BOLETIN OFICIAL

DE LAS CORTES GENERALES

CONGRESO DE LOS DIPUTADOS

VI LEGISLATURA

Serie A: 31 de agosto de 1998 Núm. 135-1

PROYECTOS DE LEY

proyecto de ley

121/000135 Orgánica por la que se modifica la Ley Orgánica 5/1992, de 29





de octubre, de regulación del tratamiento automatizado de los datos de

carácter personal.


La Presidencia de la Cámara, en el ejercicio de la delegación conferida

por la Mesa, en su reunión del día 23 de junio de 1998, ha adoptado el

acuerdo que se indica respecto del asunto de referencia:


(121) Proyecto de Ley.


121/000135.


AUTOR: Gobierno.


Proyecto de Ley Orgánica por la que se modifica la Ley Orgánica 5/1992,

de 29 de octubre, de regulación del tratamiento automatizado de los

datos de carácter personal.


Acuerdo:


Encomendar Dictamen, conforme al artículo 109 del Reglamento, a la

Comisión Constitucional.


Asimismo, publicar en el Boletín Oficial de las Cortes Generales,

estableciendo plazo de enmiendas, por un período de quince días hábiles,

que finaliza el día 17 de septiembre de 1998.


En ejecución de dicho acuerdo, se ordena la publicación de conformidad

con lo dispuesto en el artículo 97 del Reglamento de la Cámara.


Palacio del Congreso de los Diputados, 31 de julio

de 1998.-El Presidente del Congreso de los Diputados, Federico

Trillo-Figueroa Martínez-Conde.


proyecto de ley orgánica por la que se modifica la ley orgánica 5/1992,

de 29 de octubre, de regulación del tratamiento automatizado de los

datos de carácter

personal

Exposición de motivos

La presente Ley tiene por objeto la adaptación del Derecho español a la

Directiva 95/46/CE, del Parlamento Europeo y del Consejo, de 24 de

octubre de 1995, relativa a la protección de las personas físicas en lo

que respecta al tratamiento de datos personales y a la libre circulación

de estos datos. Y para ello se procede a introducir en la normativa

española reguladora de la materia, contenida en la Ley Orgánica 5/1992,

de 29 de octubre, las modificaciones que vienen reclamadas por el

contenido de la referida Directiva, a fin de que el conjunto normativo

resultante se adapte y acomode a las exigencias de homogeneidad

dispositiva establecidas por la Unión Europea.


En el momento de promulgarse la Ley Orgánica 5/1992, de 29 de octubre,

que ahora es objeto de modificación, estaba en trámites de discusión y

elaboración la Directiva que se transpone, por lo que los contenidos

normativos de lo que en aquel tiempo era una mera propuesta se tuvieron

en cuenta por el legislador español para dar respuesta a la problemática

derivada de la protección de la intimidad en el tratamiento de datos

personales. Ello significa que la mencionada Ley Orgánica 5/1992, se

ajusta en la gran mayoría de sus previsiones a las disposiciones

contenidas en la Directiva 95/46/CE, siendo necesario únicamente

introducir en aquélla las precisas reformas que den como resultado la

total adecuación entre dicha Ley y la Directiva comunitaria.


Ahora bien, las modificaciones legislativas que para la necesaria

adecuación a la Directiva se introducen en la Ley vigente, no por

aparentemente exiguas carecen de una singular relevancia, pues en

definitiva afectan a aspectos tan importantes como los siguientes: Se

amplía el ámbito de aplicación de la Ley, si bien se mantienen

determinados supuestos en que no es de aplicación el régimen de

protección de datos establecido en la misma; se incrementa la protección

de los afectados, tanto en lo que respecta a su necesaria información en

la obtención de los datos como en la constante presencia de su

consentimiento en el tratamiento y cesión de sus datos personales; se

incorpora el derecho del afectado de oponerse al tratamiento de sus

datos en determinados supuestos; se prevén nuevos supuestos de excepción

en las transferencias internacionales de datos, y se aplican a los

ficheros convencionales o no automatizados las disposiciones de la Ley

reguladora del tratamiento de datos.


Artículo único. Modificación de la Ley Orgánica 5/1992.


Los artículos que a continuación se relacionan de la Ley Orgánica

5/1992, de 29 de octubre, de regulación del tratamiento automatizado de

los datos de carácter personal, quedan modificados en los términos

siguientes:


Uno. En el artículo 1 se sustituye la expresión «tratamiento

automatizado de datos de carácter personal» por «tratamiento de datos de

carácter personal».


Dos. El apartado 2 del artículo 2 queda redactado de la forma siguiente:


«El régimen de protección de los datos de carácter personal que se

establece en la presente Ley Orgánica no será de aplicación:


a) A los ficheros mantenidos por personas físicas en el ejercicio de

actividades exclusivamente personales o domésticas.


b) A los ficheros sometidos a la normativa sobre protección de materias

clasificadas.


c) A los ficheros automatizados cuyo objeto sea el almacenamiento de

los datos contenidos en los informes personales regulados en el artículo

68 de la Ley 17/1989, de 19 de julio, reguladora del Régimen del

Personal Militar Profesional.


d) A los ficheros establecidos para la investigación del terrorismo y

de formas graves de delincuencia organizada.»

Tres. E1 apartado 3 del artículo 2 queda redactado de la forma

siguiente:


«3. Se regirán por sus disposiciones específicas:


a) Los ficheros regulados por la legislación de régimen electoral.


b) Los que sirvan a fines exclusivamente estadísticos y estén amparados

por la Ley 12/1989, de 9 de mayo, de la función estadística pública, sin

perjuicio de lo dispuesto en el artículo 36.»

Cuatro. Se adicionan al artículo 3 las letras g) y h), con el siguiente

contenido:


«g) Encargado del tratamiento: La persona física o jurídica, autoridad

pública, servicio o cualquier otro organismo que, solo o conjuntamente

con otros, trate datos personales por cuenta del responsable del fichero.


h) Consentimiento del afectado: Toda manifestación de voluntad, libre,

específica e informada, mediante la que el afectado consienta el

tratamiento de datos personales que le conciernan.»

Cinco. E1 párrafo primero del apartado 1 del artículo 4 queda redactado

de la forma siguiente:


«Sólo se podrán recoger datos de carácter personal para su tratamiento

automatizado, así como someterlos a dicho tratamiento, cuando tales

datos sean adecuados, pertinentes y no excesivos en relación con el

ámbito y las finalidades determinadas, explícitas y legítimas para las

que se hayan obtenido.»

Seis. El apartado 2 del artículo 4 queda redactado de la forma

siguiente:


«Los datos de carácter personal objeto de tratamiento automatizado no

podrán usarse para finalidades distintas de aquellas para las que los

datos hubieran sido recogidos, salvo que el tratamiento posterior de

éstos lo sea con fines históricos, estadísticos o científicos.»

Siete. El párrafo tercero del apartado 5 del artícu-

lo 4 queda redactado de la forma siguiente:


«Reglamentariamente se determinará el procedimiento por el que, por

excepción, atendidos los valores históricos, estadísticos o científicos

de acuerdo con la legislación específica, se decida el mantenimiento

íntegro de determinados datos.»

Ocho. La letra e) del apartado 1 del artículo 5 queda redactada de la

forma siguiente:


«De la identidad y dirección del responsable del fichero, o, en su caso,

de su representante.


Cuando el responsable del fichero no esté establecido en el territorio

de la Unión Europea y utilice en el tratamiento de datos medios situados

en territorio español, deberá designar, salvo que tales medios se

utilicen con fines de tránsito, un representante en España, sin

perjuicio de las acciones que pudieran emprenderse contra el propio

responsable del tratamiento.»

Nueve. El apartado 3 del artículo 5 queda redactado de la forma

siguiente:


«No será necesaria la información a que se refieren las letras b), c) y

d) del apartado 1 si el contenido de ella se deduce claramente de la

naturaleza de los datos personales que se solicitan o de las

circunstancias en que se recaban.»

Diez. Se adicionan al artículo 5 los siguientes apartados 4 y 5:


«4. Cuando los datos de carácter personal no hayan sido recabados del

afectado, éste deberá ser informado de forma expresa, precisa e

inequívoca, por el responsable del fichero o su representante, dentro de

los tres meses siguientes al momento del registro de los datos, salvo

que ya hubiera sido informado con anterioridad del contenido de los

datos, de su procedencia, así como de lo previsto en las letras a), d) y

e) del apartado 1 del presente artículo.


5. No será de aplicación lo dispuesto en el apartado anterior cuando el

tratamiento de datos esté expresamente previsto en una Ley cuando el

tratamiento tenga fines históricos, estadísticos o científicos, o cuando

la información al afectado resulte imposible o exija esfuerzos

desproporcionados a criterio de la Agencia de Protección de Datos, en

consideración al número de afectados, a la antigüedad de los datos y a

las posibles medidas compensatorias.»

Once. El apartado 1 del artículo 6 queda redactado de la forma

siguiente:


«El tratamiento automatizado de los datos de carácter personal requerirá

el consentimiento inequívoco del afectado, salvo que la Ley disponga

otra cosa.»

Doce. El apartado 2 del artículo 6 queda redactado de la forma

siguiente:


«No será preciso el consentimiento cuando los datos de carácter personal

se recojan para el ejercicio de las funciones propias de las

Administraciones Públicas en el ámbito de sus competencias; cuando se

refieran a personas vinculadas por una relación negocial, una relación

laboral, una relación administrativa o un contrato y sean necesarias

para el mantenimiento de las relaciones o para el cumplimiento del

contrato; cuando el tratamiento de los datos tenga por finalidad

proteger un interés vital del afectado; o cuando los datos figuren en

fuentes accesibles al público y su tratamiento sea necesario para la

satisfacción del interés legítimo perseguido por el responsable del

fichero o por el tercero a quien se comuniquen los datos.»

Trece. Se adiciona un apartado 4 al artículo 6, con el contenido

siguiente:


«4. En los casos en los que no sea necesario el consentimiento del

afectado para el tratamiento de los datos de carácter personal, y

siempre que una Ley no disponga lo contrario, éste podrá oponerse a su

tratamiento cuando existan motivos fundados y legítimos relativos a una

concreta situación personal. En tal supuesto, el responsable del fichero

excluirá del tratamiento los datos relativos al afectado.»

Catorce. El apartado 2 del artículo 7 queda redactado de la forma

siguiente:


«Sólo con el consentimiento expreso y por escrito del afectado podrán

ser objeto de tratamiento automatizado los datos de carácter personal

que revelen la ideología, afiliación sindical, religión y creencias. Se

exceptúan los ficheros mantenidos por los partidos políticos, sindicatos

e iglesias, confesiones y comunidades religiosas, en cuanto a los datos

relativos a sus asociados o miembros, sin perjuicio de que la cesión de

dichos datos precisará siempre el previo consentimiento del afectado.»

Quince. El apartado 4 del artículo 7 queda redactado de la forma

siguiente:


«Quedan prohibidos los ficheros creados con la finalidad exclusiva de

almacenar datos de carácter personal que revelen la ideología,

afiliación sindical, religión,

creencias, origen racial o vida sexual.»

Dieciséis. Se adiciona un apartado 6 al artículo 7, con el siguiente

contenido:


«No obstante lo dispuesto en los apartados anteriores, podrán ser objeto

de tratamiento automatizado los datos de carácter personal a que se

refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento

resulte necesario para la prevención o para el diagnóstico médicos, la

prestación de asistencia sanitaria o tratamientos médicos o la gestión

de servicios sanitarios, siempre que dicho tratamiento de datos se

realice por un profesional sanitario sujeto al secreto profesional o por

otra persona sujeta asimismo a una obligación equivalente de secreto.


También podrán ser objeto de tratamiento automatizado los datos a que se

refiere el párrafo anterior cuando el tratamiento sea necesario para

salvaguardar el interés vital del afectado o de otra persona, en el

supuesto de que el afectado esté física o jurídicamente incapacitado

para dar su consentimiento.»

Diecisiete. En el apartado 1 del artículo 9 se sustituye la expresión

«El responsable del fichero deberá adoptar», por la de «El responsable

del fichero y, en su caso, el encargado del tratamiento, deberá adoptar».


Dieciocho. La letra d) del apartado 2 del artículo 11 queda redactada

de la forma siguiente:


«Cuando la cesión que deba efectuarse tenga por destinatario el Defensor

del Pueblo, el Ministerio Fiscal, los Jueces o Tribunales o el Tribunal

de Cuentas, en el ejercicio de las funciones que tienen atribuidas.»

Diecinueve. Se adiciona un segundo inciso al artículo 12, con el

siguiente contenido:


«En este caso, el afectado tendrá derecho a obtener información del

responsable del fichero sobre la lógica utilizada en los tratamientos de

datos referidos a aquél.»

Veinte. El apartado l del artículo 14 queda redactado de la forma

siguiente:


«El afectado tendrá derecho a solicitar y obtener información de sus

datos de carácter personal incluidos en los ficheros automatizados, así

como sobre el origen de dichos datos.»

Veintiuno. El apartado 2 del artículo 15 queda redactado de la forma

siguiente:


«Serán rectificados y cancelados, en su caso, los datos de carácter

personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley

y en particular cuando tales datos resulten inexactos o incompletos.»

Veintidós. El apartado 1 del artículo 19 queda redactado de la forma

siguiente:


«Los datos de carácter personal recogidos o elaborados por las

Administraciones Públicas para el desempeño de sus atribuciones no serán

cedidos a otras Administraciones Públicas para el ejercicio de

competencias diferentes o de competencias que versen sobre materias

distintas, salvo cuando la cesión hubiere sido prevista por las

disposiciones de creación del fichero o por disposición posterior de

superior rango que regule su uso, o cuando la cesión tenga por objeto el

tratamiento posterior de los datos con fines históricos, estadísticos o

científicos.»

Veintitrés. El apartado 3 del artículo 20 queda redactado de la forma

siguiente:


«La recogida y tratamiento por las Fuerzas y Cuerpos de Seguridad de los

datos a que hacen referencia los apartados 2 y 3 del artículo 7, podrán

realizarse exclusivamente en los supuestos en que sea absolutamente

necesario para los fines de una investigación concreta, sin perjuicio

del control de legalidad de la actuación administrativa o de la

obligación de resolver las pretensiones formuladas en su caso por los

interesados que corresponden a los órganos jurisdiccionales.»

Veinticuatro. En el apartado 1 del artículo 22 se suprime la expresión

«o dificulte gravemente».


Veinticinco. El apartado 1 del artículo 29 queda redactado de la forma

siguiente:


«Quienes se dediquen a la recopilación de direcciones, reparto de

documentos, publicidad o venta directa y otras actividades análogas,

utilizarán listas tratadas automáticamente de nombres y direcciones u

otros datos personales, cuando los mismos hayan sido facilitados por los

propios afectados u obtenidos con su consentimiento o cuando los datos

figuren en fuentes accesibles al público y su tratamiento sea necesario

para la satisfacción del interés legítimo perseguido por el responsable

del fichero o por el tercero a quien se comuniquen los datos.»

Veintiséis. Se adiciona un artículo 30 bis con el siguiente contenido:


«Artículo 30 bis. Tratamientos destinados a la prospección.


En los supuestos de tratamientos de datos de carácter personal

destinados a la prospección, los afectados tendrán derecho a oponerse,

previa petición y sin gastos, al tratamiento de los datos que les

conciernan, así como a ser informados por el responsable del fichero

antes de que los datos se comuniquen por primera vez a terceros o se

usen en nombre de éstos a efectos de prospección, y a que se les ofrezca

expresamente el derecho de oponerse, sin gastos, a dicha comunicación o

utilización.»

Veintisiete. La letra c) del artículo 33 queda redactada de la forma

siguiente:


«Cuando la transferencia sea necesaria para la salvaguarda del interés

vital del afectado.»

Veintiocho. Se adicionan al artículo 33 las letras e), f), g), h), i),

j) y k), con el siguiente contenido:


«e) Cuando el afectado haya dado su consentimiento inequívocamente a la

transferencia prevista.


f) Cuando la transferencia sea necesaria para la ejecución de un

contrato entre el afectado y el responsable del fichero o para la

adopción de medidas precontractuales adoptadas a petición del afectado.


g) Cuando la transferencia sea necesaria para la celebración o

ejecución de un contrato celebrado o por celebrar, en interés del

afectado, por el responsable del fichero y un tercero.


h) Cuando la transferencia sea necesaria o legalmente exigida para la

salvaguarda de un interés público importante. Tendrá esta consideración

la transferencia solicitada por una Administración fiscal o aduanera

para el cumplimiento de sus competencias.


i) Cuando la transferencia sea precisa para el reconocimiento,

ejercicio o defensa de un derecho en un proceso judicial.


j) Cuando la transferencia se efectúe, a petición de persona con

interés legítimo, desde un Registro Público.


k) Cuando la transferencia tenga como destino un Estado miembro de la

Unión Europea.»

Veintinueve. El apartado 1 del artículo 42 queda redactado de la forma

siguiente:


«Los responsables de los ficheros y los encargados de los tratamientos

estarán sujetos al régimen sancionador establecido en la presente Ley.»

Treinta. La disposición final segunda queda redactada de la forma

siguiente:


«Las disposiciones de la presente Ley se aplicarán a los tratamientos no

automatizados de datos de carácter personal contenidos o destinados a

ser contenidos en un fichero. Quedan excluidas a estos efectos las

carpetas que no estén estructuradas.»

DisposiciÓn adicional

Única. Ficheros preexistentes

Los ficheros y tratamientos automatizados que, como consecuencia de las

modificaciones introducidas en la Ley Orgánica 5/1992, de 29 de octubre,

quedan incluidos en el ámbito de aplicación de ésta, deberán ajustarse a

la misma dentro del plazo de tres años, a contar desde la entrada en

vigor de la presente Ley Orgánica. En dicho plazo, los ficheros de

titularidad privada deberán ser comunicados a la Agencia de Protección

de Datos y las Administraciones Públicas, responsables de ficheros de

titularidad pública, deberán aprobar la pertinente disposición de

regulación del fichero o adaptar la existente.


En el supuesto de ficheros y tratamientos no automatizados, su

adecuación a la Ley Orgánica 5/1992, de 29 de octubre, y la obligación

prevista en el párrafo anterior deberá cumplimentarse en el plazo de

doce años a contar desde el 24 de octubre de 1995, sin perjuicio del

ejercicio de los derechos de acceso, rectificación y cancelación por

parte de los afectados.


DISPOSICIONES FINALES

Primera. Carácter de la Ley

Los apartados veintidós, veinticinco, veintiséis y veintinueve del

artículo único y la disposición adicional única tienen carácter de Ley

ordinaria.


Segunda. Entrada en vigor

La presente Ley Orgánica entrará en vigor al mes de su publicación en el

«Boletín Oficial del Estado».