DESCARGAR real-decreto-1720-2007<\/a><\/p>\n<\/p>\n
La actual Ley Org\u00e1nica 15\/1999, de 13 de diciembre de Protecci\u00f3n de datos de car\u00e1cter personal adapt\u00f3 nuestro ordenamiento a lo dispuesto por la Directiva 95\/46\/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de estos datos, derogando a su vez la hasta entonces vigente Ley Org\u00e1nica 5\/1992, de 29 de octubre, de Regulaci\u00f3n del tratamiento automatizado de datos de car\u00e1cter personal.<\/p>\n
La nueva ley, que ha nacido con una amplia vocaci\u00f3n de generalidad, prev\u00e9 en su art\u00edculo 1 que \u00c2\u00abtiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades p\u00fablicas y los derechos fundamentales de las personas f\u00edsicas, y especialmente de su honor e intimidad personal\u00c2\u00bb. Comprende por tanto el tratamiento automatizado y el no automatizado de los datos de car\u00e1cter personal.<\/p>\n
A fin de garantizar la necesaria seguridad jur\u00eddica en un \u00e1mbito tan sensible para los derechos fundamentales como el de la protecci\u00f3n de datos, el legislador declar\u00f3 subsistentes las normas reglamentarias existentes y, en especial, los reales decretos 428\/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protecci\u00f3n de Datos, 1332\/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Org\u00e1nica 5\/1992, de 29 de octubre de Regulaci\u00f3n del tratamiento automatizado de los datos de car\u00e1cter personal y 994\/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de seguridad de los ficheros automatizados que contengan datos de car\u00e1cter personal, a la vez que habilit\u00f3 al Gobierno para la aprobaci\u00f3n o modificaci\u00f3n de las disposiciones reglamentarias necesarias para la aplicaci\u00f3n y desarrollo de la Ley Org\u00e1nica 15\/1999.<\/p>\n
Por otra parte, la Ley 34\/2002, de 11 de julio, de Servicios de la sociedad de la informaci\u00f3n y de comercio electr\u00f3nico y la Ley 32\/2003, de 3 de noviembre, General de Telecomunicaciones atribuyen competencias en materia sancionadora a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos. \u00c1\u2030stas requieren de desarrollo reglamentario con la peculiaridad de que ambas normas se ordenan a la tutela no s\u00f3lo de los derechos de las personas f\u00edsicas, sino tambi\u00e9n de las jur\u00eddicas.<\/p>\n
II<\/p>\n
Este Reglamento comparte con la Ley Org\u00e1nica la finalidad de hacer frente a los riesgos que para los derechos de la personalidad pueden suponer el acopio y tratamiento de datos personales. Por ello, ha de destacarse que esta norma reglamentaria nace con la vocaci\u00f3n de no reiterar los contenidos de la norma superior y de desarrollar, no s\u00f3lo los mandatos contenidos en la Ley Org\u00e1nica de acuerdo con los principios que emanan de la Directiva, sino tambi\u00e9n aquellos que en estos a\u00f1os de vigencia de la Ley se ha demostrado que precisan de un mayor desarrollo normativo.<\/p>\n
Por tanto, se aprueba este Reglamento partiendo de la necesidad de dotar de coherencia a la regulaci\u00f3n reglamentaria en todo lo relacionado con la transposici\u00f3n de la Directiva y de desarrollar los aspectos novedosos de la Ley Org\u00e1nica 15\/1999, junto con aquellos en los que la experiencia ha aconsejado un cierto de grado de precisi\u00f3n que dote de seguridad jur\u00eddica al sistema.<\/p>\n
III<\/p>\n
El reglamento viene a abarcar el \u00e1mbito tutelado anteriormente por los reales decretos 1332\/1994, de 20 de junio, y 994\/1999, de 11 de junio, teniendo en cuenta la necesidad de fijar criterios aplicables a los ficheros y tratamientos de datos personales no automatizados. Por otra parte, la atribuci\u00f3n de funciones a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos por la Ley 34\/2002, de 11 de julio, de Servicios de la sociedad de la informaci\u00f3n y de comercio electr\u00f3nico y la Ley 32\/2003, de 3 de noviembre, General de Telecomunicaciones obliga a desarrollar tambi\u00e9n los procedimientos para el ejercicio de la potestad sancionadora por la Agencia.<\/p>\n
El reglamento se estructura en nueve t\u00edtulos cuyo contenido desarrolla los aspectos esenciales en esta materia.<\/p>\n
El t\u00edtulo I contempla el objeto y \u00e1mbito de aplicaci\u00f3n del reglamento. A lo largo de la vigencia de la Ley Org\u00e1nica 15\/1999, se ha advertido la conveniencia de desarrollar el apartado 2 de su art\u00edculo 2 para aclarar qu\u00e9 se entiende por ficheros y tratamientos relacionados con actividades personales o dom\u00e9sticas, aspecto muy relevante dado que est\u00e1n excluidos de la normativa sobre protecci\u00f3n de datos de car\u00e1cter personal.<\/p>\n
Por otra parte, el presente reglamento no contiene previsiones para los tratamientos de datos personales a los que se refiere el apartado 3 del art\u00edculo 2 de la ley org\u00e1nica, dado que se rigen por sus disposiciones espec\u00edficas y por lo especialmente previsto, en su caso, por la propia Ley Org\u00e1nica 15\/1999. En consecuencia, se mantiene el r\u00e9gimen jur\u00eddico propio de estos tratamientos y ficheros.<\/p>\n
Adem\u00e1s, en este t\u00edtulo se aporta un conjunto de definiciones que ayudan al correcto entendimiento de la norma, lo que resulta particularmente necesario en un \u00e1mbito tan tecnificado como el de la protecci\u00f3n de datos personales. Por otra parte, fija el criterio a seguir en materia de c\u00f3mputo de plazos con el fin de homogeneizar esta cuesti\u00f3n evitando distinciones que suponen diferencias de trato de los ficheros p\u00fablicos respecto de los privados.<\/p>\n
El t\u00edtulo II, se refiere a los principios de la protecci\u00f3n de datos. Reviste particular importancia la regulaci\u00f3n del modo de captaci\u00f3n del consentimiento atendiendo a aspectos muy espec\u00edficos como el caso de los servicios de comunicaciones electr\u00f3nicas y, muy particularmente, la captaci\u00f3n de datos de los menores. Asimismo, se ofrece lo que no puede definirse sino como un estatuto del encargado del tratamiento, que sin duda contribuir\u00e1 a clarificar todo lo relacionado con esta figura. Las previsiones en este \u00e1mbito se completan con lo dispuesto en el t\u00edtulo VIII en materia de seguridad dotando de un marco coherente a la actuaci\u00f3n del encargado.<\/p>\n
El t\u00edtulo III se ocupa de una cuesti\u00f3n tan esencial como los derechos de las personas en este \u00e1mbito. Estos derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n al tratamiento, seg\u00fan ha afirmado el Tribunal Constitucional en su sentencia n\u00famero 292\/2000, constituyen el haz de facultades que emanan del derecho fundamental a la protecci\u00f3n de datos y \u00c2\u00absirven a la capital funci\u00f3n que desempe\u00f1a este derecho fundamental: garantizar a la persona un poder de control sobre sus datos personales, lo que s\u00f3lo es posible y efectivo imponiendo a terceros los mencionados deberes de hacer\u00c2\u00bb.<\/p>\n
A continuaci\u00f3n, los t\u00edtulos IV a VII permiten clarificar aspectos importantes para el tr\u00e1fico ordinario, como la aplicaci\u00f3n de criterios espec\u00edficos a determinado tipo de ficheros de titularidad privada que por su trascendencia lo requer\u00edan -los relativos a la solvencia patrimonial y cr\u00e9dito y los utilizados en actividades de publicidad y prospecci\u00f3n comercial-, el conjunto de obligaciones materiales y formales que deben conducir a los responsables a la creaci\u00f3n e inscripci\u00f3n de los ficheros, los criterios y procedimientos para la realizaci\u00f3n de las transferencias internacionales de datos, y, finalmente, la regulaci\u00f3n de un instrumento, el c\u00f3digo tipo, llamado a jugar cada vez un papel m\u00e1s relevante como elemento dinamizador del derecho fundamental a la protecci\u00f3n de datos.<\/p>\n
El t\u00edtulo VIII regula un aspecto esencial para la tutela del derecho fundamental a la protecci\u00f3n de datos, la seguridad, que repercute sobre m\u00faltiples aspectos organizativos, de gesti\u00f3n y a\u00fan de inversi\u00f3n, en todas las organizaciones que traten datos personales. La repercusi\u00f3n del deber de seguridad obligaba a un particular rigor ya que en esta materia han confluido distintos elementos muy relevantes. Por una parte, la experiencia dimanante de la aplicaci\u00f3n del Real Decreto 994\/1999 permit\u00eda conocer las dificultades que hab\u00edan enfrentado los responsables e identificar los puntos d\u00e9biles y fuertes de la regulaci\u00f3n. Por otra, se reclamaba la adaptaci\u00f3n de la regulaci\u00f3n en distintos aspectos. En este sentido, el reglamento trata de ser particularmente riguroso en la atribuci\u00f3n de los niveles de seguridad, en la fijaci\u00f3n de las medidas que corresponda adoptar en cada caso y en la revisi\u00f3n de las mismas cuando ello resulte necesario. Por otra parte, ordena con mayor precisi\u00f3n el contenido y las obligaciones vinculadas al mantenimiento del documento de seguridad. Adem\u00e1s, se ha pretendido regular la materia de modo que contemple las m\u00faltiples formas de organizaci\u00f3n material y personal de la seguridad que se dan en la pr\u00e1ctica. Por \u00faltimo, se regula un conjunto de medidas destinadas a los ficheros y tratamientos estructurados y no automatizados que ofrezca a los responsables un marco claro de actuaci\u00f3n.<\/p>\n
Finalmente en el t\u00edtulo IX, dedicado a los procedimientos tramitados por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, se ha optado por normar exclusivamente aquellas especialidades que diferencian a los distintos procedimientos tramitados por la Agencia de las normas generales previstas para los procedimientos en la Ley 30\/1992, de 26 de noviembre, de R\u00e9gimen Jur\u00eddico de las Administraciones P\u00fablicas y del Procedimiento Administrativo Com\u00fan, cuya aplicaci\u00f3n se declara supletoria al presente reglamento.<\/p>\n
En su virtud, a propuesta del Ministro de Justicia, con la aprobaci\u00f3n previa de la Ministra de Administraciones P\u00fablicas, de acuerdo con el Consejo de Estado y previa deliberaci\u00f3n del Consejo de Ministros en su reuni\u00f3n del d\u00eda 21 de diciembre de 2007.<\/p>\n
D I S P O N G O :<\/p>\n
Art\u00edculo \u00fanico. Aprobaci\u00f3n del reglamento.<\/p>\n
Se aprueba el Reglamento de desarrollo de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, de Protecci\u00f3n de datos de car\u00e1cter personal, cuyo texto se incluye a continuaci\u00f3n.<\/p>\n
Disposici\u00f3n transitoria primera. Adaptaci\u00f3n de los c\u00f3digos tipo inscritos en el Registro General de Protecci\u00f3n de Datos.<\/p>\n
En el plazo de un a\u00f1o desde la entrada en vigor del presente real decreto deber\u00e1n notificarse a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos las modificaciones que resulten necesarias en los c\u00f3digos tipo inscritos en el Registro General de Protecci\u00f3n de Datos para adaptar su contenido a lo dispuesto en el t\u00edtulo VII del mismo.<\/p>\n
Disposici\u00f3n transitoria segunda. Plazos de implantaci\u00f3n de las medidas de seguridad.<\/p>\n
La implantaci\u00f3n de las medidas de seguridad previstas en el presente real decreto deber\u00e1 producirse con arreglo a las siguientes reglas:<\/p>\n
1.\u00c2\u00aa Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto:<\/p>\n
a) En el plazo de un a\u00f1o desde su entrada en vigor, deber\u00e1n implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros:<\/p>\n
1.\u00c2\u00ba Aqu\u00e9llos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias.<\/p>\n
2.\u00c2\u00ba Aqu\u00e9llos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.<\/p>\n
3.\u00c2\u00ba Aqu\u00e9llos que contengan un conjunto de datos de car\u00e1cter personal que ofrezcan una definici\u00f3n de las caracter\u00edsticas o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el art\u00edculo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de car\u00e1cter personal, aprobado por Real Decreto 994\/1999, de 11 de junio.<\/p>\n
b) En el plazo de un a\u00f1o desde su entrada en vigor deber\u00e1n implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros:<\/p>\n
1.\u00c2\u00ba Aqu\u00e9llos que contengan datos derivados de actos de violencia de g\u00e9nero.<\/p>\n
2.\u00c2\u00ba Aqu\u00e9llos de los que sean responsables los operadores que presten servicios de comunicaciones electr\u00f3nicas disponibles al p\u00fablico o exploten redes p\u00fablicas de comunicaciones electr\u00f3nicas respecto a los datos de tr\u00e1fico y a los datos de localizaci\u00f3n.<\/p>\n
c) En los dem\u00e1s supuestos, cuando el presente reglamento exija la implantaci\u00f3n de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de car\u00e1cter personal, aprobado por Real Decreto 994\/1999, de 11 de junio, dicha medida deber\u00e1 implantarse en el plazo de un a\u00f1o desde la entrada en vigor del presente real decreto.<\/p>\n
2.\u00c2\u00aa Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto:<\/p>\n
a) Las medidas de seguridad de nivel b\u00e1sico deber\u00e1n implantarse en el plazo de un a\u00f1o desde su entrada en vigor.<\/p>\n
b) Las medidas de seguridad de nivel medio deber\u00e1n implantarse en el plazo de dieciocho meses desde su entrada en vigor.<\/p>\n
c) Las medidas de seguridad de nivel alto deber\u00e1n implantarse en el plazo de dos a\u00f1os desde su entrada en vigor.<\/p>\n
3.\u00c2\u00aa Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deber\u00e1n tener implantadas, desde el momento de su creaci\u00f3n la totalidad de las medidas de seguridad reguladas en el mismo.<\/p>\n
Disposici\u00f3n transitoria tercera. R\u00e9gimen transitorio de las solicitudes para el ejercicio de los derechos de las personas.<\/p>\n
A las solicitudes para el ejercicio de los derechos de acceso, oposici\u00f3n, rectificaci\u00f3n y cancelaci\u00f3n que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les ser\u00e1 de aplicaci\u00f3n el mismo, rigi\u00e9ndose por la normativa anterior.<\/p>\n
Disposici\u00f3n transitoria cuarta. R\u00e9gimen transitorio de los procedimientos.<\/p>\n
A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les ser\u00e1 de aplicaci\u00f3n el mismo, rigi\u00e9ndose por la normativa anterior.<\/p>\n
Disposici\u00f3n transitoria quinta. R\u00e9gimen transitorio de las actuaciones previas.<\/p>\n
A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les ser\u00e1 de aplicaci\u00f3n el mismo, rigi\u00e9ndose por la normativa anterior.<\/p>\n
El presente real decreto se aplicar\u00e1 a las actuaciones previas que se inicien despu\u00e9s de su entrada en vigor.<\/p>\n
Disposici\u00f3n derogatoria \u00fanica. Derogaci\u00f3n normativa.<\/p>\n
Quedan derogados el Real Decreto 1332\/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Org\u00e1nica 5\/1992, de 29 de octubre, de Regulaci\u00f3n del tratamiento automatizado de los datos de car\u00e1cter personal, el Real Decreto 994\/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de seguridad de los ficheros automatizados que contengan datos de car\u00e1cter personal y todas las normas de igual o inferior rango que contradigan o se opongan a lo dispuesto en el presente real decreto.<\/p>\n
Disposici\u00f3n final primera. T\u00edtulo competencial.<\/p>\n
El t\u00edtulo I, con excepci\u00f3n del apartado c) del art\u00edculo 4, los t\u00edtulos II, III, VII y VIII, as\u00ed como los art\u00edculos 52, 53.3, 53.4, 54, 55.1, 55.3, 56, 57, 58 y 63.3 del reglamento se dictan al amparo de lo dispuesto en el art\u00edculo 149.1.1.\u00c2\u00aa de la Constituci\u00f3n, que atribuye al Estado la competencia exclusiva para la regulaci\u00f3n de las condiciones b\u00e1sicas que garanticen la igualdad de todos los espa\u00f1oles en el ejercicio de los derechos y en el cumplimiento de los deberes constitucionales.<\/p>\n
Disposici\u00f3n final segunda. Entrada en vigor.<\/p>\n
El presente real decreto entrar\u00e1 en vigor a los tres meses de su \u00edntegra publicaci\u00f3n en el \u00c2\u00abBolet\u00edn Oficial del Estado\u00c2\u00bb.<\/p>\n
Dado en Madrid, el 21 de diciembre de 2007.<\/p>\n
JUAN CARLOS R.<\/p>\n
El Ministro de Justicia,<\/p>\n
MARIANO FERN\u00c1\u0081NDEZ BERMEJO<\/p>\n
REGLAMENTO DE DESARROLLO DE LA LEY ORG\u00c1\u0081NICA 15\/1999, DE 13 DE DICIEMBRE, DE PROTECCI\u00d3N DE DATOS DE CAR\u00c1\u0081CTER PERSONAL<\/p>\n
T\u00edtulo I. Disposiciones generales.<\/p>\n
Art\u00edculo 1. Objeto.<\/p>\n
Art\u00edculo 2. \u00c1\u0081mbito objetivo de aplicaci\u00f3n.<\/p>\n
Art\u00edculo 3. \u00c1\u0081mbito territorial de aplicaci\u00f3n.<\/p>\n
Art\u00edculo 4. Ficheros o tratamientos excluidos.<\/p>\n
Art\u00edculo 5. Definiciones.<\/p>\n
Art\u00edculo 6. C\u00f3mputo de plazos.<\/p>\n
Art\u00edculo 7. Fuentes accesibles al p\u00fablico.<\/p>\n
T\u00edtulo II. Principios de protecci\u00f3n de datos.<\/p>\n
Cap\u00edtulo I. Calidad de los datos.<\/p>\n
Art\u00edculo 8. Principios de calidad de los datos.<\/p>\n
Art\u00edculo 9. Tratamiento con fines estad\u00edsticos, hist\u00f3ricos o cient\u00edficos.<\/p>\n
Art\u00edculo 10. Supuestos que legitiman el tratamiento o cesi\u00f3n de los datos.<\/p>\n
Art\u00edculo 11. Verificaci\u00f3n de datos en solicitudes formuladas a las Administraciones P\u00fablicas.<\/p>\n
Cap\u00edtulo II. Consentimiento para el tratamiento de los datos y deber de informaci\u00f3n.<\/p>\n
Secci\u00f3n Primera. Obtenci\u00f3n del consentimiento del afectado.<\/p>\n
Art\u00edculo 12. Principios generales.<\/p>\n
Art\u00edculo 13. Consentimiento para el tratamiento de datos de menores de edad.<\/p>\n
Art\u00edculo 14. Forma de recabar el consentimiento.<\/p>\n
Art\u00edculo 15. Solicitud del consentimiento en el marco de una relaci\u00f3n contractual para fines no relacionados directamente con la misma.<\/p>\n
Art\u00edculo 16. Tratamiento de datos de facturaci\u00f3n y tr\u00e1fico en servicios de comunicaciones electr\u00f3nicas.<\/p>\n
Art\u00edculo 17. Revocaci\u00f3n del consentimiento.<\/p>\n
Secci\u00f3n Segunda. Deber de informaci\u00f3n al interesado.<\/p>\n
Art\u00edculo 18. Acreditaci\u00f3n del cumplimiento del deber de informaci\u00f3n.<\/p>\n
Art\u00edculo 19. Supuestos especiales.<\/p>\n
Cap\u00edtulo III. Encargado del tratamiento.<\/p>\n
Art\u00edculo 20. Relaciones entre el responsable y el encargado del tratamiento.<\/p>\n
Art\u00edculo 21. Posibilidad de subcontrataci\u00f3n de los servicios.<\/p>\n
Art\u00edculo 22. Conservaci\u00f3n de los datos por el encargado del tratamiento.<\/p>\n
T\u00edtulo III. Derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
Cap\u00edtulo I. Disposiciones generales.<\/p>\n
Art\u00edculo 23. Car\u00e1cter personal\u00edsimo.<\/p>\n
Art\u00edculo 24. Condiciones generales para el ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
Art\u00edculo 25. Procedimiento.<\/p>\n
Art\u00edculo 26. Ejercicio de los derechos ante un encargado del tratamiento.<\/p>\n
Cap\u00edtulo II. Derecho de acceso.<\/p>\n
Art\u00edculo 27. Derecho de acceso.<\/p>\n
Art\u00edculo 28. Ejercicio del derecho de acceso.<\/p>\n
Art\u00edculo 29. Otorgamiento del acceso.<\/p>\n
Art\u00edculo 30. Denegaci\u00f3n del acceso.<\/p>\n
Cap\u00edtulo III. Derechos de rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
Art\u00edculo 31. Derechos de rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
Art\u00edculo 32. Ejercicio de los derechos de rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
Art\u00edculo 33. Denegaci\u00f3n de los derechos de rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
Cap\u00edtulo IV. Derecho de oposici\u00f3n.<\/p>\n
Art\u00edculo 34. Derecho de oposici\u00f3n.<\/p>\n
Art\u00edculo 35. Ejercicio del derecho de oposici\u00f3n.<\/p>\n
Art\u00edculo 36. Derecho de oposici\u00f3n a las decisiones basadas \u00fanicamente en un tratamiento automatizado de datos.<\/p>\n
T\u00edtulo IV. Disposiciones aplicables a determinados ficheros de titularidad privada.<\/p>\n
Cap\u00edtulo I. Ficheros de informaci\u00f3n sobre solvencia patrimonial y cr\u00e9dito.<\/p>\n
Secci\u00f3n Primera. Disposiciones generales.<\/p>\n
Art\u00edculo 37. R\u00e9gimen aplicable.<\/p>\n
Secci\u00f3n Segunda. Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien act\u00fae por su cuenta o inter\u00e9s.<\/p>\n
Art\u00edculo 38. Requisitos para la inclusi\u00f3n de los datos.<\/p>\n
Art\u00edculo 39. Informaci\u00f3n previa a la inclusi\u00f3n.<\/p>\n
Art\u00edculo 40. Notificaci\u00f3n de inclusi\u00f3n.<\/p>\n
Art\u00edculo 41. Conservaci\u00f3n de los datos.<\/p>\n
Art\u00edculo 42. Acceso a la informaci\u00f3n contenida en el fichero.<\/p>\n
Art\u00edculo 43. Responsabilidad.<\/p>\n
Art\u00edculo 44. Ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
Cap\u00edtulo II. Tratamientos para actividades de publicidad y prospecci\u00f3n comercial.<\/p>\n
Art\u00edculo 45. Datos susceptibles de tratamiento e informaci\u00f3n al interesado.<\/p>\n
Art\u00edculo 46. Tratamiento de datos en campa\u00f1as publicitarias.<\/p>\n
Art\u00edculo 47. Depuraci\u00f3n de datos personales.<\/p>\n
Art\u00edculo 48. Ficheros de exclusi\u00f3n del env\u00edo de comunicaciones comerciales.<\/p>\n
Art\u00edculo 49. Ficheros comunes de exclusi\u00f3n del env\u00edo de comunicaciones comerciales.<\/p>\n
Art\u00edculo 50. Derechos de acceso, rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
Art\u00edculo 51. Derecho de oposici\u00f3n.<\/p>\n
T\u00edtulo V. Obligaciones previas al tratamiento de los datos.<\/p>\n
Cap\u00edtulo I. Creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n de ficheros de titularidad p\u00fablica.<\/p>\n
Art\u00edculo 52. Disposici\u00f3n o Acuerdo de creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n del fichero.<\/p>\n
Art\u00edculo 53. Forma de la disposici\u00f3n o acuerdo.<\/p>\n
Art\u00edculo 54. Contenido de la disposici\u00f3n o acuerdo.<\/p>\n
Cap\u00edtulo II. Notificaci\u00f3n e inscripci\u00f3n de los ficheros de titularidad p\u00fablica o privada.<\/p>\n
Art\u00edculo 55. Notificaci\u00f3n de ficheros.<\/p>\n
Art\u00edculo 56. Tratamiento de datos en distintos soportes.<\/p>\n
Art\u00edculo 57. Ficheros en los que exista m\u00e1s de un responsable.<\/p>\n
Art\u00edculo 58. Notificaci\u00f3n de la modificaci\u00f3n o supresi\u00f3n de ficheros.<\/p>\n
Art\u00edculo 59. Modelos y soportes para la notificaci\u00f3n.<\/p>\n
Art\u00edculo 60. Inscripci\u00f3n de los ficheros.<\/p>\n
Art\u00edculo 61. Cancelaci\u00f3n de la inscripci\u00f3n.<\/p>\n
Art\u00edculo 62. Rectificaci\u00f3n de errores.<\/p>\n
Art\u00edculo 63. Inscripci\u00f3n de oficio de ficheros de titularidad p\u00fablica.<\/p>\n
Art\u00edculo 64. Colaboraci\u00f3n con las Autoridades de Control de las Comunidades Aut\u00f3nomas.<\/p>\n
T\u00edtulo VI. Transferencias internacionales de datos.<\/p>\n
Cap\u00edtulo I. Disposiciones generales.<\/p>\n
Art\u00edculo 65. Cumplimiento de las disposiciones de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
Art\u00edculo 66. Autorizaci\u00f3n y notificaci\u00f3n.<\/p>\n
Cap\u00edtulo II. Transferencias a estados que proporcionen un nivel adecuado de protecci\u00f3n.<\/p>\n
Art\u00edculo 67. Nivel adecuado de protecci\u00f3n acordado por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Art\u00edculo 68. Nivel adecuado de protecci\u00f3n declarado por Decisi\u00f3n de la Comisi\u00f3n Europea.<\/p>\n
Art\u00edculo 69. Suspensi\u00f3n temporal de las transferencias.<\/p>\n
Cap\u00edtulo III. Transferencias a estados que no proporcionen un nivel adecuado de protecci\u00f3n.<\/p>\n
Art\u00edculo 70. Transferencias sujetas a autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
T\u00edtulo VII. C\u00f3digos tipo.<\/p>\n
Art\u00edculo 71. Objeto y naturaleza.<\/p>\n
Art\u00edculo 72. Iniciativa y \u00e1mbito de aplicaci\u00f3n.<\/p>\n
Art\u00edculo 73. Contenido.<\/p>\n
Art\u00edculo 74. Compromisos adicionales<\/p>\n
Art\u00edculo 75. Garant\u00edas del cumplimiento de los c\u00f3digos tipo.<\/p>\n
Art\u00edculo 76. Relaci\u00f3n de adheridos.<\/p>\n
Art\u00edculo 77. Dep\u00f3sito y publicidad de los c\u00f3digos tipo.<\/p>\n
Art\u00edculo 78. Obligaciones posteriores a la inscripci\u00f3n del c\u00f3digo tipo.<\/p>\n
T\u00edtulo VIII. De las medidas de seguridad en el tratamiento de datos de car\u00e1cter personal.<\/p>\n
Cap\u00edtulo I. Disposiciones generales.<\/p>\n
Art\u00edculo 79. Alcance.<\/p>\n
Art\u00edculo 80. Niveles de seguridad.<\/p>\n
Art\u00edculo 81. Aplicaci\u00f3n de los niveles de seguridad.<\/p>\n
Art\u00edculo 82. Encargado del tratamiento.<\/p>\n
Art\u00edculo 83. Prestaciones de servicios sin acceso a datos personales.<\/p>\n
Art\u00edculo 84. Delegaci\u00f3n de autorizaciones.<\/p>\n
Art\u00edculo 85. Acceso a datos a trav\u00e9s de redes de comunicaciones.<\/p>\n
Art\u00edculo 86. R\u00e9gimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.<\/p>\n
Art\u00edculo 87. Ficheros temporales o copias de trabajo de documentos.<\/p>\n
Cap\u00edtulo II. Del documento de seguridad.<\/p>\n
Art\u00edculo 88. El documento de seguridad.<\/p>\n
Cap\u00edtulo III. Medidas de seguridad aplicables a ficheros y tratamientos automatizados.<\/p>\n
Secci\u00f3n Primera. Medidas de seguridad de nivel b\u00e1sico.<\/p>\n
Art\u00edculo 89. Funciones y obligaciones del personal.<\/p>\n
Art\u00edculo 90. Registro de incidencias.<\/p>\n
Art\u00edculo 91. Control de acceso.<\/p>\n
Art\u00edculo 92. Gesti\u00f3n de soportes.<\/p>\n
Art\u00edculo 93. Identificaci\u00f3n y autenticaci\u00f3n.<\/p>\n
Art\u00edculo 94. Copias de respaldo y recuperaci\u00f3n.<\/p>\n
Secci\u00f3n Segunda. Medidas de seguridad de nivel medio.<\/p>\n
Art\u00edculo 95. Responsable de seguridad.<\/p>\n
Art\u00edculo 96. Auditor\u00eda.<\/p>\n
Art\u00edculo 97. Gesti\u00f3n de soportes.<\/p>\n
Art\u00edculo 98. Identificaci\u00f3n y autenticaci\u00f3n.<\/p>\n
Art\u00edculo 99. Control de acceso f\u00edsico.<\/p>\n
Art\u00edculo 100. Registro de incidencias.<\/p>\n
Secci\u00f3n Tercera. Medidas de seguridad de nivel alto.<\/p>\n
Art\u00edculo 101. Gesti\u00f3n y distribuci\u00f3n de soportes.<\/p>\n
Art\u00edculo 102. Copias de respaldo y recuperaci\u00f3n.<\/p>\n
Art\u00edculo 103. Registro de accesos.<\/p>\n
Art\u00edculo 104. Telecomunicaciones.<\/p>\n
Cap\u00edtulo IV. Medidas de seguridad aplicables a los ficheros y tratamientos no automatizados.<\/p>\n
Secci\u00f3n Primera. Medidas de seguridad de nivel b\u00e1sico.<\/p>\n
Art\u00edculo 105. Obligaciones comunes.<\/p>\n
Art\u00edculo 106. Criterios de archivo.<\/p>\n
Art\u00edculo 107. Dispositivos de almacenamiento.<\/p>\n
Art\u00edculo 108. Custodia de los soportes.<\/p>\n
Secci\u00f3n Segunda. Medidas de seguridad de nivel medio.<\/p>\n
Art\u00edculo 109. Responsabilidad de seguridad.<\/p>\n
Art\u00edculo 110. Auditor\u00eda.<\/p>\n
Secci\u00f3n Tercera. Medidas de seguridad de nivel alto.<\/p>\n
Art\u00edculo 111. Almacenamiento de la informaci\u00f3n.<\/p>\n
Art\u00edculo 112. Copia o reproducci\u00f3n.<\/p>\n
Art\u00edculo 113. Acceso a la documentaci\u00f3n.<\/p>\n
Art\u00edculo 114. Traslado de documentaci\u00f3n.<\/p>\n
T\u00edtulo IX. Procedimientos tramitados por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Cap\u00edtulo I. Disposiciones generales.<\/p>\n
Art\u00edculo 115. R\u00e9gimen aplicable.<\/p>\n
Art\u00edculo 116. Publicidad de las resoluciones<\/p>\n
Cap\u00edtulo II. Procedimiento de tutela de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
Art\u00edculo 117. Instrucci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 118. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
Art\u00edculo 119. Ejecuci\u00f3n de la resoluci\u00f3n.<\/p>\n
Cap\u00edtulo III. Procedimientos relativos al ejercicio de la potestad sancionadora.<\/p>\n
Secci\u00f3n Primera. Disposiciones Generales.<\/p>\n
Art\u00edculo 120. \u00c1\u0081mbito de aplicaci\u00f3n.<\/p>\n
Art\u00edculo 121. Inmovilizaci\u00f3n de ficheros.<\/p>\n
Secci\u00f3n Segunda. Actuaciones previas.<\/p>\n
Art\u00edculo 122. Iniciaci\u00f3n.<\/p>\n
Art\u00edculo 123. Personal competente para la realizaci\u00f3n de las actuaciones previas.<\/p>\n
Art\u00edculo 124. Obtenci\u00f3n de informaci\u00f3n.<\/p>\n
Art\u00edculo 125. Actuaciones presenciales.<\/p>\n
Art\u00edculo 126. Resultado de las actuaciones previas.<\/p>\n
Secci\u00f3n Tercera Procedimiento Sancionador.<\/p>\n
Art\u00edculo 127. Iniciaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 128. Plazo m\u00e1ximo para resolver.<\/p>\n
Secci\u00f3n Cuarta. Procedimiento de declaraci\u00f3n de infracci\u00f3n de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, por las Administraciones P\u00fablicas.<\/p>\n
Art\u00edculo 129. Disposici\u00f3n general.<\/p>\n
Cap\u00edtulo IV. Procedimientos relacionados con la inscripci\u00f3n o cancelaci\u00f3n de ficheros.<\/p>\n
Secci\u00f3n Primera. Procedimiento de inscripci\u00f3n de la creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n de ficheros.<\/p>\n
Art\u00edculo 130. Iniciaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 131. Especialidades en la notificaci\u00f3n de ficheros de titularidad p\u00fablica.<\/p>\n
Art\u00edculo 132. Acuerdo de inscripci\u00f3n o cancelaci\u00f3n.<\/p>\n
Art\u00edculo 133. Improcedencia o denegaci\u00f3n de la inscripci\u00f3n.<\/p>\n
Art\u00edculo 134. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
Secci\u00f3n Segunda. Procedimiento de cancelaci\u00f3n de oficio de ficheros inscritos.<\/p>\n
Art\u00edculo 135. Iniciaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 136. Terminaci\u00f3n del expediente.<\/p>\n
Cap\u00edtulo V. Procedimientos relacionados con las transferencias internacionales de datos.<\/p>\n
Secci\u00f3n Primera. Procedimiento de autorizaci\u00f3n de transferencias internacionales de datos.<\/p>\n
Art\u00edculo 137. Iniciaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 138. Instrucci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 139. Actos posteriores a la resoluci\u00f3n.<\/p>\n
Art\u00edculo 140. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
Secci\u00f3n Segunda. Procedimiento de suspensi\u00f3n temporal de transferencias internacionales de datos.<\/p>\n
Art\u00edculo 141. Iniciaci\u00f3n.<\/p>\n
Art\u00edculo 142. Instrucci\u00f3n y resoluci\u00f3n.<\/p>\n
Art\u00edculo 143. Actos posteriores a la resoluci\u00f3n.<\/p>\n
Art\u00edculo 144. Levantamiento de la suspensi\u00f3n temporal.<\/p>\n
Cap\u00edtulo VI. Procedimiento de inscripci\u00f3n de c\u00f3digos tipo.<\/p>\n
Art\u00edculo 145. Iniciaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 146. An\u00e1lisis de los aspectos sustantivos del c\u00f3digo tipo.<\/p>\n
Art\u00edculo 147. Informaci\u00f3n p\u00fablica.<\/p>\n
Art\u00edculo 148. Mejora del c\u00f3digo tipo.<\/p>\n
Art\u00edculo 149. Tr\u00e1mite de audiencia.<\/p>\n
Art\u00edculo 150. Resoluci\u00f3n.<\/p>\n
Art\u00edculo 151. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
Art\u00edculo 152. Publicaci\u00f3n de los c\u00f3digos tipo por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Cap\u00edtulo VII. Otros procedimientos tramitados por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Secci\u00f3n Primera. Procedimiento de exenci\u00f3n del deber de informaci\u00f3n al interesado<\/p>\n
Art\u00edculo 153. Iniciaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 154. Propuesta de nuevas medidas compensatorias<\/p>\n
Art\u00edculo 155. Terminaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 156. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
Secci\u00f3n Segunda. Procedimiento para la autorizaci\u00f3n de conservaci\u00f3n de datos para fines hist\u00f3ricos, estad\u00edsticos o cient\u00edficos.<\/p>\n
Art\u00edculo 157. Iniciaci\u00f3n del procedimiento.<\/p>\n
Art\u00edculo 158. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
Disposici\u00f3n adicional \u00fanica. Productos de software.<\/p>\n
Disposici\u00f3n final \u00fanica. Aplicaci\u00f3n supletoria.<\/p>\n
T\u00c1\u008dTULO I<\/p>\n
Disposiciones generales<\/p>\n
Art\u00edculo 1. Objeto.<\/p>\n
1. El presente reglamento tiene por objeto el desarrollo de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, de Protecci\u00f3n de datos de car\u00e1cter personal.<\/p>\n
2. Asimismo, el cap\u00edtulo III del t\u00edtulo IX de este reglamento desarrolla las disposiciones relativas al ejercicio por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos de la potestad sancionadora, en aplicaci\u00f3n de lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, en el t\u00edtulo VII de la Ley 34\/2002, de 11 de julio, de Servicios de la sociedad de la informaci\u00f3n y de comercio electr\u00f3nico, y en el t\u00edtulo VIII de la Ley 32\/2003, de 3 de noviembre, General de Telecomunicaciones.<\/p>\n
Art\u00edculo 2. \u00c1\u0081mbito objetivo de aplicaci\u00f3n.<\/p>\n
1. El presente reglamento ser\u00e1 de aplicaci\u00f3n a los datos de car\u00e1cter personal registrados en soporte f\u00edsico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores p\u00fablico y privado.<\/p>\n
2. Este reglamento no ser\u00e1 aplicable a los tratamientos de datos referidos a personas jur\u00eddicas, ni a los ficheros que se limiten a incorporar los datos de las personas f\u00edsicas que presten sus servicios en aqu\u00e9llas, consistentes \u00fanicamente en su nombre y apellidos, las funciones o puestos desempe\u00f1ados, as\u00ed como la direcci\u00f3n postal o electr\u00f3nica, tel\u00e9fono y n\u00famero de fax profesionales.<\/p>\n
3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, tambi\u00e9n se entender\u00e1n excluidos del r\u00e9gimen de aplicaci\u00f3n de la protecci\u00f3n de datos de car\u00e1cter personal.<\/p>\n
4. Este reglamento no ser\u00e1 de aplicaci\u00f3n a los datos referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o an\u00e1logas, podr\u00e1n dirigirse a los responsables de los ficheros o tratamientos que contengan datos de \u00e9ste con la finalidad de notificar el \u00f3bito, aportando acreditaci\u00f3n suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelaci\u00f3n de los datos.<\/p>\n
Art\u00edculo 3. \u00c1\u0081mbito territorial de aplicaci\u00f3n.<\/p>\n
1. Se regir\u00e1 por el presente reglamento todo tratamiento de datos de car\u00e1cter personal:<\/p>\n
a) Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio espa\u00f1ol.<\/p>\n
Cuando no resulte de aplicaci\u00f3n lo dispuesto en el p\u00e1rrafo anterior, pero exista un encargado del tratamiento ubicado en Espa\u00f1a, ser\u00e1n de aplicaci\u00f3n al mismo las normas contenidas en el t\u00edtulo VIII del presente reglamento.<\/p>\n
b) Cuando al responsable del tratamiento no establecido en territorio espa\u00f1ol, le sea de aplicaci\u00f3n la legislaci\u00f3n espa\u00f1ola, seg\u00fan las normas de Derecho internacional p\u00fablico.<\/p>\n
c) Cuando el responsable del tratamiento no est\u00e9 establecido en territorio de la Uni\u00f3n Europea y utilice en el tratamiento de datos medios situados en territorio espa\u00f1ol, salvo que tales medios se utilicen \u00fanicamente con fines de tr\u00e1nsito.<\/p>\n
En este supuesto, el responsable del tratamiento deber\u00e1 designar un representante establecido en territorio espa\u00f1ol.<\/p>\n
2. A los efectos previstos en los apartados anteriores, se entender\u00e1 por establecimiento, con independencia de su forma jur\u00eddica, cualquier instalaci\u00f3n estable que permita el ejercicio efectivo y real de una actividad.<\/p>\n
Art\u00edculo 4. Ficheros o tratamientos excluidos.<\/p>\n
El r\u00e9gimen de protecci\u00f3n de los datos de car\u00e1cter personal que se establece en el presente reglamento no ser\u00e1 de aplicaci\u00f3n a los siguientes ficheros y tratamientos:<\/p>\n
a) A los realizados o mantenidos por personas f\u00edsicas en el ejercicio de actividades exclusivamente personales o dom\u00e9sticas.<\/p>\n
S\u00f3lo se considerar\u00e1n relacionados con actividades personales o dom\u00e9sticas los tratamientos relativos a las actividades que se inscriben en el marco de la vida privada o familiar de los particulares.<\/p>\n
b) A los sometidos a la normativa sobre protecci\u00f3n de materias clasificadas.<\/p>\n
c) A los establecidos para la investigaci\u00f3n del terrorismo y de formas graves de delincuencia organizada. No obstante el responsable del fichero comunicar\u00e1 previamente la existencia del mismo, sus caracter\u00edsticas generales y su finalidad a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Art\u00edculo 5. Definiciones.<\/p>\n
1. A los efectos previstos en este reglamento, se entender\u00e1 por:<\/p>\n
a) Afectado o interesado: Persona f\u00edsica titular de los datos que sean objeto del tratamiento.<\/p>\n
b) Cancelaci\u00f3n: Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelaci\u00f3n implicar\u00e1 el bloqueo de los datos, consistente en la identificaci\u00f3n y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposici\u00f3n de las Administraciones p\u00fablicas, Jueces y Tribunales, para la atenci\u00f3n de las posibles responsabilidades nacidas del tratamiento y s\u00f3lo durante el plazo de prescripci\u00f3n de dichas responsabilidades. Transcurrido ese plazo deber\u00e1 procederse a la supresi\u00f3n de los datos.<\/p>\n
c) Cesi\u00f3n o comunicaci\u00f3n de datos: Tratamiento de datos que supone su revelaci\u00f3n a una persona distinta del interesado.<\/p>\n
d) Consentimiento del interesado: Toda manifestaci\u00f3n de voluntad, libre, inequ\u00edvoca, espec\u00edfica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.<\/p>\n
e) Dato disociado: aqu\u00e9l que no permite la identificaci\u00f3n de un afectado o interesado.<\/p>\n
f) Datos de car\u00e1cter personal: Cualquier informaci\u00f3n num\u00e9rica, alfab\u00e9tica, gr\u00e1fica, fotogr\u00e1fica, ac\u00fastica o de cualquier otro tipo concerniente a personas f\u00edsicas identificadas o identificables.<\/p>\n
g) Datos de car\u00e1cter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, f\u00edsica o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su informaci\u00f3n gen\u00e9tica.<\/p>\n
h) Destinatario o cesionario: la persona f\u00edsica o jur\u00eddica, p\u00fablica o privada u \u00f3rgano administrativo, al que se revelen los datos.<\/p>\n
Podr\u00e1n ser tambi\u00e9n destinatarios los entes sin personalidad jur\u00eddica que act\u00faen en el tr\u00e1fico como sujetos diferenciados.<\/p>\n
i) Encargado del tratamiento: La persona f\u00edsica o jur\u00eddica, p\u00fablica o privada, u \u00f3rgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relaci\u00f3n jur\u00eddica que le vincula con el mismo y delimita el \u00e1mbito de su actuaci\u00f3n para la prestaci\u00f3n de un servicio.<\/p>\n
Podr\u00e1n ser tambi\u00e9n encargados del tratamiento los entes sin personalidad jur\u00eddica que act\u00faen en el tr\u00e1fico como sujetos diferenciados.<\/p>\n
j) Exportador de datos personales: la persona f\u00edsica o jur\u00eddica, p\u00fablica o privada, u \u00f3rgano administrativo situado en territorio espa\u00f1ol que realice, conforme a lo dispuesto en el presente Reglamento, una transferencia de datos de car\u00e1cter personal a un pa\u00eds tercero.<\/p>\n
k) Fichero: Todo conjunto organizado de datos de car\u00e1cter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creaci\u00f3n, almacenamiento, organizaci\u00f3n y acceso.<\/p>\n
l) Ficheros de titularidad privada: los ficheros de los que sean responsables las personas, empresas o entidades de derecho privado, con independencia de quien ostente la titularidad de su capital o de la procedencia de sus recursos econ\u00f3micos, as\u00ed como los ficheros de los que sean responsables las corporaciones de derecho p\u00fablico, en cuanto dichos ficheros no se encuentren estrictamente vinculados al ejercicio de potestades de derecho p\u00fablico que a las mismas atribuye su normativa espec\u00edfica.<\/p>\n
m) Ficheros de titularidad p\u00fablica: los ficheros de los que sean responsables los \u00f3rganos constitucionales o con relevancia constitucional del Estado o las instituciones auton\u00f3micas con funciones an\u00e1logas a los mismos, las Administraciones p\u00fablicas territoriales, as\u00ed como las entidades u organismos vinculados o dependientes de las mismas y las Corporaciones de derecho p\u00fablico siempre que su finalidad sea el ejercicio de potestades de derecho p\u00fablico.<\/p>\n
n) Fichero no automatizado: todo conjunto de datos de car\u00e1cter personal organizado de forma no automatizada y estructurado conforme a criterios espec\u00edficos relativos a personas f\u00edsicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aqu\u00e9l centralizado, descentralizado o repartido de forma funcional o geogr\u00e1fica.<\/p>\n
\u00f1) Importador de datos personales: la persona f\u00edsica o jur\u00eddica, p\u00fablica o privada, u \u00f3rgano administrativo receptor de los datos en caso de transferencia internacional de los mismos a un tercer pa\u00eds, ya sea responsable del tratamiento, encargada del tratamiento o tercero.<\/p>\n
o) Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier informaci\u00f3n referida a su identidad f\u00edsica, fisiol\u00f3gica, ps\u00edquica, econ\u00f3mica, cultural o social. Una persona f\u00edsica no se considerar\u00e1 identificable si dicha identificaci\u00f3n requiere plazos o actividades desproporcionados.<\/p>\n
p) Procedimiento de disociaci\u00f3n: Todo tratamiento de datos personales que permita la obtenci\u00f3n de datos disociados.<\/p>\n
q) Responsable del fichero o del tratamiento: Persona f\u00edsica o jur\u00eddica, de naturaleza p\u00fablica o privada, u \u00f3rgano administrativo, que s\u00f3lo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente.<\/p>\n
Podr\u00e1n ser tambi\u00e9n responsables del fichero o del tratamiento los entes sin personalidad jur\u00eddica que act\u00faen en el tr\u00e1fico como sujetos diferenciados.<\/p>\n
r) Tercero: la persona f\u00edsica o jur\u00eddica, p\u00fablica o privada u \u00f3rgano administrativo distinta del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento.<\/p>\n
Podr\u00e1n ser tambi\u00e9n terceros los entes sin personalidad jur\u00eddica que act\u00faen en el tr\u00e1fico como sujetos diferenciados.<\/p>\n
s) Transferencia internacional de datos: Tratamiento de datos que supone una transmisi\u00f3n de los mismos fuera del territorio del Espacio Econ\u00f3mico Europeo, bien constituya una cesi\u00f3n o comunicaci\u00f3n de datos, bien tenga por objeto la realizaci\u00f3n de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio espa\u00f1ol.<\/p>\n
t) Tratamiento de datos: cualquier operaci\u00f3n o procedimiento t\u00e9cnico, sea o no automatizado, que permita la recogida, grabaci\u00f3n, conservaci\u00f3n, elaboraci\u00f3n, modificaci\u00f3n, consulta, utilizaci\u00f3n, modificaci\u00f3n, cancelaci\u00f3n, bloqueo o supresi\u00f3n, as\u00ed como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.<\/p>\n
2. En particular, en relaci\u00f3n con lo dispuesto en el t\u00edtulo VIII de este reglamento se entender\u00e1 por:<\/p>\n
a) Accesos autorizados: autorizaciones concedidas a un usuario para la utilizaci\u00f3n de los diversos recursos. En su caso, incluir\u00e1n las autorizaciones o funciones que tenga atribuidas un usuario por delegaci\u00f3n del responsable del fichero o tratamiento o del responsable de seguridad.<\/p>\n
b) Autenticaci\u00f3n: procedimiento de comprobaci\u00f3n de la identidad de un usuario.<\/p>\n
c) Contrase\u00f1a: informaci\u00f3n confidencial, frecuentemente constituida por una cadena de caracteres, que puede ser usada en la autenticaci\u00f3n de un usuario o en el acceso a un recurso.<\/p>\n
d) Control de acceso: mecanismo que en funci\u00f3n de la identificaci\u00f3n ya autenticada permite acceder a datos o recursos.<\/p>\n
e) Copia de respaldo: copia de los datos de un fichero automatizado en un soporte que posibilite su recuperaci\u00f3n.<\/p>\n
f) Documento: todo escrito, gr\u00e1fico, sonido, imagen o cualquier otra clase de informaci\u00f3n que puede ser tratada en un sistema de informaci\u00f3n como una unidad diferenciada.<\/p>\n
g) Ficheros temporales: ficheros de trabajo creados por usuarios o procesos que son necesarios para un tratamiento ocasional o como paso intermedio durante la realizaci\u00f3n de un tratamiento.<\/p>\n
h) Identificaci\u00f3n: procedimiento de reconocimiento de la identidad de un usuario.<\/p>\n
i) Incidencia: cualquier anomal\u00eda que afecte o pudiera afectar a la seguridad de los datos.<\/p>\n
j) Perfil de usuario: accesos autorizados a un grupo de usuarios.<\/p>\n
k) Recurso: cualquier parte componente de un sistema de informaci\u00f3n.<\/p>\n
l) Responsable de seguridad: persona o personas a las que el responsable del fichero ha asignado formalmente la funci\u00f3n de coordinar y controlar las medidas de seguridad aplicables.<\/p>\n
m) Sistema de informaci\u00f3n: conjunto de ficheros, tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de car\u00e1cter personal.<\/p>\n
n) Sistema de tratamiento: modo en que se organiza o utiliza un sistema de informaci\u00f3n. Atendiendo al sistema de tratamiento, los sistemas de informaci\u00f3n podr\u00e1n ser automatizados, no automatizados o parcialmente automatizados.<\/p>\n
\u00f1) Soporte: objeto f\u00edsico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de informaci\u00f3n y sobre el cual se pueden grabar y recuperar datos.<\/p>\n
o) Transmisi\u00f3n de documentos: cualquier traslado, comunicaci\u00f3n, env\u00edo, entrega o divulgaci\u00f3n de la informaci\u00f3n contenida en el mismo.<\/p>\n
p) Usuario: sujeto o proceso autorizado para acceder a datos o recursos. Tendr\u00e1n la consideraci\u00f3n de usuarios los procesos que permitan acceder a datos o recursos sin identificaci\u00f3n de un usuario f\u00edsico.<\/p>\n
Art\u00edculo 6. C\u00f3mputo de plazos.<\/p>\n
En los supuestos en que este reglamento se\u00f1ale un plazo por d\u00edas se computar\u00e1n \u00fanicamente los h\u00e1biles. Cuando el plazo sea por meses, se computar\u00e1n de fecha a fecha.<\/p>\n
Art\u00edculo 7. Fuentes accesibles al p\u00fablico.<\/p>\n
1. A efectos del art\u00edculo 3, p\u00e1rrafo j) de la Ley Org\u00e1nica 15\/1999, se entender\u00e1 que s\u00f3lo tendr\u00e1n el car\u00e1cter de fuentes accesibles al p\u00fablico:<\/p>\n
a) El censo promocional, regulado conforme a lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
b) Las gu\u00edas de servicios de comunicaciones electr\u00f3nicas, en los t\u00e9rminos previstos por su normativa espec\u00edfica.<\/p>\n
c) Las listas de personas pertenecientes a grupos de profesionales que contengan \u00fanicamente los datos de nombre, t\u00edtulo, profesi\u00f3n, actividad, grado acad\u00e9mico, direcci\u00f3n profesional e indicaci\u00f3n de su pertenencia al grupo. La direcci\u00f3n profesional podr\u00e1 incluir los datos del domicilio postal completo, n\u00famero telef\u00f3nico, n\u00famero de fax y direcci\u00f3n electr\u00f3nica. En el caso de Colegios profesionales, podr\u00e1n indicarse como datos de pertenencia al grupo los de n\u00famero de colegiado, fecha de incorporaci\u00f3n y situaci\u00f3n de ejercicio profesional.<\/p>\n
d) Los diarios y boletines oficiales.<\/p>\n
e) Los medios de comunicaci\u00f3n social.<\/p>\n
2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al p\u00fablico, ser\u00e1 preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin m\u00e1s exigencia que, en su caso, el abono de una contraprestaci\u00f3n.<\/p>\n
T\u00c1\u008dTULO II<\/p>\n
Principios de protecci\u00f3n de datos<\/p>\n
CAP\u00c1\u008dTULO I<\/p>\n
Calidad de los datos<\/p>\n
Art\u00edculo 8. Principios relativos a la calidad de los datos.<\/p>\n
1. Los datos de car\u00e1cter personal deber\u00e1n ser tratados de forma leal y l\u00edcita. Se proh\u00edbe la recogida de datos por medios fraudulentos, desleales o il\u00edcitos.<\/p>\n
2. Los datos de car\u00e1cter personal s\u00f3lo podr\u00e1n ser recogidos para el cumplimiento de finalidades determinadas, expl\u00edcitas y leg\u00edtimas del responsable del tratamiento.<\/p>\n
3. Los datos de car\u00e1cter personal objeto de tratamiento no podr\u00e1n usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos.<\/p>\n
4. S\u00f3lo podr\u00e1n ser objeto de tratamiento los datos que sean adecuados, pertinentes y no excesivos en relaci\u00f3n con las finalidades determinadas, expl\u00edcitas y leg\u00edtimas para las que se hayan obtenido.<\/p>\n
5. Los datos de car\u00e1cter personal ser\u00e1n exactos y puestos al d\u00eda de forma que respondan con veracidad a la situaci\u00f3n actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerar\u00e1n exactos los facilitados por \u00e9ste.<\/p>\n
Si los datos de car\u00e1cter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, ser\u00e1n cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez d\u00edas desde que se tuviese conocimiento de la inexactitud, salvo que la legislaci\u00f3n aplicable al fichero establezca un procedimiento o un plazo espec\u00edfico para ello.<\/p>\n
Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deber\u00e1 notificar al cesionario, en el plazo de diez d\u00edas, la rectificaci\u00f3n o cancelaci\u00f3n efectuada, siempre que el cesionario sea conocido.<\/p>\n
En el plazo de diez d\u00edas desde la recepci\u00f3n de la notificaci\u00f3n, el cesionario que mantuviera el tratamiento de los datos, deber\u00e1 proceder a la rectificaci\u00f3n y cancelaci\u00f3n notificada.<\/p>\n
Esta actualizaci\u00f3n de los datos de car\u00e1cter personal no requerir\u00e1 comunicaci\u00f3n alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el t\u00edtulo III de este reglamento.<\/p>\n
6. Los datos de car\u00e1cter personal ser\u00e1n cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.<\/p>\n
No obstante, podr\u00e1n conservarse durante el tiempo en que pueda exigirse alg\u00fan tipo de responsabilidad derivada de una relaci\u00f3n u obligaci\u00f3n jur\u00eddica o de la ejecuci\u00f3n de un contrato o de la aplicaci\u00f3n de medidas precontractuales solicitadas por el interesado.<\/p>\n
Una vez cumplido el per\u00edodo al que se refieren los p\u00e1rrafos anteriores, los datos s\u00f3lo podr\u00e1n ser conservados previa disociaci\u00f3n de los mismos, sin perjuicio de la obligaci\u00f3n de bloqueo prevista en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y en el presente reglamento.<\/p>\n
7. Los datos de car\u00e1cter personal ser\u00e1n tratados de forma que permitan el ejercicio del derecho de acceso, en tanto no proceda su cancelaci\u00f3n.<\/p>\n
Art\u00edculo 9. Tratamiento con fines estad\u00edsticos, hist\u00f3ricos o cient\u00edficos.<\/p>\n
1. No se considerar\u00e1 incompatible, a los efectos previstos en el apartado 3 del art\u00edculo anterior, el tratamiento de los datos de car\u00e1cter personal con fines hist\u00f3ricos, estad\u00edsticos o cient\u00edficos.<\/p>\n
Para la determinaci\u00f3n de los fines a los que se refiere el p\u00e1rrafo anterior se estar\u00e1 a la legislaci\u00f3n que en cada caso resulte aplicable y, en particular, a lo dispuesto en la Ley 12\/1989, de 9 de mayo, Reguladora de la funci\u00f3n estad\u00edstica p\u00fablica, la Ley 16\/1985, de 25 junio, del Patrimonio hist\u00f3rico espa\u00f1ol y la Ley 13\/1986, de 14 de abril de Fomento y coordinaci\u00f3n general de la investigaci\u00f3n cient\u00edfica y t\u00e9cnica, y sus respectivas disposiciones de desarrollo, as\u00ed como a la normativa auton\u00f3mica en estas materias.<\/p>\n
2. Por v\u00eda de excepci\u00f3n a lo dispuesto en el apartado 6 del art\u00edculo anterior, la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o, en su caso, las autoridades de control de las comunidades aut\u00f3nomas podr\u00e1n, previa solicitud del responsable del tratamiento y conforme al procedimiento establecido en la secci\u00f3n segunda del cap\u00edtulo VII del t\u00edtulo IX del presente reglamento, acordar el mantenimiento \u00edntegro de determinados datos, atendidos sus valores hist\u00f3ricos, estad\u00edsticos o cient\u00edficos de acuerdo con las normas a las que se refiere el apartado anterior.<\/p>\n
Art\u00edculo 10. Supuestos que legitiman el tratamiento o cesi\u00f3n de los datos.<\/p>\n
1. Los datos de car\u00e1cter personal \u00fanicamente podr\u00e1n ser objeto de tratamiento o cesi\u00f3n si el interesado hubiera prestado previamente su consentimiento para ello.<\/p>\n
2. No obstante, ser\u00e1 posible el tratamiento o la cesi\u00f3n de los datos de car\u00e1cter personal sin necesidad del consentimiento del interesado cuando:<\/p>\n
a) Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes:<\/p>\n
El tratamiento o la cesi\u00f3n tengan por objeto la satisfacci\u00f3n de un inter\u00e9s leg\u00edtimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el inter\u00e9s o los derechos y libertades fundamentales de los interesados previstos en el art\u00edculo 1 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
El tratamiento o la cesi\u00f3n de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.<\/p>\n
b) Los datos objeto de tratamiento o de cesi\u00f3n figuren en fuentes accesibles al p\u00fablico y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un inter\u00e9s leg\u00edtimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado.<\/p>\n
No obstante, las Administraciones p\u00fablicas s\u00f3lo podr\u00e1n comunicar al amparo de este apartado los datos recogidos de fuentes accesibles al p\u00fablico a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley.<\/p>\n
3. Los datos de car\u00e1cter personal podr\u00e1n tratarse sin necesidad del consentimiento del interesado cuando:<\/p>\n
a) Se recojan para el ejercicio de las funciones propias de las Administraciones p\u00fablicas en el \u00e1mbito de las competencias que les atribuya una norma con rango de ley o una norma de derecho comunitario.<\/p>\n
b) Se recaben por el responsable del tratamiento con ocasi\u00f3n de la celebraci\u00f3n de un contrato o precontrato o de la existencia de una relaci\u00f3n negocial, laboral o administrativa de la que sea parte el afectado y sean necesarios para su mantenimiento o cumplimiento.<\/p>\n
c) El tratamiento de los datos tenga por finalidad proteger un inter\u00e9s vital del interesado en los t\u00e9rminos del apartado 6 del art\u00edculo 7 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
4. Ser\u00e1 posible la cesi\u00f3n de los datos de car\u00e1cter personal sin contar con el consentimiento del interesado cuando:<\/p>\n
a) La cesi\u00f3n responda a la libre y leg\u00edtima aceptaci\u00f3n de una relaci\u00f3n jur\u00eddica cuyo desarrollo, cumplimiento y control comporte la comunicaci\u00f3n de los datos. En este caso la comunicaci\u00f3n s\u00f3lo ser\u00e1 leg\u00edtima en cuanto se limite a la finalidad que la justifique.<\/p>\n
b) La comunicaci\u00f3n que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas o a las instituciones auton\u00f3micas con funciones an\u00e1logas al Defensor del Pueblo o al Tribunal de Cuentas y se realice en el \u00e1mbito de las funciones que la ley les atribuya expresamente.<\/p>\n
c) La cesi\u00f3n entre Administraciones p\u00fablicas cuando concurra uno de los siguientes supuestos:<\/p>\n
Tenga por objeto el tratamiento de los datos con fines hist\u00f3ricos, estad\u00edsticos o cient\u00edficos.<\/p>\n
Los datos de car\u00e1cter personal hayan sido recogidos o elaborados por una Administraci\u00f3n p\u00fablica con destino a otra.<\/p>\n
La comunicaci\u00f3n se realice para el ejercicio de competencias id\u00e9nticas o que versen sobre las mismas materias.<\/p>\n
5. Los datos especialmente protegidos podr\u00e1n tratarse y cederse en los t\u00e9rminos previstos en los art\u00edculos 7 y 8 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
En particular, no ser\u00e1 necesario el consentimiento del interesado para la comunicaci\u00f3n de datos personales sobre la salud, incluso a trav\u00e9s de medios electr\u00f3nicos, entre organismos, centros y servicios del Sistema Nacional de Salud cuando se realice para la atenci\u00f3n sanitaria de las personas, conforme a lo dispuesto en el Cap\u00edtulo V de la Ley 16\/2003, de 28 de mayo, de cohesi\u00f3n y calidad del Sistema Nacional de Salud.<\/p>\n
Art\u00edculo 11. Verificaci\u00f3n de datos en solicitudes formuladas a las Administraciones p\u00fablicas.<\/p>\n
Cuando se formulen solicitudes por medios electr\u00f3nicos en las que el interesado declare datos personales que obren en poder de las Administraciones p\u00fablicas, el \u00f3rgano destinatario de la solicitud podr\u00e1 efectuar en el ejercicio de sus competencias las verificaciones necesarias para comprobar la autenticidad de los datos.<\/p>\n
CAP\u00c1\u008dTULO II<\/p>\n
Consentimiento para el tratamiento de los datos y deber de informaci\u00f3n<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Obtenci\u00f3n del consentimiento del afectado<\/p>\n
Art\u00edculo 12. Principios generales.<\/p>\n
1. El responsable del tratamiento deber\u00e1 obtener el consentimiento del interesado para el tratamiento de sus datos de car\u00e1cter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes.<\/p>\n
La solicitud del consentimiento deber\u00e1 ir referida a un tratamiento o serie de tratamientos concretos, con delimitaci\u00f3n de la finalidad para los que se recaba, as\u00ed como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos.<\/p>\n
2. Cuando se solicite el consentimiento del afectado para la cesi\u00f3n de sus datos, \u00e9ste deber\u00e1 ser informado de forma que conozca inequ\u00edvocamente la finalidad a la que se destinar\u00e1n los datos respecto de cuya comunicaci\u00f3n se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento ser\u00e1 nulo.<\/p>\n
3. Corresponder\u00e1 al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.<\/p>\n
Art\u00edculo 13. Consentimiento para el tratamiento de datos de menores de edad.<\/p>\n
1. Podr\u00e1 procederse al tratamiento de los datos de los mayores de catorce a\u00f1os con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestaci\u00f3n la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce a\u00f1os se requerir\u00e1 el consentimiento de los padres o tutores.<\/p>\n
2. En ning\u00fan caso podr\u00e1n recabarse del menor datos que permitan obtener informaci\u00f3n sobre los dem\u00e1s miembros del grupo familiar, o sobre las caracter\u00edsticas del mismo, como los datos relativos a la actividad profesional de los progenitores, informaci\u00f3n econ\u00f3mica, datos sociol\u00f3gicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podr\u00e1n recabarse los datos de identidad y direcci\u00f3n del padre, madre o tutor con la \u00fanica finalidad de recabar la autorizaci\u00f3n prevista en el apartado anterior.<\/p>\n
3. Cuando el tratamiento se refiera a datos de menores de edad, la informaci\u00f3n dirigida a los mismos deber\u00e1 expresarse en un lenguaje que sea f\u00e1cilmente comprensible por aqu\u00e9llos, con expresa indicaci\u00f3n de lo dispuesto en este art\u00edculo.<\/p>\n
4. Corresponder\u00e1 al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.<\/p>\n
Art\u00edculo 14. Forma de recabar el consentimiento.<\/p>\n
1. El responsable del tratamiento podr\u00e1 solicitar el consentimiento del interesado a trav\u00e9s del procedimiento establecido en este art\u00edculo, salvo cuando la Ley exija al mismo la obtenci\u00f3n del consentimiento expreso para el tratamiento de los datos.<\/p>\n
2. El responsable podr\u00e1 dirigirse al afectado, inform\u00e1ndole en los t\u00e9rminos previstos en los art\u00edculos 5 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre y 12.2 de este reglamento y deber\u00e1 concederle un plazo de treinta d\u00edas para manifestar su negativa al tratamiento, advirti\u00e9ndole de que en caso de no pronunciarse a tal efecto se entender\u00e1 que consiente el tratamiento de sus datos de car\u00e1cter personal.<\/p>\n
En particular, cuando se trate de responsables que presten al afectado un servicio que genere informaci\u00f3n peri\u00f3dica o reiterada, o facturaci\u00f3n peri\u00f3dica, la comunicaci\u00f3n podr\u00e1 llevarse a cabo de forma conjunta a esta informaci\u00f3n o a la facturaci\u00f3n del servicio prestado, siempre que se realice de forma claramente visible.<\/p>\n
3. En todo caso, ser\u00e1 necesario que el responsable del tratamiento pueda conocer si la comunicaci\u00f3n ha sido objeto de devoluci\u00f3n por cualquier causa, en cuyo caso no podr\u00e1 proceder al tratamiento de los datos referidos a ese interesado.<\/p>\n
4. Deber\u00e1 facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerar\u00e1 ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un env\u00edo prefranqueado al responsable del tratamiento, la llamada a un n\u00famero telef\u00f3nico gratuito o a los servicios de atenci\u00f3n al p\u00fablico que el mismo hubiera establecido.<\/p>\n
5. Cuando se solicite el consentimiento del interesado a trav\u00e9s del procedimiento establecido en este art\u00edculo, no ser\u00e1 posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un a\u00f1o a contar de la fecha de la anterior solicitud.<\/p>\n
Art\u00edculo 15. Solicitud del consentimiento en el marco de una relaci\u00f3n contractual para fines no relacionados directamente con la misma.<\/p>\n
Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formaci\u00f3n de un contrato para finalidades que no guarden relaci\u00f3n directa con el mantenimiento, desarrollo o control de la relaci\u00f3n contractual, deber\u00e1 permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicaci\u00f3n de datos.<\/p>\n
En particular, se entender\u00e1 cumplido tal deber cuando se permita al afectado la marcaci\u00f3n de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebraci\u00f3n del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.<\/p>\n
Art\u00edculo 16. Tratamiento de datos de facturaci\u00f3n y tr\u00e1fico en servicios de comunicaciones electr\u00f3nicas.<\/p>\n
La solicitud del consentimiento para el tratamiento o cesi\u00f3n de los datos de tr\u00e1fico, facturaci\u00f3n y localizaci\u00f3n por parte de los sujetos obligados, o en su caso la revocaci\u00f3n de aqu\u00e9l, seg\u00fan la legislaci\u00f3n reguladora de las telecomunicaciones se someter\u00e1 a lo establecido en su normativa espec\u00edfica y, en lo que no resulte contrario a la misma, a lo establecido en la presente secci\u00f3n.<\/p>\n
Art\u00edculo 17. Revocaci\u00f3n del consentimiento.<\/p>\n
1. El afectado podr\u00e1 revocar su consentimiento a trav\u00e9s de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. En particular, se considerar\u00e1 ajustado al presente reglamento el procedimiento en el que tal negativa pueda efectuarse, entre otros, mediante un env\u00edo prefranqueado al responsable del tratamiento o la llamada a un n\u00famero telef\u00f3nico gratuito o a los servicios de atenci\u00f3n al p\u00fablico que el mismo hubiera establecido.<\/p>\n
No se considerar\u00e1n conformes a lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, los supuestos en que el responsable establezca como medio para que el interesado pueda manifestar su negativa al tratamiento el env\u00edo de cartas certificadas o env\u00edos semejantes, la utilizaci\u00f3n de servicios de telecomunicaciones que implique una tarificaci\u00f3n adicional al afectado o cualesquiera otros medios que impliquen un coste adicional al interesado.<\/p>\n
2. El responsable cesar\u00e1 en el tratamiento de los datos en el plazo m\u00e1ximo de diez d\u00edas a contar desde el de la recepci\u00f3n de la revocaci\u00f3n del consentimiento, sin perjuicio de su obligaci\u00f3n de bloquear los datos conforme a lo dispuesto en el art\u00edculo 16.3 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
3. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmaci\u00f3n del cese en el tratamiento de sus datos, \u00e9ste deber\u00e1 responder expresamente a la solicitud.<\/p>\n
4. Si los datos hubieran sido cedidos previamente, el responsable del tratamiento, una vez revocado el consentimiento, deber\u00e1 comunicarlo a los cesionarios, en el plazo previsto en el apartado 2, para que \u00e9stos, cesen en el tratamiento de los datos en caso de que a\u00fan lo mantuvieran, conforme al art\u00edculo 16.4 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Deber de informaci\u00f3n al interesado<\/p>\n
Art\u00edculo 18. Acreditaci\u00f3n del cumplimiento del deber de informaci\u00f3n.<\/p>\n
1. El deber de informaci\u00f3n al que se refiere el art\u00edculo 5 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, deber\u00e1 llevarse a cabo a trav\u00e9s de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado.<\/p>\n
2. El responsable del fichero o tratamiento deber\u00e1 conservar el soporte en el que conste el cumplimiento del deber de informar. Para el almacenamiento de los soportes, el responsable del fichero o tratamiento podr\u00e1 utilizar medios inform\u00e1ticos o telem\u00e1ticos. En particular podr\u00e1 proceder al escaneado de la documentaci\u00f3n en soporte papel, siempre y cuando se garantice que en dicha automatizaci\u00f3n no ha mediado alteraci\u00f3n alguna de los soportes originales.<\/p>\n
Art\u00edculo 19. Supuestos especiales.<\/p>\n
En los supuestos en que se produzca una modificaci\u00f3n del responsable del fichero como consecuencia de una operaci\u00f3n de fusi\u00f3n, escisi\u00f3n, cesi\u00f3n global de activos y pasivos, aportaci\u00f3n o transmisi\u00f3n de negocio o rama de actividad empresarial, o cualquier operaci\u00f3n de reestructuraci\u00f3n societaria de an\u00e1loga naturaleza, contemplada por la normativa mercantil, no se producir\u00e1 cesi\u00f3n de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el art\u00edculo 5 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
CAP\u00c1\u008dTULO III<\/p>\n
Encargado del tratamiento<\/p>\n
Art\u00edculo 20. Relaciones entre el responsable y el encargado del tratamiento.<\/p>\n
1. El acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestaci\u00f3n de un servicio al responsable no se considerar\u00e1 comunicaci\u00f3n de datos, siempre y cuando se cumpla lo establecido en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre y en el presente cap\u00edtulo.<\/p>\n
El servicio prestado por el encargado del tratamiento podr\u00e1 tener o no car\u00e1cter remunerado y ser temporal o indefinido.<\/p>\n
No obstante, se considerar\u00e1 que existe comunicaci\u00f3n de datos cuando el acceso tenga por objeto el establecimiento de un nuevo v\u00ednculo entre quien accede a los datos y el afectado.<\/p>\n
2. Cuando el responsable del tratamiento contrate la prestaci\u00f3n de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este cap\u00edtulo deber\u00e1 velar por que el encargado del tratamiento re\u00fana las garant\u00edas para el cumplimiento de lo dispuesto en este Reglamento.<\/p>\n
3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del art\u00edculo 12 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, ser\u00e1 considerado, tambi\u00e9n, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.<\/p>\n
No obstante, el encargado del tratamiento no incurrir\u00e1 en responsabilidad cuando, previa indicaci\u00f3n expresa del responsable, comunique los datos a un tercero designado por aqu\u00e9l, al que hubiera encomendado la prestaci\u00f3n de un servicio conforme a lo previsto en el presente cap\u00edtulo.<\/p>\n
Art\u00edculo 21. Posibilidad de subcontrataci\u00f3n de los servicios.<\/p>\n
1. El encargado del tratamiento no podr\u00e1 subcontratar con un tercero la realizaci\u00f3n de ning\u00fan tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de \u00e9ste autorizaci\u00f3n para ello. En este caso, la contrataci\u00f3n se efectuar\u00e1 siempre en nombre y por cuenta del responsable del tratamiento.<\/p>\n
2. No obstante lo dispuesto en el apartado anterior, ser\u00e1 posible la subcontrataci\u00f3n sin necesidad de autorizaci\u00f3n siempre y cuando se cumplan los siguientes requisitos:<\/p>\n
a) Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontrataci\u00f3n y, si ello fuera posible, la empresa con la que se vaya a subcontratar.<\/p>\n
Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, ser\u00e1 preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontrataci\u00f3n.<\/p>\n
b) Que el tratamiento de datos de car\u00e1cter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.<\/p>\n
c) Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los t\u00e9rminos previstos en el art\u00edculo anterior.<\/p>\n
En este caso, el subcontratista ser\u00e1 considerado encargado del tratamiento, si\u00e9ndole de aplicaci\u00f3n lo previsto en el art\u00edculo 20.3 de este reglamento.<\/p>\n
3. Si durante la prestaci\u00f3n del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deber\u00e1n someterse al responsable del tratamiento los extremos se\u00f1alados en el apartado anterior.<\/p>\n
Art\u00edculo 22. Conservaci\u00f3n de los datos por el encargado del tratamiento.<\/p>\n
1. Una vez cumplida la prestaci\u00f3n contractual, los datos de car\u00e1cter personal deber\u00e1n ser destruidos o devueltos al responsable del tratamiento o al encargado que \u00e9ste hubiese designado, al igual que cualquier soporte o documentos en que conste alg\u00fan dato de car\u00e1cter personal objeto del tratamiento.<\/p>\n
No proceder\u00e1 la destrucci\u00f3n de los datos cuando exista una previsi\u00f3n legal que exija su conservaci\u00f3n, en cuyo caso deber\u00e1 procederse a la devoluci\u00f3n de los mismos garantizando el responsable del fichero dicha conservaci\u00f3n.<\/p>\n
2. El encargado del tratamiento conservar\u00e1, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relaci\u00f3n con el responsable del tratamiento.<\/p>\n
T\u00c1\u008dTULO III<\/p>\n
Derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n<\/p>\n
CAP\u00c1\u008dTULO I<\/p>\n
Disposiciones generales<\/p>\n
Art\u00edculo 23. Car\u00e1cter personal\u00edsimo.<\/p>\n
1. Los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n son personal\u00edsimos y ser\u00e1n ejercidos por el afectado.<\/p>\n
2. Tales derechos se ejercitar\u00e1n:<\/p>\n
a) Por el afectado, acreditando su identidad, del modo previsto en el art\u00edculo siguiente.<\/p>\n
b) Cuando el afectado se encuentre en situaci\u00f3n de incapacidad o minor\u00eda de edad que le imposibilite el ejercicio personal de estos derechos, podr\u00e1n ejercitarse por su representante legal, en cuyo caso ser\u00e1 necesario que acredite tal condici\u00f3n.<\/p>\n
c) Los derechos tambi\u00e9n podr\u00e1n ejercitarse a trav\u00e9s de representante voluntario, expresamente designado para el ejercicio del derecho. En ese caso, deber\u00e1 constar claramente acreditada la identidad del representado, mediante la aportaci\u00f3n de copia de su Documento Nacional de Identidad o documento equivalente, y la representaci\u00f3n conferida por aqu\u00e9l.<\/p>\n
Cuando el responsable del fichero sea un \u00f3rgano de las Administraciones p\u00fablicas o de la Administraci\u00f3n de Justicia, podr\u00e1 acreditarse la representaci\u00f3n por cualquier medio v\u00e1lido en derecho que deje constancia fidedigna, o mediante declaraci\u00f3n en comparecencia personal del interesado.<\/p>\n
3. Los derechos ser\u00e1n denegados cuando la solicitud sea formulada por persona distinta del afectado y no se acreditase que la misma act\u00faa en representaci\u00f3n de aqu\u00e9l.<\/p>\n
Art\u00edculo 24. Condiciones generales para el ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
1. Los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n son derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro.<\/p>\n
2. Deber\u00e1 concederse al interesado un medio sencillo y gratuito para el ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
3. El ejercicio por el afectado de sus derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n ser\u00e1 gratuito y en ning\u00fan caso podr\u00e1 suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan.<\/p>\n
No se considerar\u00e1n conformes a lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el env\u00edo de cartas certificadas o semejantes, la utilizaci\u00f3n de servicios de telecomunicaciones que implique una tarificaci\u00f3n adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado.<\/p>\n
4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier \u00edndole para la atenci\u00f3n a su p\u00fablico o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podr\u00e1 concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n a trav\u00e9s de dichos servicios. En tal caso, la identidad del interesado se considerar\u00e1 acreditada por los medios establecidos para la identificaci\u00f3n de los clientes del responsable en la prestaci\u00f3n de sus servicios o contrataci\u00f3n de sus productos.<\/p>\n
5. El responsable del fichero o tratamiento deber\u00e1 atender la solicitud de acceso, rectificaci\u00f3n, cancelaci\u00f3n u oposici\u00f3n ejercida por el afectado a\u00fan cuando el mismo no hubiese utilizado el procedimiento establecido espec\u00edficamente al efecto por aqu\u00e9l, siempre que el interesado haya utilizado un medio que permita acreditar el env\u00edo y la recepci\u00f3n de la solicitud, y que \u00e9sta contenga los elementos referidos en el p\u00e1rrafo 1 del art\u00edculo siguiente.<\/p>\n
Art\u00edculo 25. Procedimiento.<\/p>\n
1. Salvo en el supuesto referido en el p\u00e1rrafo 4 del art\u00edculo anterior, el ejercicio de los derechos deber\u00e1 llevarse a cabo mediante comunicaci\u00f3n dirigida al responsable del fichero, que contendr\u00e1:<\/p>\n
a) Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento v\u00e1lido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electr\u00f3nicos equivalentes; as\u00ed como el documento o instrumento electr\u00f3nico acreditativo de tal representaci\u00f3n. La utilizaci\u00f3n de firma electr\u00f3nica identificativa del afectado eximir\u00e1 de la presentaci\u00f3n de las fotocopias del DNI o documento equivalente.<\/p>\n
El p\u00e1rrafo anterior se entender\u00e1 sin perjuicio de la normativa espec\u00edfica aplicable a la comprobaci\u00f3n de datos de identidad por las Administraciones P\u00fablicas en los procedimientos administrativos.<\/p>\n
b) Petici\u00f3n en que se concreta la solicitud.<\/p>\n
c) Direcci\u00f3n a efectos de notificaciones, fecha y firma del solicitante.<\/p>\n
d) Documentos acreditativos de la petici\u00f3n que formula, en su caso.<\/p>\n
2. El responsable del tratamiento deber\u00e1 contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros.<\/p>\n
3. En el caso de que la solicitud no re\u00fana los requisitos especificados en el apartado primero, el responsable del fichero deber\u00e1 solicitar la subsanaci\u00f3n de los mismos.<\/p>\n
4. La respuesta deber\u00e1 ser conforme con los requisitos previstos para cada caso en el presente t\u00edtulo.<\/p>\n
5. Corresponder\u00e1 al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditaci\u00f3n del cumplimiento del mencionado deber.<\/p>\n
6. El responsable del fichero deber\u00e1 adoptar las medidas oportunas para garantizar que las personas de su organizaci\u00f3n que tienen acceso a datos de car\u00e1cter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos.<\/p>\n
7. El ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n podr\u00e1 modularse por razones de seguridad p\u00fablica en los casos y con el alcance previsto en las Leyes.<\/p>\n
8. Cuando las leyes aplicables a determinados ficheros concretos establezcan un procedimiento especial para la rectificaci\u00f3n o cancelaci\u00f3n de los datos contenidos en los mismos, se estar\u00e1 a lo dispuesto en aqu\u00e9llas.<\/p>\n
Art\u00edculo 26. Ejercicio de los derechos ante un encargado del tratamiento.<\/p>\n
Cuando los afectados ejercitasen sus derechos ante un encargado del tratamiento y solicitasen el ejercicio de su derecho ante el mismo, el encargado deber\u00e1 dar traslado de la solicitud al responsable, a fin de que por el mismo se resuelva, a menos que en la relaci\u00f3n existente con el responsable del tratamiento se prevea precisamente que el encargado atender\u00e1, por cuenta del responsable, las solicitudes de ejercicio por los afectados de sus derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n u oposici\u00f3n.<\/p>\n
CAP\u00c1\u008dTULO II<\/p>\n
Derecho de acceso<\/p>\n
Art\u00edculo 27. Derecho de acceso.<\/p>\n
1. El derecho de acceso es el derecho del afectado a obtener informaci\u00f3n sobre si sus propios datos de car\u00e1cter personal est\u00e1n siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se est\u00e9 realizando, as\u00ed como la informaci\u00f3n disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos.<\/p>\n
2. En virtud del derecho de acceso el afectado podr\u00e1 obtener del responsable del tratamiento informaci\u00f3n relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento.<\/p>\n
No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podr\u00e1 solicitar del afectado la especificaci\u00f3n de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deber\u00e1 facilitarle una relaci\u00f3n de todos ellos.<\/p>\n
3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30\/1992, de 26 de noviembre, de R\u00e9gimen Jur\u00eddico de las Administraciones P\u00fablicas y del Procedimiento Administrativo Com\u00fan.<\/p>\n
Art\u00edculo 28. Ejercicio del derecho de acceso.<\/p>\n
1. Al ejercitar el derecho de acceso, el afectado podr\u00e1 optar por recibir la informaci\u00f3n a trav\u00e9s de uno o varios de los siguientes sistemas de consulta del fichero:<\/p>\n
a) Visualizaci\u00f3n en pantalla.<\/p>\n
b) Escrito, copia o fotocopia remitida por correo, certificado o no.<\/p>\n
c) Telecopia.<\/p>\n
d) Correo electr\u00f3nico u otros sistemas de comunicaciones electr\u00f3nicas.<\/p>\n
e) Cualquier otro sistema que sea adecuado a la configuraci\u00f3n o implantaci\u00f3n material del fichero o a la naturaleza del tratamiento, ofrecido por el responsable.<\/p>\n
2. Los sistemas de consulta del fichero previstos en el apartado anterior podr\u00e1n restringirse en funci\u00f3n de la configuraci\u00f3n o implantaci\u00f3n material del fichero o de la naturaleza del tratamiento, siempre que el que se ofrezca al afectado sea gratuito y asegure la comunicaci\u00f3n escrita si \u00e9ste as\u00ed lo exige.<\/p>\n
3. El responsable del fichero deber\u00e1 cumplir al facilitar el acceso lo establecido en el T\u00edtulo VIII de este Reglamento.<\/p>\n
Si tal responsable ofreciera un determinado sistema para hacer efectivo el derecho de acceso y el afectado lo rechazase, aqu\u00e9l no responder\u00e1 por los posibles riesgos que para la seguridad de la informaci\u00f3n pudieran derivarse de la elecci\u00f3n.<\/p>\n
Del mismo modo, si el responsable ofreciera un procedimiento para hacer efectivo el derecho de acceso y el afectado exigiese que el mismo se materializase a trav\u00e9s de un procedimiento que implique un coste desproporcionado, surtiendo el mismo efecto y garantizando la misma seguridad el procedimiento ofrecido por el responsable, ser\u00e1n de cuenta del afectado los gastos derivados de su elecci\u00f3n.<\/p>\n
Art\u00edculo 29. Otorgamiento del acceso.<\/p>\n
1. El responsable del fichero resolver\u00e1 sobre la solicitud de acceso en el plazo m\u00e1ximo de un mes a contar desde la recepci\u00f3n de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petici\u00f3n de acceso, el interesado podr\u00e1 interponer la reclamaci\u00f3n prevista en el art\u00edculo 18 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
En el caso de que no disponga de datos de car\u00e1cter personal de los afectados deber\u00e1 igualmente comunic\u00e1rselo en el mismo plazo.<\/p>\n
2. Si la solicitud fuera estimada y el responsable no acompa\u00f1ase a su comunicaci\u00f3n la informaci\u00f3n a la que se refiere el art\u00edculo 27.1, el acceso se har\u00e1 efectivo durante los diez d\u00edas siguientes a dicha comunicaci\u00f3n.<\/p>\n
3. La informaci\u00f3n que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dar\u00e1 en forma legible e inteligible, sin utilizar claves o c\u00f3digos que requieran el uso de dispositivos mec\u00e1nicos espec\u00edficos.<\/p>\n
Dicha informaci\u00f3n comprender\u00e1 todos los datos de base del afectado, los resultantes de cualquier elaboraci\u00f3n o proceso inform\u00e1tico, as\u00ed como la informaci\u00f3n disponible sobre el origen de los datos, los cesionarios de los mismos y la especificaci\u00f3n de los concretos usos y finalidades para los que se almacenaron los datos.<\/p>\n
Art\u00edculo 30. Denegaci\u00f3n del acceso.<\/p>\n
1. El responsable del fichero o tratamiento podr\u00e1 denegar el acceso a los datos de car\u00e1cter personal cuando el derecho ya se haya ejercitado en los doce meses anteriores a la solicitud, salvo que se acredite un inter\u00e9s leg\u00edtimo al efecto.<\/p>\n
2. Podr\u00e1 tambi\u00e9n denegarse el acceso en los supuestos en que as\u00ed lo prevea una Ley o una norma de derecho comunitario de aplicaci\u00f3n directa o cuando \u00e9stas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso.<\/p>\n
3. En todo caso, el responsable del fichero informar\u00e1 al afectado de su derecho a recabar la tutela de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o, en su caso, de las autoridades de control de las comunidades aut\u00f3nomas, conforme a lo dispuesto en el art\u00edculo 18 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
CAP\u00c1\u008dTULO III<\/p>\n
Derechos de rectificaci\u00f3n y cancelaci\u00f3n<\/p>\n
Art\u00edculo 31. Derechos de rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
1. El derecho de rectificaci\u00f3n es el derecho del afectado a que se modifiquen los datos que resulten ser inexactos o incompletos.<\/p>\n
2. El ejercicio del derecho de cancelaci\u00f3n dar\u00e1 lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento.<\/p>\n
En los supuestos en que el interesado invoque el ejercicio del derecho de cancelaci\u00f3n para revocar el consentimiento previamente prestado, se estar\u00e1 a lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre y en el presente reglamento.<\/p>\n
Art\u00edculo 32. Ejercicio de los derechos de rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
1. La solicitud de rectificaci\u00f3n deber\u00e1 indicar a qu\u00e9 datos se refiere y la correcci\u00f3n que haya de realizarse y deber\u00e1 ir acompa\u00f1ada de la documentaci\u00f3n justificativa de lo solicitado.<\/p>\n
En la solicitud de cancelaci\u00f3n, el interesado deber\u00e1 indicar a qu\u00e9 datos se refiere, aportando al efecto la documentaci\u00f3n que lo justifique, en su caso.<\/p>\n
2. El responsable del fichero resolver\u00e1 sobre la solicitud de rectificaci\u00f3n o cancelaci\u00f3n en el plazo m\u00e1ximo de diez d\u00edas a contar desde la recepci\u00f3n de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petici\u00f3n, el interesado podr\u00e1 interponer la reclamaci\u00f3n prevista en el art\u00edculo 18 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
En el caso de que no disponga de datos de car\u00e1cter personal del afectado deber\u00e1 igualmente comunic\u00e1rselo en el mismo plazo.<\/p>\n
3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deber\u00e1 comunicar la rectificaci\u00f3n o cancelaci\u00f3n efectuada al cesionario, en id\u00e9ntico plazo, para que \u00e9ste, tambi\u00e9n en el plazo de diez d\u00edas contados desde la recepci\u00f3n de dicha comunicaci\u00f3n, proceda, asimismo, a rectificar o cancelar los datos.<\/p>\n
La rectificaci\u00f3n o cancelaci\u00f3n efectuada por el cesionario no requerir\u00e1 comunicaci\u00f3n alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
Art\u00edculo 33. Denegaci\u00f3n de los derechos de rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
1. La cancelaci\u00f3n no proceder\u00e1 cuando los datos de car\u00e1cter personal deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos.<\/p>\n
2. Podr\u00e1 tambi\u00e9n denegarse los derechos de rectificaci\u00f3n o cancelaci\u00f3n en los supuestos en que as\u00ed lo prevea una ley o una norma de derecho comunitario de aplicaci\u00f3n directa o cuando \u00e9stas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso.<\/p>\n
3. En todo caso, el responsable del fichero informar\u00e1 al afectado de su derecho a recabar la tutela de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o, en su caso, de las autoridades de control de las Comunidades Aut\u00f3nomas, conforme a lo dispuesto en el art\u00edculo 18 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
CAP\u00c1\u008dTULO IV<\/p>\n
Derecho de oposici\u00f3n<\/p>\n
Art\u00edculo 34. Derecho de oposici\u00f3n.<\/p>\n
El derecho de oposici\u00f3n es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de car\u00e1cter personal o se cese en el mismo en los siguientes supuestos:<\/p>\n
a) Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo leg\u00edtimo y fundado, referido a su concreta situaci\u00f3n personal, que lo justifique, siempre que una Ley no disponga lo contrario.<\/p>\n
b) Cuando se trate de ficheros que tengan por finalidad la realizaci\u00f3n de actividades de publicidad y prospecci\u00f3n comercial, en los t\u00e9rminos previstos en el art\u00edculo 51 de este reglamento, cualquiera que sea la empresa responsable de su creaci\u00f3n.<\/p>\n
c) Cuando el tratamiento tenga por finalidad la adopci\u00f3n de una decisi\u00f3n referida al afectado y basada \u00fanicamente en un tratamiento automatizado de sus datos de car\u00e1cter personal, en los t\u00e9rminos previstos en el art\u00edculo 36 de este reglamento.<\/p>\n
Art\u00edculo 35. Ejercicio del derecho de oposici\u00f3n.<\/p>\n
1. El derecho de oposici\u00f3n se ejercitar\u00e1 mediante solicitud dirigida al responsable del tratamiento.<\/p>\n
Cuando la oposici\u00f3n se realice con base en la letra a) del art\u00edculo anterior, en la solicitud deber\u00e1n hacerse constar los motivos fundados y leg\u00edtimos, relativos a una concreta situaci\u00f3n personal del afectado, que justifican el ejercicio de este derecho.<\/p>\n
2. El responsable del fichero resolver\u00e1 sobre la solicitud de oposici\u00f3n en el plazo m\u00e1ximo de diez d\u00edas a contar desde la recepci\u00f3n de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petici\u00f3n, el interesado podr\u00e1 interponer la reclamaci\u00f3n prevista en el art\u00edculo 18 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
En el caso de que no disponga de datos de car\u00e1cter personal de los afectados deber\u00e1 igualmente comunic\u00e1rselo en el mismo plazo.<\/p>\n
3. El responsable del fichero o tratamiento deber\u00e1 excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposici\u00f3n o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este art\u00edculo.<\/p>\n
Art\u00edculo 36. Derecho de oposici\u00f3n a las decisiones basadas \u00fanicamente en un tratamiento automatizado de datos.<\/p>\n
1. Los interesados tienen derecho a no verse sometidos a una decisi\u00f3n con efectos jur\u00eddicos sobre ellos o que les afecte de manera significativa, que se base \u00fanicamente en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad, tales como su rendimiento laboral, cr\u00e9dito, fiabilidad o conducta.<\/p>\n
2. No obstante, los afectados podr\u00e1n verse sometidos a una de las decisiones contempladas en el apartado 1 cuando dicha decisi\u00f3n:<\/p>\n
a) Se haya adoptado en el marco de la celebraci\u00f3n o ejecuci\u00f3n de un contrato a petici\u00f3n del interesado, siempre que se le otorgue la posibilidad de alegar lo que estimara pertinente, a fin de defender su derecho o inter\u00e9s. En todo caso, el responsable del fichero deber\u00e1 informar previamente al afectado, de forma clara y precisa, de que se adoptar\u00e1n decisiones con las caracter\u00edsticas se\u00f1aladas en el apartado 1 y cancelar\u00e1 los datos en caso de que no llegue a celebrarse finalmente el contrato.<\/p>\n
b) Est\u00e9 autorizada por una norma con rango de Ley que establezca medidas que garanticen el inter\u00e9s leg\u00edtimo del interesado.<\/p>\n
T\u00c1\u008dTULO IV<\/p>\n
Disposiciones aplicables a determinados ficheros de titularidad privada<\/p>\n
CAP\u00c1\u008dTULO I<\/p>\n
Ficheros de informaci\u00f3n sobre solvencia patrimonial y cr\u00e9dito<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Disposiciones generales<\/p>\n
Art\u00edculo 37. R\u00e9gimen aplicable.<\/p>\n
1. El tratamiento de datos de car\u00e1cter personal sobre solvencia patrimonial y cr\u00e9dito, previsto en el apartado 1 del art\u00edculo 29 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, se someter\u00e1 a lo establecido, con car\u00e1cter general, en dicha ley org\u00e1nica y en el presente reglamento.<\/p>\n
2. El ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n en el caso de los ficheros a que se refiere el apartado anterior, se rige por lo dispuesto en los cap\u00edtulos I a IV del t\u00edtulo III del presente reglamento, con los siguientes criterios:<\/p>\n
a) Cuando la petici\u00f3n de ejercicio de los derechos se dirigiera al responsable del fichero, \u00e9ste estar\u00e1 obligado a satisfacer, en cualquier caso, dichos derechos.<\/p>\n
b) Si la petici\u00f3n se dirigiera a las personas y entidades a las que se presta el servicio, \u00e9stas \u00fanicamente deber\u00e1n comunicar al afectado aquellos datos relativos al mismo que les hayan sido comunicados y a facilitar la identidad del responsable para que, en su caso, puedan ejercitar sus derechos ante el mismo.<\/p>\n
3. De conformidad con el apartado 2 del art\u00edculo 29 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, tambi\u00e9n podr\u00e1n tratarse los datos de car\u00e1cter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien act\u00fae por su cuenta o inter\u00e9s.<\/p>\n
Estos datos deber\u00e1n conservarse en ficheros creados con la exclusiva finalidad de facilitar informaci\u00f3n crediticia del afectado y su tratamiento se regir\u00e1 por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la secci\u00f3n segunda de este cap\u00edtulo.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien act\u00fae por su cuenta o inter\u00e9s<\/p>\n
Art\u00edculo 38. Requisitos para la inclusi\u00f3n de los datos.<\/p>\n
1. S\u00f3lo ser\u00e1 posible la inclusi\u00f3n en estos ficheros de datos de car\u00e1cter personal que sean determinantes para enjuiciar la solvencia econ\u00f3mica del afectado, siempre que concurran los siguientes requisitos:<\/p>\n
a) Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamaci\u00f3n judicial, arbitral o administrativa, o trat\u00e1ndose de servicios financieros, no se haya planteado una reclamaci\u00f3n en los t\u00e9rminos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303\/2004, de 20 de febrero.<\/p>\n
b) Que no hayan transcurrido seis a\u00f1os desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligaci\u00f3n o del plazo concreto si aqu\u00e9lla fuera de vencimiento peri\u00f3dico.<\/p>\n
c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligaci\u00f3n.<\/p>\n
2. No podr\u00e1n incluirse en los ficheros de esta naturaleza datos personales sobre los que exista un principio de prueba que de forma indiciaria contradiga alguno de los requisitos anteriores.<\/p>\n
Tal circunstancia determinar\u00e1 asimismo la cancelaci\u00f3n cautelar del dato personal desfavorable en los supuestos en que ya se hubiera efectuado su inclusi\u00f3n en el fichero.<\/p>\n
3. El acreedor o quien act\u00fae por su cuenta o inter\u00e9s estar\u00e1 obligado a conservar a disposici\u00f3n del responsable del fichero com\u00fan y de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos documentaci\u00f3n suficiente que acredite el cumplimiento de los requisitos establecidos en este art\u00edculo y del requerimiento previo al que se refiere el art\u00edculo siguiente.<\/p>\n
Art\u00edculo 39. Informaci\u00f3n previa a la inclusi\u00f3n.<\/p>\n
El acreedor deber\u00e1 informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c) del apartado 1 del art\u00edculo anterior, que en caso de no producirse el pago en el t\u00e9rmino previsto para ello y cumplirse los requisitos previstos en el citado art\u00edculo, los datos relativos al impago podr\u00e1n ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.<\/p>\n
Art\u00edculo 40. Notificaci\u00f3n de inclusi\u00f3n.<\/p>\n
1. El responsable del fichero com\u00fan deber\u00e1 notificar a los interesados respecto de los que hayan registrado datos de car\u00e1cter personal, en el plazo de treinta d\u00edas desde dicho registro, una referencia de los que hubiesen sido incluidos, inform\u00e1ndole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n, en los t\u00e9rminos establecidos por la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
2. Se efectuar\u00e1 una notificaci\u00f3n por cada deuda concreta y determinada con independencia de que \u00e9sta se tenga con el mismo o con distintos acreedores.<\/p>\n
3. La notificaci\u00f3n deber\u00e1 efectuarse a trav\u00e9s de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realizaci\u00f3n de los env\u00edos.<\/p>\n
4. En todo caso, ser\u00e1 necesario que el responsable del fichero pueda conocer si la notificaci\u00f3n ha sido objeto de devoluci\u00f3n por cualquier causa, en cuyo caso no podr\u00e1 proceder al tratamiento de los datos referidos a ese interesado.<\/p>\n
No se entender\u00e1n suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el env\u00edo.<\/p>\n
5. Si la notificaci\u00f3n de inclusi\u00f3n fuera devuelta, el responsable del fichero com\u00fan comprobar\u00e1 con la entidad acreedora que la direcci\u00f3n utilizada para efectuar esta notificaci\u00f3n se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no proceder\u00e1 al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato.<\/p>\n
Art\u00edculo 41. Conservaci\u00f3n de los datos.<\/p>\n
1. S\u00f3lo podr\u00e1n ser objeto de tratamiento los datos que respondan con veracidad a la situaci\u00f3n de la deuda en cada momento concreto.<\/p>\n
El pago o cumplimiento de la deuda determinar\u00e1 la cancelaci\u00f3n inmediata de todo dato relativo a la misma.<\/p>\n
2. En los restantes supuestos, los datos deber\u00e1n ser cancelados cuando se hubieran cumplido seis a\u00f1os contados a partir del vencimiento de la obligaci\u00f3n o del plazo concreto si aqu\u00e9lla fuera de vencimiento peri\u00f3dico.<\/p>\n
Art\u00edculo 42. Acceso a la informaci\u00f3n contenida en el fichero.<\/p>\n
1. Los datos contenidos en el fichero com\u00fan s\u00f3lo podr\u00e1n ser consultados por terceros cuando precisen enjuiciar la solvencia econ\u00f3mica del afectado. En particular, se considerar\u00e1 que concurre dicha circunstancia en los siguientes supuestos:<\/p>\n
a) Que el afectado mantenga con el tercero alg\u00fan tipo de relaci\u00f3n contractual que a\u00fan no se encuentre vencida.<\/p>\n
b) Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.<\/p>\n
c) Que el afectado pretenda contratar con el tercero la prestaci\u00f3n de un servicio de facturaci\u00f3n peri\u00f3dica.<\/p>\n
2. Los terceros deber\u00e1n informar por escrito a las personas en las que concurran los supuestos contemplados en las letras b) y c) precedentes de su derecho a consultar el fichero.<\/p>\n
En los supuestos de contrataci\u00f3n telef\u00f3nica de los productos o servicios a los que se refiere el p\u00e1rrafo anterior, la informaci\u00f3n podr\u00e1 realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar.<\/p>\n
Art\u00edculo 43. Responsabilidad.<\/p>\n
1. El acreedor o quien act\u00fae por su cuenta o inter\u00e9s deber\u00e1 asegurarse que concurren todos los requisitos exigidos en los art\u00edculos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero com\u00fan.<\/p>\n
2. El acreedor o quien act\u00fae por su cuenta o inter\u00e9s ser\u00e1 responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusi\u00f3n en el fichero, en los t\u00e9rminos previstos en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
Art\u00edculo 44. Ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
1. El ejercicio de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n se rige por lo dispuesto en los cap\u00edtulos I a IV del t\u00edtulo III de este reglamento, sin perjuicio de lo se\u00f1alado en el presente art\u00edculo.<\/p>\n
2. Cuando el interesado ejercite su derecho de acceso en relaci\u00f3n con la inclusi\u00f3n de sus datos en un fichero regulado por el art\u00edculo 29.2 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, se tendr\u00e1n en cuenta las siguientes reglas:<\/p>\n
1.\u00c2\u00aa Si la solicitud se dirigiera al titular del fichero com\u00fan, \u00e9ste deber\u00e1 comunicar al afectado todos los datos relativos al mismo que obren en el fichero.<\/p>\n
En este caso, el titular del fichero com\u00fan deber\u00e1, adem\u00e1s de dar cumplimiento a lo establecido en el presente reglamento, facilitar las evaluaciones y apreciaciones que sobre el afectado se hayan comunicado en los \u00faltimos seis meses y el nombre y direcci\u00f3n de los cesionarios.<\/p>\n
2.\u00c2\u00aa Si la solicitud se dirigiera a cualquier otra entidad participante en el sistema, deber\u00e1 comunicar al afectado todos los datos relativos al mismo a los que ella pueda acceder, as\u00ed como la identidad y direcci\u00f3n del titular del fichero com\u00fan para que pueda completar el ejercicio de su derecho de acceso.<\/p>\n
3. Cuando el interesado ejercite sus derechos de rectificaci\u00f3n o cancelaci\u00f3n en relaci\u00f3n con la inclusi\u00f3n de sus datos en un fichero regulado por el art\u00edculo 29.2 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, se tendr\u00e1n en cuenta las siguientes reglas:<\/p>\n
1.\u00c2\u00aa Si la solicitud se dirige al titular del fichero com\u00fan, \u00e9ste tomar\u00e1 las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que \u00e9sta la resuelva. En el caso de que el responsable del fichero com\u00fan no haya recibido contestaci\u00f3n por parte de la entidad en el plazo de siete d\u00edas, proceder\u00e1 a la rectificaci\u00f3n o cancelaci\u00f3n cautelar de los mismos.<\/p>\n
2.\u00c2\u00aa Si la solicitud se dirige a quien haya facilitado los datos al fichero com\u00fan proceder\u00e1 a la rectificaci\u00f3n o cancelaci\u00f3n de los mismos en sus ficheros y a notificarlo al titular del fichero com\u00fan en el plazo de diez d\u00edas, dando asimismo respuesta al interesado en los t\u00e9rminos previstos en el art\u00edculo 33 de este reglamento.<\/p>\n
3.\u00c2\u00aa Si la solicitud se dirige a otra entidad participante en el sistema, que no hubiera facilitado al fichero com\u00fan los datos, dicha entidad informar\u00e1 al afectado sobre este hecho en el plazo m\u00e1ximo de diez d\u00edas, proporcion\u00e1ndole, adem\u00e1s, la identidad y direcci\u00f3n del titular del fichero com\u00fan para, que en su caso, puedan ejercitar sus derechos ante el mismo.<\/p>\n
CAP\u00c1\u008dTULO II<\/p>\n
Tratamientos para actividades de publicidad y prospecci\u00f3n comercial<\/p>\n
Art\u00edculo 45. Datos susceptibles de tratamiento e informaci\u00f3n al interesado.<\/p>\n
1. Quienes se dediquen a la recopilaci\u00f3n de direcciones, reparto de documentos, publicidad, venta a distancia, prospecci\u00f3n comercial y otras actividades an\u00e1logas, as\u00ed como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, s\u00f3lo podr\u00e1n utilizar nombres y direcciones u otros datos de car\u00e1cter personal cuando los mismos se encuentren en uno de los siguientes casos:<\/p>\n
a) Figuren en alguna de las fuentes accesibles al p\u00fablico a las que se refiere la letra j) del art\u00edculo 3 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre y el art\u00edculo 7 de este reglamento y el interesado no haya manifestado su negativa u oposici\u00f3n a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.<\/p>\n
b) Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, expl\u00edcitas y leg\u00edtimas relacionadas con la actividad de publicidad o prospecci\u00f3n comercial, habi\u00e9ndose informado a los interesados sobre los sectores espec\u00edficos y concretos de actividad respecto de los que podr\u00e1 recibir informaci\u00f3n o publicidad.<\/p>\n
2. Cuando los datos procedan de fuentes accesibles al p\u00fablico y se destinen a la actividad de publicidad o prospecci\u00f3n comercial, deber\u00e1 informarse al interesado en cada comunicaci\u00f3n que se le dirija del origen de los datos y de la identidad del responsable del tratamiento as\u00ed como de los derechos que le asisten, con indicaci\u00f3n de ante qui\u00e9n podr\u00e1n ejercitarse.<\/p>\n
A tal efecto, el interesado deber\u00e1 ser informado de que sus datos han sido obtenidos de fuentes accesibles al p\u00fablico y de la entidad de la que hubieran sido obtenidos.<\/p>\n
Art\u00edculo 46. Tratamiento de datos en campa\u00f1as publicitarias.<\/p>\n
1. Para que una entidad pueda realizar por s\u00ed misma una actividad publicitaria de sus productos o servicios entre sus clientes ser\u00e1 preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el art\u00edculo 6 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
2. En caso de que una entidad contrate o encomiende a terceros la realizaci\u00f3n de una determinada campa\u00f1a publicitaria de sus productos o servicios, encomend\u00e1ndole el tratamiento de determinados datos, se aplicar\u00e1n las siguientes normas:<\/p>\n
a) Cuando los par\u00e1metros identificativos de los destinatarios de la campa\u00f1a sean fijados por la entidad que contrate la campa\u00f1a, \u00e9sta ser\u00e1 responsable del tratamiento de los datos.<\/p>\n
b) Cuando los par\u00e1metros fueran determinados \u00fanicamente por la entidad o entidades contratadas, dichas entidades ser\u00e1n las responsable del tratamiento.<\/p>\n
c) Cuando en la determinaci\u00f3n de los par\u00e1metros intervengan ambas entidades, ser\u00e1n ambas responsables del tratamiento.<\/p>\n
3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realizaci\u00f3n de la campa\u00f1a publicitaria deber\u00e1 adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y en el presente reglamento.<\/p>\n
4. A los efectos previstos en este art\u00edculo, se consideran par\u00e1metros identificativos de los destinatarios las variables utilizadas para identificar el p\u00fablico objetivo o destinatario de una campa\u00f1a o promoci\u00f3n comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma.<\/p>\n
Art\u00edculo 47. Depuraci\u00f3n de datos personales.<\/p>\n
Cuando dos o m\u00e1s responsables por s\u00ed mismos o mediante encargo a terceros pretendieran constatar sin consentimiento de los afectados, con fines de promoci\u00f3n o comercializaci\u00f3n de sus productos o servicios y mediante un tratamiento cruzado de sus ficheros qui\u00e9nes ostentan la condici\u00f3n de clientes de una u otra o de varios de ellos, el tratamiento as\u00ed realizado constituir\u00e1 una cesi\u00f3n o comunicaci\u00f3n de datos.<\/p>\n
Art\u00edculo 48. Ficheros de exclusi\u00f3n del env\u00edo de comunicaciones comerciales.<\/p>\n
Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podr\u00e1n conservar los m\u00ednimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el env\u00edo de publicidad.<\/p>\n
Art\u00edculo 49. Ficheros comunes de exclusi\u00f3n del env\u00edo de comunicaciones comerciales.<\/p>\n
1. Ser\u00e1 posible la creaci\u00f3n de ficheros comunes, de car\u00e1cter general o sectorial, en los que sean objeto de tratamiento los datos de car\u00e1cter personal que resulten necesarios para evitar el env\u00edo de comunicaciones comerciales a los interesados que manifiesten su negativa u oposici\u00f3n a recibir publicidad.<\/p>\n
A tal efecto, los citados ficheros podr\u00e1n contener los m\u00ednimos datos imprescindibles para identificar al afectado.<\/p>\n
2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposici\u00f3n a que sus datos sean tratados con fines de publicidad o prospecci\u00f3n comercial, aqu\u00e9l deber\u00e1 ser informado de la existencia de los ficheros comunes de exclusi\u00f3n generales o sectoriales, as\u00ed como de la identidad de su responsable, su domicilio y la finalidad del tratamiento.<\/p>\n
El afectado podr\u00e1 solicitar su exclusi\u00f3n respecto de un fichero o tratamiento concreto o su inclusi\u00f3n en ficheros comunes de excluidos de car\u00e1cter general o sectorial.<\/p>\n
3. La entidad responsable del fichero com\u00fan podr\u00e1 tratar los datos de los interesados que hubieran manifestado su negativa u oposici\u00f3n al tratamiento de sus datos con fines de publicidad o prospecci\u00f3n comercial, cumpliendo las restantes obligaciones establecidas en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y en el presente Reglamento.<\/p>\n
4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospecci\u00f3n comercial deber\u00e1n previamente consultar los ficheros comunes que pudieran afectar a su actuaci\u00f3n, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposici\u00f3n o negativa a ese tratamiento.<\/p>\n
Art\u00edculo 50. Derechos de acceso, rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
1. El ejercicio de los derechos de acceso, rectificaci\u00f3n y cancelaci\u00f3n en relaci\u00f3n con los tratamientos vinculados a actividades de publicidad y prospecci\u00f3n comercial se someter\u00e1 a lo previsto en los cap\u00edtulos I a IV del t\u00edtulo III de este reglamento.<\/p>\n
2. Si el derecho se ejercitase ante una entidad que hubiese encargado a un tercero la realizaci\u00f3n de una campa\u00f1a publicitaria, aqu\u00e9lla estar\u00e1 obligada, en el plazo de diez d\u00edas, desde la recepci\u00f3n de la comunicaci\u00f3n de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo otorgue al afectado su derecho en el plazo de diez d\u00edas desde la recepci\u00f3n de la comunicaci\u00f3n, dando cuenta de ello al afectado.<\/p>\n
Lo dispuesto en el p\u00e1rrafo anterior se entender\u00e1 sin perjuicio del deber impuesto a la entidad mencionada en el apartado anterior, en todo caso, por el p\u00e1rrafo segundo del art\u00edculo 5.5 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
Art\u00edculo 51. Derecho de oposici\u00f3n.<\/p>\n
1. Los interesados tendr\u00e1n derecho a oponerse, previa petici\u00f3n y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso ser\u00e1n dados de baja del tratamiento, cancel\u00e1ndose las informaciones que sobre ellos figuren en aqu\u00e9l, a su simple solicitud.<\/p>\n
La oposici\u00f3n a la que se refiere el p\u00e1rrafo anterior deber\u00e1 entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos.<\/p>\n
2. A tal efecto, deber\u00e1 concederse al interesado un medio sencillo y gratuito para oponerse al tratamiento. En particular, se considerar\u00e1 cumplido lo dispuesto en este precepto cuando los derechos puedan ejercitarse mediante la llamada a un n\u00famero telef\u00f3nico gratuito o la remisi\u00f3n de un correo electr\u00f3nico.<\/p>\n
3. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier \u00edndole para la atenci\u00f3n a sus clientes o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, deber\u00e1 concederse la posibilidad al afectado de ejercer su oposici\u00f3n a trav\u00e9s de dichos servicios.<\/p>\n
No se considerar\u00e1n conformes a lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar su oposici\u00f3n el env\u00edo de cartas certificadas o env\u00edos semejantes, la utilizaci\u00f3n de servicios de telecomunicaciones que implique una tarificaci\u00f3n adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado.<\/p>\n
En todo caso, el ejercicio por el afectado de sus derechos no podr\u00e1 suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan.<\/p>\n
4. Si el derecho de oposici\u00f3n se ejercitase ante una entidad que hubiera encomendado a un tercero la realizaci\u00f3n de una campa\u00f1a publicitaria, aqu\u00e9lla estar\u00e1 obligada, en el plazo de diez d\u00edas, desde la recepci\u00f3n de la comunicaci\u00f3n de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho del afectado en el plazo de diez d\u00edas desde la recepci\u00f3n de la comunicaci\u00f3n, dando cuenta de ello al afectado.<\/p>\n
Lo dispuesto en el p\u00e1rrafo anterior se entender\u00e1 sin perjuicio del deber impuesto a la entidad mencionada en el apartado anterior, en todo caso, por el p\u00e1rrafo segundo del art\u00edculo 5.5 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
T\u00c1\u008dTULO V<\/p>\n
Obligaciones previas al tratamiento de los datos<\/p>\n
CAP\u00c1\u008dTULO I<\/p>\n
Creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n de ficheros de titularidad p\u00fablica<\/p>\n
Art\u00edculo 52. Disposici\u00f3n o Acuerdo de creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n del fichero.<\/p>\n
1. La creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n de los ficheros de titularidad p\u00fablica s\u00f3lo podr\u00e1 hacerse por medio de disposici\u00f3n general o acuerdo publicados en el \u00c2\u00abBolet\u00edn Oficial del Estado\u00c2\u00bb o diario oficial correspondiente.<\/p>\n
2. En todo caso, la disposici\u00f3n o acuerdo deber\u00e1 dictarse y publicarse con car\u00e1cter previo a la creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n del fichero.<\/p>\n
Art\u00edculo 53. Forma de la disposici\u00f3n o acuerdo.<\/p>\n
1. Cuando la disposici\u00f3n se refiera a los \u00f3rganos de la Administraci\u00f3n General del Estado o a las entidades u organismos vinculados o dependientes de la misma, deber\u00e1 revestir la forma de orden ministerial o resoluci\u00f3n del titular de la entidad u organismo correspondiente.<\/p>\n
2. En el caso de los \u00f3rganos constitucionales del Estado, se estar\u00e1 a lo que establezcan sus normas reguladoras.<\/p>\n
3. En relaci\u00f3n con los ficheros de los que sean responsables las comunidades aut\u00f3nomas, entidades locales y las entidades u organismos vinculados o dependientes de las mismas, las universidades p\u00fablicas, as\u00ed como los \u00f3rganos de las comunidades aut\u00f3nomas con funciones an\u00e1logas a los \u00f3rganos constitucionales del Estado, se estar\u00e1 a su legislaci\u00f3n espec\u00edfica.<\/p>\n
4. La creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n de los ficheros de los que sean responsables las corporaciones de derecho p\u00fablico y que se encuentren relacionados con el ejercicio por aqu\u00e9llas de potestades de derecho p\u00fablico deber\u00e1 efectuarse a trav\u00e9s de acuerdo de sus \u00f3rganos de gobierno, en los t\u00e9rminos que establezcan sus respectivos Estatutos, debiendo ser igualmente objeto de publicaci\u00f3n en el \u00c2\u00abBolet\u00edn Oficial del Estado\u00c2\u00bb o diario oficial correspondiente.<\/p>\n
Art\u00edculo 54. Contenido de la disposici\u00f3n o acuerdo.<\/p>\n
1. La disposici\u00f3n o acuerdo de creaci\u00f3n del fichero deber\u00e1 contener los siguientes extremos:<\/p>\n
a) La identificaci\u00f3n del fichero o tratamiento, indicando su denominaci\u00f3n, as\u00ed como la descripci\u00f3n de su finalidad y usos previstos.<\/p>\n
b) El origen de los datos, indicando el colectivo de personas sobre los que se pretende obtener datos de car\u00e1cter personal o que resulten obligados a suministrarlos, el procedimiento de recogida de los datos y su procedencia.<\/p>\n
c) La estructura b\u00e1sica del fichero mediante la descripci\u00f3n detallada de los datos identificativos, y en su caso, de los datos especialmente protegidos, as\u00ed como de las restantes categor\u00edas de datos de car\u00e1cter personal incluidas en el mismo y el sistema de tratamiento utilizado en su organizaci\u00f3n.<\/p>\n
d) Las comunicaciones de datos previstas, indicando en su caso, los destinatarios o categor\u00edas de destinatarios.<\/p>\n
e) Las transferencias internacionales de datos previstas a terceros pa\u00edses, con indicaci\u00f3n, en su caso, de los pa\u00edses de destino de los datos.<\/p>\n
f) Los \u00f3rganos responsables del fichero.<\/p>\n
g) Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
h) El nivel b\u00e1sico, medio o alto de seguridad que resulte exigible, de acuerdo con lo establecido en el t\u00edtulo VIII del presente reglamento.<\/p>\n
2. La disposici\u00f3n o acuerdo de modificaci\u00f3n del fichero deber\u00e1 indicar las modificaciones producidas en cualquiera de los extremos a los que se refiere el apartado anterior.<\/p>\n
3. En las disposiciones o acuerdos que se dicten para la supresi\u00f3n de los ficheros se establecer\u00e1 el destino que vaya a darse a los datos o, en su caso, las previsiones que se adopten para su destrucci\u00f3n.<\/p>\n
CAP\u00c1\u008dTULO II<\/p>\n
Notificaci\u00f3n e inscripci\u00f3n de los ficheros de titularidad p\u00fablica o privada<\/p>\n
Art\u00edculo 55. Notificaci\u00f3n de ficheros.<\/p>\n
1. Todo fichero de datos de car\u00e1cter personal de titularidad p\u00fablica ser\u00e1 notificado a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos por el \u00f3rgano competente de la Administraci\u00f3n responsable del fichero para su inscripci\u00f3n en el Registro General de Protecci\u00f3n de Datos, en el plazo de treinta d\u00edas desde la publicaci\u00f3n de su norma o acuerdo de creaci\u00f3n en el diario oficial correspondiente.<\/p>\n
2. Los ficheros de datos de car\u00e1cter personal de titularidad privada ser\u00e1n notificados a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos por la persona o entidad privada que pretenda crearlos, con car\u00e1cter previo a su creaci\u00f3n. La notificaci\u00f3n deber\u00e1 indicar la identificaci\u00f3n del responsable del fichero, la identificaci\u00f3n del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organizaci\u00f3n, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categor\u00edas de datos, el servicio o unidad de acceso, la indicaci\u00f3n del nivel de medidas de seguridad b\u00e1sico, medio o alto exigible, y en su caso, la identificaci\u00f3n del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.<\/p>\n
3. Cuando la obligaci\u00f3n de notificar afecte a ficheros sujetos a la competencia de la autoridad de control de una comunidad aut\u00f3noma que haya creado su propio registro de ficheros, la notificaci\u00f3n se realizar\u00e1 a la autoridad auton\u00f3mica competente, que dar\u00e1 traslado de la inscripci\u00f3n al Registro General de Protecci\u00f3n de Datos.<\/p>\n
El Registro General de Protecci\u00f3n de Datos podr\u00e1 solicitar de las autoridades de control de las comunidades aut\u00f3nomas el traslado al que se refiere el p\u00e1rrafo anterior, procediendo, en su defecto, a la inclusi\u00f3n de oficio del fichero en el Registro.<\/p>\n
4. La notificaci\u00f3n se realizar\u00e1 conforme al procedimiento establecido en la secci\u00f3n primera del cap\u00edtulo IV del t\u00edtulo IX del presente reglamento.<\/p>\n
Art\u00edculo 56. Tratamiento de datos en distintos soportes.<\/p>\n
1. La notificaci\u00f3n de un fichero de datos de car\u00e1cter personal es independiente del sistema de tratamiento empleado en su organizaci\u00f3n y del soporte o soportes empleados para el tratamiento de los datos.<\/p>\n
2. Cuando los datos de car\u00e1cter personal objeto de un tratamiento est\u00e9n almacenados en diferentes soportes, automatizados y no automatizados o exista una copia en soporte no automatizado de un fichero automatizado s\u00f3lo ser\u00e1 precisa una sola notificaci\u00f3n, referida a dicho fichero.<\/p>\n
Art\u00edculo 57. Ficheros en los que exista m\u00e1s de un responsable.<\/p>\n
Cuando se tenga previsto crear un fichero del que resulten responsables varias personas o entidades simult\u00e1neamente, cada una de ellas deber\u00e1 notificar, a fin de proceder a su inscripci\u00f3n en el Registro General de Protecci\u00f3n de Datos y, en su caso, en los Registros de Ficheros creados por las autoridades de control de las comunidades aut\u00f3nomas, la creaci\u00f3n del correspondiente fichero.<\/p>\n
Art\u00edculo 58. Notificaci\u00f3n de la modificaci\u00f3n o supresi\u00f3n de ficheros.<\/p>\n
1. La inscripci\u00f3n del fichero deber\u00e1 encontrarse actualizada en todo momento. Cualquier modificaci\u00f3n que afecte al contenido de la inscripci\u00f3n de un fichero deber\u00e1 ser previamente notificada a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o a las autoridades de control auton\u00f3micas competentes, a fin de proceder a su inscripci\u00f3n en el registro correspondiente, conforme a lo dispuesto en el art\u00edculo 55.<\/p>\n
2. Cuando el responsable del fichero decida su supresi\u00f3n, deber\u00e1 notificarla a efectos de que se proceda a la cancelaci\u00f3n de la inscripci\u00f3n en el registro correspondiente.<\/p>\n
3. Trat\u00e1ndose de ficheros de titularidad p\u00fablica, cuando se pretenda la modificaci\u00f3n que afecte a alguno de los requisitos previstos en el art\u00edculo 55 o la supresi\u00f3n del fichero deber\u00e1 haberse adoptado, con car\u00e1cter previo a la notificaci\u00f3n la correspondiente norma o acuerdo en los t\u00e9rminos previstos en el cap\u00edtulo I de este t\u00edtulo.<\/p>\n
Art\u00edculo 59. Modelos y soportes para la notificaci\u00f3n.<\/p>\n
1. La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos publicar\u00e1 mediante la correspondiente Resoluci\u00f3n del Director los modelos o formularios electr\u00f3nicos de notificaci\u00f3n de creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n de ficheros, que permitan su presentaci\u00f3n a trav\u00e9s de medios telem\u00e1ticos o en soporte papel, as\u00ed como, previa consulta de las autoridades de protecci\u00f3n de datos de las comunidades aut\u00f3nomas, los formatos para la comunicaci\u00f3n telem\u00e1tica de ficheros p\u00fablicos por las autoridades de control auton\u00f3micas, de conformidad con lo establecido en los art\u00edculos 55 y 58 del presente reglamento.<\/p>\n
2. Los modelos o formularios electr\u00f3nicos de notificaci\u00f3n se podr\u00e1n obtener gratuitamente en la p\u00e1gina web de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
3. El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1 establecer procedimientos simplificados de notificaci\u00f3n en atenci\u00f3n a las circunstancias que concurran en el tratamiento o el tipo de fichero al que se refiera la notificaci\u00f3n.<\/p>\n
Art\u00edculo 60. Inscripci\u00f3n de los ficheros.<\/p>\n
1. El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, a propuesta del Registro General de Protecci\u00f3n de Datos, dictar\u00e1 resoluci\u00f3n acordando, en su caso, la inscripci\u00f3n, una vez tramitado el procedimiento previsto en el cap\u00edtulo IV del t\u00edtulo IX.<\/p>\n
2. La inscripci\u00f3n contendr\u00e1 el c\u00f3digo asignado por el Registro, la identificaci\u00f3n del responsable del fichero, la identificaci\u00f3n del fichero o tratamiento, la descripci\u00f3n de su finalidad y usos previstos, el sistema de tratamiento empleado en su organizaci\u00f3n, en su caso, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categor\u00edas de datos, el servicio o unidad de acceso, y la indicaci\u00f3n del nivel de medidas de seguridad exigible conforme a lo dispuesto en el art\u00edculo 81.<\/p>\n
Asimismo, se incluir\u00e1n, en su caso, la identificaci\u00f3n del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales.<\/p>\n
En el caso de ficheros de titularidad p\u00fablica tambi\u00e9n se har\u00e1 constar la referencia de la disposici\u00f3n general por la que ha sido creado, y en su caso, modificado.<\/p>\n
3. La inscripci\u00f3n de un fichero en el Registro General de Protecci\u00f3n de Datos, no exime al responsable del cumplimiento del resto de las obligaciones previstas en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y dem\u00e1s disposiciones reglamentarias.<\/p>\n
Art\u00edculo 61. Cancelaci\u00f3n de la inscripci\u00f3n.<\/p>\n
1. Cuando el responsable del tratamiento comunicase, en virtud de lo dispuesto en el art\u00edculo 58 de este reglamento, la supresi\u00f3n del fichero, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, previa la tramitaci\u00f3n del procedimiento establecido en la secci\u00f3n primera del cap\u00edtulo IV del t\u00edtulo IX, dictar\u00e1 resoluci\u00f3n acordando la cancelaci\u00f3n de la inscripci\u00f3n correspondiente al fichero.<\/p>\n
2. El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1, en ejercicio de sus competencias, acordar de oficio la cancelaci\u00f3n de la inscripci\u00f3n de un fichero cuando concurran circunstancias que acrediten la imposibilidad de su existencia, previa la tramitaci\u00f3n del procedimiento establecido en la secci\u00f3n segunda del cap\u00edtulo IV del t\u00edtulo IX de este reglamento.<\/p>\n
Art\u00edculo 62. Rectificaci\u00f3n de errores.<\/p>\n
El Registro General de Protecci\u00f3n de Datos podr\u00e1 rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho o aritm\u00e9ticos que pudieran existir en las inscripciones, de conformidad con lo dispuesto en el art\u00edculo 105 de la Ley 30\/1992, de 26 de noviembre.<\/p>\n
Art\u00edculo 63. Inscripci\u00f3n de oficio de ficheros de titularidad p\u00fablica.<\/p>\n
1. En supuestos excepcionales con el fin de garantizar el derecho a la protecci\u00f3n de datos de los afectados, y sin perjuicio de la obligaci\u00f3n de notificaci\u00f3n, se podr\u00e1 proceder a la inscripci\u00f3n de oficio de un determinado fichero en el Registro General de Protecci\u00f3n de Datos.<\/p>\n
2. Para que lo dispuesto en el apartado anterior resulte de aplicaci\u00f3n, ser\u00e1 requisito indispensable que la correspondiente norma o acuerdo regulador de los ficheros que contengan datos de car\u00e1cter personal haya sido publicado en el correspondiente diario oficial y cumpla los requisitos establecidos en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y el presente reglamento.<\/p>\n
3. El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1, a propuesta del Registro General de Protecci\u00f3n de Datos, acordar la inscripci\u00f3n del fichero de titularidad p\u00fablica en el Registro, notific\u00e1ndose dicho acuerdo al \u00f3rgano responsable del fichero.<\/p>\n
Cuando la inscripci\u00f3n se refiera a ficheros sujetos a la competencia de la autoridad de control de una comunidad aut\u00f3noma que haya creado su propio registro de ficheros, se comunicar\u00e1 a la referida autoridad de control auton\u00f3mica para que proceda, en su caso, a la inscripci\u00f3n de oficio.<\/p>\n
Art\u00edculo 64. Colaboraci\u00f3n con las autoridades de control de las comunidades aut\u00f3nomas.<\/p>\n
El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1 celebrar con los directores de las autoridades de control de las comunidades aut\u00f3nomas los convenios de colaboraci\u00f3n o acuerdos que estime pertinentes, a fin de garantizar la inscripci\u00f3n en el Registro General de Protecci\u00f3n de Datos de los ficheros sometidos a la competencia de dichas autoridades auton\u00f3micas.<\/p>\n
T\u00c1\u008dTULO VI<\/p>\n
Transferencias internacionales de datos<\/p>\n
CAP\u00c1\u008dTULO I<\/p>\n
Disposiciones generales<\/p>\n
Art\u00edculo 65. Cumplimiento de las disposiciones de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
La transferencia internacional de datos no excluye en ning\u00fan caso la aplicaci\u00f3n de las disposiciones contenidas en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y en el presente reglamento.<\/p>\n
Art\u00edculo 66. Autorizaci\u00f3n y notificaci\u00f3n.<\/p>\n
1. Para que la transferencia internacional de datos pueda considerarse conforme a lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y en el presente Reglamento ser\u00e1 necesaria la autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, que se otorgar\u00e1 en caso de que el exportador aporte las garant\u00edas a las que se refiere el art\u00edculo 70 del presente reglamento.<\/p>\n
La autorizaci\u00f3n se otorgar\u00e1 conforme al procedimiento establecido en la secci\u00f3n primera del cap\u00edtulo V del t\u00edtulo IX de este reglamento.<\/p>\n
2. La autorizaci\u00f3n no ser\u00e1 necesaria:<\/p>\n
a) Cuando el Estado en el que se encontrase el importador ofrezca un nivel adecuado de protecci\u00f3n conforme a lo previsto en el cap\u00edtulo II de este t\u00edtulo.<\/p>\n
b) Cuando la transferencia se encuentre en uno de los supuestos contemplados en los apartados a) a j) del art\u00edculo 34 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
3. En todo caso, la transferencia internacional de datos deber\u00e1 ser notificada a fin de proceder a su inscripci\u00f3n en el Registro General de Protecci\u00f3n de Datos, conforme al procedimiento establecido en la secci\u00f3n primera del cap\u00edtulo IV del t\u00edtulo IX del presente reglamento.<\/p>\n
CAP\u00c1\u008dTULO II<\/p>\n
Transferencias a estados que proporcionen un nivel adecuado de protecci\u00f3n<\/p>\n
Art\u00edculo 67. Nivel adecuado de protecci\u00f3n acordado por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
1. No ser\u00e1 precisa autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos a una transferencia internacional de datos cuando las normas aplicables al Estado en que se encontrase el importador ofrezcan dicho nivel adecuado de protecci\u00f3n a juicio del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
El car\u00e1cter adecuado del nivel de protecci\u00f3n que ofrece el pa\u00eds de destino se evaluar\u00e1 atendiendo a todas las circunstancias que concurran en la transferencia o categor\u00eda de transferencia de datos. En particular, se tomar\u00e1 en consideraci\u00f3n la naturaleza de los datos, la finalidad y la duraci\u00f3n del tratamiento o de los tratamientos previstos, el pa\u00eds de origen y el pa\u00eds de destino final, las normas de Derecho, generales o sectoriales, vigentes en el pa\u00eds tercero de que se trate, el contenido de los informes de la Comisi\u00f3n de la Uni\u00f3n Europea, as\u00ed como las normas profesionales y las medidas de seguridad en vigor en dichos pa\u00edses.<\/p>\n
Las resoluciones del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos por las que se acordase que un determinado pa\u00eds proporciona un nivel adecuado de protecci\u00f3n de datos ser\u00e1n publicadas en el \u00c2\u00abBolet\u00edn Oficial del Estado\u00c2\u00bb.<\/p>\n
2. El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos acordar\u00e1 la publicaci\u00f3n de la relaci\u00f3n de pa\u00edses cuyo nivel de protecci\u00f3n haya sido considerado equiparable conforme a lo dispuesto en el apartado anterior.<\/p>\n
Esta lista se publicar\u00e1 y mantendr\u00e1 actualizada asimismo a trav\u00e9s de medios inform\u00e1ticos o telem\u00e1ticos.<\/p>\n
Art\u00edculo 68. Nivel adecuado de protecci\u00f3n declarado por Decisi\u00f3n de la Comisi\u00f3n Europea.<\/p>\n
No ser\u00e1 necesaria la autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos para la realizaci\u00f3n de una transferencia internacional de datos que tuvieran por importador una persona o entidad, p\u00fablica o privada, situada en el territorio de un Estado respecto del que se haya declarado por la Comisi\u00f3n Europea la existencia de un nivel adecuado de protecci\u00f3n.<\/p>\n
Art\u00edculo 69. Suspensi\u00f3n temporal de las transferencias.<\/p>\n
1. En los supuestos previstos en los art\u00edculos precedentes, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, en uso de la potestad que le otorga el art\u00edculo 37.1 f) de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, podr\u00e1 acordar, previa audiencia del exportador, la suspensi\u00f3n temporal de la transferencia de datos hacia un importador ubicado en un tercer Estado del que se haya declarado la existencia de un nivel adecuado de protecci\u00f3n, cuando concurra alguna de las circunstancias siguientes:<\/p>\n
a) Que las autoridades de Protecci\u00f3n de Datos del Estado importador o cualquier otra competente, en caso de no existir las primeras, resuelvan que el importador ha vulnerado las normas de protecci\u00f3n de datos establecidas en su derecho interno.<\/p>\n
b) Que existan indicios racionales de que se est\u00e9n vulnerando las normas o, en su caso, los principios de protecci\u00f3n de datos por la entidad importadora de la transferencia y que las autoridades competentes en el Estado en que se encuentre el importador no han adoptado o no van a adoptar en el futuro las medidas oportunas para resolver el caso en cuesti\u00f3n, habiendo sido advertidas de la situaci\u00f3n por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos. En este caso se podr\u00e1 suspender la transferencia cuando su continuaci\u00f3n pudiera generar un riesgo inminente de grave perjuicio a los afectados.<\/p>\n
2. La suspensi\u00f3n se acordar\u00e1 previa la tramitaci\u00f3n del procedimiento establecido en la secci\u00f3n segunda del cap\u00edtulo V del t\u00edtulo IX del presente reglamento.<\/p>\n
En estos casos, la decisi\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos ser\u00e1 notificada a la Comisi\u00f3n Europea.<\/p>\n
CAP\u00c1\u008dTULO III<\/p>\n
Transferencias a Estados que no proporcionen un nivel adecuado de protecci\u00f3n<\/p>\n
Art\u00edculo 70. Transferencias sujetas a autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
1. Cuando la transferencia tenga por destino un Estado respecto del que no se haya declarado por la Comisi\u00f3n Europea o no se haya considerado por el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos que existe un nivel adecuado de protecci\u00f3n, ser\u00e1 necesario recabar la autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
La autorizaci\u00f3n de la transferencia se tramitar\u00e1 conforme al procedimiento establecido en la secci\u00f3n primera del cap\u00edtulo V del t\u00edtulo IX del presente reglamento.<\/p>\n
2. La autorizaci\u00f3n podr\u00e1 ser otorgada en caso de que el responsable del fichero o tratamiento aporte un contrato escrito, celebrado entre el exportador y el importador, en el que consten las necesarias garant\u00edas de respeto a la protecci\u00f3n de la vida privada de los afectados y a sus derechos y libertades fundamentales y se garantice el ejercicio de sus respectivos derechos.<\/p>\n
A tal efecto, se considerar\u00e1 que establecen las adecuadas garant\u00edas los contratos que se celebren de acuerdo con lo previsto en las Decisiones de la Comisi\u00f3n Europea 2001\/497\/CE, de 15 de Junio de 2001, 2002\/16\/CE, de 27 de diciembre de 2001, y 2004\/915\/CE, de 27 de diciembre de 2004 o de lo que dispongan las Decisiones de la Comisi\u00f3n que den cumplimiento a lo establecido en el art\u00edculo 26.4 de la Directiva 95\/46\/CE.<\/p>\n
3. En el supuesto contemplado en el apartado anterior, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1 denegar o, en uso de la potestad que le otorga el art\u00edculo 37.1 f) de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, suspender temporalmente, previa audiencia del exportador, la transferencia, cuando concurra alguna de las circunstancias siguientes:<\/p>\n
a) Que la situaci\u00f3n de protecci\u00f3n de los derechos fundamentales y libertades p\u00fablicas en el pa\u00eds de destino o su legislaci\u00f3n impidan garantizar el \u00edntegro cumplimiento del contrato y el ejercicio por los afectados de los derechos que el contrato garantiza.<\/p>\n
b) Que la entidad destinataria haya incumplido previamente las garant\u00edas establecidas en cl\u00e1usulas contractuales de este tipo.<\/p>\n
c) Que existan indicios racionales de que las garant\u00edas ofrecidas por el contrato no est\u00e1n siendo o no ser\u00e1n respetadas por el importador.<\/p>\n
d) Que existan indicios racionales de que los mecanismos de aplicaci\u00f3n del contrato no son o no ser\u00e1n efectivos.<\/p>\n
e) Que la transferencia, o su continuaci\u00f3n, en caso de haberse iniciado, pudiera crear una situaci\u00f3n de riesgo de da\u00f1o efectivo a los afectados.<\/p>\n
La suspensi\u00f3n se acordar\u00e1 previa la tramitaci\u00f3n del procedimiento establecido en la secci\u00f3n segunda del cap\u00edtulo V del t\u00edtulo IX del presente reglamento.<\/p>\n
Las resoluciones del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos por las que se deniegue o suspenda una transferencia internacional de datos en virtud de las causas a las que se refiere este apartado ser\u00e1n notificadas a la Comisi\u00f3n de las Comunidades Europeas cuando as\u00ed sea exigible.<\/p>\n
4. Tambi\u00e9n podr\u00e1 otorgarse la autorizaci\u00f3n para la transferencia internacional de datos en el seno de grupos multinacionales de empresas cuando hubiesen sido adoptados por los mismos normas o reglas internas en que consten las necesarias garant\u00edas de respeto a la protecci\u00f3n de la vida privada y el derecho fundamental a la protecci\u00f3n de datos de los afectados y se garantice asimismo el cumplimiento de los principios y el ejercicio de los derechos reconocidos en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y el presente reglamento.<\/p>\n
En este caso, para que proceda la autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos ser\u00e1 preciso que las normas o reglas resulten vinculantes para las empresas del Grupo y exigibles conforme al ordenamiento jur\u00eddico espa\u00f1ol.<\/p>\n
En todo caso, la autorizaci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos implicar\u00e1 la exigibilidad de lo previsto en las normas o reglas internas tanto por la Agencia como por los afectados cuyos datos hubieran sido objeto de tratamiento.<\/p>\n
T\u00c1\u008dTULO VII<\/p>\n
C\u00f3digos tipo<\/p>\n
Art\u00edculo 71. Objeto y naturaleza.<\/p>\n
1. Los c\u00f3digos tipo a los que se refiere el art\u00edculo 32 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, tienen por objeto adecuar lo establecido en la citada Ley Org\u00e1nica y en el presente reglamento a las peculiaridades de los tratamientos efectuados por quienes se adhieren a los mismos.<\/p>\n
A tal efecto, contendr\u00e1n reglas o est\u00e1ndares espec\u00edficos que permitan armonizar los tratamientos de datos efectuados por los adheridos, facilitar el ejercicio de los derechos de los afectados y favorecer el cumplimiento de lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y el presente reglamento.<\/p>\n
2. Los c\u00f3digos tipo tendr\u00e1n el car\u00e1cter de c\u00f3digos deontol\u00f3gicos o de buena pr\u00e1ctica profesional y ser\u00e1n vinculantes para quienes se adhieran a los mismos.<\/p>\n
Art\u00edculo 72. Iniciativa y \u00e1mbito de aplicaci\u00f3n.<\/p>\n
1. Los c\u00f3digos tipo tendr\u00e1n car\u00e1cter voluntario.<\/p>\n
2. Los c\u00f3digos tipo de car\u00e1cter sectorial podr\u00e1n referirse a la totalidad o a parte de los tratamientos llevados a cabo por entidades pertenecientes a un mismo sector, debiendo ser formulados por organizaciones representativas de dicho sector, al menos en su \u00e1mbito territorial de aplicaci\u00f3n, y sin perjuicio de la potestad de dichas entidades de ajustar el c\u00f3digo tipo a sus peculiaridades.<\/p>\n
3. Los c\u00f3digos tipo promovidos por una empresa deber\u00e1n referirse a la totalidad de los tratamientos llevados a cabo por la misma.<\/p>\n
4. Las Administraciones p\u00fablicas y las corporaciones de Derecho P\u00fablico podr\u00e1n adoptar c\u00f3digos tipo de acuerdo con lo establecido en las normas que les sean aplicables.<\/p>\n
Art\u00edculo 73. Contenido.<\/p>\n
1. Los c\u00f3digos tipo deber\u00e1n estar redactados en t\u00e9rminos claros y accesibles.<\/p>\n
2. Los c\u00f3digos tipo deben respetar la normativa vigente e incluir, como m\u00ednimo, con suficiente grado de precisi\u00f3n:<\/p>\n
a) La delimitaci\u00f3n clara y precisa de su \u00e1mbito de aplicaci\u00f3n, las actividades a que el c\u00f3digo se refiere y los tratamientos sometidos al mismo.<\/p>\n
b) Las previsiones espec\u00edficas para la aplicaci\u00f3n de los principios de protecci\u00f3n de datos.<\/p>\n
c) El establecimiento de est\u00e1ndares homog\u00e9neos para el cumplimiento por los adheridos al c\u00f3digo de las obligaciones establecidas en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
d) El establecimiento de procedimientos que faciliten el ejercicio por los afectados de sus derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
e) La determinaci\u00f3n de las cesiones y transferencias internacionales de datos que, en su caso, se prevean, con indicaci\u00f3n de las garant\u00edas que deban adoptarse.<\/p>\n
f) Las acciones formativas en materia de protecci\u00f3n de datos dirigidas a quienes los traten, especialmente en cuanto a su relaci\u00f3n con los afectados.<\/p>\n
g) Los mecanismos de supervisi\u00f3n a trav\u00e9s de los cuales se garantice el cumplimiento por los adheridos de lo establecido en el c\u00f3digo tipo, en los t\u00e9rminos previstos en el art\u00edculo 74 de este reglamento.<\/p>\n
3. En particular, deber\u00e1n contenerse en el c\u00f3digo:<\/p>\n
a) Cl\u00e1usulas tipo para la obtenci\u00f3n del consentimiento de los afectados al tratamiento o cesi\u00f3n de sus datos.<\/p>\n
b) Cl\u00e1usulas tipo para informar a los afectados del tratamiento, cuando los datos no sean obtenidos de los mismos.<\/p>\n
c) Modelos para el ejercicio por los afectados de sus derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n.<\/p>\n
d) Modelos de cl\u00e1usulas para el cumplimiento de los requisitos formales exigibles para la contrataci\u00f3n de un encargado del tratamiento, en su caso.<\/p>\n
Art\u00edculo 74. Compromisos adicionales.<\/p>\n
1. Los c\u00f3digos tipo podr\u00e1n incluir cualquier otro compromiso adicional que asuman los adheridos para un mejor cumplimiento de la legislaci\u00f3n vigente en materia de protecci\u00f3n de datos.<\/p>\n
2. Adem\u00e1s podr\u00e1n contener cualquier otro compromiso que puedan establecer las entidades promotoras y, en particular, sobre:<\/p>\n
a) La adopci\u00f3n de medidas de seguridad adicionales a las exigidas por la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y el presente Reglamento.<\/p>\n
b) La identificaci\u00f3n de las categor\u00edas de cesionarios o importadores de los datos.<\/p>\n
c) Las medidas concretas adoptadas en materia de protecci\u00f3n de los menores o de determinados colectivos de afectados.<\/p>\n
d) El establecimiento de un sello de calidad que identifique a los adheridos al c\u00f3digo.<\/p>\n
Art\u00edculo 75. Garant\u00edas del cumplimiento de los c\u00f3digos tipo.<\/p>\n
1. Los c\u00f3digos tipo deber\u00e1n incluir procedimientos de supervisi\u00f3n independientes para garantizar el cumplimiento de las obligaciones asumidas por los adheridos, y establecer un r\u00e9gimen sancionador adecuado, eficaz y disuasorio.<\/p>\n
2. El procedimiento que se prevea deber\u00e1 garantizar:<\/p>\n
a) La independencia e imparcialidad del \u00f3rgano responsable de la supervisi\u00f3n.<\/p>\n
b) La sencillez, accesibilidad, celeridad y gratuidad para la presentaci\u00f3n de quejas y reclamaciones ante dicho \u00f3rgano por los eventuales incumplimientos del c\u00f3digo tipo.<\/p>\n
c) El principio de contradicci\u00f3n.<\/p>\n
d) Una graduaci\u00f3n de sanciones que permita ajustarlas a la gravedad del incumplimiento. Esas sanciones deber\u00e1n ser disuasorias y podr\u00e1n implicar la suspensi\u00f3n de la adhesi\u00f3n al c\u00f3digo o la expulsi\u00f3n de la entidad adherida. Asimismo, podr\u00e1 establecerse, en su caso, su publicidad.<\/p>\n
e) La notificaci\u00f3n al afectado de la decisi\u00f3n adoptada.<\/p>\n
3. Asimismo, y sin perjuicio de lo dispuesto en el art\u00edculo 19 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, los c\u00f3digos tipo podr\u00e1n contemplar procedimientos para la determinaci\u00f3n de medidas reparadoras en caso de haberse causado un perjuicio a los afectados como consecuencia del incumplimiento del c\u00f3digo tipo.<\/p>\n
4. Lo dispuesto en este art\u00edculo se aplicar\u00e1 sin perjuicio de las competencias de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos y, en su caso, de las autoridades de control de las comunidades aut\u00f3nomas.<\/p>\n
Art\u00edculo 76. Relaci\u00f3n de adheridos.<\/p>\n
El c\u00f3digo tipo deber\u00e1 incorporar como anexo una relaci\u00f3n de adheridos, que deber\u00e1 mantenerse actualizada, a disposici\u00f3n de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Art\u00edculo 77. Dep\u00f3sito y publicidad de los c\u00f3digos tipo.<\/p>\n
1. Para que los c\u00f3digos tipo puedan ser considerados como tales a los efectos previstos en el art\u00edculo 32 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y el presente reglamento, deber\u00e1n ser depositados e inscritos en el Registro General de Protecci\u00f3n de Datos de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o, cuando corresponda, en el registro que fuera creado por las comunidades aut\u00f3nomas, que dar\u00e1n traslado para su inclusi\u00f3n al Registro General de Protecci\u00f3n de Datos.<\/p>\n
2. A tal efecto, los c\u00f3digos tipo deber\u00e1n ser presentados ante la correspondiente autoridad de control, tramit\u00e1ndose su inscripci\u00f3n, en caso de estar sometidos a la decisi\u00f3n de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, conforme al procedimiento establecido en el cap\u00edtulo VI del t\u00edtulo IX de este reglamento.<\/p>\n
3. En todo caso, la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos dar\u00e1 publicidad a los c\u00f3digos tipo inscritos, preferentemente a trav\u00e9s de medios inform\u00e1ticos o telem\u00e1ticos.<\/p>\n
Art\u00edculo 78. Obligaciones posteriores a la inscripci\u00f3n del c\u00f3digo tipo.<\/p>\n
Las entidades promotoras o los \u00f3rganos, personas o entidades que al efecto se designen en el propio c\u00f3digo tipo tendr\u00e1n, una vez el mismo haya sido publicado, las siguientes obligaciones:<\/p>\n
a) Mantener accesible al p\u00fablico la informaci\u00f3n actualizada sobre las entidades promotoras, el contenido del c\u00f3digo tipo, los procedimientos de adhesi\u00f3n y de garant\u00eda de su cumplimiento y la relaci\u00f3n de adheridos a la que se refiere el art\u00edculo anterior.<\/p>\n
Esta informaci\u00f3n deber\u00e1 presentarse de forma concisa y clara y estar permanentemente accesible por medios electr\u00f3nicos.<\/p>\n
b) Remitir a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos una memoria anual sobre las actividades realizadas para difundir el c\u00f3digo tipo y promover la adhesi\u00f3n a \u00e9ste, las actuaciones de verificaci\u00f3n del cumplimiento del c\u00f3digo y sus resultados, las quejas y reclamaciones tramitadas y el curso que se les hubiera dado y cualquier otro aspecto que las entidades promotoras consideren adecuado destacar.<\/p>\n
Cuando se trate de c\u00f3digos tipo inscritos en el registro de una autoridad de control de una comunidad aut\u00f3noma, la remisi\u00f3n se realizar\u00e1 a dicha autoridad, que dar\u00e1 traslado al registro General de Protecci\u00f3n de Datos.<\/p>\n
c) Evaluar peri\u00f3dicamente la eficacia del c\u00f3digo tipo, midiendo el grado de satisfacci\u00f3n de los afectados y, en su caso, actualizar su contenido para adaptarlo a la normativa general o sectorial de protecci\u00f3n de datos existente en cada momento.<\/p>\n
Esta evaluaci\u00f3n deber\u00e1 tener lugar, al menos, cada cuatro a\u00f1os, salvo que sea precisa la adaptaci\u00f3n de los compromisos del c\u00f3digo a la modificaci\u00f3n de la normativa aplicable en un plazo menor.<\/p>\n
d) Favorecer la accesibilidad de todas las personas, con especial atenci\u00f3n a las que tengan alguna discapacidad o de edad avanzada a toda la informaci\u00f3n disponible sobre el c\u00f3digo tipo.<\/p>\n
T\u00c1\u008dTULO VIII<\/p>\n
De las medidas de seguridad en el tratamiento de datos de car\u00e1cter personal<\/p>\n
CAP\u00c1\u008dTULO I<\/p>\n
Disposiciones generales<\/p>\n
Art\u00edculo 79. Alcance.<\/p>\n
Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deber\u00e1n implantar las medidas de seguridad con arreglo a lo dispuesto en este T\u00edtulo, con independencia de cual sea su sistema de tratamiento.<\/p>\n
Art\u00edculo 80. Niveles de seguridad.<\/p>\n
Las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: b\u00e1sico, medio y alto.<\/p>\n
Art\u00edculo 81. Aplicaci\u00f3n de los niveles de seguridad.<\/p>\n
1. Todos los ficheros o tratamientos de datos de car\u00e1cter personal deber\u00e1n adoptar las medidas de seguridad calificadas de nivel b\u00e1sico.<\/p>\n
2. Deber\u00e1n implantarse, adem\u00e1s de las medidas de seguridad de nivel b\u00e1sico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de car\u00e1cter personal:<\/p>\n
a) Los relativos a la comisi\u00f3n de infracciones administrativas o penales.<\/p>\n
b) Aquellos cuyo funcionamiento se rija por el art\u00edculo 29 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
c) Aquellos de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias.<\/p>\n
d) Aqu\u00e9llos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestaci\u00f3n de servicios financieros.<\/p>\n
e) Aqu\u00e9llos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.<\/p>\n
f) Aqu\u00e9llos que contengan un conjunto de datos de car\u00e1cter personal que ofrezcan una definici\u00f3n de las caracter\u00edsticas o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos.<\/p>\n
3. Adem\u00e1s de las medidas de nivel b\u00e1sico y medio, las medidas de nivel alto se aplicar\u00e1n en los siguientes ficheros o tratamientos de datos de car\u00e1cter personal:<\/p>\n
a) Los que se refieran a datos de ideolog\u00eda, afiliaci\u00f3n sindical, religi\u00f3n, creencias, origen racial, salud o vida sexual.<\/p>\n
b) Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas.<\/p>\n
c) Aqu\u00e9llos que contengan datos derivados de actos de violencia de g\u00e9nero.<\/p>\n
4. A los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electr\u00f3nicas disponibles al p\u00fablico o exploten redes p\u00fablicas de comunicaciones electr\u00f3nicas respecto a los datos de tr\u00e1fico y a los datos de localizaci\u00f3n, se aplicar\u00e1n, adem\u00e1s de las medidas de seguridad de nivel b\u00e1sico y medio, la medida de seguridad de nivel alto contenida en el art\u00edculo 103 de este reglamento.<\/p>\n
5. En caso de ficheros o tratamientos de datos de ideolog\u00eda, afiliaci\u00f3n sindical, religi\u00f3n, creencias, origen racial, salud o vida sexual bastar\u00e1 la implantaci\u00f3n de las medidas de seguridad de nivel b\u00e1sico cuando:<\/p>\n
a) Los datos se utilicen con la \u00fanica finalidad de realizar una transferencia dineraria a las entidades de las que los afectados sean asociados o miembros.<\/p>\n
b) Se trate de ficheros o tratamientos no automatizados en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relaci\u00f3n con su finalidad.<\/p>\n
6. Tambi\u00e9n podr\u00e1n implantarse las medidas de seguridad de nivel b\u00e1sico en los ficheros o tratamientos que contengan datos relativos a la salud, referentes exclusivamente al grado de discapacidad o la simple declaraci\u00f3n de la condici\u00f3n de discapacidad o invalidez del afectado, con motivo del cumplimiento de deberes p\u00fablicos.<\/p>\n
7. Las medidas incluidas en cada uno de los niveles descritos anteriormente tienen la condici\u00f3n de m\u00ednimos exigibles, sin perjuicio de las disposiciones legales o reglamentarias espec\u00edficas vigentes que pudieran resultar de aplicaci\u00f3n en cada caso o las que por propia iniciativa adoptase el responsable del fichero.<\/p>\n
8. A los efectos de facilitar el cumplimiento de lo dispuesto en este t\u00edtulo, cuando en un sistema de informaci\u00f3n existan ficheros o tratamientos que en funci\u00f3n de su finalidad o uso concreto, o de la naturaleza de los datos que contengan, requieran la aplicaci\u00f3n de un nivel de medidas de seguridad diferente al del sistema principal, podr\u00e1n segregarse de este \u00faltimo, siendo de aplicaci\u00f3n en cada caso el nivel de medidas de seguridad correspondiente y siempre que puedan delimitarse los datos afectados y los usuarios con acceso a los mismos, y que esto se haga constar en el documento de seguridad.<\/p>\n
Art\u00edculo 82. Encargado del tratamiento.<\/p>\n
1. Cuando el responsable del fichero o tratamiento facilite el acceso a los datos, a los soportes que los contengan o a los recursos del sistema de informaci\u00f3n que los trate, a un encargado de tratamiento que preste sus servicios en los locales del primero deber\u00e1 hacerse constar esta circunstancia en el documento de seguridad de dicho responsable, comprometi\u00e9ndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.<\/p>\n
Cuando dicho acceso sea remoto habi\u00e9ndose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable, este \u00faltimo deber\u00e1 hacer constar esta circunstancia en el documento de seguridad del responsable, comprometi\u00e9ndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.<\/p>\n
2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deber\u00e1 elaborar un documento de seguridad en los t\u00e9rminos exigidos por el art\u00edculo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relaci\u00f3n con dicho tratamiento.<\/p>\n
3. En todo caso, el acceso a los datos por el encargado del tratamiento estar\u00e1 sometido a las medidas de seguridad contempladas en este reglamento.<\/p>\n
Art\u00edculo 83. Prestaciones de servicios sin acceso a datos personales.<\/p>\n
El responsable del fichero o tratamiento adoptar\u00e1 las medidas adecuadas para limitar el acceso del personal a datos personales, a los soportes que los contengan o a los recursos del sistema de informaci\u00f3n, para la realizaci\u00f3n de trabajos que no impliquen el tratamiento de datos personales.<\/p>\n
Cuando se trate de personal ajeno, el contrato de prestaci\u00f3n de servicios recoger\u00e1 expresamente la prohibici\u00f3n de acceder a los datos personales y la obligaci\u00f3n de secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestaci\u00f3n del servicio.<\/p>\n
Art\u00edculo 84. Delegaci\u00f3n de autorizaciones.<\/p>\n
Las autorizaciones que en este t\u00edtulo se atribuyen al responsable del fichero o tratamiento podr\u00e1n ser delegadas en las personas designadas al efecto. En el documento de seguridad deber\u00e1n constar las personas habilitadas para otorgar estas autorizaciones as\u00ed como aquellas en las que recae dicha delegaci\u00f3n. En ning\u00fan caso esta designaci\u00f3n supone una delegaci\u00f3n de la responsabilidad que corresponde al responsable del fichero.<\/p>\n
Art\u00edculo 85. Acceso a datos a trav\u00e9s de redes de comunicaciones.<\/p>\n
Las medidas de seguridad exigibles a los accesos a datos de car\u00e1cter personal a trav\u00e9s de redes de comunicaciones, sean o no p\u00fablicas, deber\u00e1n garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local, conforme a los criterios establecidos en el art\u00edculo 80.<\/p>\n
Art\u00edculo 86. R\u00e9gimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.<\/p>\n
1. Cuando los datos personales se almacenen en dispositivos port\u00e1tiles o se traten fuera de los locales del responsable de fichero o tratamiento, o del encargado del tratamiento ser\u00e1 preciso que exista una autorizaci\u00f3n previa del responsable del fichero o tratamiento, y en todo caso deber\u00e1 garantizarse el nivel de seguridad correspondiente al tipo de fichero tratado.<\/p>\n
2. La autorizaci\u00f3n a la que se refiere el p\u00e1rrafo anterior tendr\u00e1 que constar en el documento de seguridad y podr\u00e1 establecerse para un usuario o para un perfil de usuarios y determinando un periodo de validez para las mismas.<\/p>\n
Art\u00edculo 87. Ficheros temporales o copias de trabajo de documentos.<\/p>\n
1. Aquellos ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realizaci\u00f3n de trabajos temporales o auxiliares deber\u00e1n cumplir el nivel de seguridad que les corresponda conforme a los criterios establecidos en el art\u00edculo 81.<\/p>\n
2. Todo fichero temporal o copia de trabajo as\u00ed creado ser\u00e1 borrado o destruido una vez que haya dejado de ser necesario para los fines que motivaron su creaci\u00f3n.<\/p>\n
CAP\u00c1\u008dTULO II<\/p>\n
Del documento de seguridad<\/p>\n
Art\u00edculo 88. El documento de seguridad.<\/p>\n
1. El responsable del fichero o tratamiento elaborar\u00e1 un documento de seguridad que recoger\u00e1 las medidas de \u00edndole t\u00e9cnica y organizativa acordes a la normativa de seguridad vigente que ser\u00e1 de obligado cumplimiento para el personal con acceso a los sistemas de informaci\u00f3n.<\/p>\n
2. El documento de seguridad podr\u00e1 ser \u00fanico y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. Tambi\u00e9n podr\u00e1n elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos seg\u00fan el sistema de tratamiento utilizado para su organizaci\u00f3n, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendr\u00e1 el car\u00e1cter de documento interno de la organizaci\u00f3n.<\/p>\n
3. El documento deber\u00e1 contener, como m\u00ednimo, los siguientes aspectos:<\/p>\n
a) \u00c1\u0081mbito de aplicaci\u00f3n del documento con especificaci\u00f3n detallada de los recursos protegidos.<\/p>\n
b) Medidas, normas, procedimientos de actuaci\u00f3n, reglas y est\u00e1ndares encaminados a garantizar el nivel de seguridad exigido en este reglamento.<\/p>\n
c) Funciones y obligaciones del personal en relaci\u00f3n con el tratamiento de los datos de car\u00e1cter personal incluidos en los ficheros.<\/p>\n
d) Estructura de los ficheros con datos de car\u00e1cter personal y descripci\u00f3n de los sistemas de informaci\u00f3n que los tratan.<\/p>\n
e) Procedimiento de notificaci\u00f3n, gesti\u00f3n y respuesta ante las incidencias.<\/p>\n
f) Los procedimientos de realizaci\u00f3n de copias de respaldo y de recuperaci\u00f3n de los datos en los ficheros o tratamientos automatizados.<\/p>\n
g) Las medidas que sea necesario adoptar para el transporte de soportes y documentos, as\u00ed como para la destrucci\u00f3n de los documentos y soportes, o en su caso, la reutilizaci\u00f3n de estos \u00faltimos.<\/p>\n
4. En caso de que fueran de aplicaci\u00f3n a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este t\u00edtulo, el documento de seguridad deber\u00e1 contener adem\u00e1s:<\/p>\n
a) La identificaci\u00f3n del responsable o responsables de seguridad.<\/p>\n
b) Los controles peri\u00f3dicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento.<\/p>\n
5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deber\u00e1 contener la identificaci\u00f3n de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, as\u00ed como de la identificaci\u00f3n del responsable y del per\u00edodo de vigencia del encargo.<\/p>\n
6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deber\u00e1 anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podr\u00e1 delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicar\u00e1 de modo expreso en el contrato celebrado al amparo del art\u00edculo 12 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, con especificaci\u00f3n de los ficheros o tratamientos afectados.<\/p>\n
En tal caso, se atender\u00e1 al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento.<\/p>\n
7. El documento de seguridad deber\u00e1 mantenerse en todo momento actualizado y ser\u00e1 revisado siempre que se produzcan cambios relevantes en el sistema de informaci\u00f3n, en el sistema de tratamiento empleado, en su organizaci\u00f3n, en el contenido de la informaci\u00f3n incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles peri\u00f3dicos realizados. En todo caso, se entender\u00e1 que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas.<\/p>\n
8. El contenido del documento de seguridad deber\u00e1 adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de car\u00e1cter personal.<\/p>\n
CAP\u00c1\u008dTULO III<\/p>\n
Medidas de seguridad aplicables a ficheros y tratamientos automatizados<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Medidas de seguridad de nivel b\u00e1sico<\/p>\n
Art\u00edculo 89. Funciones y obligaciones del personal.<\/p>\n
1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de car\u00e1cter personal y a los sistemas de informaci\u00f3n estar\u00e1n claramente definidas y documentadas en el documento de seguridad.<\/p>\n
Tambi\u00e9n se definir\u00e1n las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.<\/p>\n
2. El responsable del fichero o tratamiento adoptar\u00e1 las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones as\u00ed como las consecuencias en que pudiera incurrir en caso de incumplimiento.<\/p>\n
Art\u00edculo 90. Registro de incidencias.<\/p>\n
Deber\u00e1 existir un procedimiento de notificaci\u00f3n y gesti\u00f3n de las incidencias que afecten a los datos de car\u00e1cter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificaci\u00f3n, a qui\u00e9n se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.<\/p>\n
Art\u00edculo 91. Control de acceso.<\/p>\n
1. Los usuarios tendr\u00e1n acceso \u00fanicamente a aquellos recursos que precisen para el desarrollo de sus funciones.<\/p>\n
2. El responsable del fichero se encargar\u00e1 de que exista una relaci\u00f3n actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.<\/p>\n
3. El responsable del fichero establecer\u00e1 mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.<\/p>\n
4. Exclusivamente el personal autorizado para ello en el documento de seguridad podr\u00e1 conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.<\/p>\n
5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deber\u00e1 estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.<\/p>\n
Art\u00edculo 92. Gesti\u00f3n de soportes y documentos.<\/p>\n
1. Los soportes y documentos que contengan datos de car\u00e1cter personal deber\u00e1n permitir identificar el tipo de informaci\u00f3n que contienen, ser inventariados y solo deber\u00e1n ser accesibles por el personal autorizado para ello en el documento de seguridad.<\/p>\n
Se except\u00faan estas obligaciones cuando las caracter\u00edsticas f\u00edsicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad.<\/p>\n
2. La salida de soportes y documentos que contengan datos de car\u00e1cter personal, incluidos los comprendidos y\/o anejos a un correo electr\u00f3nico, fuera de los locales bajo el control del responsable del fichero o tratamiento deber\u00e1 ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad.<\/p>\n
3. En el traslado de la documentaci\u00f3n se adoptar\u00e1n las medidas dirigidas a evitar la sustracci\u00f3n, p\u00e9rdida o acceso indebido a la informaci\u00f3n durante su transporte.<\/p>\n
4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de car\u00e1cter personal deber\u00e1 procederse a su destrucci\u00f3n o borrado, mediante la adopci\u00f3n de medidas dirigidas a evitar el acceso a la informaci\u00f3n contenida en el mismo o su recuperaci\u00f3n posterior.<\/p>\n
5. La identificaci\u00f3n de los soportes que contengan datos de car\u00e1cter personal que la organizaci\u00f3n considerase especialmente sensibles se podr\u00e1 realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificaci\u00f3n para el resto de personas.<\/p>\n
Art\u00edculo 93. Identificaci\u00f3n y autenticaci\u00f3n.<\/p>\n
1. El responsable del fichero o tratamiento deber\u00e1 adoptar las medidas que garanticen la correcta identificaci\u00f3n y autenticaci\u00f3n de los usuarios.<\/p>\n
2. El responsable del fichero o tratamiento establecer\u00e1 un mecanismo que permita la identificaci\u00f3n de forma inequ\u00edvoca y personalizada de todo aquel usuario que intente acceder al sistema de informaci\u00f3n y la verificaci\u00f3n de que est\u00e1 autorizado.<\/p>\n
3. Cuando el mecanismo de autenticaci\u00f3n se base en la existencia de contrase\u00f1as existir\u00e1 un procedimiento de asignaci\u00f3n, distribuci\u00f3n y almacenamiento que garantice su confidencialidad e integridad.<\/p>\n
4. El documento de seguridad establecer\u00e1 la periodicidad, que en ning\u00fan caso ser\u00e1 superior a un a\u00f1o, con la que tienen que ser cambiadas las contrase\u00f1as que, mientras est\u00e9n vigentes, se almacenar\u00e1n de forma ininteligible.<\/p>\n
Art\u00edculo 94. Copias de respaldo y recuperaci\u00f3n.<\/p>\n
1. Deber\u00e1n establecerse procedimientos de actuaci\u00f3n para la realizaci\u00f3n como m\u00ednimo semanal de copias de respaldo, salvo que en dicho per\u00edodo no se hubiera producido ninguna actualizaci\u00f3n de los datos.<\/p>\n
2. Asimismo, se establecer\u00e1n procedimientos para la recuperaci\u00f3n de los datos que garanticen en todo momento su reconstrucci\u00f3n en el estado en que se encontraban al tiempo de producirse la p\u00e9rdida o destrucci\u00f3n.<\/p>\n
\u00c1\u0161nicamente, en el caso de que la p\u00e9rdida o destrucci\u00f3n afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentaci\u00f3n permita alcanzar el objetivo al que se refiere el p\u00e1rrafo anterior, se deber\u00e1 proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad.<\/p>\n
3. El responsable del fichero se encargar\u00e1 de verificar cada seis meses la correcta definici\u00f3n, funcionamiento y aplicaci\u00f3n de los procedimientos de realizaci\u00f3n de copias de respaldo y de recuperaci\u00f3n de los datos.<\/p>\n
4. Las pruebas anteriores a la implantaci\u00f3n o modificaci\u00f3n de los sistemas de informaci\u00f3n que traten ficheros con datos de car\u00e1cter personal no se realizar\u00e1n con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realizaci\u00f3n en el documento de seguridad.<\/p>\n
Si est\u00e1 previsto realizar pruebas con datos reales, previamente deber\u00e1 haberse realizado una copia de seguridad.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Medidas de seguridad de nivel medio<\/p>\n
Art\u00edculo 95. Responsable de seguridad.<\/p>\n
En el documento de seguridad deber\u00e1n designarse uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el mismo. Esta designaci\u00f3n puede ser \u00fanica para todos los ficheros o tratamientos de datos de car\u00e1cter personal o diferenciada seg\u00fan los sistemas de tratamiento utilizados, circunstancia que deber\u00e1 hacerse constar claramente en el documento de seguridad.<\/p>\n
En ning\u00fan caso esta designaci\u00f3n supone una exoneraci\u00f3n de la responsabilidad que corresponde al responsable del fichero o al encargado del tratamiento de acuerdo con este reglamento.<\/p>\n
Art\u00edculo 96. Auditor\u00eda.<\/p>\n
1. A partir del nivel medio los sistemas de informaci\u00f3n e instalaciones de tratamiento y almacenamiento de datos se someter\u00e1n, al menos cada dos a\u00f1os, a una auditor\u00eda interna o externa que verifique el cumplimiento del presente t\u00edtulo.<\/p>\n
Con car\u00e1cter extraordinario deber\u00e1 realizarse dicha auditor\u00eda siempre que se realicen modificaciones sustanciales en el sistema de informaci\u00f3n que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas con el objeto de verificar la adaptaci\u00f3n, adecuaci\u00f3n y eficacia de las mismas. Esta auditor\u00eda inicia el c\u00f3mputo de dos a\u00f1os se\u00f1alado en el p\u00e1rrafo anterior.<\/p>\n
2. El informe de auditor\u00eda deber\u00e1 dictaminar sobre la adecuaci\u00f3n de las medidas y controles a la Ley y su desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deber\u00e1, igualmente, incluir los datos, hechos y observaciones en que se basen los dict\u00e1menes alcanzados y las recomendaciones propuestas.<\/p>\n
3. Los informes de auditor\u00eda ser\u00e1n analizados por el responsable de seguridad competente, que elevar\u00e1 las conclusiones al responsable del fichero o tratamiento para que adopte las medidas correctoras adecuadas y quedar\u00e1n a disposici\u00f3n de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o, en su caso, de las autoridades de control de las comunidades aut\u00f3nomas.<\/p>\n
Art\u00edculo 97. Gesti\u00f3n de soportes y documentos.<\/p>\n
1. Deber\u00e1 establecerse un sistema de registro de entrada de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el emisor, el n\u00famero de documentos o soportes incluidos en el env\u00edo, el tipo de informaci\u00f3n que contienen, la forma de env\u00edo y la persona responsable de la recepci\u00f3n que deber\u00e1 estar debidamente autorizada.<\/p>\n
2. Igualmente, se dispondr\u00e1 de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el n\u00famero de documentos o soportes incluidos en el env\u00edo, el tipo de informaci\u00f3n que contienen, la forma de env\u00edo y la persona responsable de la entrega que deber\u00e1 estar debidamente autorizada.<\/p>\n
Art\u00edculo 98. Identificaci\u00f3n y autenticaci\u00f3n.<\/p>\n
El responsable del fichero o tratamiento establecer\u00e1 un mecanismo que limite la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de informaci\u00f3n.<\/p>\n
Art\u00edculo 99. Control de acceso f\u00edsico.<\/p>\n
Exclusivamente el personal autorizado en el documento de seguridad podr\u00e1 tener acceso a los lugares donde se hallen instalados los equipos f\u00edsicos que den soporte a los sistemas de informaci\u00f3n.<\/p>\n
Art\u00edculo 100. Registro de incidencias.<\/p>\n
1. En el registro regulado en el art\u00edculo 90 deber\u00e1n consignarse, adem\u00e1s, los procedimientos realizados de recuperaci\u00f3n de los datos, indicando la persona que ejecut\u00f3 el proceso, los datos restaurados y, en su caso, qu\u00e9 datos ha sido necesario grabar manualmente en el proceso de recuperaci\u00f3n.<\/p>\n
2. Ser\u00e1 necesaria la autorizaci\u00f3n del responsable del fichero para la ejecuci\u00f3n de los procedimientos de recuperaci\u00f3n de los datos.<\/p>\n
Secci\u00f3n 3.\u00c2\u00aa Medidas de seguridad de nivel alto<\/p>\n
Art\u00edculo 101. Gesti\u00f3n y distribuci\u00f3n de soportes.<\/p>\n
1. La identificaci\u00f3n de los soportes se deber\u00e1 realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificaci\u00f3n para el resto de personas.<\/p>\n
2. La distribuci\u00f3n de los soportes que contengan datos de car\u00e1cter personal se realizar\u00e1 cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha informaci\u00f3n no sea accesible o manipulada durante su transporte.<\/p>\n
Asimismo, se cifrar\u00e1n los datos que contengan los dispositivos port\u00e1tiles cuando \u00e9stos se encuentren fuera de las instalaciones que est\u00e1n bajo el control del responsable del fichero.<\/p>\n
3. Deber\u00e1 evitarse el tratamiento de datos de car\u00e1cter personal en dispositivos port\u00e1tiles que no permitan su cifrado. En caso de que sea estrictamente necesario se har\u00e1 constar motivadamente en el documento de seguridad y se adoptar\u00e1n medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos.<\/p>\n
Art\u00edculo 102. Copias de respaldo y recuperaci\u00f3n.<\/p>\n
Deber\u00e1 conservarse una copia de respaldo de los datos y de los procedimientos de recuperaci\u00f3n de los mismos en un lugar diferente de aquel en que se encuentren los equipos inform\u00e1ticos que los tratan, que deber\u00e1 cumplir en todo caso las medidas de seguridad exigidas en este t\u00edtulo, o utilizando elementos que garanticen la integridad y recuperaci\u00f3n de la informaci\u00f3n, de forma que sea posible su recuperaci\u00f3n.<\/p>\n
Art\u00edculo 103. Registro de accesos.<\/p>\n
1. De cada intento de acceso se guardar\u00e1n, como m\u00ednimo, la identificaci\u00f3n del usuario, la fecha y hora en que se realiz\u00f3, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.<\/p>\n
2. En el caso de que el acceso haya sido autorizado, ser\u00e1 preciso guardar la informaci\u00f3n que permita identificar el registro accedido.<\/p>\n
3. Los mecanismos que permiten el registro de accesos estar\u00e1n bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivaci\u00f3n ni la manipulaci\u00f3n de los mismos.<\/p>\n
4. El per\u00edodo m\u00ednimo de conservaci\u00f3n de los datos registrados ser\u00e1 de dos a\u00f1os.<\/p>\n
5. El responsable de seguridad se encargar\u00e1 de revisar al menos una vez al mes la informaci\u00f3n de control registrada y elaborar\u00e1 un informe de las revisiones realizadas y los problemas detectados.<\/p>\n
6. No ser\u00e1 necesario el registro de accesos definido en este art\u00edculo en caso de que concurran las siguientes circunstancias:<\/p>\n
a) Que el responsable del fichero o del tratamiento sea una persona f\u00edsica.<\/p>\n
b) Que el responsable del fichero o del tratamiento garantice que \u00fanicamente \u00e9l tiene acceso y trata los datos personales.<\/p>\n
La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deber\u00e1 hacerse constar expresamente en el documento de seguridad.<\/p>\n
Art\u00edculo 104. Telecomunicaciones.<\/p>\n
Cuando, conforme al art\u00edculo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisi\u00f3n de datos de car\u00e1cter personal a trav\u00e9s de redes p\u00fablicas o redes inal\u00e1mbricas de comunicaciones electr\u00f3nicas se realizar\u00e1 cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la informaci\u00f3n no sea inteligible ni manipulada por terceros.<\/p>\n
CAP\u00c1\u008dTULO IV<\/p>\n
Medidas de seguridad aplicables a los ficheros y tratamientos no automatizados<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Medidas de seguridad de nivel b\u00e1sico<\/p>\n
Art\u00edculo 105. Obligaciones comunes.<\/p>\n
1. Adem\u00e1s de lo dispuesto en el presente cap\u00edtulo, a los ficheros no automatizados les ser\u00e1 de aplicaci\u00f3n lo dispuesto en los cap\u00edtulos I y II del presente t\u00edtulo en lo relativo a:<\/p>\n
a) Alcance.<\/p>\n
b) Niveles de seguridad.<\/p>\n
c) Encargado del tratamiento.<\/p>\n
d) Prestaciones de servicios sin acceso a datos personales.<\/p>\n
e) Delegaci\u00f3n de autorizaciones.<\/p>\n
f) R\u00e9gimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.<\/p>\n
g) Copias de trabajo de documentos.<\/p>\n
h) Documento de seguridad.<\/p>\n
2. Asimismo se les aplicar\u00e1 lo establecido por la secci\u00f3n primera del cap\u00edtulo III del presente t\u00edtulo en lo relativo a:<\/p>\n
a) Funciones y obligaciones del personal.<\/p>\n
b) Registro de incidencias.<\/p>\n
c) Control de acceso.<\/p>\n
d) Gesti\u00f3n de soportes.<\/p>\n
Art\u00edculo 106. Criterios de archivo.<\/p>\n
El archivo de los soportes o documentos se realizar\u00e1 de acuerdo con los criterios previstos en su respectiva legislaci\u00f3n. Estos criterios deber\u00e1n garantizar la correcta conservaci\u00f3n de los documentos, la localizaci\u00f3n y consulta de la informaci\u00f3n y posibilitar el ejercicio de los derechos de oposici\u00f3n al tratamiento, acceso, rectificaci\u00f3n y cancelaci\u00f3n.<\/p>\n
En aquellos casos en los que no exista norma aplicable, el responsable del fichero deber\u00e1 establecer los criterios y procedimientos de actuaci\u00f3n que deban seguirse para el archivo.<\/p>\n
Art\u00edculo 107. Dispositivos de almacenamiento.<\/p>\n
Los dispositivos de almacenamiento de los documentos que contengan datos de car\u00e1cter personal deber\u00e1n disponer de mecanismos que obstaculicen su apertura. Cuando las caracter\u00edsticas f\u00edsicas de aqu\u00e9llos no permitan adoptar esta medida, el responsable del fichero o tratamiento adoptar\u00e1 medidas que impidan el acceso de personas no autorizadas.<\/p>\n
Art\u00edculo 108. Custodia de los soportes.<\/p>\n
Mientras la documentaci\u00f3n con datos de car\u00e1cter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el art\u00edculo anterior, por estar en proceso de revisi\u00f3n o tramitaci\u00f3n, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deber\u00e1 custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Medidas de seguridad de nivel medio<\/p>\n
Art\u00edculo 109. Responsable de seguridad.<\/p>\n
Se designar\u00e1 uno o varios responsables de seguridad en los t\u00e9rminos y con las funciones previstas en el art\u00edculo 95 de este reglamento.<\/p>\n
Art\u00edculo 110. Auditor\u00eda.<\/p>\n
Los ficheros comprendidos en la presente secci\u00f3n se someter\u00e1n, al menos cada dos a\u00f1os, a una auditor\u00eda interna o externa que verifique el cumplimiento del presente t\u00edtulo.<\/p>\n
Secci\u00f3n 3.\u00c2\u00aa Medidas de seguridad de nivel alto<\/p>\n
Art\u00edculo 111. Almacenamiento de la informaci\u00f3n.<\/p>\n
1. Los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados con datos de car\u00e1cter personal deber\u00e1n encontrarse en \u00e1reas en las que el acceso est\u00e9 protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente. Dichas \u00e1reas deber\u00e1n permanecer cerradas cuando no sea preciso el acceso a los documentos incluidos en el fichero.<\/p>\n
2. Si, atendidas las caracter\u00edsticas de los locales de que dispusiera el responsable del fichero o tratamiento, no fuera posible cumplir lo establecido en el apartado anterior, el responsable adoptar\u00e1 medidas alternativas que, debidamente motivadas, se incluir\u00e1n en el documento de seguridad.<\/p>\n
Art\u00edculo 112. Copia o reproducci\u00f3n.<\/p>\n
1. La generaci\u00f3n de copias o la reproducci\u00f3n de los documentos \u00fanicamente podr\u00e1 ser realizada bajo el control del personal autorizado en el documento de seguridad.<\/p>\n
2. Deber\u00e1 procederse a la destrucci\u00f3n de las copias o reproducciones desechadas de forma que se evite el acceso a la informaci\u00f3n contenida en las mismas o su recuperaci\u00f3n posterior.<\/p>\n
Art\u00edculo 113. Acceso a la documentaci\u00f3n.<\/p>\n
1. El acceso a la documentaci\u00f3n se limitar\u00e1 exclusivamente al personal autorizado.<\/p>\n
2. Se establecer\u00e1n mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por m\u00faltiples usuarios.<\/p>\n
3. El acceso de personas no incluidas en el p\u00e1rrafo anterior deber\u00e1 quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad.<\/p>\n
Art\u00edculo 114. Traslado de documentaci\u00f3n.<\/p>\n
Siempre que se proceda al traslado f\u00edsico de la documentaci\u00f3n contenida en un fichero, deber\u00e1n adoptarse medidas dirigidas a impedir el acceso o manipulaci\u00f3n de la informaci\u00f3n objeto de traslado.<\/p>\n
T\u00c1\u008dTULO IX<\/p>\n
Procedimientos tramitados por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos<\/p>\n
CAP\u00c1\u008dTULO I<\/p>\n
Disposiciones generales<\/p>\n
Art\u00edculo 115. R\u00e9gimen aplicable.<\/p>\n
1. Los procedimientos tramitados por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos se regir\u00e1n por lo dispuesto en el presente t\u00edtulo, y supletoriamente, por la Ley 30\/1992, de 26 de noviembre, de R\u00e9gimen Jur\u00eddico de las Administraciones P\u00fablicas y del Procedimiento Administrativo Com\u00fan.<\/p>\n
2. Espec\u00edficamente ser\u00e1n de aplicaci\u00f3n las normas reguladoras del procedimiento administrativo com\u00fan al r\u00e9gimen de representaci\u00f3n en los citados procedimientos.<\/p>\n
Art\u00edculo 116. Publicidad de las resoluciones.<\/p>\n
1. La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos har\u00e1 p\u00fablicas sus resoluciones, con excepci\u00f3n de las correspondientes a la inscripci\u00f3n de un fichero o tratamiento en el Registro General de Protecci\u00f3n de Datos y de aqu\u00e9llas por las que se resuelva la inscripci\u00f3n en el mismo de los c\u00f3digos tipo, siempre que se refieran a procedimientos que se hubieran iniciado con posterioridad al 1 de enero de 2004, o correspondan al archivo de actuaciones inspectoras incoadas a partir de dicha fecha.<\/p>\n
2. La publicaci\u00f3n de estas resoluciones se realizar\u00e1 preferentemente mediante su inserci\u00f3n en el sitio web de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, dentro del plazo de un mes a contar desde la fecha de su notificaci\u00f3n a los interesados.<\/p>\n
3. En la notificaci\u00f3n de las resoluciones se informar\u00e1 expresamente a los interesados de la publicidad prevista en el art\u00edculo 37.2 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
4. La publicaci\u00f3n se realizar\u00e1 aplicando los criterios de disociaci\u00f3n de los datos de car\u00e1cter personal que a tal efecto se establezcan mediante Resoluci\u00f3n del Director de la Agencia.<\/p>\n
CAP\u00c1\u008dTULO II<\/p>\n
Procedimiento de tutela de los derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n<\/p>\n
Art\u00edculo 117. Instrucci\u00f3n del procedimiento.<\/p>\n
1. El procedimiento se iniciar\u00e1 a instancia del afectado o afectados, expresando con claridad el contenido de su reclamaci\u00f3n y de los preceptos de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, que se consideran vulnerados.<\/p>\n
2. Recibida la reclamaci\u00f3n en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, se dar\u00e1 traslado de la misma al responsable del fichero, para que, en el plazo de quince d\u00edas, formule las alegaciones que estime pertinentes.<\/p>\n
3. Recibidas las alegaciones o transcurrido el plazo previsto en el apartado anterior, la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, previos los informes, pruebas y otros actos de instrucci\u00f3n pertinentes, incluida la audiencia del afectado y nuevamente del responsable del fichero, resolver\u00e1 sobre la reclamaci\u00f3n formulada.<\/p>\n
Art\u00edculo 118. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
1. El plazo m\u00e1ximo para dictar y notificar resoluci\u00f3n en el procedimiento de tutela de derechos ser\u00e1 de seis meses, a contar desde la fecha de entrada en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos de la reclamaci\u00f3n del afectado o afectados.<\/p>\n
2. Si en dicho plazo no se hubiese dictado y notificado resoluci\u00f3n expresa, el afectado podr\u00e1 considerar estimada su reclamaci\u00f3n por silencio administrativo positivo.<\/p>\n
Art\u00edculo 119. Ejecuci\u00f3n de la resoluci\u00f3n.<\/p>\n
Si la resoluci\u00f3n de tutela fuese estimatoria, se requerir\u00e1 al responsable del fichero para que, en el plazo de diez d\u00edas siguientes a la notificaci\u00f3n, haga efectivo el ejercicio de los derechos objeto de la tutela, debiendo dar cuenta por escrito de dicho cumplimiento a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos en id\u00e9ntico plazo.<\/p>\n
CAP\u00c1\u008dTULO III<\/p>\n
Procedimientos relativos al ejercicio de la potestad sancionadora<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Disposiciones generales<\/p>\n
Art\u00edculo 120. \u00c1\u0081mbito de aplicaci\u00f3n.<\/p>\n
1. Las disposiciones contenidas en el presente cap\u00edtulo ser\u00e1n de aplicaci\u00f3n a los procedimientos relativos al ejercicio por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos de la potestad sancionadora que le viene atribuida por la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, de Protecci\u00f3n de datos de car\u00e1cter personal, en la Ley 34\/2002, de 11 de julio, de Servicios de la sociedad de la informaci\u00f3n y de comercio electr\u00f3nico, y en la Ley 32\/2003, de 3 de noviembre, General de Telecomunicaciones.<\/p>\n
2. No obstante, las disposiciones previstas en el ar-t\u00edculo 121 y en la secci\u00f3n cuarta de este cap\u00edtulo \u00fanicamente ser\u00e1n aplicables a los procedimientos referidos al ejercicio de la potestad sancionadora prevista en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
Art\u00edculo 121. Inmovilizaci\u00f3n de ficheros.<\/p>\n
1. En el supuesto previsto como infracci\u00f3n muy grave en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, consistente en la utilizaci\u00f3n o cesi\u00f3n il\u00edcita de los datos de car\u00e1cter personal en la que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constituci\u00f3n y las leyes garantizan, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1, en cualquier momento del procedimiento, requerir a los responsables de ficheros o tratamientos de datos de car\u00e1cter personal, tanto de titularidad p\u00fablica como privada, la cesaci\u00f3n en la utilizaci\u00f3n o cesi\u00f3n il\u00edcita de los datos.<\/p>\n
2. El requerimiento deber\u00e1 ser atendido en el plazo improrrogable de tres d\u00edas, durante el cual el responsable del fichero podr\u00e1 formular las alegaciones que tenga por convenientes en orden al levantamiento de la medida.<\/p>\n
3. Si el requerimiento fuera desatendido, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1, mediante resoluci\u00f3n motivada, acordar la inmovilizaci\u00f3n de tales ficheros o tratamientos, a los solos efectos de restaurar los derechos de las personas afectadas.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Actuaciones previas<\/p>\n
Art\u00edculo 122. Iniciaci\u00f3n.<\/p>\n
1. Con anterioridad a la iniciaci\u00f3n del procedimiento sancionador, se podr\u00e1n realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciaci\u00f3n. En especial, estas actuaciones se orientar\u00e1n a determinar, con la mayor precisi\u00f3n posible, los hechos que pudieran justificar la incoaci\u00f3n del procedimiento, identificar la persona u \u00f3rgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.<\/p>\n
2. Las actuaciones previas se llevar\u00e1n a cabo de oficio por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petici\u00f3n razonada de otro \u00f3rgano.<\/p>\n
3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petici\u00f3n razonada de otro \u00f3rgano, la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos acusar\u00e1 recibo de la denuncia o petici\u00f3n, pudiendo solicitar cuanta documentaci\u00f3n se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoaci\u00f3n del procedimiento sancionador.<\/p>\n
4. Estas actuaciones previas tendr\u00e1n una duraci\u00f3n m\u00e1xima de doce meses a contar desde la fecha en la que la denuncia o petici\u00f3n razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos o, en caso de no existir aqu\u00e9llas, desde que el Director de la Agencia acordase la realizaci\u00f3n de dichas actuaciones.<\/p>\n
El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producir\u00e1 la caducidad de las actuaciones previas.<\/p>\n
Art\u00edculo 123. Personal competente para la realizaci\u00f3n de las actuaciones previas.<\/p>\n
1. Las actuaciones previas ser\u00e1n llevadas a cabo por el personal del \u00e1rea de la Inspecci\u00f3n de Datos habilitado para el ejercicio de funciones inspectoras.<\/p>\n
2. En supuestos excepcionales, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1 designar para la realizaci\u00f3n de actuaciones espec\u00edficas a funcionarios de la propia Agencia no habilitados con car\u00e1cter general para el ejercicio de funciones inspectoras o a funcionarios que no presten sus funciones en la Agencia, siempre que re\u00fanan las condiciones de idoneidad y especializaci\u00f3n necesarias para la realizaci\u00f3n de tales actuaciones. En estos casos, la autorizaci\u00f3n indicar\u00e1 expresamente la identificaci\u00f3n del funcionario y las concretas actuaciones previas de inspecci\u00f3n a realizar.<\/p>\n
3. Los funcionarios que ejerzan la inspecci\u00f3n a los que se refieren los dos apartados anteriores tendr\u00e1n la consideraci\u00f3n de autoridad p\u00fablica en el desempe\u00f1o de sus cometidos.<\/p>\n
Estar\u00e1n obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso despu\u00e9s de haber cesado en las mismas.<\/p>\n
Art\u00edculo 124. Obtenci\u00f3n de informaci\u00f3n.<\/p>\n
Los inspectores podr\u00e1n recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podr\u00e1n requerir la exhibici\u00f3n o el env\u00edo de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos f\u00edsicos y l\u00f3gicos, as\u00ed como requerir la ejecuci\u00f3n de tratamientos y programas o procedimientos de gesti\u00f3n y soporte del fichero o ficheros sujetos a investigaci\u00f3n, accediendo a los lugares donde se hallen instalados.<\/p>\n
Art\u00edculo 125. Actuaciones presenciales.<\/p>\n
1. En el desarrollo de las actuaciones previas se podr\u00e1n realizar visitas de inspecci\u00f3n por parte de los inspectores designados, en los locales o sede del inspeccionado, o donde se encuentren ubicados los ficheros, en su caso. A tal efecto, los inspectores habr\u00e1n sido previamente autorizados por el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Las inspecciones podr\u00e1n realizarse en el domicilio del inspeccionado, en la sede o local concreto relacionado con el mismo o en cualquiera de sus locales, incluyendo aqu\u00e9llos en que el tratamiento sea llevado a cabo por un encargado.<\/p>\n
La autorizaci\u00f3n se limitar\u00e1 a indicar la habilitaci\u00f3n del inspector autorizado y la identificaci\u00f3n de la persona u \u00f3rgano inspeccionado.<\/p>\n
2. En el supuesto contemplado en el apartado anterior, las inspecciones concluir\u00e1n con el levantamiento de la correspondiente acta, en la que quedar\u00e1 constancia de las actuaciones practicadas durante la visita o visitas de inspecci\u00f3n.<\/p>\n
3. El acta, que se emitir\u00e1 por duplicado, ser\u00e1 firmada por los inspectores actuantes y por el inspeccionado, que podr\u00e1 hacer constar en la misma las alegaciones o manifestaciones que tenga por conveniente.<\/p>\n
En caso de negativa del inspeccionado a la firma del acta, se har\u00e1 constar expresamente esta circunstancia en la misma. En todo caso, la firma por el inspeccionado del acta no supondr\u00e1 su conformidad, sino tan s\u00f3lo la recepci\u00f3n de la misma.<\/p>\n
Se entregar\u00e1 al inspeccionado uno de los originales del acta de inspecci\u00f3n, incorpor\u00e1ndose el otro a las actuaciones.<\/p>\n
Art\u00edculo 126. Resultado de las actuaciones previas.<\/p>\n
1. Finalizadas las actuaciones previas, \u00e9stas se someter\u00e1n a la decisi\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputaci\u00f3n de infracci\u00f3n alguna, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos dictar\u00e1 resoluci\u00f3n de archivo que se notificar\u00e1 al investigado y al denunciante, en su caso.<\/p>\n
2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputaci\u00f3n de una infracci\u00f3n, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos dictar\u00e1 acuerdo de inicio de procedimiento sancionador o de infracci\u00f3n de las Administraciones p\u00fablicas, que se tramitar\u00e1n conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente cap\u00edtulo.<\/p>\n
Secci\u00f3n 3.\u00c2\u00aa Procedimiento sancionador<\/p>\n
Art\u00edculo 127. Iniciaci\u00f3n del procedimiento.<\/p>\n
Con car\u00e1cter espec\u00edfico el acuerdo de inicio del procedimiento sancionador deber\u00e1 contener:<\/p>\n
a) Identificaci\u00f3n de la persona o personas presuntamente responsables.<\/p>\n
b) Descripci\u00f3n sucinta de los hechos imputados, su posible calificaci\u00f3n y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucci\u00f3n.<\/p>\n
c) Indicaci\u00f3n de que el \u00f3rgano competente para resolver el procedimiento es el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
d) Indicaci\u00f3n al presunto responsable de que puede reconocer voluntariamente su responsabilidad, en cuyo caso se dictar\u00e1 directamente resoluci\u00f3n.<\/p>\n
e) Designaci\u00f3n de instructor y, en su caso, secretario, con expresa indicaci\u00f3n del r\u00e9gimen de recusaci\u00f3n de los mismos.<\/p>\n
f) Indicaci\u00f3n expresa del derecho del responsable a formular alegaciones, a la audiencia en el procedimiento y a proponer las pruebas que estime procedentes.<\/p>\n
g) Medidas de car\u00e1cter provisional que pudieran acordarse, en su caso, conforme a lo establecido en la secci\u00f3n primera del presente cap\u00edtulo.<\/p>\n
Art\u00edculo 128. Plazo m\u00e1ximo para resolver.<\/p>\n
1. El plazo para dictar resoluci\u00f3n ser\u00e1 el que determinen las normas aplicables a cada procedimiento sancionador y se computar\u00e1 desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificaci\u00f3n de la resoluci\u00f3n sancionadora, o se acredite debidamente el intento de notificaci\u00f3n.<\/p>\n
2. El vencimiento del citado plazo m\u00e1ximo, sin que se haya dictada y notificada resoluci\u00f3n expresa, producir\u00e1 la caducidad del procedimiento y el archivo de las actuaciones.<\/p>\n
Secci\u00f3n 4.\u00c2\u00aa Procedimiento de declaraci\u00f3n de infracci\u00f3n de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, por las administraciones p\u00fablicas<\/p>\n
Art\u00edculo 129. Disposici\u00f3n general.<\/p>\n
El procedimiento por el que se declare la existencia de una infracci\u00f3n de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, cometida por las Administraciones p\u00fablicas ser\u00e1 el establecido en la secci\u00f3n tercera de este cap\u00edtulo.<\/p>\n
CAP\u00c1\u008dTULO IV<\/p>\n
Procedimientos relacionados con la inscripci\u00f3n o cancelaci\u00f3n de ficheros<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Procedimiento de inscripci\u00f3n de la creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n de ficheros<\/p>\n
Art\u00edculo 130. Iniciaci\u00f3n del procedimiento.<\/p>\n
1. El procedimiento se iniciar\u00e1 como consecuencia de la notificaci\u00f3n de la creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n del fichero por el interesado o, en su caso, de la comunicaci\u00f3n efectuada por las autoridades de control de las comunidades aut\u00f3nomas, a la que se refiere el presente reglamento.<\/p>\n
2. La notificaci\u00f3n se deber\u00e1 efectuar cumplimentando los modelos o formularios electr\u00f3nicos publicados al efecto por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, en virtud de lo dispuesto en el apartado 1 del art\u00edculo 59 de este reglamento.<\/p>\n
Trat\u00e1ndose de la notificaci\u00f3n de la modificaci\u00f3n o supresi\u00f3n de un fichero, deber\u00e1 indicarse en la misma el c\u00f3digo de inscripci\u00f3n del fichero en el Registro General de Protecci\u00f3n de Datos.<\/p>\n
3. La notificaci\u00f3n se efectuar\u00e1 en soporte electr\u00f3nico, ya mediante comunicaci\u00f3n electr\u00f3nica a trav\u00e9s de Internet mediante firma electr\u00f3nica o en soporte inform\u00e1tico, utilizando al efecto el programa de ayuda para la generaci\u00f3n de notificaciones que la Agencia pondr\u00e1 a disposici\u00f3n de los interesados de forma gratuita.<\/p>\n
Ser\u00e1 igualmente v\u00e1lida la notificaci\u00f3n efectuada en soporte papel cuando para su cumplimentaci\u00f3n hayan sido utilizados los modelos o formularios publicados por la Agencia.<\/p>\n
4. En la notificaci\u00f3n, el responsable del fichero deber\u00e1 declarar un domicilio a efectos de notificaciones en el procedimiento.<\/p>\n
Art\u00edculo 131. Especialidades en la notificaci\u00f3n de ficheros de titularidad p\u00fablica.<\/p>\n
1. Cuando se trate de la notificaci\u00f3n de ficheros de titularidad p\u00fablica, deber\u00e1 acompa\u00f1arse a la notificaci\u00f3n una copia de la norma o acuerdo de creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n del fichero a que hace referencia el ar-t\u00edculo 52 del presente reglamento.<\/p>\n
Cuando el diario oficial en el que se encuentre publicada la citada norma o acuerdo sea accesible a trav\u00e9s de Internet, bastar\u00e1 con indicar en la notificaci\u00f3n la direcci\u00f3n electr\u00f3nica que permita su concreta localizaci\u00f3n.<\/p>\n
2. Recibida la notificaci\u00f3n, si la misma no contuviera la informaci\u00f3n preceptiva o se advirtieran defectos formales, el Registro General de Protecci\u00f3n de Datos requerir\u00e1 al responsable del fichero para que complete o subsane la notificaci\u00f3n. El plazo para la subsanaci\u00f3n o mejora de la solicitud ser\u00e1 de tres meses, en el caso de que se precise la modificaci\u00f3n de la norma o acuerdo de creaci\u00f3n del fichero.<\/p>\n
Art\u00edculo 132. Acuerdo de inscripci\u00f3n o cancelaci\u00f3n.<\/p>\n
Si la notificaci\u00f3n referida a la creaci\u00f3n, modificaci\u00f3n o supresi\u00f3n del fichero contuviera la informaci\u00f3n preceptiva y se cumplieran las restantes exigencias legales, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, a propuesta del Registro General de Protecci\u00f3n de Datos, acordar\u00e1, respectivamente, la inscripci\u00f3n del fichero, asignando al mismo el correspondiente c\u00f3digo de inscripci\u00f3n, la modificaci\u00f3n de la inscripci\u00f3n del fichero o la cancelaci\u00f3n de la inscripci\u00f3n correspondiente.<\/p>\n
Art\u00edculo 133. Improcedencia o denegaci\u00f3n de la inscripci\u00f3n.<\/p>\n
El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, a propuesta del Registro General de Protecci\u00f3n de Datos, dictar\u00e1 resoluci\u00f3n denegando la inscripci\u00f3n, modificaci\u00f3n o cancelaci\u00f3n cuando de los documentos aportados por el responsable del fichero se desprenda que la notificaci\u00f3n no resulta conforme a lo dispuesto en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre.<\/p>\n
La resoluci\u00f3n ser\u00e1 debidamente motivada, con indicaci\u00f3n expresa de las causas que impiden la inscripci\u00f3n, modificaci\u00f3n o cancelaci\u00f3n.<\/p>\n
Art\u00edculo 134. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
1. El plazo m\u00e1ximo para dictar y notificar resoluci\u00f3n acerca de la inscripci\u00f3n, modificaci\u00f3n o cancelaci\u00f3n ser\u00e1 de un mes.<\/p>\n
2. Si en dicho plazo no se hubiese dictado y notificado resoluci\u00f3n expresa, se entender\u00e1 inscrito, modificado o cancelado el fichero a todos los efectos.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Procedimiento de cancelaci\u00f3n de oficio de ficheros inscritos<\/p>\n
Art\u00edculo 135. Iniciaci\u00f3n del procedimiento.<\/p>\n
El procedimiento de cancelaci\u00f3n de oficio de los ficheros inscritos en el Registro General de Protecci\u00f3n de Datos se iniciar\u00e1 siempre de oficio, bien por propia iniciativa o en virtud de denuncia, por acuerdo del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Art\u00edculo 136. Terminaci\u00f3n del expediente.<\/p>\n
La resoluci\u00f3n, previa audiencia del interesado, acordar\u00e1 haber lugar o no a la cancelaci\u00f3n del fichero.<\/p>\n
Si la resoluci\u00f3n acordase la cancelaci\u00f3n del fichero, se dar\u00e1 traslado de la misma al Registro General de Protecci\u00f3n de Datos, para que proceda a la cancelaci\u00f3n.<\/p>\n
CAP\u00c1\u008dTULO V<\/p>\n
Procedimientos relacionados con las transferencias internacionales de datos<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Procedimiento de autorizaci\u00f3n de transferencias internacionales de datos<\/p>\n
Art\u00edculo 137. Iniciaci\u00f3n del procedimiento.<\/p>\n
1. El procedimiento para la obtenci\u00f3n de la autorizaci\u00f3n para las transferencias internacionales de datos a pa\u00edses terceros a las que se refiere el art\u00edculo 33 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y el art\u00edculo 70 de este reglamento se iniciar\u00e1 siempre a solicitud del exportador que pretenda llevar a cabo la transferencia.<\/p>\n
2. En su solicitud, adem\u00e1s de los requisitos legalmente exigidos, el exportador deber\u00e1 consignar, en todo caso:<\/p>\n
a) La identificaci\u00f3n del fichero o ficheros a cuyos datos se refiera la transferencia internacional, con indicaci\u00f3n de su denominaci\u00f3n y c\u00f3digo de inscripci\u00f3n del fichero en el Registro General de Protecci\u00f3n de Datos.<\/p>\n
b) La transferencia o transferencias respecto de las que se solicita la autorizaci\u00f3n, con indicaci\u00f3n de la finalidad que la justifica.<\/p>\n
c) La documentaci\u00f3n que incorpore las garant\u00edas exigibles para la obtenci\u00f3n de la autorizaci\u00f3n as\u00ed como el cumplimiento de los requisitos legales necesarios para la realizaci\u00f3n de la transferencia, en su caso.<\/p>\n
Cuando la autorizaci\u00f3n se fundamente en la existencia de un contrato entre el exportador y el importador de los datos, deber\u00e1 aportarse copia del mismo, acredit\u00e1ndose asimismo la concurrencia de poder suficiente en sus otorgantes.<\/p>\n
Si la autorizaci\u00f3n se pretendiera fundar en lo dispuesto en el apartado 4 del art\u00edculo 70, deber\u00e1n aportarse las normas o reglas adoptadas en relaci\u00f3n con el tratamiento de los datos en el seno del grupo, as\u00ed como la documentaci\u00f3n que acredite su car\u00e1cter vinculante y su eficacia dentro del grupo. Igualmente deber\u00e1 aportarse la documentaci\u00f3n que acredite la posibilidad de que el afectado o la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos puedan exigir la responsabilidad que corresponda en caso de perjuicio del afectado o vulneraci\u00f3n de las normas de protecci\u00f3n de datos por parte de cualquier empresa importadora.<\/p>\n
Art\u00edculo 138. Instrucci\u00f3n del procedimiento.<\/p>\n
1. Cuando el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos acuerde, conforme a lo dispuesto en el art\u00edculo 86.1 de la Ley 30\/1992, de 26 de noviembre, la apertura de un per\u00edodo de informaci\u00f3n p\u00fablica, el plazo para la formulaci\u00f3n de alegaciones ser\u00e1 de diez d\u00edas a contar desde la publicaci\u00f3n en el \u00c2\u00abBolet\u00edn Oficial del Estado\u00c2\u00bb del anuncio previsto en dicha Ley.<\/p>\n
2. No ser\u00e1 posible el acceso a la informaci\u00f3n del expediente en que concurran las circunstancias establecidas en el art\u00edculo 37.5 de la Ley 30\/1992, de 26 de noviembre.<\/p>\n
3. Transcurrido el plazo previsto en el apartado 1, en caso de que se hubieran formulado alegaciones, se dar\u00e1 traslado de las mismas al solicitante de la autorizaci\u00f3n, a fin de que en el plazo de diez d\u00edas alegue lo que estime procedente.<\/p>\n
Art\u00edculo 139. Actos posteriores a la resoluci\u00f3n.<\/p>\n
1. Cuando el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos resuelva autorizar la transferencia internacional de datos, se dar\u00e1 traslado de la resoluci\u00f3n de autorizaci\u00f3n al Registro General de Protecci\u00f3n de Datos, a fin de proceder a su inscripci\u00f3n.<\/p>\n
El Registro General de Protecci\u00f3n de Datos inscribir\u00e1 de oficio la autorizaci\u00f3n de transferencia internacional.<\/p>\n
2. En todo caso, se dar\u00e1 traslado de la resoluci\u00f3n de autorizaci\u00f3n o denegaci\u00f3n de la autorizaci\u00f3n de la transferencia internacional de datos al Ministerio de Justicia, al efecto de que se proceda a su notificaci\u00f3n a la Comisi\u00f3n Europea y a los dem\u00e1s Estados miembros de la Uni\u00f3n Europea de acuerdo a lo previsto en el art\u00edculo 26.3 de la Directiva 95\/46\/CE.<\/p>\n
Art\u00edculo 140. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
1. El plazo m\u00e1ximo para dictar y notificar resoluci\u00f3n ser\u00e1 de tres meses, a contar desde la fecha de entrada en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos de la solicitud.<\/p>\n
2. Si en dicho plazo no se hubiese dictado y notificado resoluci\u00f3n expresa, se entender\u00e1 autorizada la transferencia internacional de datos.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Procedimiento de suspensi\u00f3n temporal de transferencias internacionales de datos<\/p>\n
Art\u00edculo 141. Iniciaci\u00f3n.<\/p>\n
1. En los supuestos contemplados en el art\u00edculo 69 y en el apartado 3 del art\u00edculo 70, el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1 acordar la suspensi\u00f3n temporal de una transferencia internacional de datos.<\/p>\n
2. En tales supuestos, el Director dictar\u00e1 acuerdo de inicio referido a la suspensi\u00f3n temporal de la transferencia. El acuerdo deber\u00e1 ser motivado y fundarse en los supuestos previstos en este reglamento.<\/p>\n
Art\u00edculo 142. Instrucci\u00f3n y resoluci\u00f3n.<\/p>\n
1. Se dar\u00e1 traslado del acuerdo al exportador, a fin de que en el plazo de quince d\u00edas formule lo que a su derecho convenga.<\/p>\n
2. Recibidas las alegaciones o cumplido el plazo se\u00f1alado, el Director dictar\u00e1 resoluci\u00f3n acordando, en su caso, la suspensi\u00f3n temporal de la transferencia internacional de datos.<\/p>\n
Art\u00edculo 143. Actos posteriores a la resoluci\u00f3n.<\/p>\n
1. El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos dar\u00e1 traslado de la resoluci\u00f3n al Registro General de Protecci\u00f3n de Datos, a fin de que la misma se haga constar en el registro.<\/p>\n
El Registro General de Protecci\u00f3n de Datos inscribir\u00e1 de oficio la suspensi\u00f3n temporal de la transferencia internacional.<\/p>\n
2. En todo caso, se dar\u00e1 traslado de la resoluci\u00f3n al Ministerio de Justicia, al efecto de que se proceda a su notificaci\u00f3n a la Comisi\u00f3n Europea y a los dem\u00e1s Estados miembros de la Uni\u00f3n Europea de acuerdo a lo previsto en el art\u00edculo 26.3 de la Directiva 95\/46\/CE.<\/p>\n
Art\u00edculo 144. Levantamiento de la suspensi\u00f3n temporal.<\/p>\n
1. La suspensi\u00f3n se levantar\u00e1 tan pronto como cesen las causas que la hubieran justificado, mediante resoluci\u00f3n del Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos, del que se dar\u00e1 traslado al exportador.<\/p>\n
2. El Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos dar\u00e1 traslado de la resoluci\u00f3n al Registro General de Protecci\u00f3n de Datos, a fin de que la misma se haga constar en el Registro.<\/p>\n
El Registro General de Protecci\u00f3n de Datos har\u00e1 constar de oficio el levantamiento de la suspensi\u00f3n temporal de la transferencia internacional.<\/p>\n
3. El acuerdo ser\u00e1 notificado al exportador y al Ministerio de Justicia, al efecto de que se proceda a su notificaci\u00f3n a la Comisi\u00f3n Europea y a los dem\u00e1s Estados miembros de la Uni\u00f3n Europea de acuerdo a lo previsto en el art\u00edculo 26. 3 de la Directiva 95\/46\/CE.<\/p>\n
CAP\u00c1\u008dTULO VI<\/p>\n
Procedimiento de inscripci\u00f3n de c\u00f3digos tipo<\/p>\n
Art\u00edculo 145. Iniciaci\u00f3n del procedimiento.<\/p>\n
1. El procedimiento para la inscripci\u00f3n en el Registro General de Protecci\u00f3n de Datos de los c\u00f3digos tipo se iniciar\u00e1 siempre a solicitud de la entidad, \u00f3rgano o asociaci\u00f3n promotora del c\u00f3digo tipo.<\/p>\n
2. La solicitud, que deber\u00e1 reunir los requisitos legalmente establecidos, habr\u00e1 de acompa\u00f1arse de los siguientes documentos:<\/p>\n
a) Acreditaci\u00f3n de la representaci\u00f3n que concurra en la persona que presente la solicitud.<\/p>\n
b) Contenido del acuerdo, convenio o decisi\u00f3n por la que se aprueba, en el \u00e1mbito correspondiente el contenido del c\u00f3digo tipo presentado.<\/p>\n
c) En caso de que el c\u00f3digo tipo proceda de un acuerdo sectorial o una decisi\u00f3n de empresa certificaci\u00f3n referida a la adopci\u00f3n del acuerdo y legitimaci\u00f3n del \u00f3rgano que lo adopt\u00f3.<\/p>\n
d) En el supuesto contemplado en la letra anterior, copia de los estatutos de la asociaci\u00f3n, organizaci\u00f3n sectorial o entidad en cuyo marco haya sido aprobado el c\u00f3digo.<\/p>\n
e) En caso de c\u00f3digos tipo presentados por asociaciones u organizaciones de car\u00e1cter sectorial, documentaci\u00f3n relativa a su representatividad en el sector.<\/p>\n
f) En caso de c\u00f3digos tipo basados en decisiones de empresa, descripci\u00f3n de los tratamientos a los que se refiere el c\u00f3digo tipo.<\/p>\n
g) C\u00f3digo tipo sometido a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Art\u00edculo 146. An\u00e1lisis de los aspectos sustantivos del c\u00f3digo tipo.<\/p>\n
1. Durante los treinta d\u00edas siguientes a la notificaci\u00f3n o subsanaci\u00f3n de los defectos el Registro General de Protecci\u00f3n de Datos podr\u00e1 convocar a los solicitantes, a fin de obtener aclaraciones o precisiones relativas al contenido sustantivo del c\u00f3digo tipo.<\/p>\n
2. Transcurrido el plazo se\u00f1alado en el apartado anterior, el Registro General de Protecci\u00f3n de Datos elaborar\u00e1 un informe sobre las caracter\u00edsticas del proyecto de c\u00f3digo tipo.<\/p>\n
3. La documentaci\u00f3n presentada y el informe del Registro ser\u00e1n remitidos al Gabinete Jur\u00eddico, a fin de que por el mismo se informe acerca del cumplimiento de los requisitos establecidos en el T\u00edtulo VII de este Reglamento.<\/p>\n
Art\u00edculo 147. Informaci\u00f3n p\u00fablica.<\/p>\n
1. Cuando el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos acuerde, conforme a lo dispuesto en el art\u00edculo 86.1 de la Ley 30\/1992, de 26 de noviembre, la apertura de un per\u00edodo de informaci\u00f3n p\u00fablica, el plazo para la formulaci\u00f3n de alegaciones ser\u00e1 de diez d\u00edas a contar desde la publicaci\u00f3n en el \u00c2\u00abBolet\u00edn Oficial del Estado\u00c2\u00bb del anuncio previsto en dicha ley.<\/p>\n
2. No ser\u00e1 posible el acceso a la informaci\u00f3n del expediente en que concurran las circunstancias establecidas en el art\u00edculo 37.5 de la Ley 30\/1992, de 26 de noviembre.<\/p>\n
Art\u00edculo 148. Mejora del c\u00f3digo tipo.<\/p>\n
Si durante la tramitaci\u00f3n del procedimiento resultase necesaria la aportaci\u00f3n de nuevos documentos o la modificaci\u00f3n del c\u00f3digo tipo presentado, la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos podr\u00e1 requerir al solicitante, a fin de que en el plazo de treinta d\u00edas introduzca las modificaciones que sean precisas, remitiendo el texto resultante a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
Se declarar\u00e1 la suspensi\u00f3n del procedimiento en tanto el solicitante no d\u00e9 cumplimiento al requerimiento.<\/p>\n
Art\u00edculo 149. Tr\u00e1mite de audiencia.<\/p>\n
En caso de que durante el tr\u00e1mite previsto en el ar-t\u00edculo 148 se hubieran formulado alegaciones, se dar\u00e1 traslado de las mismas al solicitante de la autorizaci\u00f3n, a fin de que en el plazo de diez d\u00edas alegue lo que estime procedente.<\/p>\n
Art\u00edculo 150. Resoluci\u00f3n.<\/p>\n
1. Cumplidos los t\u00e9rminos establecidos en los art\u00edculos precedentes, el Director de la Agencia resolver\u00e1 sobre la procedencia o improcedencia de la inscripci\u00f3n del c\u00f3digo tipo en el Registro General de Protecci\u00f3n de Datos.<\/p>\n
2. Cuando el Director de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos resuelva autorizar la inscripci\u00f3n del c\u00f3digo tipo, se dar\u00e1 traslado de la resoluci\u00f3n al Registro General de Protecci\u00f3n de Datos, a fin de proceder a su inscripci\u00f3n.<\/p>\n
Art\u00edculo 151. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
1. El plazo m\u00e1ximo para dictar y notificar resoluci\u00f3n ser\u00e1 de seis meses, a contar desde la fecha de entrada de la solicitud en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
2. Si en dicho plazo no se hubiese dictado y notificado resoluci\u00f3n expresa, el solicitante podr\u00e1 considerar estimada su solicitud.<\/p>\n
Art\u00edculo 152. Publicaci\u00f3n de los c\u00f3digos tipo por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n
La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos dar\u00e1 publicidad al contenido de los c\u00f3digos tipo inscritos en el Registro General de Protecci\u00f3n de Datos, utilizando para ello, con car\u00e1cter preferente, medios electr\u00f3nicos o telem\u00e1ticos.<\/p>\n
CAP\u00c1\u008dTULO VII<\/p>\n
Otros procedimientos tramitados por la agencia espa\u00f1ola de protecci\u00f3n de datos<\/p>\n
Secci\u00f3n 1.\u00c2\u00aa Procedimiento de exenci\u00f3n del deber de informaci\u00f3n al interesado<\/p>\n
Art\u00edculo 153. Iniciaci\u00f3n del procedimiento.<\/p>\n
1. El procedimiento para obtener de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos la exenci\u00f3n del deber de informar al interesado acerca del tratamiento de sus datos de car\u00e1cter personal cuando resulte imposible o exija esfuerzos desproporcionados, prevista en el apartado 5 del art\u00edculo 5 de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, se iniciar\u00e1 siempre a petici\u00f3n del responsable que pretenda obtener la aplicaci\u00f3n de la exenci\u00f3n.<\/p>\n
2. En el escrito de solicitud, adem\u00e1s de los requisitos recogidos en el art. 70 de la Ley 30\/1992, de 26 de noviembre, el responsable deber\u00e1:<\/p>\n
a) Identificar claramente el tratamiento de datos al que pretende aplicarse la exenci\u00f3n del deber de informar.<\/p>\n
b) Motivar expresamente las causas en que fundamenta la imposibilidad o el car\u00e1cter desproporcionado del esfuerzo que implicar\u00eda el cumplimiento del deber de informar.<\/p>\n
c) Exponer detalladamente las medidas compensatorias que propone realizar en caso de exoneraci\u00f3n del cumplimiento del deber de informar.<\/p>\n
d) Aportar una cl\u00e1usula informativa que, mediante su difusi\u00f3n, en los t\u00e9rminos que se indiquen en la solicitud, permita compensar la exenci\u00f3n del deber de informar.<\/p>\n
Art\u00edculo 154. Propuesta de nuevas medidas compensatorias.<\/p>\n
1. Si la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos considerase insuficientes las medidas compensatorias propuestas por el solicitante, podr\u00e1 acordar la adopci\u00f3n de medidas complementarias o sustitutivas a las propuestas por aqu\u00e9l en su solicitud.<\/p>\n
2. Del acuerdo se dar\u00e1 traslado al solicitante, a fin de que exponga lo que a su derecho convenga en el plazo de quince d\u00edas.<\/p>\n
Art\u00edculo 155. Terminaci\u00f3n del procedimiento.<\/p>\n
Concluidos los tr\u00e1mites previstos en los art\u00edculos precedentes, el Director de la Agencia dictar\u00e1 resoluci\u00f3n, concediendo o denegando la exenci\u00f3n del deber de informar. La resoluci\u00f3n podr\u00e1 imponer la adopci\u00f3n de las medidas complementarias a las que se refiere el art\u00edculo anterior.<\/p>\n
Art\u00edculo 156. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
1. El plazo m\u00e1ximo para dictar y notificar resoluci\u00f3n en el procedimiento ser\u00e1 de seis meses, a contar desde la fecha de entrada en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos de la solicitud del responsable del fichero.<\/p>\n
2. Si en dicho plazo no se hubiese dictado y notificado resoluci\u00f3n expresa, el afectado podr\u00e1 considerar estimada su solicitud por silencio administrativo positivo.<\/p>\n
Secci\u00f3n 2.\u00c2\u00aa Procedimiento para la autorizaci\u00f3n de conservaci\u00f3n de datos para fines hist\u00f3ricos, estad\u00edsticos o cient\u00edficos<\/p>\n
Art\u00edculo 157. Iniciaci\u00f3n del procedimiento.<\/p>\n
1. El procedimiento para obtener de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos la declaraci\u00f3n de la concurrencia en un determinado tratamiento de datos de valores hist\u00f3ricos, cient\u00edficos o estad\u00edsticos, a los efectos previstos en la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, y en el presente Reglamento, se iniciar\u00e1 siempre a petici\u00f3n del responsable que pretenda obtener la declaraci\u00f3n.<\/p>\n
2. En el escrito de solicitud, el responsable deber\u00e1:<\/p>\n
a) Identificar claramente el tratamiento de datos al que pretende aplicarse la excepci\u00f3n.<\/p>\n
b) Motivar expresamente las causas que justificar\u00edan la declaraci\u00f3n.<\/p>\n
c) Exponer detalladamente las medidas que el responsable del fichero se propone implantar para garantizar el derecho de los ciudadanos.<\/p>\n
3. La solicitud deber\u00e1 acompa\u00f1arse de cuantos documentos o pruebas sean necesarios para justificar la existencia de los valores hist\u00f3ricos, cient\u00edficos o estad\u00edsticos que fundamentar\u00edan la declaraci\u00f3n de la Agencia.<\/p>\n
Art\u00edculo 158. Duraci\u00f3n del procedimiento y efectos de la falta de resoluci\u00f3n expresa.<\/p>\n
1. El plazo m\u00e1ximo para dictar y notificar resoluci\u00f3n en el procedimiento ser\u00e1 de tres meses, a contar desde la fecha de entrada en la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos de la solicitud del responsable del fichero.<\/p>\n
2. Si en dicho plazo no se hubiese dictado y notificado resoluci\u00f3n expresa, el afectado podr\u00e1 considerar estimada su solicitud.<\/p>\n
Disposici\u00f3n adicional \u00fanica. Productos de software.<\/p>\n
Los productos de software destinados al tratamiento automatizado de datos personales deber\u00e1n incluir en su descripci\u00f3n t\u00e9cnica el nivel de seguridad, b\u00e1sico, medio o alto, que permitan alcanzar de acuerdo con lo establecido en el t\u00edtulo VIII de este reglamento.<\/p>\n
Disposici\u00f3n final \u00fanica. Aplicaci\u00f3n supletoria.<\/p>\n
En lo no establecido en el cap\u00edtulo III del t\u00edtulo IX ser\u00e1n de aplicaci\u00f3n a los procedimientos sancionadores tramitados por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos las disposiciones contenidas en el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398\/1993, de 4 de agosto.<\/p>\n
An\u00e1lisis
\nREFERENCIAS ANTERIORES<\/p>\n
* DEROGA
\n* REAL DECRETO 1332\/1994, de 20 de junio (Ref. 1994\/14121)
\n* REAL DECRETO 994\/1999, de 11 de junio (Ref. 1999\/13967)
\n* DESARROLLA LEY ORGANICA 15\/1999, de 13 de diciembre (Ref. 1999\/23750)<\/p>\n
NOTAS<\/p>\n
* Entrada en vigor el 19 de abril de 2008<\/p>\n
* Suplemento en Lengua Gallega el 1 de febrero de 2008.<\/p>\n","protected":false},"excerpt":{"rendered":"
REAL DECRETO 1720\/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, de protecci\u00f3n de datos de car\u00e1cter personal.<\/p>\n
DESCARGAR real-decreto-1720-2007<\/p>\n
Contin\u00faa leyendo|Continue reading REAL DECRETO 1720\/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Org\u00e1nica 15\/1999, de 13 de diciembre, de protecci\u00f3n de datos de car\u00e1cter persona<\/a><\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"ngg_post_thumbnail":0,"footnotes":""},"categories":[8],"tags":[541,542,158,156,549,554,562,567,573,579,582,589,82,610,162,623,171,627,355,383,411,637,638,639,651,656,332,666,668,174,673,674,690,691,692,695,257,175,134,698,699,706,708,713,720,721,723,729,73,742,159,760,762,179,172,765,444,333,775,778,780,49,787,790,48,796,803,382,820,124,204,167,843,846,856,119,873,876,880,885,891,195,893,894,896,169,897,900,901,902,912,913,914,916,920,923,157,926,910,938,941,946,160,948,223,53,963,964,969,538,974,980,981,991,993,103],"class_list":["post-569","post","type-post","status-publish","format-standard","hentry","category-legislacion","tag-541","tag-542","tag-academico","tag-acreditan","tag-administracion","tag-agencia","tag-alta","tag-aplicacion","tag-asociacion","tag-autonoma","tag-avanza","tag-base","tag-cambio","tag-carlos","tag-centro","tag-cliente","tag-clientes","tag-com","tag-comunicaciones","tag-comunidad","tag-construccion","tag-contratar","tag-correcto","tag-correo","tag-cultura","tag-defensor","tag-descargar","tag-desempenado","tag-dieran","tag-director","tag-disponga","tag-disposicion","tag-el-tiempo","tag-elaboracion","tag-electronico","tag-epc","tag-eso","tag-espana","tag-espanola","tag-especialidad","tag-estacion","tag-europea","tag-expediente","tag-facil","tag-formacion","tag-formato","tag-fra","tag-fuerte","tag-gestion","tag-gratuito","tag-iese","tag-incidencia","tag-industria","tag-informacion","tag-informaticos","tag-informe","tag-internacional","tag-internet","tag-jet","tag-la-ley","tag-la-sociedad","tag-ley","tag-libre","tag-llamada","tag-lopd","tag-mac","tag-mantenimiento","tag-mayo","tag-ministerio","tag-multinacional","tag-nacional","tag-negocio","tag-ocasion","tag-oficial","tag-orden-ministerial","tag-organizacion","tag-peppoweb","tag-periodo","tag-personal","tag-plan","tag-portando","tag-pp","tag-practica","tag-precio","tag-presentacion","tag-procesos","tag-programa","tag-promocion","tag-proteccion","tag-protecciondedatos","tag-realdecreto","tag-recibir","tag-recibo","tag-reclamaciones","tag-reconocimiento","tag-registro","tag-respuesta","tag-resto","tag-rio","tag-semana","tag-servicios","tag-sistema","tag-sistemas","tag-sitio","tag-sociedad","tag-software","tag-sur","tag-tambien","tag-telecom","tag-telecomunicaciones","tag-tener","tag-tic","tag-tienda","tag-usuario","tag-utilizacion","tag-web","odd"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/posts\/569","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/comments?post=569"}],"version-history":[{"count":0,"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/posts\/569\/revisions"}],"wp:attachment":[{"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/media?parent=569"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/categories?post=569"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/joseperezlozano.com\/index.php\/wp-json\/wp\/v2\/tags?post=569"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}