían un contenido meramente programático.

En concreto, los derechos de acceso a los datos, de rectificación y de cancelación, se constituyen como piezas centrales del sistema cautelar o preventivo instaurado por la Ley. El primero de ellos ha cobrado en nuestro país, incluso, plasmación constitucional en lo que se refiere a los datos que obran en poder de las Administraciones Públicas (artículo 105.b). En consonancia con ello queda recogido en la Ley en términos rotundos, no previéndose más excepciones que las derivadas de la puesta en peligro de bienes jurídicos en lo relativo al acceso a los datos policiales y a los precisos para asegurar el cumplimiento de las obligaciones tributarias en lo referente a los datos de este carácter, excepciones ambas que pueden entenderse expresamente recogidas en el propio precepto constitucional antes citado, así como en el Convenio Europeo para la protección de los Derechos Fundamentales.

4. Para la articulación de los extremos concretos que han de regir los ficheros de datos, la parte especial de la Ley comienza distinguiendo, en su Título Cuarto, entre los distintos tipos de ficheros, según sea su titularidad pública o privada. Con la pretensión de evitar una perniciosa burocratización, la Ley ha desechado el establecimiento de supuestos como la autorización previa o la inscripción constitutiva en un registro. Simultáneamente, ha establecido regímenes diferenciados para los ficheros en razón de su titularidad, toda vez que, con toda evidencia, resulta más problemático el control de los de titularidad privada que el de aquellos de titularidad pública. En efecto, en lo relativo a estos últimos, no basta la mera voluntad del responsable del fichero sino que es precisa norma habilitante, naturalmente pública y sometida al control jurisdiccional, para crearlos y explotarlos, siendo en estos supuestos el informe previo del órgano de tutela el cauce idóneo para controlar la adecuación de la explotación a las exigencias legales y recomendar, en su caso, las medidas pertinentes.

Otras disposiciones de la parte especial que procede destacar son las atinentes a la transmisión internacional de los datos. En este punto, la Ley traspone la norma del artículo 12 del Convenio 108 del Consejo de Europa, apuntando así una solución para lo que ha dado en llamarse flujo transfronterizo de datos. La protección de la integridad de la información personal se concilia, de esta suerte, con el libre flujo de los datos, que constituye una auténtica necesidad de la vida actual de la que las transferencias bancarias, las reservas de pasajes aéreos o el auxilio judicial internacional pueden ser simples botones de muestra. Se ha optado por exigir que el país de destino cuente en su ordenamiento con un sistema de protección equivalente al español, si bien permitiendo la autorización de la Agencia cuando tal sistema no exista pero se ofrezcan garantías suficientes. Con ello no sólo se cumple con una exigencia lógica, la de evitar un fallo que pueda producirse en el sistema de protección a través del flujo a países que no cuentan con garantías adecuadas, sino también con las previsiones de instrumentos internacionales como los Acuerdos de Schengen o las futuras normas comunitarias.

5. Para asegurar la máxima eficacia de sus disposiciones, la Ley encomienda el control de su aplicación a un órgano independiente, al que atribuye el estatuto de Ente público en los términos, del artículo 6.5 de la Ley General Presupuestaria. A tal efecto la Ley configura un órgano especializado, denominado Agencia de Protección de Datos, a cuyo frente sitúa un Director.

La Agencia se caracteriza por la absoluta independencia de su Director en el ejercicio de sus funciones, independencia que trae causa, en primer lugar, de un expreso imperativo legal, pero que se garantiza, en todo caso, mediante el establecimiento de un mandato fijo que sólo puede ser acortado por un numerus clausus de causas de cese.

La Agencia dispondrá, además, de un órgano de apoyo definido por los caracteres de colegiación y representatividad, en el que obtendrán presencia las Cámaras que representan a la soberanía nacional, las Administraciones Públicas en cuanto titulares de ficheros objeto de la presente Ley, el sector privado, las organizaciones de usuarios y consumidores y otras personas relacionadas con las diversas funciones que cumplen los archivos informatizados.

6. El inevitable desfase que las normas de derecho positivo ofrecen respecto de las transformaciones sociales es, si cabe, más acusado en este terreno, cuya evolución tecnológica es especialmente, dinámica. Ello hace aconsejable, a la hora de normar estos campos, acudir a mecanismos jurídicos dotados de menor nivel de vinculación, susceptibles de una elaboración o modificación más rápida de lo habitual y caracterizados por que es la voluntaria aceptación de sus destinatarios la que les otorga eficacia normativa. En esta línea la Ley recoge normas de autorregulación, compatibles con las recomendaciones de la Agencia, que evitan los inconvenientes derivados de la especial rigidez de la Ley Orgánica que, por su propia naturaleza, es inidónea para un acentuado casuismo. La propia experiencia de lo ocurrido con el Convenio del Consejo de Europa, que ha tenido que ser objeto de múltiples modificaciones al socaire de las distintas innovaciones tecnológicas, de las sucesivas y diferentes aplicaciones -estadística, Seguridad Social, relaciones de empleo, datos policiales, publicidad directa o tarjetas de crédito, entre otras- o de la ampliación de los campos de utilización -servicio telefónico o correo electrónico- aconseja recurrir a las citadas normas de autorregulación. De ahí que la Ley acuda a ellas para aplicar las previsiones legales a los distintos sectores de actividad. Tales normas serán elaboradas por iniciativa de las asociaciones y organizaciones pertinentes y serán aprobadas, sin valor reglamentario, por la Agencia, siendo precisamente la iniciativa y participación de las entidades afectadas la garantía de la virtualidad de las normas.

7. La Ley no consagra nuevos tipos delictivos, ni define supuestos de responsabilidad penal para la eventualidad de su incumplimiento. Ello obedece a que se entiende que la sede lógica para tales menesteres no es esta Ley, sino sólo el Código Penal.

Sí se atribuye, sin embargo, a la Administración la potestad sancionadora que es lógico correlato de su función de inspección del uso de los ficheros, similar a las demás inspecciones administrativas, y que se configura de distinta forma según se proyecte sobre la utilización indebida de los ficheros públicos, en cuyo caso procederá la oportuna responsabilidad disciplinaria, o sobre los privados, para cuyo supuesto se prevén sanciones pecuniarias.

De acuerdo con la práctica usual, la Ley se limita a tipificar, de conformidad con lo requerido por la jurisprudencia constitucional y ordinaria, unos supuestos genéricos de responsabilidad administrativa, recogiendo una gradación de infracciones que sigue la habitual distinción entre leves, graves y muy graves, y que toma como criterio básico el de los bienes jurídicos emanados. Las sanciones, a su vez, difieren según que los ficheros indebidamente utilizados sean públicos o privados: en el primero caso, procederá la responsabilidad disciplinaria, sin perjuicio de la intervención del Defensor del Pueblo; para el segundo, se prevén sanciones pecuniarias; en todo caso, se articula la posibilidad en los supuestos, constitutivos de infracción muy grave, de cesión ilícita de datos o de cualquier otro atentado contra los derechos de los afectados que revista gravedad, de inmovilizar los ficheros.

8. Finalmente, la Ley estipula un período transitorio que se justifica por la necesidad de ajustar la utilización de los ficheros existentes a las disposiciones legales.

Pasado este período transitorio, y una vez en vigor la Ley, podrá muy bien decirse, una vez más, que el desarrollo legislativo de un precepto constitucional se traduce en una protección reforzada de los derechos fundamentales del ciudadano. En este caso, al desarrollar legislativamente el mandato constitucional de limitar el uso de la informática, se está estableciendo un nuevo y más consistente derecho a la privacidad de las personas.

TITULO I. DISPOSICIONES GENERALES

 Artículo 1. Objeto.

La presente Ley Orgánica, en desarrollo de lo previsto en el apartado 4 del artículo 18 de la Constitución, tiene por objeto limitar el uso de la informática y otras técnicas y medios de tratamiento automatizado de los datos de carácter personal para garantizar el honor, la intimidad personal y familiar de las personas físicas y el pleno ejercicio de sus derechos.

 Artículo 2. Ámbito de aplicación.

1. La presente Ley será de aplicación a los datos de carácter personal que figuren en ficheros automatizados de los sectores público y privado y a toda modalidad de uso posterior, incluso no automatizado, de datos de carácter personal registrados en soporte físico susceptible de tratamiento automatizado.

2. El régimen de protección de los datos de carácter personal que se establece en la presente Ley no será de aplicación:

a) A los ficheros automatizados de titularidad pública cuyo objeto, legalmente establecido, sea el almacenamiento de datos para su publicidad con carácter general.

b) A los ficheros mantenidos por personas físicas con fines exclusivamente personales.

c) A los ficheros de información tecnológica o comercial que reproduzcan datos ya publicados en boletines, diarios o repertorios oficiales.

d) A los ficheros de informática jurídica accesibles al público en la medida en que se limiten a reproducir disposiciones o resoluciones judiciales publicadas en periódicos o repertorios oficiales.

e) A los ficheros mantenidos por los partidos políticos, sindicatos e iglesias, confesiones y comunidades religiosas en cuanto los datos se refieran a sus asociados o miembros y ex miembros, sin perjuicio de la cesión de los datos que queda sometida a lo dispuesto en el artículo 11 de esta Ley, salvo que resultara de aplicación el artículo 7 por tratarse de los datos personales en él contenidos.

3. Se regirán por sus disposiciones específicas:

a) Los ficheros regulados por la legislación de régimen electoral.

b) Los sometidos a la normativa sobre protección de materias clasificadas.

c) Los derivados del Registro Civil y del Registro Central de Penados y Rebeldes.

d) Los que sirvan a fines exclusivamente estadísticos y estén amparados por la Ley 12/1989, de 9 de mayo, de la función estadística pública, sin perjuicio de lo dispuesto en el artículo 36.

e) Los ficheros automatizados cuyo objeto sea el almacenamiento de los datos contenidos en los informes personales regulados en el artículo 68 de la Ley 17/1989, de 19 de julio. Reguladora del Régimen del Personal Militar Profesional.

 Artículo 3. Definiciones.

A los efectos de la presente Ley se entenderá por:

a) Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.

b) Fichero automatizado: Todo conjunto organizado de datos de carácter personal que sean objeto de un tratamiento automatizado, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.

c) Tratamiento de datos: Operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

d) Responsable del fichero: Persona física, jurídica de naturaleza pública o privada y órgano administrativo que decida sobre la finalidad, contenido y uso del tratamiento.

e) Afectado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado c) del presente artículo.

f) Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona determinada o determinable.

TITULO II. PRINCIPIOS DE LA PROTECCIÓN DE DATOS

 Artículo 4. Calidad de los datos.

1. Sólo se podrán recoger datos de carácter personal para su tratamiento automatizado, así como someterlos a dicho tratamiento, cuando tales datos sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades legítimas para las que se hayan obtenido.

En su clasificación sólo podrán utilizarse criterios que no se presten a prácticas ilícitas.

2. Los datos de carácter personal objeto de tratamiento automatizado no podrán usarse para finalidades distintas de aquellas para las que los datos hubieran sido recogidos.

3. Dichos datos serán exactos y puestos al día de forma que respondan con veracidad a la situación real del afectado.

4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 15.

5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados y registrados.

No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.

Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos sus valores históricos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos.

6. Serán almacenados de forma que permitan el ejercicio del derecho de acceso por parte del afectado.

7. Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.

 Artículo 5. Derecho de información en la recogida de datos.

1. Los afectados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:

a) De la existencia de un fichero automatizado de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.

b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.

c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.

d) De la posibilidad de ejercitar los derechos de acceso, rectificación y cancelación.

e) De la identidad y dirección del responsable del fichero.

2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.

3. No será necesaria la información a que se refiere el apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.

 Artículo 6. Consentimiento del afectado.

1. El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento del afectado, salvo que la Ley disponga otra cosa.

2. No será preciso el consentimiento cuando los datos de carácter personal se recojan de fuentes accesibles al público, cuando se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias, ni cuando se refieran a personas vinculadas por una relación negocial, una relación laboral, una relación administrativa o un contrato y sean necesarios para el mantenimiento de las relaciones o para el cumplimiento del contrato.

3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuya efectos retroactivos.

 Artículo 7. Datos especialmente protegidos.

1. De acuerdo con lo establecido en el apartado 2 del artículo 16 de la Constitución, nadie podrá ser obligado a declarar sobre su ideología, religión o creencias.

Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se advertirá al interesado acerca de su derecho a no prestarlo.

2. Sólo con consentimiento expreso y por escrito del afectado podrán ser objeto de un tratamiento automatizado los datos de carácter personal que revelen la ideología, religión y creencias.

3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados automatizadamente y cedidos cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente.

4. Quedan prohibidos los ficheros creados con la finalidad exclusiva de almacenar datos de carácter personal que revelen la ideología, religión, creencias, origen racial o vida sexual.

5. Los datos de carácter personal relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en ficheros automatizados de las Administraciones Públicas competentes en los supuestos previstos en las respectivas normas reguladoras.

 Artículo 8. Datos relativos a la salud.

Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento automatizado de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en los artículos 8, 10, 23 y 61 de la Ley 14/1986, de 25 de abril , General de Sanidad; 85.5, 96 y 98 de la Ley 25/1990, de 20 de diciembre , del Medicamento; 2, 3 y 4 de la Ley Orgánica 3/1986, de 14 de abril , de medidas especiales en materia de Salud Pública, y demás Leyes sanitarias.

 Artículo 9. Seguridad de los datos.

1. El responsable del fichero deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.

2. No se registrarán datos de carácter personal en ficheros automatizados que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.

3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros automatizados y las personas que intervengan en el tratamiento automatizado de los datos a que se refiere el artículo 7 de esta Ley.

 Artículo 10. Deber de secreto.

El responsable del fichero automatizado y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo.

 Artículo 11. Cesión de datos.

1. Los datos de carácter personal objeto del tratamiento automatizado sólo podrán ser cedidos para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del afectado.

2. El consentimiento exigido en el apartado anterior no será preciso:

a) Cuando una Ley prevea otra cosa.

b) Cuando se trate de datos recogidos de fuentes accesibles al público.

c) Cuando el establecimiento del fichero automatizado responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho fichero con ficheros de terceros. En este caso la cesión sólo será legítima en cuanto se limite a la finalidad que la justifique.

d) Cuando la cesión que deba efectuarse tenga por destinatario el Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales, en el ejercicio de las funciones que tiene atribuidas.

e) Cuando la cesión se produzca entre las Administraciones Públicas en los supuestos previstos en el artículo 19.

f) Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero automatizado o para realizar los estudios epidemiológicos en los términos establecidos en el artículo 8 de la Ley 14/1986, de 25 de abril, General de Sanidad.

3. Será nulo el consentimiento cuando no recaiga sobre un cesionario determinado o determinable, o si no constase con claridad la finalidad de la cesión que se consiente.

4. El consentimiento para la cesión de datos de carácter personal tiene también un carácter de revocable.

5. El cesionario de los datos de carácter personal se obliga, por el solo hecho de la cesión, a la observancia de las disposiciones de la presente Ley.

6. Si la cesión se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores.

 TITULO III. DERECHOS DE LAS PERSONAS

 Artículo 12. Impugnación de valoraciones basadas exclusivamente en datos automatizados.

El afectado podrá impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento cuyo único fundamento sea un tratamiento automatizado de datos de carácter personal que ofrezca una definición de sus características o personalidad.

 Artículo 13. Derecho de información.

Cualquier persona podrá conocer, recabando a tal fin la información oportuna del Registro General de Protección de Datos, la existencia de ficheros automatizados de datos de carácter personal, sus finalidades y la identidad del responsable del fichero. El Registro General será de consulta pública y gratuita.

 Artículo 14. Derecho de acceso.

1. El afectado tendrá derecho a solicitar y obtener información de sus datos de carácter personal incluidos en los ficheros automatizados.

2. La información podrá consistir en la mera consulta de los ficheros por medio de su visualización, o en la comunicación de los datos pertinentes mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos convencionales que requieran el uso de dispositivos mecánicos específicos.

3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el afectado acredite un interés legítimo al efecto, en cuyo caso podrá ejercitarlo antes.

 Artículo 15. Derecho de rectificación y cancelación.

1. Por vía reglamentaria se establecerá el plazo en que el responsable del fichero tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del afectado.

2. Los datos de carácter personal que resulten inexactos o incompletos serán rectificados y cancelados en su caso.

3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá notificar la rectificación o cancelación efectuada al cesionario.

4. La cancelación no procederá cuando pudiese causar un perjuicio a intereses legítimos del afectado o de terceros o cuando existiese una obligación de conservar los datos.

5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del fichero y el afectado.

 Artículo 16. Procedimiento de acceso.

1. El procedimiento para ejercitar el derecho de acceso, así como el de rectificación y cancelación será establecido reglamentariamente.

2. No se exigirá contraprestación alguna por la rectificación o cancelación de los datos de carácter personal inexactos.

 Artículo 17. Tutela de los derechos y derecho de indemnización.

1. Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia de Protección de Datos, en la forma que reglamentariamente se determine.

2. Contra las resoluciones de la Agencia de Protección de Datos procederá recurso contencioso-administrativo.

3. Los afectados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable del fichero, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados.

4. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas.

5. En el caso de los ficheros de titularidad privada la acción se ejercitará ante los órganos de la jurisdicción ordinaria.

 TITULO IV. DISPOSICIONES SECTORIALES

 CAPITULO I. FICHEROS DE TITULARIDAD PÚBLICA

 Artículo 18. Creación, modificación o supresión.

1. La creación, modificación o supresión de los ficheros automatizados de las Administraciones Públicas sólo podrán hacerse por medio de disposición general publicada en el “Boletín Oficial del Estado” o diario oficial correspondiente.

2. Las disposiciones de creación o de modificación de los ficheros deberán indicar:

a) La finalidad del fichero y los usos previstos para el mismo.

b) Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que resulten obligados a suministrarlos.

c) El procedimiento de recogida de los datos de carácter personal.

d) La estructura básica del fichero automatizado y la descripción de los tipos de datos de carácter personal incluidos en el mismo.

e) Las cesiones de datos de carácter personal que, en su caso, se prevean.

f) Los órganos de la Administración responsables del fichero automatizado.

g) Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación y cancelación.

3. En las disposiciones que se dicten para la supresión de los ficheros automatizados se establecerá el destino de los mismos o, en su caso, las previsiones que se adopten para su destrucción.

 Artículo 19. Cesión de datos entre Administraciones Públicas.

1. Los datos de carácter personal recogidos o elaborados por las Administraciones Públicas para el desempeño de sus atribuciones no serán cedidos a otras Administraciones Públicas para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas, salvo cuando la cesión hubiese sido prevista por las disposiciones de creación del fichero o por disposición posterior de igual o superior rango que regule su uso.

2. Podrán, en todo caso, ser objeto de cesión los datos de carácter personal que una Administración Pública obtenga o elabore con destino a otra.

3. No obstante lo establecido en el artículo 11.2.b) la cesión de datos recogidos de fuentes accesibles al público no podrá efectuarse a ficheros de titularidad privada, sino con el consentimiento del interesado o cuando una Ley prevea otra cosa.

 Artículo 20. Ficheros de las Fuerzas y Cuerpos de Seguridad.

1. Los ficheros automatizados creados por las Fuerzas y Cuerpos de Seguridad que contengan datos de carácter personal que, por haberse recogido para fines administrativos, deban ser objeto de registro permanente, estarán sujetos al régimen general de la presente Ley.

2. La recogida y tratamiento automatizado para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas, están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías, en función de su grado de fiabilidad.

3. La recogida y tratamiento por las Fuerzas y Cuerpos de Seguridad de los datos a que hacen referencia los apartados 2 y 3 del artículo 7, podrán realizarse exclusivamente en los supuestos en que sea absolutamente necesario para los fines de una investigación concreta.

4. Los datos personales registrados con fines policiales se cancelarán cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento.

A estos efectos se considerará especialmente la edad del afectado y el carácter de los datos almacenados, la necesidad de mantener los datos hasta la conclusión de una investigación o procedimiento concreto, la resolución judicial firme, en especial la absolutoria, el indulto, la rehabilitación y la prescripción de responsabilidad.

 Artículo 21. Excepciones a los derechos de acceso, rectificación y cancelación.

1. Los responsables de los ficheros que contengan los datos a que se refieren los apartados 2, 3 y 4 del artículo anterior podrán denegar el acceso, la rectificación o la cancelación en función de los peligros que pudieran derivarse para la defensa del Estado o la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando.

2. Los responsables de los ficheros de la Hacienda Pública podrán, igualmente, denegar el ejercicio de los derechos a que se refiere el apartado anterior cuando el mismo obstaculice las actuaciones administrativas tendentes a asegurar el cumplimiento de las obligaciones tributarias y, en todo caso, cuando el afectado esté siendo objeto de actuaciones inspectoras.

3. El afectado al que se deniegue, total o parcialmente, el ejercicio de los derechos mencionados en los apartados anteriores, podrá ponerlo en conocimiento del Director de la Agencia de Protección de Datos o del Organismo competente de cada Comunidad Autónoma en el caso de ficheros automatizados mantenidos por Cuerpos de Policía propios de éstas, o por las Administraciones Tributarias Autonómicas, quien deberá asegurarse de la procedencia o improcedencia de la denegación.

 Artículo 22. Otras excepciones a los derechos de los afectados.

1. Lo dispuesto en los apartados 1 y 2 del artículo 5 no será aplicable a la recogida de datos cuando la información al afectado impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de las Administraciones Públicas o cuando afecte a la Defensa Nacional, a la Seguridad pública o a la persecución de infracciones penales o administrativas.

2. Lo dispuesto en el artículo 14 y en el apartado 1 del artículo 15 no será de aplicación si, ponderados los intereses en presencia, resultase que los derechos que dichos preceptos conceden al afectado hubieran de ceder ante razones de interés público o ante intereses de terceros más dignos de protección. Si el órgano administrativo responsable del fichero automatizado invocase lo dispuesto en este apartado, dictará resolución motivada e instruirá al afectado del derecho que le asiste a poner la negativa en conocimiento del Director de la Agencia de Protección de Datos o, en su caso, del órgano equivalente de las Comunidades Autónomas.

 CAPITULO II. FICHEROS DE TITULARIDAD PRIVADA

 Artículo 23. Creación.

Podrán crearse ficheros automatizados de titularidad privada que contengan datos de carácter personal cuando resulte necesario para el logro de la actividad u objeto legítimos de la persona, empresa o entidad titular y se respeten las garantías que esta Ley establece para la protección de las personas.

 Artículo 24. Notificación e inscripción registral.

1. Toda persona o entidad que proceda a la creación de ficheros automatizados de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.

2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad y las cesiones de datos de carácter personal que se prevean realizar.

3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación.

4. El Registro General de Protección de Datos inscribirá el fichero automatizado si la notificación se ajusta a los requisitos exigibles.

En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación.

5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos.

 Artículo 25. Comunicación de la cesión de datos.

1. El responsable del fichero, en el momento en que se efectúe la primera cesión de datos, deberá informar de ello a los afectados, indicando asimismo la finalidad del fichero, la naturaleza de los datos que han sido cedidos y el nombre y dirección del cesionario.

2. La obligación establecida en el apartado anterior no existirá en el supuesto previsto en los apartados 2, letras c), d) y e), y 6 del artículo 11 ni cuando la cesión venga impuesta por Ley.

 Artículo 26. Datos sobre abonados a servicios de telecomunicación.

Los números de los teléfonos y demás servicios de telecomunicación, junto con otros datos complementarios, podrán figurar en los repertorios de abonados de acceso al público, pero el afectado podrá exigir su exclusión.

 Artículo 27. Prestación de servicios de tratamiento automatizado de datos de carácter personal.

1. Quienes, por cuenta de terceros, presten servicios de tratamiento automatizado de datos de carácter personal no podrán aplicar o utilizar los obtenidos con fin distinto al que figure en el contrato de servicios, ni cederlos, ni siquiera para su conservación, a otras personas.

2. Una vez cumplida la prestación contractual, los datos de carácter personal tratados deberán ser destruidos, salvo que medie autorización expresa de aquél por cuenta de quien se prestan tales servicios, porque razonablemente se presuma la posibilidad de ulteriores encargos, en cuyo caso se podrán almacenar con las debidas condiciones de seguridad por un período de cinco años.

 Artículo 28. Prestación de servicios de información sobre solvencia patrimonial y crédito.

1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar automatizadamente datos de carácter personal obtenidos de fuentes accesibles al público o procedentes de informaciones facilitadas por el afectado o con su consentimiento. Podrán tratarse, igualmente, datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los afectados respecto de los que hayan registrado datos de carácter personal en ficheros automatizados, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley.

2. Cuando el afectado lo solicite, el responsable del fichero le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección del cesionario.

3. Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los afectados y que no se refieran, cuando sean adversos, a más de seis años.

 Artículo 29. Ficheros con fines de publicidad.

1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad o venta directa y otras actividades análogas, utilizarán listas tratadas automáticamente de nombres y direcciones u otros datos personales, cuando los mismos figuren en documentos accesibles al público o cuando hayan sido facilitados por los propios afectados u obtenidos con su consentimiento.

2. Los afectados tendrán derecho a conocer el origen de sus datos de carácter personal, así como a ser dados de baja de forma inmediata del fichero automatizado, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.

 Artículo 30. Ficheros relativos a encuestas o investigaciones.

1. Sólo se utilizarán de forma automatizada datos de carácter personal en las encuestas de opinión, trabajos de prospección de mercados, investigación científica o médica y actividades análogas, si el afectado hubiera prestado libremente su consentimiento a tal efecto.

2. Los datos de carácter personal tratados automáticamente con ocasión de tales actividades no podrán ser utilizados con finalidad distinta ni cedidos de forma que puedan ser puestos en relación con una persona concreta.

 Artículo 31. Códigos tipo.

1. Mediante acuerdos sectoriales o decisiones de empresa, los responsables de ficheros de titularidad privada podrán formular códigos tipo que establezcan las condiciones de organización, régimen de funcionamiento, procedimientos aplicables, normas de seguridad del entorno, programas o equipos, obligaciones de los implicados en el tratamiento y uso de la información personal, así como las garantías, en su ámbito, para el ejercicio de los derechos de las personas con pleno respeto de los principios y disposiciones de la presente Ley y sus normas de desarrollo.

Los citados códigos podrán contener o no reglas operacionales detalladas de cada sistema particular y estándares técnicos de aplicación.

En el supuesto de que tales reglas o estándares no se incorporaran directamente al código, las instrucciones u órdenes que los establecieran deberán respetar los principios fijados en aquél.

2. Los códigos tipo tendrán el carácter de códigos deontológicos o de buena práctica profesional, debiendo ser depositados o inscritos en el Registro General de Protección de Datos, que podrá denegar la inscripción cuando considere que no se ajustan a las disposiciones legales y reglamentarias sobre la materia, debiendo, en este caso, el Director de la Agencia de Protección de Datos requerir a los solicitantes para que efectúen las correcciones oportunas.

TITULO V. MOVIMIENTO INTERNACIONAL DE DATOS

 Artículo 32. Norma general.

No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento automatizado o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas.

 Artículo 33. Excepciones.

Lo dispuesto en el artículo anterior no será de aplicación:

a) Cuando la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte España.

b) Cuando la transferencia se haga a efectos de prestar o solicitar auxilio judicial internacional.

c) Cuando la misma tenga por objeto el intercambio de datos de carácter médico entre facultativos o instituciones sanitarias y así lo exija el tratamiento del afectado, o la investigación epidemiológica de enfermedades o brotes epidémicos.

d) Cuando se refiera a transferencias dinerarias conforme a su legislación específica.

TITULO VI. AGENCIA DE PROTECCIÓN DE DATOS

 Artículo 34. Naturaleza y régimen jurídico.

1. Se crea la Agencia de Protección de Datos.

2. La Agencia de Protección de Datos es un Ente de Derecho Público, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las Administraciones Públicas en el ejercicio de sus funciones. Se regirá por lo dispuesto en la presente Ley y en un Estatuto propio que será aprobado por el Gobierno, así como por aquellas disposiciones que le sean aplicables en virtud del artículo 6.5 de la Ley General Presupuestaria.

3. En el ejercicio de sus funciones públicas, y en defecto de lo que dispongan la presente Ley y sus disposiciones de desarrollo, la Agencia de Protección de Datos actuará de conformidad con la Ley de Procedimiento Administrativo. En sus adquisiciones patrimoniales y contratación estará sujeta al Derecho privado.

4. Los puestos de trabajo de los órganos y servicios que integren la Agencia de Protección de Datos serán desempeñados por funcionarios de las Administraciones Públicas y por personal contratado al efecto, según la naturaleza de las funciones asignadas a cada puesto de trabajo. Este personal está obligado a guardar secreto de los datos de carácter personal de que conozca en el desarrollo de su función.

5. La Agencia de Protección de Datos contará, para el cumplimiento de sus fines, con los siguientes bienes y medios económicos:

a) Las asignaciones que se establezcan anualmente con cargo a los Presupuestos Generales del Estado.

b) Los bienes y valores que constituyan su patrimonio, así como los productos y rentas del mismo.

c) Cualesquiera otros que legalmente puedan serle atribuidos.

6. La Agencia de Protección de Datos elaborará y aprobará con carácter anual el correspondiente anteproyecto de presupuesto y lo remitirá al Gobierno para que sea integrado, con la debida independencia, en los Presupuestos Generales del Estado.

 Artículo 35. El Director.

1. El Director de la Agencia de Protección de Datos dirige la Agencia y ostenta su representación. Será nombrado, de entre quienes componen el Consejo Consultivo, mediante Real Decreto, por un período de cuatro años.

2. Ejercerá sus funciones con plena independencia y objetividad y no estará sujeto a instrucción alguna en el desempeño de aquéllas.

3. El Director de la Agencia de Protección de Datos sólo cesará antes de la expiración del período a que se refiere el apartado 1 a petición propia o por separación acordada por el Gobierno, previa instrucción de expediente, en el que necesariamente serán oídos los restantes miembros del Consejo Consultivo, por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por delito doloso.

4. El Director de la Agencia de Protección de Datos tendrá la consideración de alto cargo.

 Artículo 36. Funciones.

Son funciones de la Agencia de Protección de Datos:

a) Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación y cancelación de datos.

b) Emitir las autorizaciones previstas en la Ley o en sus disposiciones reglamentarias.

c) Dictar, en su caso y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos automatizados a los principios de la presente Ley.

d) Atender las peticiones y reclamaciones formuladas por las personas afectadas.

e) Proporcionar información a las personas acerca de sus derechos en materia de tratamiento automatizado de los datos de carácter personal.

f) Ordenar la cesación de los tratamientos de datos de carácter personal y la cancelación de los ficheros, cuando no se ajusten a las disposiciones de la presente Ley.

g) Ejercer la potestad sancionadora en los términos previstos por el título VII de la presente Ley.

h) Informar, con carácter preceptivo, los proyectos de disposiciones generales que desarrollen esta Ley.

i) Recabar de los responsables de los ficheros cuanta ayuda e información estime necesaria para el desempeño de sus funciones.

j) Velar por la publicidad de la existencia de los ficheros automatizados de datos con carácter personal, a cuyo efecto publicará periódicamente una relación de dichos ficheros con la información adicional que el Director de la Agencia determine.

k) Redactar una memoria anual y remitirla al Ministerio de Justicia.

l) Ejercer el control y adoptar las autorizaciones que procedan en relación con los movimientos internacionales de datos, así como desempeñar las funciones de cooperación internacional en materia de protección de datos personales.

m) Velar por el cumplimiento de las disposiciones que la Ley de la Función Estadística Pública establece respecto a la recogida de datos estadísticos y al secreto estadístico, así como dictar las instrucciones precisas, dictaminar sobre las condiciones de seguridad de los ficheros constituidos con fines exclusivamente estadísticos y ejercer la potestad a la que se refiere el artículo 45.

n) Cuantas otras le sean atribuidas por normas legales o reglamentarias.

 Artículo 37. Consejo consultivo.

El Director de la Agencia de Protección de Datos estará asesorado por un Consejo Consultivo compuesto por los siguientes miembros:

Un Diputado, propuesto por el Congreso de los Diputados.

Un Senador, propuesto por la correspondiente Cámara.

Un representante de la Administración Central, designado por el Gobierno.

Un representante de la Administración Local, propuesto por la Federación Española de Municipios y Provincias.

Un miembro de la Real Academia de la Historia, propuesto por la misma.

Un experto en la materia, propuesto por el Consejo Superior de Universidades.

Un representante de los usuarios y consumidores, seleccionado del modo que se prevea reglamentariamente.

Un representante de las Comunidades Autónomas, cuya propuesta se realizará a través del procedimiento que se establezca en las disposiciones de desarrollo de esta Ley.

Un representante del sector de ficheros privados, para cuya propuesta se seguirá el procedimiento que se regule reglamentariamente.

El funcionamiento del Consejo Consultivo se regirá por las normas reglamentarias que al efecto se establezcan.

 Artículo 38. El Registro General de Protección de Datos.

1. Se crea el Registro General de Protección de Datos como órgano integrado en la Agencia de Protección de Datos.

2. Serán objeto de inscripción en el Registro General de Protección de Datos:

a) Los ficheros automatizados de que sean titulares las Administraciones Públicas.

b) Los ficheros automatizados de titularidad privada.

c) Las autorizaciones a que se refiere la presente Ley.

d) Los códigos tipo a que se refiere el artículo 31 de la presente Ley.

e) Los datos relativos a los ficheros que sean necesarios para el ejercicio de los derechos de información, acceso, rectificación y cancelación.

3. Por vía reglamentaria se regulará el procedimiento de inscripción de los ficheros, tanto de titularidad pública como de titularidad privada, en el Registro General de Protección de Datos, el contenido de la inscripción, su modificación, cancelación, reclamaciones y recursos contra las resoluciones correspondientes y demás extremos pertinentes.

 Artículo 39. Potestad de inspección.

1. La Agencia de Protección de Datos podrá inspeccionar los ficheros a que hace referencia la presente Ley recabando cuantas informaciones precise para el cumplimiento de sus cometidos.

A tal efecto, podrá solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos accediendo a los locales donde se hallen instalados.

2. Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior, tendrán la consideración de autoridad pública en el desempeño de sus cometidos.

Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas.

 Artículo 40. Órganos correspondientes de las Comunidades Autónomas.

1. Las funciones de la Agencia de Protección de Datos reguladas en el artículo 36, a excepción de las mencionadas en los apartados j), k) y l) y en los apartados f) y g) en lo que se refiere a las transferencias internacionales de datos, así como en los artículos 45 y 48, en relación con sus específicas competencias, serán ejercidas, cuando afecten a ficheros automatizados de datos de carácter personal creados o gestionados por las Comunidades Autónomas, por los órganos correspondientes de cada Comunidad, a los que se garantizará plena independencia y objetividad en el ejercicio de su cometido.

2. Las Comunidades Autónomas podrán crear y mantener sus propios registros de ficheros públicos para el ejercicio de las competencias que se les reconoce sobre los mismos, respecto de los archivos informatizados de datos personales cuyos titulares sean los órganos de las respectivas Comunidades Autónomas o de sus Territorios Históricos.

3. El Director de la Agencia de Protección de Datos podrá convocar regularmente a los órganos correspondientes de las Comunidades Autónomas a efectos de cooperación institucional y coordinación de criterios o procedimientos de actuación. El Director de la Agencia de Protección de Datos y los órganos correspondientes de las Comunidades Autónomas podrán solicitarse mutuamente la información necesaria para el cumplimiento de sus funciones.

 Artículo 41. Ficheros de las Comunidades Autónomas en materias de su exclusiva competencia.

1. Cuando el Director de la Agencia de Protección de Datos constate que el mantenimiento o uso de un determinado fichero automatizado de las Comunidades Autónomas contraviene algún precepto de esta Ley en materia de su exclusiva competencia, podrá requerir a la Administración correspondiente para que adopte las medidas correctoras que determine en el plazo que expresamente se fije en el requerimiento.

2. Si la Administración Pública correspondiente no cumpliera el requerimiento formulado, el Director de la Agencia de Protección de Datos podrá impugnar la resolución adoptada por aquella Administración.

 TITULO VII. INFRACCIONES Y SANCIONES

 Artículo 42. Responsables.

1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley.

2. Cuando se trate de ficheros de los que sean responsables las Administraciones Públicas se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en el artículo 45, apartado 2.

 Artículo 43. Tipos de infracciones.

1. Las infracciones se calificarán como leves, graves o muy graves.

2. Son infracciones leves:

a) No proceder, de oficio o a solicitud de las personas o instituciones legalmente habilitadas para ello, a la rectificación o cancelación de los errores, lagunas o inexactitudes de carácter formal de los ficheros.

b) No cumplir las instrucciones dictadas por el Director de la Agencia de Protección de Datos, o no proporcionar la información que éste solicite en relación a aspectos no sustantivos de la protección de datos.

c) No conservar actualizados los datos de carácter personal que se mantengan en ficheros automatizados.

d) Cualquiera otra que afecte a cuestiones meramente formales o documentales y que no constituya infracción grave o muy grave.

3. Son infracciones graves:

a) Proceder a la creación de ficheros automatizados de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el “Boletín Oficial del Estado” o diario oficial correspondiente.

b) Proceder a la creación de ficheros automatizados de titularidad privada o iniciar la recogida de datos de carácter personal para los mismos con finalidades distintas de las que constituyen el objeto legítimo de la empresa o entidad.

c) Proceder a la recogida de datos de carácter personal sin recabar el consentimiento expreso de las personas afectadas, en los casos en que éste sea exigible, o sin proporcionarles la información que señala el artículo 5 de la presente Ley.

d) Tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidas en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.

e) El impedimento o la obstaculización del ejercicio del derecho de acceso y la negativa a facilitar la información que sea solicitada.

f) Mantener datos de carácter personal inexactos o no efectuar las rectificaciones o cancelaciones de los mismos que legalmente procedan cuando resulten afectados los derechos de las personas que la presente Ley ampara.

g) La vulneración del deber de guardar secreto, cuando no constituya infracción muy grave.

h) Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria, se determinen.

i) No remitir a la Agencia de Protección de Datos las notificaciones previstas en esta Ley o en sus disposiciones de desarrollo, así como no proporcionar en plazo a la misma cuantos documentos e informaciones deba recibir o sean requeridos por aquél a tales efectos.

j) La obstrucción al ejercicio de la función inspectora.

4. Son infracciones muy graves:

a) La recogida de datos en forma engañosa y fraudulenta.

b) La comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas.

c) Recabar y tratar de forma automatizada los datos de carácter personal a los que se refiere el apartado 2 del artículo 7 cuando no medie el consentimiento expreso del afectado; recabar y tratar de forma automatizada los datos referidos en el apartado 3 del artículo 7 cuando no lo disponga una Ley o el afectado no haya consentido expresamente o violentar la prohibición contenida en el apartado 4 del artículo 7.

d) No cesar en el uso ilegítimo de los tratamientos automatizados de datos de carácter personal cuando sea requerido para ello por el Director de la Agencia de Protección de Datos o por las personas titulares del derecho de acceso.

e) La transferencia, temporal o definitiva, de datos de carácter personal que hayan sido objeto de tratamiento automatizado o hayan sido recogidos para someterlos a dicho tratamiento, con destino a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la Agencia de Protección de Datos.

f) Tratar de forma automatizada los datos de carácter personal de forma ilegítima o con menosprecio de los principios y garantías que les sean de aplicación, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales.

g) La vulneración del deber de guardar secreto sobre los datos de carácter personal a que hacen referencia los apartados 2 y 3 del artículo 7.

 Artículo 44. Tipos de sanciones.

1. Las infracciones leves serán sancionadas con multa de 100.000 a 10.000.000 de pesetas.

2. Las infracciones graves serán sancionadas con multa de 10.000.001 pesetas a 50.000.000 de pesetas.

3. Las infracciones muy graves serán sancionadas con multa de 50.000.001 pesetas a 100.000.000 de pesetas.

4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad y a la reincidencia.

5. El Gobierno actualizará periódicamente la cuantía de las sanciones de acuerdo con las variaciones que experimenten los índices de precios.

 Artículo 45. Infracciones de las Administraciones Públicas.

1. Cuando las infracciones a que se refiere el artículo 43 fuesen cometidas en ficheros de los que sean responsables las Administraciones Públicas, el Director de la Agencia de Protección de Datos dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.

2. El Director de la Agencia podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas.

3. Se deberán comunicar a la Agencia las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.

 Artículo 46. Prescripción.

1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.

2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.

3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causa no imputable al presunto infractor.

4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año.

5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquél en que adquiera firmeza la resolución por la que se impone la sanción.

6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor.

 Artículo 47. Procedimiento sancionador.

1. Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título.

2. Contra las resoluciones de la Agencia de Protección de Datos, u órgano correspondiente de la Comunidad Autónoma, procederá recurso contencioso-administrativo.

 Artículo 48. Potestad de inmovilización de ficheros.

En los supuestos, constitutivos de infracción muy grave, de utilización o cesión ilícita de los datos de carácter personal en que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de la Agencia de Protección de Datos podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros automatizados de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido la Agencia de Protección de Datos podrá, mediante resolución motivada, inmovilizar tales ficheros automatizados a los solos efectos de restaurar los derechos de las personas afectadas.

DISPOSICIONES ADICIONALES

 PRIMERA. Exclusión de la aplicación de los Títulos VI y VII.

Lo dispuesto en los Títulos VI y VII no es de aplicación a los ficheros automatizados de los que sean titulares las Cortes Generales, el Defensor del Pueblo, el Tribunal de Cuentas, el Consejo General del Poder Judicial y el Tribunal Constitucional.

SEGUNDA. Ficheros existentes con anterioridad a la entrada en vigor de la Ley.

1. Dentro del año siguiente a la entrada en vigor de la presente Ley Orgánica deberán ser comunicados a la Agencia de Protección de Datos los ficheros y tratamientos automatizados de datos de carácter personal existentes con anterioridad y comprendidos dentro de su ámbito de aplicación.

2. Dentro del año siguiente a la entrada en vigor de la presente Ley Orgánica, las Administraciones Públicas responsables de ficheros automatizados ya existentes deberán adoptar una disposición de regulación del fichero o adaptar la que existiera.

 TERCERA. Competencias del Defensor del Pueblo.

Lo dispuesto en la presente Ley Orgánica se entiende sin perjuicio de las competencias del Defensor del Pueblo y de los órganos análogos de las Comunidades Autónomas.

DISPOSICIÓN TRANSITORIA

 ÚNICA. Adaptaciones complejas a lo establecido en la Ley.

Cuando la adaptación de los ficheros automatizados a los principios y derechos establecidos en la presente Ley requiera la adopción de medidas técnicas complejas o el tratamiento de un gran volumen de datos, tales adaptaciones y tratamientos deberán realizarse en el plazo de un año desde la entrada en vigor de la Ley, sin perjuicio del cumplimiento, en todo lo demás, de las disposiciones de la misma.

DISPOSICIÓN DEROGATORIA

 ÚNICA. Derogación de la disposición transitoria primera de la Ley Orgánica 1/1982.

Queda derogada la disposición transitoria primera de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.

DISPOSICIONES FINALES

 PRIMERA. Habilitación de desarrollo reglamentario.

El Gobierno dictará las disposiciones necesarias para la aplicación y desarrollo de la presente Ley, y para regular la estructura orgánica de la Agencia de Protección de Datos.

SEGUNDA. Extensión de la aplicación de la Ley a ficheros convencionales.

El Gobierno, previo informe del Director de la Agencia de Protección de Datos, podrá extender la aplicación de la presente Ley, con las modificaciones y adaptaciones que fuesen necesarias, a los ficheros que contengan datos almacenados en forma convencional y que no hayan sido sometidos todavía o no estén destinados a ser sometidos a tratamiento automatizado.

TERCERA. Preceptos con carácter de Ley ordinaria.

Los artículos 18, 19, 23, 26, 27, 28, 29, 30, 31, los Títulos VI y VII, las disposiciones adicionales primera y segunda y la disposición final primera tienen carácter de Ley ordinaria.

CUARTA. Entrada en vigor.

La presente Ley Orgánica entrará en vigor a los tres meses de su publicación en el “Boletín Oficial del Estado”.