Cada artículo incluye explicación, mnemotecnia y una trampa típica de examen.
Toca un artículo para leerlo con su explicación, su mnemotecnia y la trampa típica de examen. Con tu cuenta gratis estudias la norma entera en una página, marcas lo que llevas y haces tests.
Crear cuenta gratisTítulo IDisposiciones generales
3
- Art. 1Objeto de la leyLa ley orgánica tiene dos objetos: a) adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679, de 27 de abril de 2016, y completar sus disposiciones; b) garantizar los derechos digitales de la ciudadanía conforme al mandato del artículo 18.4 de la Constitución. El derecho fundamental de las personas físicas a la protección de datos personales, amparado por ese artículo 18.4, se ejerce con arreglo al Reglamento (UE) 2016/679 y a esta ley orgánica.
- Art. 2Ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94Los Títulos I a IX y los artículos 89 a 94 se aplican a todo tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. La ley no se aplica a los tratamientos excluidos por el artículo 2.2 del Reglamento general, a los de personas fallecidas (sin perjuicio del artículo 3) ni a los de materias clasificadas. Régimen electoral, instituciones penitenciarias y Registro Civil, de la Propiedad y Mercantiles: legislación específica y, supletoriamente, Reglamento y ley. Órganos judiciales y Ministerio Fiscal: Reglamento y ley.
- Art. 3Datos de las personas fallecidasLas personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir al responsable o encargado el acceso a sus datos y, en su caso, su rectificación o supresión, salvo prohibición expresa del fallecido o de una ley; esa prohibición no afecta al acceso de los herederos a los datos patrimoniales. También pueden las personas o instituciones designadas expresamente (requisitos por real decreto). Menores: además, representantes legales o Ministerio Fiscal, de oficio o a instancia de interesado. Con discapacidad: además, los designados para funciones de apoyo.
Título IIPrincipios de protección de datos
7
- Art. 4Exactitud de los datosLos datos serán exactos y, si fuere necesario, actualizados. La inexactitud no es imputable al responsable, siempre que haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, cuando los datos inexactos: a) se obtuvieron directamente del afectado; b) se obtuvieron de un mediador o intermediario previsto por las normas del sector, que asume las responsabilidades si comunica datos que no se correspondan con los facilitados por el afectado; c) se recibieron de otro responsable por el derecho a la portabilidad; d) se obtuvieron de un registro público.
- Art. 5Deber de confidencialidadLos responsables y encargados del tratamiento, así como todas las personas que intervengan en cualquier fase de este, están sujetos al deber de confidencialidad del artículo 5.1.f) del Reglamento (UE) 2016/679. Esta obligación general es complementaria de los deberes de secreto profesional, de conformidad con su normativa aplicable. Ambas obligaciones se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado del tratamiento.
- Art. 6Tratamiento basado en el consentimiento del afectadoEl consentimiento del afectado es toda manifestación de voluntad libre, específica, informada e inequívoca por la que acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos. Si el tratamiento se funda en el consentimiento para una pluralidad de finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas. No puede supeditarse la ejecución del contrato a que el afectado consienta tratamientos para finalidades sin relación con el mantenimiento, desarrollo o control de la relación contractual.
- Art. 7Consentimiento de los menores de edadEl tratamiento de los datos de un menor de edad solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años, salvo que la ley exija la asistencia de los titulares de la patria potestad o tutela para celebrar el acto o negocio jurídico en cuyo contexto se recaba el consentimiento. Para los menores de catorce años, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen esos titulares.
- Art. 8Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicosEl tratamiento solo puede considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento, los tipos de datos y las cesiones que procedan, e imponer condiciones especiales como medidas adicionales de seguridad. Solo puede considerarse fundado en una misión realizada en interés público o en el ejercicio de poderes públicos cuando derive de una competencia atribuida por una norma con rango de ley.
- Art. 9Categorías especiales de datosA fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico; sí cabe tratarlos al amparo de los restantes supuestos del artículo 9.2 del Reglamento. Los tratamientos de sus letras g), h) e i) fundados en el Derecho español deben ampararse en una norma con rango de ley, que puede añadir requisitos de seguridad y confidencialidad y amparar tratamientos en el ámbito de la salud.
- Art. 10Tratamiento de datos de naturaleza penalEl tratamiento de datos de condenas e infracciones penales, y procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o de la ejecución de sanciones penales, solo cabe si lo ampara una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal. El registro completo puede hacerse conforme a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. Fuera de eso, solo abogados y procuradores, con la información de sus clientes.
Título IIIDerechos de las personas
8
Capítulo ITransparencia e información
Capítulo IIEjercicio de los derechos
- Art. 12Disposiciones generales sobre ejercicio de los derechosLos derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679 se ejercen directamente o por representante legal o voluntario. El responsable debe informar de los medios, que serán fácilmente accesibles, y no puede denegar el ejercicio solo porque el afectado opte por otro medio. El encargado puede tramitar las solicitudes si lo prevé el contrato o acto jurídico. La prueba de haber respondido recae en el responsable. Los titulares de la patria potestad pueden actuar por los menores de catorce años. Las actuaciones del responsable son gratuitas, con las salvedades que el artículo cita.
- Art. 13Derecho de accesoSi el responsable trata una gran cantidad de datos y el afectado no concreta, puede pedirle, antes de informar, que especifique los datos o actividades de tratamiento. El acceso se entiende otorgado con un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a la totalidad; basta comunicar cómo acceder. Puede considerarse repetitivo ejercerlo más de una vez en seis meses, salvo causa legítima. Si el afectado elige un medio distinto del ofrecido con coste desproporcionado, la solicitud es excesiva y él asume el exceso de costes.
- Art. 14Derecho de rectificaciónAl ejercer el derecho de rectificación, el afectado debe indicar en su solicitud dos cosas: a qué datos se refiere y la corrección que haya de realizarse. Además, cuando sea preciso, debe acompañar la documentación que justifique la inexactitud o el carácter incompleto de los datos objeto de tratamiento.
- Art. 15Derecho de supresiónEl derecho de supresión se ejerce conforme al artículo 17 del Reglamento (UE) 2016/679. Regla propia: cuando la supresión derive del ejercicio del derecho de oposición del artículo 21.2 del Reglamento, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.
- Art. 16Derecho a la limitación del tratamientoEl derecho a la limitación del tratamiento se ejerce conforme al artículo 18 del Reglamento (UE) 2016/679. Regla propia: el hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.
- Art. 17Derecho a la portabilidad
- Art. 18Derecho de oposiciónEl derecho de oposición y los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercen de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679. El artículo no añade ninguna regla propia: se limita a remitir.
Título IVDisposiciones aplicables a tratamientos concretos
9
- Art. 19Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberalesSalvo prueba en contrario, se presume amparado en el artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto, y en su caso de función o puesto, de las personas físicas que presten servicios en una persona jurídica, si se refiere únicamente a los datos necesarios para su localización profesional y su finalidad es únicamente mantener relaciones con esa persona jurídica. Igual para empresarios individuales y profesionales liberales cuando los datos se refieran a ellos solo en esa condición y no se traten para relacionarse con ellos como personas físicas.
- Art. 20Sistemas de información crediticiaSalvo prueba en contrario, es lícito tratar impagos en sistemas comunes de información crediticia si: los facilita el acreedor o quien actúe por su cuenta; son deudas ciertas, vencidas y exigibles no reclamadas; el acreedor informó al afectado en el contrato o al requerir el pago; duran mientras persista el incumplimiento, máximo cinco años desde el vencimiento; y la consulta está restringida. El sistema notifica la inclusión en los treinta días siguientes a recibir la deuda, con los datos bloqueados. Sistema y acreedores son corresponsables. La presunción no ampara el perfilado.
- Art. 21Tratamientos relacionados con la realización de determinadas operaciones mercantilesSalvo prueba en contrario, se presumen lícitos los tratamientos de datos, incluida su comunicación con carácter previo, derivados de una modificación estructural de sociedades o de la aportación o transmisión de negocio o de rama de actividad empresarial, si son necesarios para el buen fin de la operación y garantizan, cuando proceda, la continuidad en la prestación de los servicios. Si la operación no llega a concluirse, la entidad cesionaria debe suprimir los datos con carácter inmediato, sin obligación de bloqueo.
- Art. 22Tratamientos con fines de videovigilanciaPersonas físicas o jurídicas, públicas o privadas, pueden tratar imágenes de cámaras para la seguridad de personas, bienes e instalaciones. La vía pública solo se capta en lo imprescindible, con mayor extensión para bienes o instalaciones estratégicos o infraestructuras de transporte, y nunca el interior de un domicilio privado. Se suprimen en un mes desde su captación, salvo para acreditar actos contra personas, bienes o instalaciones: entonces van a la autoridad competente en setenta y dos horas desde que se conoce la grabación. No hay bloqueo. Se informa con un dispositivo visible.
- Art. 23Sistemas de exclusión publicitariaEs lícito tratar datos para evitar el envío de comunicaciones comerciales a quienes se hayan negado u opuesto a recibirlas. Pueden crearse sistemas de información, generales o sectoriales, con solo los datos imprescindibles para identificar a los afectados. Sus responsables comunican la creación a la autoridad de control, que publica la relación en su sede electrónica. El responsable ante quien alguien rechace las comunicaciones comerciales debe informarle de estos sistemas. Quien haga mercadotecnia directa debe consultarlos antes, salvo que el afectado le hubiera dado su consentimiento.
- Art. 24Tratamiento de datos para la protección de las personas que informen sobre infracciones normativasDeclara lícitos los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas. Esos tratamientos se rigen por tres normas: el Reglamento (UE) 2016/679, la propia Ley Orgánica 3/2018 y la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
- Art. 25Tratamiento de datos en el ámbito de la función estadística públicaLa función estadística pública trata los datos según su legislación específica, el Reglamento (UE) 2016/679 y la ley orgánica. La comunicación de datos a los órganos estadísticos solo se ampara en el artículo 6.1 e) del Reglamento si la estadística la exige una norma de Derecho de la Unión Europea o figura en los instrumentos de programación estadística legalmente previstos. Los datos de los artículos 9 y 10 del Reglamento son de aportación estrictamente voluntaria y requieren consentimiento expreso. Los derechos de los artículos 15 a 22 pueden denegarse si hay secreto estadístico.
- Art. 26Tratamiento de datos con fines de archivo en interés público por parte de las Administraciones PúblicasDeclara lícito el tratamiento por las Administraciones Públicas de datos con fines de archivo en interés público. Se somete al Reglamento (UE) 2016/679 y a la Ley Orgánica 3/2018, con las especialidades derivadas de la Ley 16/1985, del Patrimonio Histórico Español, del Real Decreto 1708/2011, que establece el Sistema Español de Archivos, y de la legislación autonómica que resulte de aplicación.
- Art. 27Tratamiento de datos relativos a infracciones y sanciones administrativasEl tratamiento de datos de infracciones y sanciones administrativas, incluidos los registros, exige dos condiciones: que el responsable sea el órgano competente para instruir el procedimiento sancionador, declarar la infracción o imponer la sanción, y que se limite a los datos estrictamente necesarios. Si falta alguna, hace falta consentimiento del interesado o autorización por norma con rango de ley. Fuera de esos casos, solo cabe si lo realizan abogados y procuradores para recoger la información facilitada por sus clientes para el ejercicio de sus funciones.
Título VResponsable y encargado del tratamiento
12
Capítulo IDisposiciones generales. Medidas de responsabilidad activa
- Art. 28Obligaciones generales del responsable y encargado del tratamientoResponsables y encargados determinan las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme con el Reglamento (UE) 2016/679, la ley orgánica, sus normas de desarrollo y la legislación sectorial, y valoran si procede la evaluación de impacto y la consulta previa. Tendrán en cuenta los mayores riesgos de: discriminación, usurpación de identidad o fraude; privación de derechos; categorías especiales de datos; perfiles; menores y personas con discapacidad; tratamiento masivo, y transferencias habituales sin nivel adecuado de protección.
- Art. 29Supuestos de corresponsabilidad en el tratamientoCuando hay varios corresponsables del tratamiento, las responsabilidades a las que se refiere el artículo 26.1 del Reglamento (UE) 2016/679 se determinan atendiendo a las actividades que efectivamente desarrolle cada uno de ellos. El único criterio que da el artículo es, pues, la actividad efectiva de cada corresponsable.
- Art. 30Representantes de los responsables o encargados del tratamiento no establecidos en la Unión EuropeaSi el Reglamento (UE) 2016/679 se aplica, por su artículo 3.2, a un responsable o encargado no establecido en la Unión Europea y el tratamiento se refiere a afectados que se hallen en España, la Agencia Española de Protección de Datos o las autoridades autonómicas podrán imponer al representante, solidariamente con aquel, las medidas del Reglamento. Ello no excluye la responsabilidad del responsable o encargado ni la acción de repetición del representante. De los daños y perjuicios del artículo 82 del Reglamento responden solidariamente responsables, encargados y representantes.
- Art. 31Registro de las actividades de tratamientoResponsables y encargados o, en su caso, sus representantes mantendrán el registro de actividades de tratamiento del artículo 30 del Reglamento (UE) 2016/679, salvo la excepción de su apartado 5. El registro podrá organizarse en torno a conjuntos estructurados de datos y especificará, según sus finalidades, las actividades de tratamiento. Si hay delegado de protección de datos, se le comunicará cualquier adición, modificación o exclusión. Los sujetos del artículo 77.1 publicarán un inventario accesible por medios electrónicos con la información del artículo 30 del Reglamento y su base legal.
- Art. 32Bloqueo de los datosEl responsable debe bloquear los datos cuando los rectifique o suprima. Bloquear es identificarlos y reservarlos, con medidas técnicas y organizativas, para impedir su tratamiento, incluida su visualización, salvo su puesta a disposición de jueces y tribunales, Ministerio Fiscal o Administraciones Públicas competentes para exigir responsabilidades, solo por el plazo de prescripción de estas; después se destruyen. Si el sistema no permite el bloqueo o exige un esfuerzo desproporcionado, se hace un copiado seguro. Las autoridades de protección de datos pueden fijar excepciones.
Capítulo IIEncargado del tratamiento
Capítulo IIIDelegado de protección de datos
- Art. 34Designación de un delegado de protección de datosDeben designar delegado de protección de datos los responsables y encargados en los supuestos del artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, las entidades de las letras a) a o), como colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras, centros sanitarios, seguridad privada o federaciones deportivas con datos de menores. Los demás pueden hacerlo voluntariamente. Designaciones, nombramientos y ceses se comunican en diez días a la Agencia Española de Protección de Datos o a las autoridades autonómicas, que llevan una lista actualizada.
- Art. 35Cualificación del delegado de protección de datosEl cumplimiento de los requisitos para designar al delegado de protección de datos, sea persona física o jurídica, podrá demostrarse, entre otros medios, mediante mecanismos voluntarios de certificación. Esos mecanismos tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.
- Art. 36Posición del delegado de protección de datosEl delegado es interlocutor del responsable o encargado ante la AEPD y las autoridades autonómicas; puede inspeccionar procedimientos y emitir recomendaciones. Si es persona física integrada en la organización, no puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave. Se garantiza su independencia, evitando conflictos de intereses. Accede a datos y procesos sin que quepa oponerle confidencialidad o secreto. Si aprecia una vulneración relevante, la documenta y la comunica inmediatamente a los órganos de administración y dirección.
- Art. 37Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datosSi hay delegado designado, el afectado puede dirigirse a él antes de reclamar ante la AEPD o la autoridad autonómica; el delegado le comunicará la decisión en el plazo máximo de dos meses desde la recepción de la reclamación. Si el afectado reclama ante la autoridad, esta puede remitir la reclamación al delegado para que responda en un mes; si no comunica la respuesta, la autoridad continúa el procedimiento. El procedimiento ante la AEPD es el del Título VIII y sus normas de desarrollo; las comunidades autónomas regulan el suyo.
Capítulo IVCódigos de conducta y certificación
- Art. 38Códigos de conductaLos códigos de conducta vinculan a quienes se adhieran y pueden tener mecanismos de resolución extrajudicial de conflictos. Pueden promoverlos también empresas o grupos de empresas. Los adheridos someten al organismo de supervisión las reclamaciones que no consideren procedente atender; si este las rechaza o no se le someten, el afectado puede acudir a la AEPD o a la autoridad autonómica. Los aprueba la AEPD o la autoridad autonómica competente, que mantienen registros interconectados y accesibles por medios electrónicos. Un real decreto fijará el contenido del registro.
- Art. 39Acreditación de instituciones de certificaciónSin perjuicio de las funciones y poderes de acreditación de la autoridad de control competente, la acreditación de las instituciones de certificación podrá ser llevada a cabo por la Entidad Nacional de Acreditación (ENAC). La ENAC comunicará a la Agencia Española de Protección de Datos y a las autoridades de protección de datos de las comunidades autónomas las concesiones, denegaciones o revocaciones de las acreditaciones, así como su motivación.
Título VITransferencias internacionales de datos
4
- Art. 40Régimen de las transferencias internacionales de datosLas transferencias internacionales de datos se rigen por el Reglamento (UE) 2016/679, por esta ley orgánica y sus normas de desarrollo aprobadas por el Gobierno, y por las circulares de la Agencia Española de Protección de Datos y de las autoridades autonómicas de protección de datos, en el ámbito de sus respectivas competencias. En todo caso, a los tratamientos en que consista la propia transferencia se les aplican las disposiciones de esas normas, en particular las que regulan los principios de protección de datos.
- Art. 41Supuestos de adopción por la Agencia Española de Protección de DatosLa AEPD y las autoridades autonómicas de protección de datos podrán adoptar cláusulas contractuales tipo para transferencias internacionales, que se someterán previamente al dictamen del Comité Europeo de Protección de Datos. También podrán aprobar normas corporativas vinculantes: el procedimiento se inicia a instancia de una entidad situada en España, dura como máximo nueve meses, se suspende al remitir el expediente al Comité para dictamen y continúa tras su notificación a la autoridad competente.
- Art. 42Supuestos sometidos a autorización previa de las autoridades de protección de datosLas transferencias a países u organizaciones internacionales sin decisión de adecuación de la Comisión ni amparo en las garantías previstas requieren autorización previa de la AEPD o, en su caso, de la autoridad autonómica. Puede otorgarse: a) si se basan en cláusulas contractuales que no sean las cláusulas tipo; b) si las realizan los responsables o encargados del artículo 77.1 con base en acuerdos internacionales no normativos, incluidos los memorandos de entendimiento. Duración máxima: seis meses. La remisión del expediente al Comité Europeo suspende el procedimiento.
- Art. 43Supuestos sometidos a información previa a la autoridad de protección de datos competenteLos responsables del tratamiento deben informar a la AEPD o, en su caso, a las autoridades autonómicas de cualquier transferencia internacional que pretendan realizar sobre la base de su necesidad para fines relacionados con intereses legítimos imperiosos. También informarán a los afectados de la transferencia y de esos intereses. La información se facilita con carácter previo a la transferencia. No se aplica a las actividades de las autoridades públicas en el ejercicio de sus poderes públicos.
Título VIIAutoridades de protección de datos
20
Capítulo ILa Agencia Española de Protección de Datos
Sección 1.ªDisposiciones generales
- Art. 44Disposiciones generalesLa AEPD es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos. Su denominación oficial es «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente». Se relaciona con el Gobierno a través del Ministerio de Justicia. Es representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Colabora con el Consejo General del Poder Judicial y, en su caso, la Fiscalía General del Estado.
- Art. 45Régimen jurídicoLa Agencia Española de Protección de Datos se rige por el Reglamento (UE) 2016/679, por esta ley orgánica y por sus disposiciones de desarrollo. Supletoriamente, en cuanto sea compatible con su plena independencia, se rige por las normas citadas en el artículo 110.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público. Su Estatuto lo aprueba el Gobierno, a propuesta de la propia Agencia, mediante real decreto.
- Art. 46Régimen económico presupuestario y de personalLa Agencia elabora y aprueba su presupuesto y lo remite al Gobierno para integrarlo, con independencia, en los Presupuestos Generales del Estado. Modificaciones: hasta el 3 % de la cifra inicial del presupuesto total de gastos las autoriza la Presidencia (sin incrementar gastos de personal); las restantes que no excedan del 5 %, el Ministerio de Hacienda; las demás, el Gobierno. El resultado positivo de sus ingresos va a reservas. Personal funcionario o laboral. Aprueba su relación de puestos de trabajo. Control de la Intervención General de la Administración del Estado.
- Art. 47Funciones y potestades de la Agencia Española de Protección de DatosCorresponde a la Agencia Española de Protección de Datos supervisar la aplicación de la ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones del artículo 57 y las potestades del artículo 58 de ese reglamento, de la propia ley orgánica y de sus disposiciones de desarrollo. Además, desempeña las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.
- Art. 48La Presidencia de la Agencia Española de Protección de DatosLa Presidencia dirige la Agencia, la representa y dicta sus resoluciones, circulares y directrices; la auxilia un Adjunto. Ambos actúan con plena independencia y objetividad. Los nombra el Gobierno a propuesta del Ministerio de Justicia, con ratificación de la Comisión de Justicia del Congreso por tres quintos o, en segunda votación, mayoría absoluta con votos de al menos dos grupos. Mandato de cinco años, renovable por otro igual. Cese anticipado: a petición propia o por separación por cuatro causas. Sus actos ponen fin a la vía administrativa y se recurren ante la Audiencia Nacional.
- Art. 49Consejo Consultivo de la Agencia Española de Protección de DatosEl Consejo Consultivo asesora a la Presidencia de la Agencia. Lo integran un Diputado, un Senador, un representante del Consejo General del Poder Judicial, otro de la Administración General del Estado, uno por cada Comunidad Autónoma con Autoridad de protección de datos, representantes y expertos; son dos los expertos de las Organizaciones Empresariales y dos los de las organizaciones sindicales más representativas. Los nombra el Ministro de Justicia por orden publicada en el BOE. Se reúne cuando lo disponga la Presidencia y, en todo caso, una vez al semestre. Sus decisiones no vinculan.
- Art. 50PublicidadLa Agencia publica las resoluciones de su Presidencia que: declaren haber lugar o no a la atención de los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679; pongan fin a los procedimientos sancionadores y a los de apercibimiento; archiven las actuaciones previas de investigación; se dicten respecto de las entidades del artículo 77.1 de la ley orgánica; impongan medidas cautelares; y las demás que disponga su Estatuto.
Sección 2.ªPotestades de investigación y planes de auditoría preventiva
- Art. 51Ámbito y personal competenteLa Agencia investiga a través de las actuaciones del Título VIII y de los planes de auditoría preventivas. La investigación la realizan funcionarios de la Agencia o funcionarios ajenos a ella habilitados expresamente por su Presidencia. En actuaciones conjuntas, el personal de autoridades de control de otros Estados miembros actúa con arreglo a la ley orgánica y bajo la orientación y en presencia del personal de la Agencia. Los funcionarios que investigan son agentes de la autoridad en el ejercicio de sus funciones y deben guardar secreto, incluso después de haber cesado.
- Art. 52Deber de colaboraciónLas Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y los particulares deben dar a la Agencia los datos, informes, antecedentes y justificantes necesarios para investigar. Si no ha podido identificar al responsable por otros medios, la Agencia puede recabar de las Administraciones los datos imprescindibles y, de operadores y prestadores, datos de telefonía (número de origen ocultado, abonado, confirmación de llamada) o de Internet (dirección de protocolo, fecha y hora, abonado). Quedan excluidos los datos de tráfico tratados solo para cumplir la Ley 25/2007.
- Art. 53Alcance de la actividad de investigaciónQuienes investigan pueden recabar informaciones, realizar inspecciones, requerir la exhibición o el envío de documentos y datos, examinarlos donde estén depositados o donde se realicen los tratamientos, obtener copia, inspeccionar los equipos físicos y lógicos y requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte. El acceso al domicilio constitucionalmente protegido del inspeccionado exige su consentimiento o autorización judicial. En órganos u oficinas judiciales, la inspección se efectúa a través y por mediación del Consejo General del Poder Judicial.
- Art. 53 bisActuaciones de investigación a través de sistemas digitalesLas actuaciones de investigación pueden hacerse por sistemas digitales que, mediante videoconferencia u otro sistema similar, permitan la comunicación bidireccional y simultánea de imagen y sonido y la interacción visual, auditiva y verbal entre la Agencia y el inspeccionado. Deben garantizar la transmisión y recepción seguras de documentos e información y, en su caso, recoger las evidencias y el resultado asegurando su autoría, autenticidad e integridad. Se usan cuando lo determine la Agencia y con la conformidad del inspeccionado sobre su uso y sobre la fecha y hora.
- Art. 54Planes de auditoríaLa Presidencia de la Agencia puede acordar planes de auditoría preventiva referidos a los tratamientos de un sector concreto de actividad, para analizar el cumplimiento del Reglamento (UE) 2016/679 y de la ley orgánica mediante actividades de investigación. A resultas de ellos puede dictar directrices generales o específicas para un concreto responsable o encargado y pedir, al elaborarlas, la colaboración de los organismos de supervisión de los códigos de conducta y de resolución extrajudicial de conflictos, si los hubiere. Las directrices son de obligado cumplimiento.
Sección 3.ªOtras potestades de la Agencia Española de Protección de Datos
- Art. 55Potestades de regulación. Circulares de la Agencia Española de Protección de DatosLa Presidencia de la Agencia puede dictar disposiciones que fijen los criterios a que responderá la actuación de esta autoridad al aplicar el Reglamento (UE) 2016/679 y la ley orgánica; se denominan «Circulares de la Agencia Española de Protección de Datos». Se elaboran conforme al procedimiento del Estatuto de la Agencia, que debe prever los informes técnicos y jurídicos necesarios y la audiencia a los interesados. Son obligatorias una vez publicadas en el Boletín Oficial del Estado.
- Art. 56Acción exteriorLa Agencia Española de Protección de Datos es titular de la acción exterior del Estado en protección de datos. Las comunidades autónomas, mediante sus autoridades autonómicas, son sujetos de la acción exterior en sus competencias y pueden celebrar acuerdos internacionales administrativos y acuerdos no normativos, estos últimos no vinculantes jurídicamente. La Agencia es la representante común en el Comité Europeo de Protección de Datos, informa a las autonómicas de sus decisiones y recaba su parecer en materias de su competencia. Colabora con otros Estados, en particular en Iberoamérica.
Capítulo IIAutoridades autonómicas de protección de datos
Sección 1.ªDisposiciones generales
- Art. 57Autoridades autonómicas de protección de datosLas autoridades autonómicas de protección de datos pueden ejercer, de acuerdo con la normativa autonómica, las funciones y potestades de los artículos 57 y 58 del Reglamento (UE) 2016/679 sobre tres grupos de tratamientos: los del sector público de la Comunidad Autónoma o de las Entidades Locales de su ámbito territorial (y de quienes presten servicios por gestión directa o indirecta); los de personas físicas o jurídicas para el ejercicio de funciones públicas en materias de competencia autonómica o local; y los previstos expresamente en los Estatutos de Autonomía. Pueden dictar circulares.
- Art. 58Cooperación institucionalLa Presidencia de la Agencia Española de Protección de Datos convoca a las autoridades autonómicas, por iniciativa propia o cuando lo solicite otra autoridad, para contribuir a la aplicación coherente del Reglamento (UE) 2016/679 y de la ley orgánica. En todo caso se celebran reuniones semestrales de cooperación. La Presidencia y las autoridades autonómicas pueden solicitar y deben intercambiarse la información necesaria para sus funciones, en particular la relativa al Comité Europeo de Protección de Datos, y pueden constituir grupos de trabajo sobre asuntos de interés común.
- Art. 59Tratamientos contrarios al Reglamento (UE) 2016/679Si la Presidencia de la Agencia Española de Protección de Datos considera que un tratamiento realizado en materias de competencia de las autoridades autonómicas vulnera el Reglamento (UE) 2016/679, puede requerirlas para que adopten, en el plazo de un mes, las medidas necesarias para su cesación. Si la autoridad autonómica no atiende el requerimiento en plazo o las medidas adoptadas no suponen la cesación del tratamiento ilícito, la Agencia puede ejercer las acciones que procedan ante la jurisdicción contencioso-administrativa.
Sección 2.ªCoordinación en el marco de los procedimientos establecidos en el Reglamento (UE) 2016/679
- Art. 60Coordinación en caso de emisión de dictamen por el Comité Europeo de Protección de DatosCuando las autoridades autonómicas de protección de datos, como autoridades competentes, deban someter su proyecto de decisión al Comité Europeo de Protección de Datos o le soliciten el examen de un asunto, todas las comunicaciones entre el Comité y esas autoridades se practican por conducto de la Agencia Española de Protección de Datos. En estos casos, la Agencia es asistida por un representante de la Autoridad autonómica en su intervención ante el Comité.
- Art. 61Intervención en caso de tratamientos transfronterizosLas autoridades autonómicas tienen la condición de autoridad de control principal o interesada en el procedimiento del artículo 60 del Reglamento (UE) 2016/679 cuando se trate de un tratamiento del artículo 57 de la ley orgánica realizado por un responsable o encargado de los previstos en el artículo 56 del Reglamento, salvo que desarrolle significativamente tratamientos de la misma naturaleza en el resto del territorio español. En esos casos intervienen ellas en el procedimiento e informan a la Agencia sobre su desarrollo cuando deba aplicarse el mecanismo de coherencia.
- Art. 62Coordinación en caso de resolución de conflictos por el Comité Europeo de Protección de DatosCuando las autoridades autonómicas, como autoridades principales, deban solicitar al Comité Europeo de Protección de Datos una decisión vinculante, todas las comunicaciones entre ellas y el Comité se practican por conducto de la Agencia. Las autoridades autonómicas que sean autoridad interesada no principal informan a la Agencia cuando el asunto se remita al Comité y le facilitan la documentación e información necesarias para su tramitación. La Agencia es asistida por un representante de la autoridad autonómica interesada en su intervención ante el Comité.
Título VIIIProcedimientos en caso de posible vulneración de la normativa de protección de datos
7
- Art. 63Régimen jurídicoEl Título se aplica a los procedimientos de la Agencia cuando un afectado reclame que no se ha atendido su solicitud de ejercicio de los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679 y cuando la Agencia investigue una posible infracción del reglamento o de la ley orgánica. Se rigen por el Reglamento, la ley orgánica, sus disposiciones reglamentarias de desarrollo y, subsidiariamente y en cuanto no las contradigan, por las normas generales sobre los procedimientos administrativos. El Gobierno los regulará por real decreto, asegurando los derechos de defensa y audiencia.
- Art. 64Forma de iniciación del procedimiento y duraciónSi el procedimiento se refiere solo a la falta de atención de un derecho, se inicia por acuerdo de admisión a trámite y se resuelve en seis meses desde su notificación al reclamante; vencido el plazo, la reclamación puede considerarse estimada. Si versa sobre una posible infracción, se inicia por acuerdo de inicio y dura doce meses como máximo desde él; el de apercibimiento, seis meses; vencidos, caducidad y archivo. Los plazos se suspenden automáticamente al recabar información de la Unión Europea o de otras autoridades de control, y por resolución motivada si es de un órgano jurisdiccional.
- Art. 65Admisión a trámite de las reclamacionesLa Agencia evalúa la admisibilidad de cada reclamación. Inadmite las que no versen sobre protección de datos, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de infracción; puede inadmitir si, previa advertencia, se adoptaron medidas correctivas y no hubo perjuicio (infracciones del artículo 74) o el derecho queda plenamente garantizado. Antes puede remitirla al delegado de protección de datos o al responsable o encargado, que responde en un mes. La decisión se notifica en tres meses; si no, se entiende que prosigue la tramitación.
- Art. 66Determinación del alcance territorialSalvo en los supuestos del artículo 64.4, la Agencia debe, antes de cualquier otra actuación —incluida la admisión a trámite de una reclamación o el comienzo de actuaciones previas de investigación—, examinar su competencia y determinar el carácter nacional o transfronterizo del procedimiento. Si considera que no es la autoridad de control principal, remite la reclamación, sin más trámite, a la que considere competente y lo notifica a quien la hubiera formulado. El acuerdo de remisión implica el archivo provisional del procedimiento.
- Art. 67Actuaciones previas de investigaciónAntes del acuerdo de inicio del procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá realizar actuaciones previas de investigación para determinar mejor los hechos y circunstancias que justifican la tramitación. Actuará en todo caso cuando haya que investigar tratamientos que impliquen un tráfico masivo de datos personales. Duración máxima: dieciocho meses desde el acuerdo de admisión a trámite o desde el acuerdo que decida iniciarlas si la Agencia actúa por propia iniciativa.
- Art. 68Acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadoraConcluidas, en su caso, las actuaciones previas, corresponde a la Presidencia de la Agencia Española de Protección de Datos dictar, cuando proceda, el acuerdo de inicio del procedimiento sancionador. En él se concretan cuatro extremos: los hechos, la identificación de la persona o entidad contra la que se dirige, la infracción que hubiera podido cometerse y su posible sanción. Si la Agencia es autoridad de control principal y debe seguirse el procedimiento del artículo 60 del Reglamento (UE) 2016/679, el proyecto de acuerdo de inicio se somete a lo dispuesto en ese artículo.
- Art. 69Medidas provisionales y de garantía de los derechosDurante las actuaciones previas o iniciado el procedimiento sancionador, la Agencia podrá acordar motivadamente medidas provisionales necesarias y proporcionadas; en especial, las del artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado. Ante un menoscabo grave, podrá ordenar el bloqueo y la cesación del tratamiento y, si se incumple, inmovilizar. Si se reclama por falta de atención en plazo de derechos, podrá obligar a atenderlos en cualquier momento, con resolución motivada y audiencia del responsable.
Título IXRégimen sancionador
9
- Art. 70Sujetos responsablesEstán sujetos al régimen sancionador del Reglamento (UE) 2016/679 y de la ley orgánica cinco sujetos: los responsables de los tratamientos; los encargados de los tratamientos; los representantes de los responsables o encargados no establecidos en el territorio de la Unión Europea; las entidades de certificación, y las entidades acreditadas de supervisión de los códigos de conducta. Al delegado de protección de datos no se le aplica el régimen sancionador del Título.
- Art. 71InfraccionesSon infracciones los actos y conductas a los que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 y, además, los que resulten contrarios a la propia ley orgánica. El artículo no enumera conductas concretas: define la infracción por remisión a esos tres apartados y a la propia ley.
- Art. 72Infracciones consideradas muy gravesSon muy graves y prescriben a los tres años las infracciones que supongan una vulneración sustancial de los artículos que menciona el artículo 83.5 del Reglamento (UE) 2016/679. Entre otras: tratar datos vulnerando principios y garantías o sin condición de licitud, usarlos para una finalidad no compatible sin consentimiento ni base legal, omitir el deber de informar, vulnerar la confidencialidad, no atender reiteradamente los derechos, incumplir el bloqueo, resistir u obstruir la inspección y revertir deliberadamente una anonimización. Igual consideración y plazo tienen las del artículo 83.6.
- Art. 73Infracciones consideradas gravesSon graves y prescriben a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en el artículo 83.4 del Reglamento (UE) 2016/679. Entre otras: tratar datos de un menor sin el consentimiento exigido, no adoptar las medidas técnicas y organizativas apropiadas, encargar el tratamiento sin contrato u otro acto jurídico escrito previo, subcontratar sin autorización previa del responsable, no disponer del registro de actividades, no designar delegado cuando sea exigible o usar un sello no otorgado por entidad acreditada o expirado.
- Art. 74Infracciones consideradas levesSon leves y prescriben al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679. Entre otras: no facilitar toda la información exigida, cobrar un canon que exceda de los costes afrontados, no suprimir datos de una persona fallecida cuando sea exigible, tener un Registro de actividades que no incorpore toda la información, notificar de forma incompleta, tardía o defectuosa una violación de seguridad o no publicar o no comunicar los datos de contacto del delegado.
- Art. 75Interrupción de la prescripción de la infracciónLa prescripción de la infracción se interrumpe con la iniciación del procedimiento sancionador con conocimiento del interesado. El plazo se reinicia si el expediente sancionador está paralizado durante más de seis meses por causas no imputables al presunto infractor. Cuando la Agencia Española de Protección de Datos sea autoridad de control principal y deba seguirse el procedimiento del artículo 60 del Reglamento (UE) 2016/679, lo que interrumpe la prescripción es el conocimiento formal por el interesado del acuerdo de inicio.
- Art. 76Sanciones y medidas correctivasLas sanciones se gradúan con los criterios del artículo 83.2 del Reglamento (UE) 2016/679; además podrán valorarse: carácter continuado, vinculación de la actividad con tratamientos, beneficios obtenidos, conducta del afectado que pudo inducir, fusión por absorción posterior no imputable a la absorbente, afectación a menores, tener delegado sin ser obligatorio y sometimiento voluntario a resolución alternativa de conflictos. Se publica en el Boletín Oficial del Estado si sanciona la Agencia, supera un millón de euros y el infractor es persona jurídica; con autoridad autonómica, su normativa.
- Art. 77Régimen aplicable a determinadas categorías de responsables o encargados del tratamientoRige para tratamientos de órganos constitucionales y jurisdiccionales, Administraciones, organismos y entidades de Derecho público, autoridades administrativas independientes, Banco de España, corporaciones de Derecho público (potestades públicas), fundaciones del sector público, Universidades Públicas, consorcios y grupos parlamentarios y políticos locales. Si infringen, la autoridad declara la infracción y fija medidas; puede proponer actuaciones disciplinarias. Se comunica al Defensor del Pueblo o institución autonómica análoga y la Agencia lo publica en su web identificando al infractor.
- Art. 78Prescripción de las sancionesLas sanciones prescriben según su importe: al año las de 40.000 euros o menos; a los dos años las de 40.001 a 300.000 euros; a los tres años las superiores a 300.000 euros. El plazo se cuenta desde el día siguiente a aquel en que sea ejecutable la resolución sancionadora o haya transcurrido el plazo para recurrirla. Se interrumpe al iniciarse, con conocimiento del interesado, el procedimiento de ejecución, y vuelve a transcurrir si este queda paralizado más de seis meses por causa no imputable al infractor.
Título XGarantía de los derechos digitales
19
- Art. 79Los derechos en la Era digitalLos derechos y libertades consagrados en la Constitución y en los Tratados y Convenios Internacionales en que España sea parte son plenamente aplicables en Internet. Quienes contribuirán a garantizar su aplicación son dos: los prestadores de servicios de la sociedad de la información y los proveedores de servicios de Internet.
- Art. 80Derecho a la neutralidad de InternetLos usuarios tienen derecho a la neutralidad de Internet. Los proveedores de servicios de Internet proporcionarán una oferta transparente de servicios, sin discriminación por dos clases de motivos: técnicos o económicos.
- Art. 81Derecho de acceso universal a InternetTodos tienen derecho a acceder a Internet con independencia de su condición personal, social, económica o geográfica. Se garantizará un acceso universal, asequible, de calidad y no discriminatorio para toda la población. El acceso procurará superar la brecha de género (ámbito personal y laboral) y la brecha generacional (acciones de formación y acceso a las personas mayores). La garantía efectiva atenderá la realidad de los entornos rurales y el acceso garantizará condiciones de igualdad a las personas con necesidades especiales.
- Art. 82Derecho a la seguridad digitalLos usuarios tienen derecho a la seguridad de las comunicaciones que transmitan y reciban a través de Internet. A los proveedores de servicios de Internet les corresponde informar a los usuarios de sus derechos.
- Art. 83Derecho a la educación digitalEl sistema educativo garantizará la plena inserción del alumnado en la sociedad digital y un uso crítico y seguro de los medios digitales, con actuaciones de carácter inclusivo. Las Administraciones educativas incluirán en el currículo la competencia digital y los riesgos del mal uso de las TIC, con especial atención a la violencia en la red. El profesorado recibirá competencias digitales y formación. Los títulos universitarios garantizarán formación en su uso y seguridad. Los temarios de acceso a cuerpos superiores y a los que accedan a datos personales incluirán estas materias.
- Art. 84Protección de los menores en InternetPadres, madres, tutores, curadores o representantes legales procurarán que los menores hagan un uso equilibrado y responsable de los dispositivos digitales y de los servicios de la sociedad de la información. Si la utilización o difusión de imágenes o información personal de menores en redes sociales y servicios equivalentes puede implicar una intromisión ilegítima en sus derechos fundamentales, intervendrá el Ministerio Fiscal, que instará las medidas cautelares y de protección de la Ley Orgánica 1/1996, de Protección Jurídica del Menor.
- Art. 85Derecho de rectificación en InternetTodos tienen derecho a la libertad de expresión en Internet. Los responsables de redes sociales y servicios equivalentes adoptarán protocolos adecuados para posibilitar la rectificación ante usuarios que difundan contenidos contra el honor, la intimidad personal y familiar y el derecho a comunicar o recibir libremente información veraz. Los medios de comunicación digitales que deban atender una rectificación publicarán en sus archivos digitales un aviso aclaratorio de que la noticia original no refleja la situación actual del individuo, en lugar visible junto con la información original.
- Art. 86Derecho a la actualización de informaciones en medios de comunicación digitalesToda persona puede solicitar motivadamente a los medios de comunicación digitales un aviso de actualización suficientemente visible junto a las noticias que le conciernan, cuando la información original no refleje su situación actual por circunstancias posteriores a la publicación y ello le cause un perjuicio. En particular, procede cuando la noticia se refiera a actuaciones policiales o judiciales afectadas en beneficio del interesado por decisiones judiciales posteriores; en ese caso el aviso hará referencia a la decisión posterior.
- Art. 87Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboralTrabajadores y empleados públicos tienen derecho a la protección de su intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador. Este solo puede acceder a sus contenidos para controlar el cumplimiento de las obligaciones laborales o estatutarias y garantizar la integridad de los dispositivos. Debe establecer criterios de utilización, con participación de los representantes de los trabajadores, e informar de ellos a los trabajadores. Si admite el uso privado, el acceso exige especificar de modo preciso los usos autorizados y establecer garantías.
- Art. 88Derecho a la desconexión digital en el ámbito laboralTrabajadores y empleados públicos tienen derecho a la desconexión digital para garantizar, fuera del tiempo de trabajo, su descanso, permisos y vacaciones y su intimidad personal y familiar. Las modalidades de ejercicio se sujetan a la negociación colectiva o, en su defecto, a lo acordado entre la empresa y los representantes de los trabajadores. El empleador, previa audiencia de dichos representantes, elaborará una política interna dirigida a trabajadores, incluidos los directivos, con las modalidades de ejercicio y acciones de formación y sensibilización.
- Art. 89Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajoLos empleadores pueden tratar imágenes de cámaras o videocámaras para el control de trabajadores o empleados públicos, dentro de su marco legal, informando con carácter previo y de forma expresa, clara y concisa a estos y, en su caso, a sus representantes. Ante un acto ilícito flagrante basta con que exista al menos el dispositivo del artículo 22.4. En ningún caso se admiten videovigilancia ni grabación de sonidos en lugares de descanso o esparcimiento (vestuarios, aseos, comedores y análogos). Grabar sonidos solo cabe por riesgos relevantes para la seguridad.
- Art. 90Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboralLos empleadores pueden tratar los datos obtenidos mediante sistemas de geolocalización para ejercer las funciones de control de trabajadores o empleados públicos, dentro de su marco legal y con sus límites. Con carácter previo deben informar de forma expresa, clara e inequívoca a los trabajadores o empleados públicos y, en su caso, a sus representantes, de la existencia y características de los dispositivos, y también del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión.
- Art. 91Derechos digitales en la negociación colectivaLos convenios colectivos podrán establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y con la salvaguarda de derechos digitales en el ámbito laboral. Es una posibilidad («podrán»), no una obligación, y las garantías que se prevén son adicionales.
- Art. 92Protección de datos de los menores en InternetLos centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad deben garantizar la protección del interés superior del menor y sus derechos fundamentales, especialmente el de protección de datos personales, al publicar o difundir sus datos a través de servicios de la sociedad de la información. Si la publicación o difusión va a hacerse en redes sociales o servicios equivalentes, deben contar con el consentimiento del menor o sus representantes legales, conforme al artículo 7 de la ley orgánica.
- Art. 93Derecho al olvido en búsquedas de InternetToda persona tiene derecho a que los motores de búsqueda eliminen, de los resultados obtenidos al buscar por su nombre, los enlaces con información sobre ella que sea inadecuada, inexacta, no pertinente, no actualizada o excesiva, o que haya devenido tal por el transcurso del tiempo. También cuando sus circunstancias personales evidencien la prevalencia de sus derechos. El derecho subsiste aunque sea lícito conservar la información en el sitio web y este no la borre. No impide acceder a la información con otros criterios de búsqueda distintos del nombre.
- Art. 94Derecho al olvido en servicios de redes sociales y servicios equivalentesToda persona puede obtener, a su simple solicitud, la supresión de los datos personales que ella misma facilitó para su publicación en redes sociales y servicios equivalentes. Los facilitados por terceros se suprimen cuando sean inadecuados, inexactos, no pertinentes, no actualizados o excesivos, o cuando sus circunstancias personales evidencien la prevalencia de sus derechos; se exceptúan los facilitados por personas físicas en actividades personales o domésticas. Los facilitados durante la minoría de edad, por él o por terceros, se suprimen sin dilación por simple solicitud.
- Art. 95Derecho de portabilidad en servicios de redes sociales y servicios equivalentesLos usuarios de redes sociales y servicios de la sociedad de la información equivalentes tienen derecho a recibir y transmitir los contenidos que hubieran facilitado a los prestadores, y a que estos los transmitan directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible. Los prestadores podrán conservar copia de los contenidos, sin difundirla a través de Internet, cuando la conservación sea necesaria para cumplir una obligación legal.
- Art. 96Derecho al testamento digitalLas personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden dirigirse a los prestadores para acceder a los contenidos e impartir instrucciones sobre su utilización, destino o supresión, salvo prohibición expresa del fallecido o de una ley; la prohibición no afecta al acceso de los herederos a los contenidos del caudal relicto. También el albacea o la persona o institución designada. Si el fallecido es menor: representantes legales o Ministerio Fiscal, de oficio o a instancia de interesado. Los requisitos se fijarán por real decreto.
- Art. 97Políticas de impulso de los derechos digitalesEl Gobierno, en colaboración con las comunidades autónomas, elaborará un Plan de Acceso a Internet con tres objetivos: superar las brechas digitales (entre otras medidas, con un bono social de acceso a Internet), impulsar espacios de conexión de acceso público y fomentar medidas educativas en competencias digitales básicas. Además se aprobará un Plan de Actuación para que los menores de edad hagan un uso equilibrado y responsable de dispositivos digitales y redes sociales. El Gobierno presentará un informe anual ante la comisión parlamentaria correspondiente del Congreso de los Diputados.