Tema 35 del temario de Administrativo de la Junta de Andalucía 2026

Artículo 1. Objeto de la ley

La ley orgánica tiene dos objetos: a) adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679, de 27 de abril de 2016, y completar sus disposiciones; b) garantizar los derechos digitales de la ciudadanía conforme al mandato del artículo 18.4 de la Constitución. El derecho fundamental de las personas físicas a la protección de datos personales, amparado por ese artículo 18.4, se ejerce con arreglo al Reglamento (UE) 2016/679 y a esta ley orgánica.

Artículo 2. Ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94

Los Títulos I a IX y los artículos 89 a 94 se aplican a todo tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. La ley no se aplica a los tratamientos excluidos por el artículo 2.2 del Reglamento general, a los de personas fallecidas (sin perjuicio del artículo 3) ni a los de materias clasificadas. Régimen electoral, instituciones penitenciarias y Registro Civil, de la Propiedad y Mercantiles: legislación específica y, supletoriamente, Reglamento y ley. Órganos judiciales y Ministerio Fiscal: Reglamento y ley.

Artículo 3. Datos de las personas fallecidas

Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir al responsable o encargado el acceso a sus datos y, en su caso, su rectificación o supresión, salvo prohibición expresa del fallecido o de una ley; esa prohibición no afecta al acceso de los herederos a los datos patrimoniales. También pueden las personas o instituciones designadas expresamente (requisitos por real decreto). Menores: además, representantes legales o Ministerio Fiscal, de oficio o a instancia de interesado. Con discapacidad: además, los designados para funciones de apoyo.

Artículo 4. Exactitud de los datos

Los datos serán exactos y, si fuere necesario, actualizados. La inexactitud no es imputable al responsable, siempre que haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, cuando los datos inexactos: a) se obtuvieron directamente del afectado; b) se obtuvieron de un mediador o intermediario previsto por las normas del sector, que asume las responsabilidades si comunica datos que no se correspondan con los facilitados por el afectado; c) se recibieron de otro responsable por el derecho a la portabilidad; d) se obtuvieron de un registro público.

Artículo 5. Deber de confidencialidad

Los responsables y encargados del tratamiento, así como todas las personas que intervengan en cualquier fase de este, están sujetos al deber de confidencialidad del artículo 5.1.f) del Reglamento (UE) 2016/679. Esta obligación general es complementaria de los deberes de secreto profesional, de conformidad con su normativa aplicable. Ambas obligaciones se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado del tratamiento.

Artículo 6. Tratamiento basado en el consentimiento del afectado

El consentimiento del afectado es toda manifestación de voluntad libre, específica, informada e inequívoca por la que acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos. Si el tratamiento se funda en el consentimiento para una pluralidad de finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas. No puede supeditarse la ejecución del contrato a que el afectado consienta tratamientos para finalidades sin relación con el mantenimiento, desarrollo o control de la relación contractual.

Artículo 7. Consentimiento de los menores de edad

El tratamiento de los datos de un menor de edad solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años, salvo que la ley exija la asistencia de los titulares de la patria potestad o tutela para celebrar el acto o negocio jurídico en cuyo contexto se recaba el consentimiento. Para los menores de catorce años, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen esos titulares.

Artículo 8. Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos

El tratamiento solo puede considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento, los tipos de datos y las cesiones que procedan, e imponer condiciones especiales como medidas adicionales de seguridad. Solo puede considerarse fundado en una misión realizada en interés público o en el ejercicio de poderes públicos cuando derive de una competencia atribuida por una norma con rango de ley.

Artículo 9. Categorías especiales de datos

A fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico; sí cabe tratarlos al amparo de los restantes supuestos del artículo 9.2 del Reglamento. Los tratamientos de sus letras g), h) e i) fundados en el Derecho español deben ampararse en una norma con rango de ley, que puede añadir requisitos de seguridad y confidencialidad y amparar tratamientos en el ámbito de la salud.

Artículo 10. Tratamiento de datos de naturaleza penal

El tratamiento de datos de condenas e infracciones penales, y procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o de la ejecución de sanciones penales, solo cabe si lo ampara una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal. El registro completo puede hacerse conforme a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. Fuera de eso, solo abogados y procuradores, con la información de sus clientes.

Artículo 11. Transparencia e información al afectado

Si los datos se obtienen del afectado, el responsable puede cumplir el deber de información dando la información básica e indicando una dirección electrónica u otro medio de acceso sencillo e inmediato al resto. La información básica contiene, al menos: identidad del responsable y de su representante, finalidad y posibilidad de ejercer los derechos; si hay elaboración de perfiles, también esa circunstancia y el derecho a oponerse a decisiones individuales automatizadas. Si los datos no se obtienen del afectado, se añaden las categorías de datos y las fuentes de las que procedan.

Artículo 12. Disposiciones generales sobre ejercicio de los derechos

Los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679 se ejercen directamente o por representante legal o voluntario. El responsable debe informar de los medios, que serán fácilmente accesibles, y no puede denegar el ejercicio solo porque el afectado opte por otro medio. El encargado puede tramitar las solicitudes si lo prevé el contrato o acto jurídico. La prueba de haber respondido recae en el responsable. Los titulares de la patria potestad pueden actuar por los menores de catorce años. Las actuaciones del responsable son gratuitas, con las salvedades que el artículo cita.

Artículo 13. Derecho de acceso

Si el responsable trata una gran cantidad de datos y el afectado no concreta, puede pedirle, antes de informar, que especifique los datos o actividades de tratamiento. El acceso se entiende otorgado con un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a la totalidad; basta comunicar cómo acceder. Puede considerarse repetitivo ejercerlo más de una vez en seis meses, salvo causa legítima. Si el afectado elige un medio distinto del ofrecido con coste desproporcionado, la solicitud es excesiva y él asume el exceso de costes.

Artículo 14. Derecho de rectificación

Al ejercer el derecho de rectificación, el afectado debe indicar en su solicitud dos cosas: a qué datos se refiere y la corrección que haya de realizarse. Además, cuando sea preciso, debe acompañar la documentación que justifique la inexactitud o el carácter incompleto de los datos objeto de tratamiento.

Artículo 15. Derecho de supresión

El derecho de supresión se ejerce conforme al artículo 17 del Reglamento (UE) 2016/679. Regla propia: cuando la supresión derive del ejercicio del derecho de oposición del artículo 21.2 del Reglamento, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.

Artículo 16. Derecho a la limitación del tratamiento

El derecho a la limitación del tratamiento se ejerce conforme al artículo 18 del Reglamento (UE) 2016/679. Regla propia: el hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.

Artículo 17. Derecho a la portabilidad

Artículo 18. Derecho de oposición

El derecho de oposición y los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercen de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679. El artículo no añade ninguna regla propia: se limita a remitir.

Artículo 19. Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales

Salvo prueba en contrario, se presume amparado en el artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto, y en su caso de función o puesto, de las personas físicas que presten servicios en una persona jurídica, si se refiere únicamente a los datos necesarios para su localización profesional y su finalidad es únicamente mantener relaciones con esa persona jurídica. Igual para empresarios individuales y profesionales liberales cuando los datos se refieran a ellos solo en esa condición y no se traten para relacionarse con ellos como personas físicas.

Artículo 20. Sistemas de información crediticia

Salvo prueba en contrario, es lícito tratar impagos en sistemas comunes de información crediticia si: los facilita el acreedor o quien actúe por su cuenta; son deudas ciertas, vencidas y exigibles no reclamadas; el acreedor informó al afectado en el contrato o al requerir el pago; duran mientras persista el incumplimiento, máximo cinco años desde el vencimiento; y la consulta está restringida. El sistema notifica la inclusión en los treinta días siguientes a recibir la deuda, con los datos bloqueados. Sistema y acreedores son corresponsables. La presunción no ampara el perfilado.

Artículo 21. Tratamientos relacionados con la realización de determinadas operaciones mercantiles

Salvo prueba en contrario, se presumen lícitos los tratamientos de datos, incluida su comunicación con carácter previo, derivados de una modificación estructural de sociedades o de la aportación o transmisión de negocio o de rama de actividad empresarial, si son necesarios para el buen fin de la operación y garantizan, cuando proceda, la continuidad en la prestación de los servicios. Si la operación no llega a concluirse, la entidad cesionaria debe suprimir los datos con carácter inmediato, sin obligación de bloqueo.

Artículo 22. Tratamientos con fines de videovigilancia

Personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes de cámaras para la seguridad de personas, bienes e instalaciones. La vía pública solo se capta en lo imprescindible, con mayor extensión para bienes o instalaciones estratégicos o infraestructuras de transporte, y nunca el interior de un domicilio privado. Se suprimen en un mes desde su captación, salvo para acreditar actos contra personas, bienes o instalaciones: entonces van a la autoridad competente en setenta y dos horas desde que se conoce la grabación. No hay bloqueo. Se informa con un dispositivo visible.

Artículo 23. Sistemas de exclusión publicitaria

Es lícito tratar datos para evitar el envío de comunicaciones comerciales a quienes se hayan negado u opuesto a recibirlas. Pueden crearse sistemas de información, generales o sectoriales, con solo los datos imprescindibles para identificar a los afectados. Sus responsables comunican la creación a la autoridad de control, que publica la relación en su sede electrónica. El responsable ante quien alguien rechace las comunicaciones comerciales debe informarle de estos sistemas. Quien haga mercadotecnia directa debe consultarlos antes, salvo que el afectado le hubiera dado su consentimiento.

Artículo 24. Tratamiento de datos para la protección de las personas que informen sobre infracciones normativas

Declara lícitos los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas. Esos tratamientos se rigen por tres normas: el Reglamento (UE) 2016/679, la propia Ley Orgánica 3/2018 y la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Artículo 25. Tratamiento de datos en el ámbito de la función estadística pública

La función estadística pública trata los datos según su legislación específica, el Reglamento (UE) 2016/679 y la ley orgánica. La comunicación de datos a los órganos estadísticos solo se ampara en el artículo 6.1 e) del Reglamento si la estadística la exige una norma de Derecho de la Unión Europea o figura en los instrumentos de programación estadística legalmente previstos. Los datos de los artículos 9 y 10 del Reglamento son de aportación estrictamente voluntaria y requieren consentimiento expreso. Los derechos de los artículos 15 a 22 pueden denegarse si hay secreto estadístico.

Artículo 26. Tratamiento de datos con fines de archivo en interés público por parte de las Administraciones Públicas

Declara lícito el tratamiento por las Administraciones Públicas de datos con fines de archivo en interés público. Se somete al Reglamento (UE) 2016/679 y a la Ley Orgánica 3/2018, con las especialidades derivadas de la Ley 16/1985, del Patrimonio Histórico Español, del Real Decreto 1708/2011, que establece el Sistema Español de Archivos, y de la legislación autonómica que resulte de aplicación.

Artículo 27. Tratamiento de datos relativos a infracciones y sanciones administrativas

El tratamiento de datos de infracciones y sanciones administrativas, incluidos los registros, exige dos condiciones: que el responsable sea el órgano competente para instruir el procedimiento sancionador, declarar la infracción o imponer la sanción, y que se limite a los datos estrictamente necesarios. Si falta alguna, hace falta consentimiento del interesado o autorización por norma con rango de ley. Fuera de esos casos, solo cabe si lo realizan abogados y procuradores para recoger la información facilitada por sus clientes para el ejercicio de sus funciones.

Artículo 28. Obligaciones generales del responsable y encargado del tratamiento

Responsables y encargados determinan las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme con el Reglamento (UE) 2016/679, la ley orgánica, sus normas de desarrollo y la legislación sectorial, y valoran si procede la evaluación de impacto y la consulta previa. Tendrán en cuenta los mayores riesgos de: discriminación, usurpación de identidad o fraude; privación de derechos; categorías especiales de datos; perfiles; menores y personas con discapacidad; tratamiento masivo, y transferencias habituales sin nivel adecuado de protección.

Artículo 29. Supuestos de corresponsabilidad en el tratamiento

Cuando hay varios corresponsables del tratamiento, las responsabilidades a las que se refiere el artículo 26.1 del Reglamento (UE) 2016/679 se determinan atendiendo a las actividades que efectivamente desarrolle cada uno de ellos. El único criterio que da el artículo es, pues, la actividad efectiva de cada corresponsable.

Artículo 30. Representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea

Si el Reglamento (UE) 2016/679 se aplica, por su artículo 3.2, a un responsable o encargado no establecido en la Unión Europea y el tratamiento se refiere a afectados que se hallen en España, la Agencia Española de Protección de Datos o las autoridades autonómicas podrán imponer al representante, solidariamente con aquel, las medidas del Reglamento. Ello no excluye la responsabilidad del responsable o encargado ni la acción de repetición del representante. De los daños y perjuicios del artículo 82 del Reglamento responden solidariamente responsables, encargados y representantes.

Artículo 31. Registro de las actividades de tratamiento

Responsables y encargados o, en su caso, sus representantes mantendrán el registro de actividades de tratamiento del artículo 30 del Reglamento (UE) 2016/679, salvo la excepción de su apartado 5. El registro podrá organizarse en torno a conjuntos estructurados de datos y especificará, según sus finalidades, las actividades de tratamiento. Si hay delegado de protección de datos, se le comunicará cualquier adición, modificación o exclusión. Los sujetos del artículo 77.1 publicarán un inventario accesible por medios electrónicos con la información del artículo 30 del Reglamento y su base legal.

Artículo 32. Bloqueo de los datos

El responsable debe bloquear los datos cuando los rectifique o suprima. Bloquear es identificarlos y reservarlos, con medidas técnicas y organizativas, para impedir su tratamiento, incluida su visualización, salvo su puesta a disposición de jueces y tribunales, Ministerio Fiscal o Administraciones Públicas competentes para exigir responsabilidades, solo por el plazo de prescripción de estas; después se destruyen. Si el sistema no permite el bloqueo o exige un esfuerzo desproporcionado, se hace un copiado seguro. Las autoridades de protección de datos pueden fijar excepciones.

Artículo 33. Encargado del tratamiento

El acceso del encargado a los datos necesarios para prestar el servicio no es comunicación de datos si se cumple la normativa. Es responsable, y no encargado, quien en su propio nombre y sin que conste que actúa por cuenta de otro establezca relaciones con los afectados (salvo encargos de contratación del sector público) y quien, figurando como encargado, use los datos para fines propios. Al acabar el servicio, el responsable decide si los datos se destruyen, se devuelven o se entregan a un nuevo encargado. El encargado puede conservarlos bloqueados si pudieran derivarse responsabilidades.

Artículo 34. Designación de un delegado de protección de datos

Deben designar delegado de protección de datos los responsables y encargados en los supuestos del artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, las entidades de las letras a) a o), como colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras, centros sanitarios, seguridad privada o federaciones deportivas con datos de menores. Los demás pueden hacerlo voluntariamente. Designaciones, nombramientos y ceses se comunican en diez días a la Agencia Española de Protección de Datos o a las autoridades autonómicas, que llevan una lista actualizada.

Artículo 35. Cualificación del delegado de protección de datos

El cumplimiento de los requisitos para designar al delegado de protección de datos, sea persona física o jurídica, podrá demostrarse, entre otros medios, mediante mecanismos voluntarios de certificación. Esos mecanismos tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.

Artículo 36. Posición del delegado de protección de datos

El delegado es interlocutor del responsable o encargado ante la AEPD y las autoridades autonómicas; puede inspeccionar procedimientos y emitir recomendaciones. Si es persona física integrada en la organización, no puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave. Se garantiza su independencia, evitando conflictos de intereses. Accede a datos y procesos sin que quepa oponerle confidencialidad o secreto. Si aprecia una vulneración relevante, la documenta y la comunica inmediatamente a los órganos de administración y dirección.

Artículo 37. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos

Si hay delegado designado, el afectado puede dirigirse a él antes de reclamar ante la AEPD o la autoridad autonómica; el delegado le comunicará la decisión en el plazo máximo de dos meses desde la recepción de la reclamación. Si el afectado reclama ante la autoridad, esta puede remitir la reclamación al delegado para que responda en un mes; si no comunica la respuesta, la autoridad continúa el procedimiento. El procedimiento ante la AEPD es el del Título VIII y sus normas de desarrollo; las comunidades autónomas regulan el suyo.

Artículo 38. Códigos de conducta

Los códigos de conducta vinculan a quienes se adhieran y pueden tener mecanismos de resolución extrajudicial de conflictos. Pueden promoverlos también empresas o grupos de empresas. Los adheridos someten al organismo de supervisión las reclamaciones que no consideren procedente atender; si este las rechaza o no se le someten, el afectado puede acudir a la AEPD o a la autoridad autonómica. Los aprueba la AEPD o la autoridad autonómica competente, que mantienen registros interconectados y accesibles por medios electrónicos. Un real decreto fijará el contenido del registro.

Artículo 39. Acreditación de instituciones de certificación

Sin perjuicio de las funciones y poderes de acreditación de la autoridad de control competente, la acreditación de las instituciones de certificación podrá ser llevada a cabo por la Entidad Nacional de Acreditación (ENAC). La ENAC comunicará a la Agencia Española de Protección de Datos y a las autoridades de protección de datos de las comunidades autónomas las concesiones, denegaciones o revocaciones de las acreditaciones, así como su motivación.

Artículo 40. Régimen de las transferencias internacionales de datos

Las transferencias internacionales de datos se rigen por el Reglamento (UE) 2016/679, por esta ley orgánica y sus normas de desarrollo aprobadas por el Gobierno, y por las circulares de la Agencia Española de Protección de Datos y de las autoridades autonómicas de protección de datos, en el ámbito de sus respectivas competencias. En todo caso, a los tratamientos en que consista la propia transferencia se les aplican las disposiciones de esas normas, en particular las que regulan los principios de protección de datos.

Artículo 41. Supuestos de adopción por la Agencia Española de Protección de Datos

La AEPD y las autoridades autonómicas de protección de datos podrán adoptar cláusulas contractuales tipo para transferencias internacionales, que se someterán previamente al dictamen del Comité Europeo de Protección de Datos. También podrán aprobar normas corporativas vinculantes: el procedimiento se inicia a instancia de una entidad situada en España, dura como máximo nueve meses, se suspende al remitir el expediente al Comité para dictamen y continúa tras su notificación a la autoridad competente.

Artículo 42. Supuestos sometidos a autorización previa de las autoridades de protección de datos

Las transferencias a países u organizaciones internacionales sin decisión de adecuación de la Comisión ni amparo en las garantías previstas requieren autorización previa de la AEPD o, en su caso, de la autoridad autonómica. Puede otorgarse: a) si se basan en cláusulas contractuales que no sean las cláusulas tipo; b) si las realizan los responsables o encargados del artículo 77.1 con base en acuerdos internacionales no normativos, incluidos los memorandos de entendimiento. Duración máxima: seis meses. La remisión del expediente al Comité Europeo suspende el procedimiento.

Artículo 43. Supuestos sometidos a información previa a la autoridad de protección de datos competente

Los responsables del tratamiento deben informar a la AEPD o, en su caso, a las autoridades autonómicas de cualquier transferencia internacional que pretendan realizar sobre la base de su necesidad para fines relacionados con intereses legítimos imperiosos. También informarán a los afectados de la transferencia y de esos intereses. La información se facilita con carácter previo a la transferencia. No se aplica a las actividades de las autoridades públicas en el ejercicio de sus poderes públicos.

Artículo 44. Disposiciones generales

La AEPD es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos. Su denominación oficial es «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente». Se relaciona con el Gobierno a través del Ministerio de Justicia. Es representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Colabora con el Consejo General del Poder Judicial y, en su caso, la Fiscalía General del Estado.

Artículo 45. Régimen jurídico

La Agencia Española de Protección de Datos se rige por el Reglamento (UE) 2016/679, por esta ley orgánica y por sus disposiciones de desarrollo. Supletoriamente, en cuanto sea compatible con su plena independencia, se rige por las normas citadas en el artículo 110.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público. Su Estatuto lo aprueba el Gobierno, a propuesta de la propia Agencia, mediante real decreto.

Artículo 46. Régimen económico presupuestario y de personal

La Agencia elabora y aprueba su presupuesto y lo remite al Gobierno para integrarlo, con independencia, en los Presupuestos Generales del Estado. Modificaciones: hasta el 3 % de la cifra inicial del presupuesto total de gastos las autoriza la Presidencia (sin incrementar gastos de personal); las restantes que no excedan del 5 %, el Ministerio de Hacienda; las demás, el Gobierno. El resultado positivo de sus ingresos va a reservas. Personal funcionario o laboral. Aprueba su relación de puestos de trabajo. Control de la Intervención General de la Administración del Estado.

Artículo 47. Funciones y potestades de la Agencia Española de Protección de Datos

Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de la ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones del artículo 57 y las potestades del artículo 58 de ese reglamento, de la propia ley orgánica y de sus disposiciones de desarrollo. Además, desempeña las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.

Artículo 48. La Presidencia de la Agencia Española de Protección de Datos

La Presidencia dirige la Agencia, la representa y dicta sus resoluciones, circulares y directrices; la auxilia un Adjunto. Ambos actúan con plena independencia y objetividad. Los nombra el Gobierno a propuesta del Ministerio de Justicia, con ratificación de la Comisión de Justicia del Congreso por tres quintos o, en segunda votación, mayoría absoluta con votos de al menos dos grupos. Mandato de cinco años, renovable por otro igual. Cese anticipado: a petición propia o por separación por cuatro causas. Sus actos ponen fin a la vía administrativa y se recurren ante la Audiencia Nacional.

Artículo 49. Consejo Consultivo de la Agencia Española de Protección de Datos

El Consejo Consultivo asesora a la Presidencia de la Agencia. Lo integran un Diputado, un Senador, un representante del Consejo General del Poder Judicial, otro de la Administración General del Estado, uno por cada Comunidad Autónoma con Autoridad de protección de datos, representantes y expertos; son dos los expertos de las Organizaciones Empresariales y dos los de las organizaciones sindicales más representativas. Los nombra el Ministro de Justicia por orden publicada en el BOE. Se reúne cuando lo disponga la Presidencia y, en todo caso, una vez al semestre. Sus decisiones no vinculan.

Artículo 50. Publicidad

La Agencia publica las resoluciones de su Presidencia que: declaren haber lugar o no a la atención de los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679; pongan fin a los procedimientos sancionadores y a los de apercibimiento; archiven las actuaciones previas de investigación; se dicten respecto de las entidades del artículo 77.1 de la ley orgánica; impongan medidas cautelares; y las demás que disponga su Estatuto.

Artículo 51. Ámbito y personal competente

La Agencia investiga a través de las actuaciones del Título VIII y de los planes de auditoría preventivas. La investigación la realizan funcionarios de la Agencia o funcionarios ajenos a ella habilitados expresamente por su Presidencia. En actuaciones conjuntas, el personal de autoridades de control de otros Estados miembros actúa con arreglo a la ley orgánica y bajo la orientación y en presencia del personal de la Agencia. Los funcionarios que investigan son agentes de la autoridad en el ejercicio de sus funciones y deben guardar secreto, incluso después de haber cesado.

Artículo 52. Deber de colaboración

Las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y los particulares deben dar a la Agencia los datos, informes, antecedentes y justificantes necesarios para investigar. Si no ha podido identificar al responsable por otros medios, la Agencia puede recabar de las Administraciones los datos imprescindibles y, de operadores y prestadores, datos de telefonía (número de origen ocultado, abonado, confirmación de llamada) o de Internet (dirección de protocolo, fecha y hora, abonado). Quedan excluidos los datos de tráfico tratados solo para cumplir la Ley 25/2007.

Artículo 53. Alcance de la actividad de investigación

Quienes investigan pueden recabar informaciones, realizar inspecciones, requerir la exhibición o el envío de documentos y datos, examinarlos donde estén depositados o donde se realicen los tratamientos, obtener copia, inspeccionar los equipos físicos y lógicos y requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte. El acceso al domicilio constitucionalmente protegido del inspeccionado exige su consentimiento o autorización judicial. En órganos u oficinas judiciales, la inspección se efectúa a través y por mediación del Consejo General del Poder Judicial.

Artículo 53 bis. Actuaciones de investigación a través de sistemas digitales

Las actuaciones de investigación pueden hacerse por sistemas digitales que, mediante videoconferencia u otro sistema similar, permitan la comunicación bidireccional y simultánea de imagen y sonido y la interacción visual, auditiva y verbal entre la Agencia y el inspeccionado. Deben garantizar la transmisión y recepción seguras de documentos e información y, en su caso, recoger las evidencias y el resultado asegurando su autoría, autenticidad e integridad. Se usan cuando lo determine la Agencia y con la conformidad del inspeccionado sobre su uso y sobre la fecha y hora.

Artículo 54. Planes de auditoría

La Presidencia de la Agencia puede acordar planes de auditoría preventiva referidos a los tratamientos de un sector concreto de actividad, para analizar el cumplimiento del Reglamento (UE) 2016/679 y de la ley orgánica mediante actividades de investigación. A resultas de ellos puede dictar directrices generales o específicas para un concreto responsable o encargado y pedir, al elaborarlas, la colaboración de los organismos de supervisión de los códigos de conducta y de resolución extrajudicial de conflictos, si los hubiere. Las directrices son de obligado cumplimiento.

Artículo 55. Potestades de regulación. Circulares de la Agencia Española de Protección de Datos

La Presidencia de la Agencia puede dictar disposiciones que fijen los criterios a que responderá la actuación de esta autoridad al aplicar el Reglamento (UE) 2016/679 y la ley orgánica; se denominan «Circulares de la Agencia Española de Protección de Datos». Se elaboran conforme al procedimiento del Estatuto de la Agencia, que debe prever los informes técnicos y jurídicos necesarios y la audiencia a los interesados. Son obligatorias una vez publicadas en el Boletín Oficial del Estado.

Artículo 56. Acción exterior

La Agencia Española de Protección de Datos es titular de la acción exterior del Estado en protección de datos. Las comunidades autónomas, mediante sus autoridades autonómicas, son sujetos de la acción exterior en sus competencias y pueden celebrar acuerdos internacionales administrativos y acuerdos no normativos, estos últimos no vinculantes jurídicamente. La Agencia es la representante común en el Comité Europeo de Protección de Datos, informa a las autonómicas de sus decisiones y recaba su parecer en materias de su competencia. Colabora con otros Estados, en particular en Iberoamérica.

Artículo 57. Autoridades autonómicas de protección de datos

Las autoridades autonómicas de protección de datos pueden ejercer, de acuerdo con la normativa autonómica, las funciones y potestades de los artículos 57 y 58 del Reglamento (UE) 2016/679 sobre tres grupos de tratamientos: los del sector público de la Comunidad Autónoma o de las Entidades Locales de su ámbito territorial (y de quienes presten servicios por gestión directa o indirecta); los de personas físicas o jurídicas para el ejercicio de funciones públicas en materias de competencia autonómica o local; y los previstos expresamente en los Estatutos de Autonomía. Pueden dictar circulares.

Artículo 58. Cooperación institucional

La Presidencia de la Agencia Española de Protección de Datos convoca a las autoridades autonómicas, por iniciativa propia o cuando lo solicite otra autoridad, para contribuir a la aplicación coherente del Reglamento (UE) 2016/679 y de la ley orgánica. En todo caso se celebran reuniones semestrales de cooperación. La Presidencia y las autoridades autonómicas pueden solicitar y deben intercambiarse la información necesaria para sus funciones, en particular la relativa al Comité Europeo de Protección de Datos, y pueden constituir grupos de trabajo sobre asuntos de interés común.

Artículo 59. Tratamientos contrarios al Reglamento (UE) 2016/679

Si la Presidencia de la Agencia Española de Protección de Datos considera que un tratamiento realizado en materias de competencia de las autoridades autonómicas vulnera el Reglamento (UE) 2016/679, puede requerirlas para que adopten, en el plazo de un mes, las medidas necesarias para su cesación. Si la autoridad autonómica no atiende el requerimiento en plazo o las medidas adoptadas no suponen la cesación del tratamiento ilícito, la Agencia puede ejercer las acciones que procedan ante la jurisdicción contencioso-administrativa.

Artículo 60. Coordinación en caso de emisión de dictamen por el Comité Europeo de Protección de Datos

Cuando las autoridades autonómicas de protección de datos, como autoridades competentes, deban someter su proyecto de decisión al Comité Europeo de Protección de Datos o le soliciten el examen de un asunto, todas las comunicaciones entre el Comité y esas autoridades se practican por conducto de la Agencia Española de Protección de Datos. En estos casos, la Agencia es asistida por un representante de la Autoridad autonómica en su intervención ante el Comité.

Artículo 61. Intervención en caso de tratamientos transfronterizos

Las autoridades autonómicas tienen la condición de autoridad de control principal o interesada en el procedimiento del artículo 60 del Reglamento (UE) 2016/679 cuando se trate de un tratamiento del artículo 57 de la ley orgánica realizado por un responsable o encargado de los previstos en el artículo 56 del Reglamento, salvo que desarrolle significativamente tratamientos de la misma naturaleza en el resto del territorio español. En esos casos intervienen ellas en el procedimiento e informan a la Agencia sobre su desarrollo cuando deba aplicarse el mecanismo de coherencia.

Artículo 62. Coordinación en caso de resolución de conflictos por el Comité Europeo de Protección de Datos

Cuando las autoridades autonómicas, como autoridades principales, deban solicitar al Comité Europeo de Protección de Datos una decisión vinculante, todas las comunicaciones entre ellas y el Comité se practican por conducto de la Agencia. Las autoridades autonómicas que sean autoridad interesada no principal informan a la Agencia cuando el asunto se remita al Comité y le facilitan la documentación e información necesarias para su tramitación. La Agencia es asistida por un representante de la autoridad autonómica interesada en su intervención ante el Comité.

Artículo 63. Régimen jurídico

El Título se aplica a los procedimientos de la Agencia cuando un afectado reclame que no se ha atendido su solicitud de ejercicio de los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679 y cuando la Agencia investigue una posible infracción del reglamento o de la ley orgánica. Se rigen por el Reglamento, la ley orgánica, sus disposiciones reglamentarias de desarrollo y, subsidiariamente y en cuanto no las contradigan, por las normas generales sobre los procedimientos administrativos. El Gobierno los regulará por real decreto, asegurando los derechos de defensa y audiencia.

Artículo 64. Forma de iniciación del procedimiento y duración

Si el procedimiento se refiere solo a la falta de atención de un derecho, se inicia por acuerdo de admisión a trámite y se resuelve en seis meses desde su notificación al reclamante; vencido el plazo, la reclamación puede considerarse estimada. Si versa sobre una posible infracción, se inicia por acuerdo de inicio y dura doce meses como máximo desde él; el de apercibimiento, seis meses; vencidos, caducidad y archivo. Los plazos se suspenden automáticamente al recabar información de la Unión Europea o de otras autoridades de control, y por resolución motivada si es de un órgano jurisdiccional.

Artículo 65. Admisión a trámite de las reclamaciones

La Agencia evalúa la admisibilidad de cada reclamación. Inadmite las que no versen sobre protección de datos, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de infracción; puede inadmitir si, previa advertencia, se adoptaron medidas correctivas y no hubo perjuicio (infracciones del artículo 74) o el derecho queda plenamente garantizado. Antes puede remitirla al delegado de protección de datos o al responsable o encargado, que responde en un mes. La decisión se notifica en tres meses; si no, se entiende que prosigue la tramitación.

Artículo 66. Determinación del alcance territorial

Salvo en los supuestos del artículo 64.4, la Agencia debe, antes de cualquier otra actuación —incluida la admisión a trámite de una reclamación o el comienzo de actuaciones previas de investigación—, examinar su competencia y determinar el carácter nacional o transfronterizo del procedimiento. Si considera que no es la autoridad de control principal, remite la reclamación, sin más trámite, a la que considere competente y lo notifica a quien la hubiera formulado. El acuerdo de remisión implica el archivo provisional del procedimiento.

Artículo 67. Actuaciones previas de investigación

Antes del acuerdo de inicio del procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá realizar actuaciones previas de investigación para determinar mejor los hechos y circunstancias que justifican la tramitación. Actuará en todo caso cuando haya que investigar tratamientos que impliquen un tráfico masivo de datos personales. Duración máxima: dieciocho meses desde el acuerdo de admisión a trámite o desde el acuerdo que decida iniciarlas si la Agencia actúa por propia iniciativa.

Artículo 68. Acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora

Concluidas, en su caso, las actuaciones previas, corresponde a la Presidencia de la Agencia Española de Protección de Datos dictar, cuando proceda, el acuerdo de inicio del procedimiento sancionador. En él se concretan cuatro extremos: los hechos, la identificación de la persona o entidad contra la que se dirige, la infracción que hubiera podido cometerse y su posible sanción. Si la Agencia es autoridad de control principal y debe seguirse el procedimiento del artículo 60 del Reglamento (UE) 2016/679, el proyecto de acuerdo de inicio se somete a lo dispuesto en ese artículo.

Artículo 69. Medidas provisionales y de garantía de los derechos

Durante las actuaciones previas o iniciado el procedimiento sancionador, la Agencia podrá acordar motivadamente medidas provisionales necesarias y proporcionadas; en especial, las del artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado. Ante un menoscabo grave, podrá ordenar el bloqueo y la cesación del tratamiento y, si se incumple, inmovilizar. Si se reclama por falta de atención en plazo de derechos, podrá obligar a atenderlos en cualquier momento, con resolución motivada y audiencia del responsable.

Artículo 70. Sujetos responsables

Están sujetos al régimen sancionador del Reglamento (UE) 2016/679 y de la ley orgánica cinco sujetos: los responsables de los tratamientos; los encargados de los tratamientos; los representantes de los responsables o encargados no establecidos en el territorio de la Unión Europea; las entidades de certificación, y las entidades acreditadas de supervisión de los códigos de conducta. Al delegado de protección de datos no se le aplica el régimen sancionador del Título.

Artículo 71. Infracciones

Son infracciones los actos y conductas a los que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 y, además, los que resulten contrarios a la propia ley orgánica. El artículo no enumera conductas concretas: define la infracción por remisión a esos tres apartados y a la propia ley.

Artículo 72. Infracciones consideradas muy graves

Son muy graves y prescriben a los tres años las infracciones que supongan una vulneración sustancial de los artículos que menciona el artículo 83.5 del Reglamento (UE) 2016/679. Entre otras: tratar datos vulnerando principios y garantías o sin condición de licitud, usarlos para una finalidad no compatible sin consentimiento ni base legal, omitir el deber de informar, vulnerar la confidencialidad, no atender reiteradamente los derechos, incumplir el bloqueo, resistir u obstruir la inspección y revertir deliberadamente una anonimización. Igual consideración y plazo tienen las del artículo 83.6.

Artículo 73. Infracciones consideradas graves

Son graves y prescriben a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en el artículo 83.4 del Reglamento (UE) 2016/679. Entre otras: tratar datos de un menor sin el consentimiento exigido, no adoptar las medidas técnicas y organizativas apropiadas, encargar el tratamiento sin contrato u otro acto jurídico escrito previo, subcontratar sin autorización previa del responsable, no disponer del registro de actividades, no designar delegado cuando sea exigible o usar un sello no otorgado por entidad acreditada o expirado.

Artículo 74. Infracciones consideradas leves

Son leves y prescriben al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679. Entre otras: no facilitar toda la información exigida, cobrar un canon que exceda de los costes afrontados, no suprimir datos de una persona fallecida cuando sea exigible, tener un Registro de actividades que no incorpore toda la información, notificar de forma incompleta, tardía o defectuosa una violación de seguridad o no publicar o no comunicar los datos de contacto del delegado.

Artículo 75. Interrupción de la prescripción de la infracción

La prescripción de la infracción se interrumpe con la iniciación del procedimiento sancionador con conocimiento del interesado. El plazo se reinicia si el expediente sancionador está paralizado durante más de seis meses por causas no imputables al presunto infractor. Cuando la Agencia Española de Protección de Datos sea autoridad de control principal y deba seguirse el procedimiento del artículo 60 del Reglamento (UE) 2016/679, lo que interrumpe la prescripción es el conocimiento formal por el interesado del acuerdo de inicio.

Artículo 76. Sanciones y medidas correctivas

Las sanciones se gradúan con los criterios del artículo 83.2 del Reglamento (UE) 2016/679; además podrán valorarse: carácter continuado, vinculación de la actividad con tratamientos, beneficios obtenidos, conducta del afectado que pudo inducir, fusión por absorción posterior no imputable a la absorbente, afectación a menores, tener delegado sin ser obligatorio y sometimiento voluntario a resolución alternativa de conflictos. Se publica en el Boletín Oficial del Estado si sanciona la Agencia, supera un millón de euros y el infractor es persona jurídica; con autoridad autonómica, su normativa.

Artículo 77. Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento

Rige para tratamientos de órganos constitucionales y jurisdiccionales, Administraciones, organismos y entidades de Derecho público, autoridades administrativas independientes, Banco de España, corporaciones de Derecho público (potestades públicas), fundaciones del sector público, Universidades Públicas, consorcios y grupos parlamentarios y políticos locales. Si infringen, la autoridad declara la infracción y fija medidas; puede proponer actuaciones disciplinarias. Se comunica al Defensor del Pueblo o institución autonómica análoga y la Agencia lo publica en su web identificando al infractor.

Artículo 78. Prescripción de las sanciones

Las sanciones prescriben según su importe: al año las de 40.000 euros o menos; a los dos años las de 40.001 a 300.000 euros; a los tres años las superiores a 300.000 euros. El plazo se cuenta desde el día siguiente a aquel en que sea ejecutable la resolución sancionadora o haya transcurrido el plazo para recurrirla. Se interrumpe al iniciarse, con conocimiento del interesado, el procedimiento de ejecución, y vuelve a transcurrir si este queda paralizado más de seis meses por causa no imputable al infractor.

Artículo 79. Los derechos en la Era digital

Los derechos y libertades consagrados en la Constitución y en los Tratados y Convenios Internacionales en que España sea parte son plenamente aplicables en Internet. Quienes contribuirán a garantizar su aplicación son dos: los prestadores de servicios de la sociedad de la información y los proveedores de servicios de Internet.

Artículo 80. Derecho a la neutralidad de Internet

Los usuarios tienen derecho a la neutralidad de Internet. Los proveedores de servicios de Internet proporcionarán una oferta transparente de servicios, sin discriminación por dos clases de motivos: técnicos o económicos.

Artículo 81. Derecho de acceso universal a Internet

Todos tienen derecho a acceder a Internet con independencia de su condición personal, social, económica o geográfica. Se garantizará un acceso universal, asequible, de calidad y no discriminatorio para toda la población. El acceso procurará superar la brecha de género (ámbito personal y laboral) y la brecha generacional (acciones de formación y acceso a las personas mayores). La garantía efectiva atenderá la realidad de los entornos rurales y el acceso garantizará condiciones de igualdad a las personas con necesidades especiales.

Artículo 82. Derecho a la seguridad digital

Los usuarios tienen derecho a la seguridad de las comunicaciones que transmitan y reciban a través de Internet. A los proveedores de servicios de Internet les corresponde informar a los usuarios de sus derechos.

Artículo 83. Derecho a la educación digital

El sistema educativo garantizará la plena inserción del alumnado en la sociedad digital y un uso crítico y seguro de los medios digitales, con actuaciones de carácter inclusivo. Las Administraciones educativas incluirán en el currículo la competencia digital y los riesgos del mal uso de las TIC, con especial atención a la violencia en la red. El profesorado recibirá competencias digitales y formación. Los títulos universitarios garantizarán formación en su uso y seguridad. Los temarios de acceso a cuerpos superiores y a los que accedan a datos personales incluirán estas materias.

Artículo 84. Protección de los menores en Internet

Padres, madres, tutores, curadores o representantes legales procurarán que los menores hagan un uso equilibrado y responsable de los dispositivos digitales y de los servicios de la sociedad de la información. Si la utilización o difusión de imágenes o información personal de menores en redes sociales y servicios equivalentes puede implicar una intromisión ilegítima en sus derechos fundamentales, intervendrá el Ministerio Fiscal, que instará las medidas cautelares y de protección de la Ley Orgánica 1/1996, de Protección Jurídica del Menor.

Artículo 85. Derecho de rectificación en Internet

Todos tienen derecho a la libertad de expresión en Internet. Los responsables de redes sociales y servicios equivalentes adoptarán protocolos adecuados para posibilitar la rectificación ante usuarios que difundan contenidos contra el honor, la intimidad personal y familiar y el derecho a comunicar o recibir libremente información veraz. Los medios de comunicación digitales que deban atender una rectificación publicarán en sus archivos digitales un aviso aclaratorio de que la noticia original no refleja la situación actual del individuo, en lugar visible junto con la información original.

Artículo 86. Derecho a la actualización de informaciones en medios de comunicación digitales

Toda persona puede solicitar motivadamente a los medios de comunicación digitales un aviso de actualización suficientemente visible junto a las noticias que le conciernan, cuando la información original no refleje su situación actual por circunstancias posteriores a la publicación y ello le cause un perjuicio. En particular, procede cuando la noticia se refiera a actuaciones policiales o judiciales afectadas en beneficio del interesado por decisiones judiciales posteriores; en ese caso el aviso hará referencia a la decisión posterior.

Artículo 87. Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral

Trabajadores y empleados públicos tienen derecho a la protección de su intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador. Este solo puede acceder a sus contenidos para controlar el cumplimiento de las obligaciones laborales o estatutarias y garantizar la integridad de los dispositivos. Debe establecer criterios de utilización, con participación de los representantes de los trabajadores, e informar de ellos a los trabajadores. Si admite el uso privado, el acceso exige especificar de modo preciso los usos autorizados y establecer garantías.

Artículo 88. Derecho a la desconexión digital en el ámbito laboral

Trabajadores y empleados públicos tienen derecho a la desconexión digital para garantizar, fuera del tiempo de trabajo, su descanso, permisos y vacaciones y su intimidad personal y familiar. Las modalidades de ejercicio se sujetan a la negociación colectiva o, en su defecto, a lo acordado entre la empresa y los representantes de los trabajadores. El empleador, previa audiencia de dichos representantes, elaborará una política interna dirigida a trabajadores, incluidos los directivos, con las modalidades de ejercicio y acciones de formación y sensibilización.

Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo

Los empleadores pueden tratar imágenes de cámaras o videocámaras para el control de trabajadores o empleados públicos, dentro de su marco legal, informando con carácter previo y de forma expresa, clara y concisa a estos y, en su caso, a sus representantes. Ante un acto ilícito flagrante basta con que exista al menos el dispositivo del artículo 22.4. En ningún caso se admiten videovigilancia ni grabación de sonidos en lugares de descanso o esparcimiento (vestuarios, aseos, comedores y análogos). Grabar sonidos solo cabe por riesgos relevantes para la seguridad.

Artículo 90. Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral

Los empleadores pueden tratar los datos obtenidos mediante sistemas de geolocalización para ejercer las funciones de control de trabajadores o empleados públicos, dentro de su marco legal y con sus límites. Con carácter previo deben informar de forma expresa, clara e inequívoca a los trabajadores o empleados públicos y, en su caso, a sus representantes, de la existencia y características de los dispositivos, y también del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión.

Artículo 91. Derechos digitales en la negociación colectiva

Los convenios colectivos podrán establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y con la salvaguarda de derechos digitales en el ámbito laboral. Es una posibilidad («podrán»), no una obligación, y las garantías que se prevén son adicionales.

Artículo 92. Protección de datos de los menores en Internet

Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad deben garantizar la protección del interés superior del menor y sus derechos fundamentales, especialmente el de protección de datos personales, al publicar o difundir sus datos a través de servicios de la sociedad de la información. Si la publicación o difusión va a hacerse en redes sociales o servicios equivalentes, deben contar con el consentimiento del menor o sus representantes legales, conforme al artículo 7 de la ley orgánica.

Artículo 93. Derecho al olvido en búsquedas de Internet

Toda persona tiene derecho a que los motores de búsqueda eliminen, de los resultados obtenidos al buscar por su nombre, los enlaces con información sobre ella que sea inadecuada, inexacta, no pertinente, no actualizada o excesiva, o que haya devenido tal por el transcurso del tiempo. También cuando sus circunstancias personales evidencien la prevalencia de sus derechos. El derecho subsiste aunque sea lícito conservar la información en el sitio web y este no la borre. No impide acceder a la información con otros criterios de búsqueda distintos del nombre.

Artículo 94. Derecho al olvido en servicios de redes sociales y servicios equivalentes

Toda persona puede obtener, a su simple solicitud, la supresión de los datos personales que ella misma facilitó para su publicación en redes sociales y servicios equivalentes. Los facilitados por terceros se suprimen cuando sean inadecuados, inexactos, no pertinentes, no actualizados o excesivos, o cuando sus circunstancias personales evidencien la prevalencia de sus derechos; se exceptúan los facilitados por personas físicas en actividades personales o domésticas. Los facilitados durante la minoría de edad, por él o por terceros, se suprimen sin dilación por simple solicitud.

Artículo 95. Derecho de portabilidad en servicios de redes sociales y servicios equivalentes

Los usuarios de redes sociales y servicios de la sociedad de la información equivalentes tienen derecho a recibir y transmitir los contenidos que hubieran facilitado a los prestadores, y a que estos los transmitan directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible. Los prestadores podrán conservar copia de los contenidos, sin difundirla a través de Internet, cuando la conservación sea necesaria para cumplir una obligación legal.

Artículo 96. Derecho al testamento digital

Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden dirigirse a los prestadores para acceder a los contenidos e impartir instrucciones sobre su utilización, destino o supresión, salvo prohibición expresa del fallecido o de una ley; la prohibición no afecta al acceso de los herederos a los contenidos del caudal relicto. También el albacea o la persona o institución designada. Si el fallecido es menor: representantes legales o Ministerio Fiscal, de oficio o a instancia de interesado. Los requisitos se fijarán por real decreto.

Artículo 97. Políticas de impulso de los derechos digitales

El Gobierno, en colaboración con las comunidades autónomas, elaborará un Plan de Acceso a Internet con tres objetivos: superar las brechas digitales (entre otras medidas, con un bono social de acceso a Internet), impulsar espacios de conexión de acceso público y fomentar medidas educativas en competencias digitales básicas. Además se aprobará un Plan de Actuación para que los menores de edad hagan un uso equilibrado y responsable de dispositivos digitales y redes sociales. El Gobierno presentará un informe anual ante la comisión parlamentaria correspondiente del Congreso de los Diputados.

Artículo 1. Objeto

El Reglamento establece dos grupos de normas: las de protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las de libre circulación de tales datos. Protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.

Artículo 2. Ámbito de aplicación material

Se aplica al tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. No se aplica al tratamiento: en actividades no comprendidas en el Derecho de la Unión; por los Estados miembros en actividades del capítulo 2 del título V del TUE; por una persona física en actividades exclusivamente personales o domésticas; ni por las autoridades competentes con fines penales, incluida la protección frente a amenazas a la seguridad pública. A las instituciones de la Unión se les aplica el Reglamento (CE) n.º 45/2001.

Artículo 3. Ámbito territorial

1) Tratamiento en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, tenga lugar este en la Unión o no. 2) Tratamiento de datos de interesados que se encuentren en la Unión por responsable o encargado no establecido en ella, si se relaciona con la oferta de bienes o servicios a esos interesados en la Unión (se les requiera o no su pago) o con el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3) Responsable no establecido en la Unión sino en un lugar donde rige el Derecho de los Estados miembros por el Derecho internacional público.

Artículo 4. Definiciones

Recoge 26 definiciones. Datos personales: toda información sobre una persona física identificada o identificable (el interesado). Tratamiento: cualquier operación sobre datos personales, por procedimientos automatizados o no. Responsable: quien, solo o junto con otros, determina los fines y medios. Encargado: quien trata datos por cuenta del responsable. Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. Limitación del tratamiento: marcado de los datos conservados para limitar su tratamiento en el futuro.

Artículo 5. Principios relativos al tratamiento

Los datos serán: tratados de manera lícita, leal y transparente; recogidos con fines determinados, explícitos y legítimos (limitación de la finalidad); adecuados, pertinentes y limitados a lo necesario (minimización de datos); exactos y, si fuera necesario, actualizados (exactitud); mantenidos de forma que se permita identificar a los interesados no más tiempo del necesario, salvo fines de archivo, investigación o estadísticos conforme al artículo 89.1 (limitación del plazo de conservación); y tratados con seguridad adecuada (integridad y confidencialidad). El responsable responde de cumplirlo y debe ser capaz de demostrarlo (responsabilidad proactiva).

Artículo 6. Licitud del tratamiento

El tratamiento solo será lícito si se cumple al menos una condición: a) consentimiento para uno o varios fines específicos; b) ejecución de un contrato o medidas precontractuales a petición del interesado; c) obligación legal del responsable; d) intereses vitales del interesado o de otra persona física; e) misión en interés público o ejercicio de poderes públicos; f) intereses legítimos del responsable o de un tercero, si no prevalecen los del interesado, en particular si es un niño. La letra f) no se aplica a las autoridades públicas en el ejercicio de sus funciones.

Artículo 7. Condiciones para el consentimiento

Si el tratamiento se basa en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió. Si se da en una declaración escrita que también se refiera a otros asuntos, la solicitud se distinguirá claramente de ellos, de forma inteligible y de fácil acceso y con lenguaje claro y sencillo; no vincula la parte que infrinja el Reglamento. El interesado puede retirarlo en cualquier momento, sin afectar a la licitud del tratamiento basada en el consentimiento previo a la retirada; será informado de ello antes de consentir y será tan fácil retirarlo como darlo.

Artículo 8. Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información

Cuando se aplique el artículo 6.1.a) en la oferta directa a niños de servicios de la sociedad de la información, el tratamiento es lícito si el niño tiene como mínimo 16 años. Si es menor de 16, únicamente lo es si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela, y solo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior, siempre que no sea inferior a 13 años. El responsable hará esfuerzos razonables para verificarlo, teniendo en cuenta la tecnología disponible. No afecta al Derecho contractual de los Estados miembros.

Artículo 9. Tratamiento de categorías especiales de datos personales

Prohíbe tratar datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, y tratar datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos de salud o de la vida u orientación sexual. La prohibición no se aplica cuando concurre una de las circunstancias del apartado 2, letras a) a j), como el consentimiento explícito del interesado. Los Estados miembros podrán mantener o introducir condiciones adicionales para datos genéticos, biométricos o de salud.

Artículo 10. Tratamiento de datos personales relativos a condenas e infracciones penales

El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas, sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Un registro completo de condenas penales solo podrá llevarse bajo el control de las autoridades públicas.

Artículo 11. Tratamiento que no requiere identificación

Si los fines del tratamiento no requieren o ya no requieren que el responsable identifique al interesado, aquel no estará obligado a mantener, obtener o tratar información adicional para identificarlo con la única finalidad de cumplir el Reglamento. Cuando el responsable sea capaz de demostrar que no está en condiciones de identificarlo, le informará en consecuencia, de ser posible, y no se aplicarán los artículos 15 a 20, excepto cuando el interesado, para ejercer sus derechos en virtud de esos artículos, facilite información adicional que permita su identificación.

Artículo 12. Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado

El responsable facilita la información de forma concisa, transparente, inteligible y de fácil acceso, con lenguaje claro y sencillo, por escrito o por otros medios (verbalmente si el interesado lo solicita y se demuestra su identidad por otros medios). Responde a las solicitudes sin dilación indebida y, en cualquier caso, en un mes desde la recepción, prorrogable otros dos meses. Si no da curso, lo comunica a más tardar transcurrido un mes. Es gratuito, pero ante solicitudes manifiestamente infundadas o excesivas puede cobrar un canon razonable o negarse a actuar, y debe demostrarlo.

Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado

Cuando los datos se obtienen del interesado, el responsable le informa en el momento en que se obtienen: identidad y contacto del responsable y, en su caso, de su representante; contacto del delegado de protección de datos; fines y base jurídica; intereses legítimos; destinatarios, y transferencias a un tercer país. Además: plazo de conservación o criterios para fijarlo, derechos, retirada del consentimiento, reclamación ante una autoridad de control, si debe facilitar los datos y decisiones automatizadas. No se aplica cuando y en la medida en que el interesado ya disponga de la información.

Artículo 14. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado

Si los datos no se han obtenido del interesado, el responsable le informa, entre otros extremos, de fines y base jurídica, categorías de datos, destinatarios, derechos y fuente de la que proceden. Lo hace en un plazo razonable y a más tardar dentro de un mes; si los usa para comunicarse con el interesado, a más tardar en la primera comunicación; si prevé comunicarlos a otro destinatario, a más tardar cuando se comuniquen por primera vez. No se aplica, entre otros casos, si el interesado ya dispone de la información o si comunicarla resulta imposible o supone un esfuerzo desproporcionado.

Artículo 15. Derecho de acceso del interesado

El interesado puede obtener del responsable confirmación de si se tratan o no sus datos y, en tal caso, acceder a ellos y a esta información: fines, categorías de datos, destinatarios (en particular en terceros países u organizaciones internacionales), plazo previsto de conservación o criterios para fijarlo, derechos de rectificación, supresión, limitación y oposición, reclamación ante una autoridad de control, origen de los datos y decisiones automatizadas. El responsable facilita una copia; por cualquier otra puede percibir un canon razonable basado en los costes administrativos.

Artículo 16. Derecho de rectificación

El interesado tiene derecho a obtener del responsable del tratamiento, sin dilación indebida, la rectificación de los datos personales inexactos que le conciernan. Además, teniendo en cuenta los fines del tratamiento, tiene derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.

Artículo 17. Derecho de supresión («el derecho al olvido»)

El responsable debe suprimir sin dilación indebida los datos cuando: ya no sean necesarios para los fines; se retire el consentimiento y no haya otro fundamento jurídico; el interesado se oponga en los términos de la letra c); se hayan tratado ilícitamente; lo exija una obligación legal, o se obtuvieran en la oferta de servicios de la sociedad de la información. Si los hizo públicos, adopta medidas razonables para informar a los responsables que los traten. No se aplica si el tratamiento es necesario, entre otros casos, para la libertad de expresión e información o para reclamaciones.

Artículo 18. Derecho a la limitación del tratamiento

El interesado puede obtener la limitación cuando: impugne la exactitud de los datos, en un plazo que permita al responsable verificarla; el tratamiento sea ilícito y se oponga a la supresión y solicite en su lugar limitar su uso; el responsable ya no necesite los datos pero el interesado sí para reclamaciones, o se haya opuesto en virtud del artículo 21.1, mientras se verifica si prevalecen los motivos del responsable. Los datos limitados solo se tratan, salvo su conservación, con su consentimiento o en los demás casos del apartado 2. El responsable informa antes de levantar la limitación.

Artículo 19. Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento

El responsable del tratamiento comunica cualquier rectificación o supresión de datos personales o limitación del tratamiento, efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18, a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. Además, informa al interesado acerca de dichos destinatarios, si este así lo solicita.

Artículo 20. Derecho a la portabilidad de los datos

El interesado tiene derecho a recibir los datos personales que le incumban y que haya facilitado a un responsable, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable sin que lo impida el primero, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados. Tiene derecho a la transmisión directa de responsable a responsable cuando sea técnicamente posible. No se aplica al tratamiento necesario para una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.

Artículo 21. Derecho de oposición

El interesado puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento basado en el artículo 6.1, letras e) o f); el responsable deja de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan o para reclamaciones. Si el tratamiento tiene por objeto la mercadotecnia directa, puede oponerse en todo momento y los datos dejan de tratarse para dichos fines. El derecho se menciona explícitamente a más tardar en la primera comunicación, claramente y al margen de cualquier otra información.

Artículo 22. Decisiones individuales automatizadas, incluida la elaboración de perfiles

Todo interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar. No se aplica si es necesaria para celebrar o ejecutar un contrato con un responsable, la autoriza el Derecho de la Unión o de los Estados miembros con medidas adecuadas, o se basa en el consentimiento explícito. En los casos de contrato y consentimiento, el responsable garantiza como mínimo intervención humana, expresar su punto de vista e impugnarla.

Artículo 23. Limitaciones

El Derecho de la Unión o de los Estados miembros puede limitar, mediante medidas legislativas, las obligaciones y derechos de los artículos 12 a 22 y 34 (y del 5 en lo que se corresponda con los artículos 12 a 22) si la limitación respeta en lo esencial los derechos y libertades fundamentales y es necesaria y proporcionada en una sociedad democrática para salvaguardar los objetivos de las letras a) a j), como la seguridad del Estado, la defensa o la seguridad pública. La medida contendrá como mínimo, en su caso, las disposiciones de las letras a) a h) del apartado 2.