Protección de los datos personales

Resumen de la Normativa Comunitaria (Unión Europea) sobre Protección de los datos personales

Áreas

Estas categorías agrupan y ponen en contexto las iniciativas legislativas y no legislativas, que tratan del mismo tema

Sociedad de la información > Proteccíon de los datos derechos de autor y derechos afines

Protección de los datos personales

Acto

Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos [Ver actos modificativos].

Síntesis

La presente Directiva se aplica a los datos tratados por medios automatizados (base de datos informática de clientes, por ejemplo), así como a los datos contenidos en un fichero no automatizado o que vayan a figurar en él (ficheros en papel tradicionales).

La Directiva no se aplicará al tratamiento de datos:

• efectuado por una persona física en el ejercicio de actividades exclusivamente particulares o domésticas;
• aplicado al ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, tales como la seguridad pública, la defensa o la seguridad del Estado.

La Directiva tiene como objetivo proteger los derechos y las libertades de las personas en lo que respecta al tratamiento de datos personales, estableciendo principios de orientación para determinar la licitud de dicho tratamiento. Dichos principios se refieren a:

• La calidad de los datos: los datos personales serán tratados de manera leal y lícita, y recogidos con fines determinados, explícitos y legítimos. Además, serán exactos y, cuando sea necesario, actualizados.
• La legitimación del tratamiento: el tratamiento de datos personales sólo podrá efectuarse si el interesado ha dado su consentimiento de forma inequívoca o si el tratamiento es necesario para:
  1. la ejecución de un contrato en el que el interesado sea parte, o
  2. el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o
  3. proteger el interés vital del interesado, o
  4. el cumplimiento de una misión de interés público, o
  5. la satisfacción del interés legítimo perseguido por el responsable del tratamiento.
• Las categorías especiales de tratamiento: deberá prohibirse el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas y la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad. Esta disposición va acompañada de reservas que se aplicarán, por ejemplo, en caso de que el tratamiento sea necesario para salvaguardar el interés vital del interesado o para la prevención o el diagnóstico médico.
• La información a los afectados por dicho tratamiento: el responsable del tratamiento deberá facilitar cierta cantidad de información (identidad del responsable del tratamiento, fines del tratamiento, destinatarios de los datos, etc.) a la persona de quien se recaben los datos que le conciernan.
• El derecho de acceso del interesado a los datos: todos los interesados deberán tener el derecho de obtener del responsable del tratamiento:
  1. la confirmación de la existencia o inexistencia del tratamiento de datos que le conciernen y la comunicación de los datos objeto de los tratamientos;
  2. la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos, así como la notificación a los terceros a quienes se hayan comunicado los datos de dichas modificaciones.
• Las excepciones y limitaciones: se podrá limitar el alcance de los principios relativos a la calidad de los datos, la información del interesado, el derecho de acceso y la publicidad de los tratamientos con objeto de salvaguardar, entre otras cosas, la seguridad del Estado, la defensa, la seguridad pública, la represión de infracciones penales, un interés económico y financiero importante de un Estado miembro o de la UE o la protección del interesado.
• El derecho del interesado a oponerse al tratamiento: el interesado deberá tener derecho a oponerse, por razones legítimas, a que los datos que le conciernen sean objeto de tratamiento. También deberá tener la posibilidad de oponerse, previa petición y sin gastos, al tratamiento de los datos respecto de los cuales se prevea un tratamiento destinado a la prospección. Por último, deberá ser informado antes de que los datos se comuniquen a terceros a efectos de prospección y tendrá derecho a oponerse a dicha comunicación.
• La confidencialidad y la seguridad del tratamiento: las personas que actúen bajo la autoridad del responsable o del encargado del tratamiento, incluido este último, sólo podrán tratar datos personales a los que tengan acceso, cuando se lo encargue el responsable del tratamiento. Por otra parte, el responsable del tratamiento deberá aplicar las medidas adecuadas para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental, la alteración, la difusión o el acceso no autorizados.
• La notificación del tratamiento a la autoridad de control: el responsable del tratamiento efectuará una notificación a la autoridad de control nacional con anterioridad a la realización de un tratamiento. La autoridad de control realizará comprobaciones previas sobre los posibles riesgos para los derechos y libertades de los interesados una vez que haya recibido la notificación. Deberá procederse a la publicidad de los tratamientos y las autoridades de control llevarán un registro de los tratamientos notificados.

Las legislaciones nacionales deben prever un recurso judicial para los casos en los que el responsable del tratamiento de datos no respete los derechos de los interesados. Además, las personas que sufran un perjuicio como consecuencia de un tratamiento ilícito de sus datos personales tendrán derecho a obtener la reparación del perjuicio sufrido.

Se autorizará la transferencia de datos personales de un Estado miembro a un tercer país que garantice un nivel de protección adecuado; por el contrario, no se autorizará la transferencia a terceros países que no dispongan de tal nivel de protección, salvo contadas excepciones que se enumeran en el texto.

La Directiva pretende facilitar la elaboración de códigos de conducta nacionales y comunitarios que contribuyan a una correcta aplicación de las disposiciones nacionales y comunitarias.

Cada Estado miembro designará una o varias autoridades públicas independientes encargadas de controlar la aplicación en su territorio de las disposiciones adoptadas por los Estados miembros en aplicación de la presente directiva.

Se crea un grupo para la protección de las personas en lo que respecta al tratamiento de datos personales, que estará compuesto por representantes de las autoridades de control nacionales, por representantes de las autoridades de control de las instituciones y organismos comunitarios y por un representante de la Comisión.

Referencias

Acto	Entrada en vigor	Plazo de transposición en los Estados miembros	Diario Oficial
Directiva 95/46/CE	13.12.1995	24.10.1998	DO L 281de 23.11.1995

Acto(s) modificativo(s)	Entrada en vigor	Plazo de transposición en los Estados miembros	Diario Oficial
Reglamento (CE) n° 1882/2003	20.11.2003	–	DO L 284 de 31.10.2003

Las modificaciones y correcciones sucesivas de la Directiva 95/46/CE se han integrado en el texto de base. Esta versión consolidadatiene un valor meramente documental.

Actos Conexos

INFORMES DE APLICACIÓN

Comunicación de la Comisión al Parlamento Europeo y al Consejo, de 7 de marzo de 2007, «Seguimiento del Programa de trabajo para una mejor aplicación de la Directiva sobre protección de datos» [COM (2007) 87 final – no publicada en el Diario Oficial].

Esta Comunicación examina el trabajo realizado en el marco del Programa de trabajo para una mejor aplicación de la Directiva sobre protección de datos contenido en el Primer informe sobre la aplicación de la Directiva 95/46/CE. La Comisión indica que la aplicación mejoró y que todos los Estados miembros han transpuesto la Directiva. La Comisión precisa que por ahora la Directiva no debería modificarse y que, por su parte:

• proseguirá su trabajo con los Estados miembros y, en su caso, lanzará procedimientos oficiales de infracción;
• preparará una comunicación interpretativa sobre determinadas disposiciones de la Directiva;
• proseguirá la aplicación del programa de trabajo;
• presentará una legislación sectorial para la UE, en caso de evolución tecnológica importante en un ámbito específico;
• proseguirá su cooperación con sus socios exteriores, en particular los Estados Unidos.

Informe de la Comisión, de 15 de mayo de 2003, «Primer informe sobre la aplicación de la Directiva sobre protección de datos (95/46 CE)» [COM (2003) 265 final – no publicado en el Diario Oficial].

El informe da cuenta entre otras cosas de los resultados de las consultas realizadas por la Comisión sobre la evaluación de la Directiva 95/46/CE entre los gobiernos, las instituciones, las empresas, las asociaciones de consumidores y los ciudadanos. Los resultados de las consultas muestran que pocos participantes abogaron por la modificación de la Directiva. Por otro lado, tras consultar a los Estados miembros, la Comisión observa que una mayoría de ellos, así como de autoridades nacionales de control, consideran que no es necesaria la modificación de la Directiva en este momento.

Pese a los retrasos y lagunas en la aplicación, la Directiva ha cumplido su principal objetivo, a saber, eliminar los obstáculos a la libre circulación de datos personales entre los Estados miembros. La Comisión estima por otra parte que se ha alcanzado el objetivo de garantizar un elevado nivel de protección en la Comunidad, ya que mediante la Directiva se establecen algunas de las normas de protección de datos de más alto nivel del mundo.

No obstante, otros objetivos de la política de mercado interior no se han satisfecho. La legislación sobre protección de datos sigue mostrando grandes divergencias entre los Estados miembros. Ahora bien, esas disparidades impiden a las organizaciones multinacionales desarrollar políticas paneuropeas sobre protección de datos. Por ello, la Comisión hará todo lo necesario para resolver esta situación evitando, en la medida de lo posible, proceder a una actuación formal.

En cuanto al nivel general de conformidad de la legislación sobre protección de datos en la UE, se pueden destacar tres dificultades:

• recursos insuficientes en cuanto a la aplicación;
• conformidad muy irregular por parte de los responsables del tratamiento de datos;
• conocimiento al parecer escaso por parte de los interesados acerca de sus derechos, que puede ser el origen del fenómeno anterior.

Con objeto de lograr una mejor aplicación de la Directiva sobre protección de datos, la Comisión ha adoptado un programa de trabajo compuesto por una serie de actuaciones que deberán llevarse a cabo a partir de la adopción del presente informe hasta el final de 2004. Dichas actuaciones constan de las siguientes iniciativas:

• debates con los Estados miembros y las autoridades de protección de datos sobre los cambios necesarios para adecuar plenamente la legislación nacional a los requisitos de la Directiva;
• asociación de los países candidatos a los esfuerzos por lograr una aplicación mejor y más uniforme de la Directiva;
• mejora de la notificación de todos los actos jurídicos de transposición de la Directiva;
• simplificación de las condiciones de las transferencias internacionales de datos;
• promoción de las tecnologías que refuerzan la protección de la intimidad;
• fomento de la autorregulación y los códigos de conducta europeos.

DIRECTIVA SOBRE LA PRIVACIDAD Y LAS COMUNICACIONES ELECTRÓNICAS

Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) [Diario Oficial L 201 de 31.7.2002].

Esta Directiva se adoptó en 2002 al mismo tiempo que un nuevo conjunto de textos legislativos destinado a servir de marco al sector de las comunicaciones electrónicas. En ella se incluyen disposiciones sobre una serie de temas más o menos sensibles, como la conservación de los datos de conexión por parte de los Estados miembros a efectos de vigilancia policial (retención de datos), el envío de mensajes electrónicos no solicitados, la utilización de los denominados «chivatos» (cookies) y la inclusión de datos personales en las guías públicas.

CLÁUSULAS CONTRACTUALES TIPO PARA LA TRANSFERENCIA DE DATOS PERSONALES A TERCEROS PAÍSES

Decisión 2004/915/CE de la Comisión, de 27 de diciembre de 2004, por la que se modifica la Decisión 2001/497/CE en lo relativo a la introducción de un conjunto alternativo de cláusulas contractuales tipo para la transferencia de datos personales a terceros países [Diario Oficial L 385 de 29.12.2004].

La Comisión Europea aprobó nuevas cláusulas contractuales tipo que podrán utilizar las empresas para garantizar adecuadamente la transferencia de datos personales de la UE a terceros países. Estas nuevas cláusulas se añadirán a las ya existentes en el marco de la Decisión de la Comisión de junio de 2001 (véase a continuación).

Decisión 2001/497/CE de la Comisión, de 15 de junio de 2001, relativa a cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE [Diario Oficial L 181 de 4.7.2001].

Esta Decisión define las cláusulas contractuales tipo que garantizarán un nivel adecuado de protección de los datos personales transferidos de la UE a terceros países. La decisión obliga a los Estados miembros a reconocer que las sociedades u organismos que utilicen esas cláusulas tipo en contratos relativos a transferencias de datos personales a terceros países garantizan un «nivel adecuado de protección» de los datos.

PROTECCIÓN DE DATOS POR LAS INSTITUCIONES Y ORGANISMOS DE LA COMUNIDAD

Reglamento 45/2001/CE del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos [Diario Oficial L 8 de 12.1.2001].

Este Reglamento se propone garantizar la protección de los datos personales en el marco de las instituciones y organismos de la Unión Europea. El texto contempla lo siguiente:

• disposiciones que garantizan un nivel de protección elevado para los datos personales tratados por las instituciones y los organismos comunitarios;
• creación de una instancia de vigilancia independiente encargada de controlar la aplicación de dichas disposiciones.