Ustawa Organiczna o Ochronie Danych Osobowych i Gwarancji Praw Cyfrowych

Ustawa organiczna 3/2018 o ochronie danych osobowych i gwarancji praw cyfrowych
Cortes Generales
Cytat	BOE-A-2018-16673
Zasięg terytorialny	Hiszpania
Uchwalona przez	Kortezy Generalne
Przeszedł	18 października 2018 (Kongres) 21 listopada 2018 (Senat)
uchwalone	6 grudnia 2018 r
Skuteczny	7 grudnia 2018 r
Uchyla
ustawę organiczną 15/1999 z dnia 13 grudnia o ochronie danych osobowych

Ustawa organiczna 3/2018 z dnia 5 grudnia o ochronie danych osobowych i gwarancji praw cyfrowych (hiszp. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales) to ustawa organiczna zatwierdzona przez Kortezy Generalne , której celem jest dostosowanie hiszpańskiego prawa krajowego do ogólnego rozporządzenia o ochronie danych . Ta ustawa organiczna uchyla poprzednią ustawę organiczną 15/1999 o ochronie danych osobowych , chociaż nadal obowiązuje dla niektórych działań.

Ustawa ta weszła w życie 7 grudnia 2018 r.

Struktura

Ustawa składa się z dziewięćdziesięciu siedmiu artykułów podzielonych na dziesięć działów, dwudziestu dwóch przepisów dodatkowych, sześciu przepisów przejściowych, przepisu uchylającego i szesnastu przepisów końcowych.

Nagłówek I

Odnosi się to do ogólnych przepisów prawa.

Zgodnie z pierwszym artykułem ustawa organiczna ma dwa cele. Pierwszym z nich jest dostosowanie prawa hiszpańskiego do tego, co jest zawarte w ogólnym rozporządzeniu o ochronie danych i „zagwarantowanie, że prawa cyfrowe obywatela są zgodne z mandatem ustanowionym w art. 18 ust. 4 Konstytucji”.

Dział II

Odnosi się to do zasad ochrony danych osobowych. Obejmują one dokładność, poufność, zgodę i przetwarzanie danych specjalnych, takich jak dane przestępców i nieletnich. Małoletni musi mieć czternaście lat, zanim będzie mógł wyrazić zgodę.

Dział III

Dział III deklaruje prawa do ochrony i przetwarzania danych osobowych, jakie przysługują podmiotom. Są to, zgodnie z regulacjami europejskimi, następujące prawa: dostęp, poprawianie, usuwanie, sprzeciw, prawo do ograniczenia przetwarzania, prawo do przenoszenia. Zmianą w stosunku do poprzedniej regulacji są prawa do ograniczenia przetwarzania oraz prawo do przenoszenia danych.

Dział IV

W dziale IV zawarte są przepisy dotyczące szczególnych zabiegów. Tych zasad należy przestrzegać, gdy podmiot odpowiedzialny zamierza przetwarzać określony zbiór danych.

Tytuł ten zawiera regulacje związane z wprowadzaniem i przetwarzaniem danych przez agencje informacji kredytowej, zwane popularnie „listami dłużników”.

W uznaniu legalności przetwarzania danych do celów sprawozdawczości kredytowej, proces ten podlega pewnym środkom ostrożności. Art. 20 stanowi, że tylko dane dotyczące „długów potwierdzonych i przeterminowanych, których istnienie lub kwota nie były przedmiotem roszczenia administracyjnego lub sądowego ze strony dłużnika i które nie są uregulowane w drodze alternatywnego porozumienia między dwiema stronami ”.

W ramach tego samego procesu wierzyciel ma obowiązek poinformować drugą stronę, jakie dane osobowe mogą zostać przekazane odpowiednim podmiotom w przypadku zerwania umowy. Należy to zgłosić przed podpisaniem umowy.

Podmioty będące w posiadaniu danych będą mogły je przetwarzać i przechowywać przez czas niewykonania umowy. Może to nastąpić do pięciu lat po zerwaniu umowy, do momentu usunięcia danych.

Szósty dodatkowy przepis prawa zabrania umieszczania danych w tych plikach, gdy kwota główna (bez odsetek i kar) jest mniejsza niż 50 euro, ale rząd może zmienić kwotę główną dekretem królewskim .

Nagłówek V

Pozycja V odnosi się do osób odpowiedzialnych i odpowiedzialnych za przetwarzanie danych. W przeciwieństwie do poprzedniego modelu opartego na zarządzaniu zgodnością, obecny model ustanowiony przez przepisy ustawowe i wykonawcze opiera się na aktywnej odpowiedzialności. Osoby odpowiedzialne muszą z góry ocenić dane, które chcą przetwarzać, a następnie przyjąć niezbędne środki bezpieczeństwa, aby przetwarzanie miało miejsce. Istnieją również przepisy związane z postacią Inspektora Ochrony Danych (IOD).

Dział VI

Dział VI reguluje międzynarodowe przekazywanie danych.

Dział VII

Główny artykuł: Hiszpańska Agencja Ochrony Danych

Dział VII dotyczy statusu prawnego hiszpańskiej Agencji Ochrony Danych jako organu kontroli państwowej. Jego drugi rozdział reguluje uprawnienia organów ochrony danych, które mogą istnieć we wspólnotach autonomicznych, których uprawnienia są ograniczone do przetwarzania danych prowadzonego przez autonomiczny sektor publiczny oraz obowiązek organów kontrolnych do wzajemnej współpracy. W rzeczywistości takie organy ochrony danych istnieją tylko we wspólnotach autonomicznych Katalonii , Kraju Basków i Andaluzji .

Dział VIII

Dział VIII reguluje postępowanie w przypadku ewentualnego naruszenia przepisów o ochronie danych.

Dział IX

Dział IX reguluje system kar za naruszenia prawa, który określa osoby odpowiedzialne i ustanawia katalog naruszeń sklasyfikowanych jako bardzo poważne, poważne lub drobne. Ustawa odwołuje się do ogólnego rozporządzenia o ochronie danych w zakresie wysokości i stopnia odpowiedzialności za kary. Równie uregulowany jest termin przedawnienia przestępstw.

W drodze wyjątku drugi akapit artykułu 77 ustawy stanowi, że w przypadku, gdy sprawcami naruszenia są organizacje o znaczeniu konstytucyjnym lub administracja publiczna, można ich ukarać jedynie ostrzeżeniem. Wyklucza to możliwość nałożenia na te podmioty kar ekonomicznych, jak to miało miejsce w przypadku poprzedniej Ustawy Organicznej 15/1999 z 13 grudnia.

Nagłówek X

Dział X ustawy uznaje i gwarantuje szereg praw szereg praw, które prawo określa jako „cyfrowe”, takie jak neutralność sieci i powszechny dostęp, prawo do bezpieczeństwa i edukacji cyfrowej, prawo do bycia zapomnianym, prawo do przenoszenia danych cyfrowych i woli cyfrowej; równego uregulowania prawa do odłączenia cyfrowego w kontekście stosunków pracy.

Kontrowersje

Gromadzenie danych osobowych przez partie polityczne

Przedostatni przepis ustawy dodał nowy artykuł pięćdziesiąty ósmy (a) do Ustawy organicznej o powszechnym systemie wyborczym, który zezwalał partiom politycznym na gromadzenie danych osobowych związanych z opiniami politycznymi w kontekście ich działalności wyborczej. Mogło to mieć miejsce zawsze wtedy, gdy takie działania były prowadzone z „odpowiednimi gwarancjami”. Uznano to za „chronione interesem publicznym”. Podobnie umożliwił partiom politycznym „wykorzystanie danych osobowych uzyskanych na stronach internetowych i innych publicznie dostępnych źródłach do realizacji działań politycznych w okresie wyborczym”, takich jak przesyłanie propagandy wyborczej drogą elektroniczną lub za pośrednictwem mediów społecznościowych.

Artykuł ten wydawał się mieć ochronę w klauzuli 56 ogólnego rozporządzenia o ochronie danych, która stanowi, że „jeżeli w kontekście działań wyborczych funkcjonowanie systemu demokratycznego wymaga, aby w państwie członkowskim, w którym partie polityczne gromadziły dane osobowe o opinii politycznej ludzi, przetwarzanie tych danych może być dozwolone ze względu na interes publiczny, o ile oferowane są odpowiednie gwarancje”.

Przepis ten wywołał głębokie zaniepokojenie w środowisku prawniczym, ponieważ wspomniane działania nie wymagały uprzedniej zgody i najwyraźniej pozwalałyby na tworzenie baz danych obywateli na podstawie ich poglądów politycznych. Tworzy to profile poszczególnych osób. Według niektórych sektorów taka praktyka zalegalizowałaby przypadek Cambridge Analytica w Hiszpanii. Hiszpańska Agencja Ochrony Danych wskazała, że ​​ich zdaniem prawo nie zezwala na tworzenie ideologicznych baz danych ani na dystrybucję spersonalizowanych informacji opartych na profilach ideologicznych lub politycznych. Partia polityczna Unidos Podemos ogłosiła, że ​​złoży apelację o stwierdzenie niekonstytucyjności tego artykułu pod warunkiem, że jest on sprzeczny z artykułami 16 i 18 hiszpańskiej konstytucji . Ostatecznie nigdy tego nie zrobili. Hiszpański Rzecznik Praw Obywatelskich złożył skargę na niekonstytucyjność tego przepisu. Odwołanie zostało przyjęte do rozpoznania w dniu 12 marca 2019 r. W dniu 22 maja 2019 r. na posiedzeniu plenarnym Trybunału Konstytucyjnego uwzględniono ww. odwołanie i jednogłośnie dwunastu członków uznano przepis za niekonstytucyjny i nieważny.