EXPOSICIÓN DE MOTIVOS
1
La Constitución española, en su artículo 18,4, emplaza al legislador a limitar el uso de la informática para
garantizar el honor, la intimidad personal y familiar de los ciudadanos y el legítimo ejercicio de sus derechos.
La aún reciente aprobación de nuestra Constitución y, por tanto, su moderno carácter, le permitió
expresamente la articulación de garantías contra la posible utilización torticera de ese fenómeno de la
contemporaneidad que es la informática.
El progresivo desarrollo de las técnicas de recolección y almacenamiento de datos y de acceso a los mismos
ha expuesto a la privacidad, en efecto, a una amenaza potencial antes desconocida. Nótese que se habla de la
privacidad y no de la intimidad: Aquélla es más amplia que ésta, pues en tanto la intimidad protege la esfera
en que se desarrollan las facetas más singularmente reservadas de la vida de la persona el domicilio donde
realiza su vida cotidiana, las comunicaciones en las que expresa sus sentimientos, por ejemplo, la privacidad
constituye un conjunto, más amplio, más global, de facetas de su personalidad que, aisladamente
consideradas, pueden carecer de significación intrínseca pero que, coherentemente enlazadas entre sí, arrojan
como precipitado un retrato de la personalidad del individuo que éste tiene derecho a mantener reservado. Y
si la intimidad, en sentido estricto, está suficientemente protegida por las previsiones de los tres primeros
párrafos del artículo 18 de la Constitución y por las leyes que los desarrollan, la privacidad puede resultar
menoscabada por la utilización de las tecnologías informáticas de tan reciente desarrollo.
Ello es así porque, hasta el presente, las fronteras de la privacidad estaban defendidas por el tiempo y el
espacio. El primero procuraba, con su transcurso, que se evanescieran los recuerdos de las actividades
ajenas, impidiendo, así, la configuración de una historia lineal e ininterrumpida de la persona; el segundo, con
la distancia que imponía, hasta hace poco difícilmente superable, impedía que tuviésemos conocimiento de los
hechos que, protagonizados por los demás, hubieran tenido lugar lejos de donde nos hallábamos. El tiempo y
el espacio operaban, así, como salvaguarda de la privacidad de la persona.
Uno y otro límite han desaparecido hoy: Las modernas técnicas de comunicación permiten salvar sin
dificultades el espacio, y la informática posibilita almacenar todos los datos que se obtienen a través de las
comunicaciones y acceder a ellos en apenas segundos, por distante que fuera el lugar donde transcurrieron los
hechos, o remotos que fueran éstos. Los más diversos datos sobre la infancia, sobre la vida académica,
profesional o laboral, sobre los hábitos de vida y consumo, sobre el uso del denominado «dinero plástico»,
sobre las relaciones personales o, incluso, sobre las creencias religiosas e ideologías, por poner solo algunos
ejemplos relativos a las personas podrían ser, así, compilados y obtenidos sin dificultad. Ello permitiría a
quien dispusiese de ellos acceder a un conocimiento cabal de actitudes, hechos o pautas de comportamiento
que, sin duda, pertenecen a la esfera privada de las personas; a aquélla a la que sólo deben tener acceso el
individuo y, quizás, quienes le son más próximos, o aquellos a los que él autorice. Aún más: El conocimiento
ordenado de esos datos puede dibujar un determinado perfil de la persona, o configurar una determinada
reputación o fama que es, en definitiva, expresión del honor; y este perfil, sin duda, puede resultar luego
valorado, favorable o desfavorablemente, para las más diversas actividades públicas o privadas, como pueden
ser la obtención de un empleo, la concesión de un préstamo o la admisión en determinados colectivos.
Se hace preciso, pues, delimitar una nueva frontera de la intimidad y del honor, una frontera que, sustituyendo
los límites antes definidos por el tiempo y el espacio, los proteja frente a la utilización mecanizada, ordenada y
discriminada de los datos a ellos referentes; una frontera, en suma, que garantice que un elemento
objetivamente provechoso para la Humanidad no redunde en perjuicio para las personas. La fijación de esa
nueva frontera es el objetivo de la previsión contenida en el artículo 18.4 de la Constitución, y al cumplimiento
de ese objetivo responde la presente Ley.
2
Partiendo de que su finalidad es hacer frente a los riesgos que para los derechos de la personalidad puede
suponer el acopio y tratamiento de datos por medios informáticos, la Ley se nuclea en torno a los que
convencionalmente se denominan «ficheros de datos»: Es la existencia de estos ficheros y la utilización que
de ellos podría hacerse la que justifica la necesidad de la nueva frontera de la intimidad y del honor.
A tal efecto, la Ley introduce el concepto de tratamiento de datos, concibiendo los ficheros desde una
perspectiva dinámica; dicho en otros términos, no los entiende sólo como un mero depósito de datos, sino,
también, y sobre todo, como una globalidad de procesos o aplicaciones informáticas que se llevan a cabo con
los datos almacenados y que son susceptibles, si llegasen a conectarse entre sí, de configurar el perfil personal
al que antes se hizo referencia.
La Ley está animada por la idea de implantar mecanismos cautelares que prevengan las violaciones de la
privacidad que pudieran resultar del tratamiento de la información. A tal efecto se estructura en una parte
general y otra especial.
La primera atiende a recoger los principios en los que ha cristalizado una opinio iuris, generada a lo largo de
dos décadas, y define derechos y garantías encaminados a asegurar la observancia de tales principios
generales. Alimentan esta parte general, pues, preceptos delimitadores del ámbito de aplicación de la Ley,
principios reguladores de la recogida, registro y uso de datos personales y, sobre todo, garantías de la
persona.
El ámbito de aplicación se define por exclusión, quedando fuera de él, por ejemplo, los datos anónimos, que
constituyen información de dominio público o recogen información, con la finalidad, precisamente, de darla a
conocer al público en general como pueden ser los registros de la propiedad o mercantiles-, así como, por
último, los de uso estrictamente personal. De otro lado, parece conveniente la permanencia de las
regulaciones especiales que contienen ya suficientes normas de protección y que se refieren a ámbitos que
revisten tal singularidad en cuanto a sus funciones y sus mecanismos de puesta al día y rectificación que
aconsejan el mantenimiento de su régimen específico. Así ocurre, por ejejemplo, con las regulaciones de los
ficheros electorales, del Registro Civil o del Registro Central de Penados y Rebeldes; así acontece, también,
con los ficheros regulados por la Ley 12/1989, de 12 de mayo, sobre función estadística, pública, si bien que,
en este último caso, con sujeción a la Agencia de Protección de Datos. En fin, quedan también fuera del
ámbito de la norma aquellos datos que, en virtud de intereses públicos prevalentes, no deben estar sometidos
a su régimen cautelar.
Los principios generales. por su parte, definen las pautas a las que debe atenerse la recogida de datos de
carácter personal, pautas encaminadas a garantizar tanto la veracidad de la información contenida en los datos
almacenados cuanto la congruencia y la racionalidad, garantiza que los datos no puedan ser usado s sino
cuando lo justifique la finalidad para la que han sido recabados; su observancia es, por ello, capital para evitar
la difusión incontrolada de la información que, siguiendo el mandato constitucional, se pretende limitar. Por su
parte, el principio de consentimiento, o de autodeterminación, otorga a la persona la posibilidad de determinar
el nivel de protección de los datos a ella referentes. Su base está constituida por la exigencia del
consentimiento consciente e informado del afectado para que la recogida de datos sea ilícita; sus contornos,
por otro lado, se refuerzan singularmente en los denominados «datos sensibles», como pueden ser, de una
parte, la ideologia o creencias religiosas -cuya privacidad está expresamente garantizada por la Constitución
en su artículo 16.2- y, de otra parte, la raza, la salud y la vida sexual.
La protección reforzada de estos datos
viene determinada porque los primeros de entre los datos mencionados sólo serán disponibles con el
consentimiento expreso y por escrito del afectado, y los segundos sólo serán susceptibles de recopilación
mediando dicho consentimiento o una habilitación legal expresa, habilitación que, según exigencia de la
propia Ley Orgánica, ha de fundarse en razones de interés general; en todo caso, se establece la prohibición
de los ficheros creados con la exclusiva finalidad de almacenar datos personales que expresen las
mencionadas características. En este punto, y de acuerdo con lo dispuesto en el artículo 10 de la
Constitución, se atienden las exigencias y previsiones que para estos datos se contienen en el Convenio
Europeo para la protección de las personas con respecto al tratamiento automatizado de datos con carácter
personal, de 1981, ratificado por España.
Para la adecuada configuración, que esta Ley se propone, de la nueva garantía de la intimidad y del honor,
resulta esencial la correcta regulación de la cesión de los datos almacenados. Es, en efecto, el cruce de los
datos almacenados en diversas instancias o ficheros el que puede arrojar el repetidamente aludido perfil
personal, cuya obtención transgredería los límites de la privacidad. Para prevenir estos perturbadores efectos,
la Ley completa el principio del consentimiento, exigiendo que, al procederse a la recogida de los datos, el
afectado sea debidamente informado del uso que se les puede dar, al objeto de que el consentimiento se preste
con conocimiento cabal de su exacto alcance. Sólo las precisiones del Convenio Europeo para la protección
de los Derechos Fundamentales de la Persona -artículo 8.2- y del Convenio 108 del Consejo de Europa -
artículo 9.2-, que se fundamentan en exigencias lógicas en toda sociedad democrática, constituyen
excepciones a esta regla.
3
Las garantías de la persona son los nutrientes nucleares de la parte general, y se configuran jurídicamente
como derechos subetivos encaminados a hacer operativos los principios genéricos. Son, en efecto, los
derechos de autodeterminación, de amparo, de rectificación y de cancelación los que otorgan virtualidad
normativa y eficacia.jurídica a los principios consagrados en la parte general, principios que, sin los derechos
subjetivos ahora aludidos, no rebasarían un contenido meramente programático.
En concreto, los derechos de acceso a los datos, de rectificación y de cancelación, se constituyen como piezas
centrales del sistema cautelar o preventivo instaurado por la Ley.
El primero de ellos ha cobrado en nuestro pais, incluso, plasmación constitucional en lo que se refiere a los
datos que obran en poder de las Administraciones Públicas (artículos105.b). En consonancia con ello queda
recogido en la Ley en términos rotundos, no previéndose más excepciones que las derivadas de la puesta en
peligro de bienes jurídicos en lo relativo al acceso a los datos policiales y a los precisos para asegurar el
cumplimiento de las obligaciones tributarios en lo referente a los datos de este carácter, excepciones ambas
que pueden entenderse expresamente recogidas en el propio precepto constitucional antes citado, así como en
el Convenio Europeo para la protección de los Derechos Fundamentales.
4
Para la articulación de los extremos concretos que han de regir los ficheros de datos, la parte especial de la
Ley comienza distinguiendo, en su Titulo Cuarto, entre los distintos tipos de ficheros, según sea su titularidad
pública o privada. Con la pretensión de evitar una perniciosa burocratización, la Ley ha desechado el
establecimiento de supuestos como la autorización previa o la inscripción constitutiva en un registro.
Simultáneamente, ha establecido regímenes diferenciados para los ficheros en razón de su titularidad, toda
vez que, con toda evidencia, resulta más problemático el control de los de titularidad privada que el de
aquéllos de titularidad pública. En efecto, en lo relativo a estos últimos. no basta la mera voluntad del
responsable del fichero sino que es precisa norma habilitante, naturalmente pública y sometida al control
Jurisdiccional, para crearlos y explotarlos, siendo en estos supuestos el informe previo del órgano de tutela el
cauce idóneo para controlar la adecuación de la explotación a las exigencias legales y recomendar, en su caso,
las medidas pertinentes.
Otras disposiciones de la parte especial que procede destacar son las atinentes a la transmisión internacional
de los datos. En este punto, la Ley traspone la norma del artículo 12 del Convenio, 108 del Consejo de
Europa, apuntando así una solución para lo que ha dado en llamarse flujo transfronterizo de datos. La
protección de la integridad de la información personal se concilia, de esta suerte, con el libre flujo de los
datos, que constituye una auténtica necesidad de la vida actual de la que las transferencias bancarias, las
reservas de pasajes. aéreos o el auxilio judicial internacional pueden ser simples botones de muestra. Se ha
optado por exigir que el país de destino cuente en su ordenamiento con un sistema de protección equivalente
al español, si bien permitiendo la autorización de la Agencia cuando tal sistema no exista pero se ofrezcan
garantías suficientes. Con ello no sólo se cumple con una exigencia lógica, la de evitar un fallo que pueda
producirse en el sistema de protección a través del flujo a paises que no cuentan con garantías adecuadas,
sino también con las previsiones de instrumentos internacionales como los Acuerdos de Schengen o las
futuras normas comunitarias.
5
Para asegurar la máxima eficacia de sus disposiciones, la Ley encomienda el control de su aplicación a un
órgano independiente, al que atribuye el estatuto de Ente público en los términos del artículo 6.5 de la Ley
General Presupuestaria. A tal efecto la Ley configura un órgano especializado, denominado Agencia de
Protección de Datos, a cuyo frente sitúa un Director.
La Agencia se caracteriza por la absoluta independencia de su Director en el ejercicio de sus funciones,
independencia que trae causa. en primer lugar, de un expreso imperativo legal, pero que se garantiza, en todo
caso, mediante el establecimiento de un mandato fijo que sólo puede ser acortado por un números clausus de
causas de cese.
La Agencia dispondrá, además, de un órgano de apoyo definido por los caracteres de colegiación y
representatividad, en el que obtendrán presencia las Cámaras que representan a la soberanía nacional, las
Administraciones Públicas en cuanto titulares de ficheros objeto de la presente Ley, el sector privado, las
organizaciones de usuario y consumidores y otras personas relacionadas con las diversas funciones que
cumplen los archivos informatizados.
6
El inevitable desfase que las normas de derecho positivo ofrecen respecto de las transformaciones sociales es,
si cabe, más acusado en este terreno, cuya evolución tecnológica es especialmente, dinámica. Ello hace
aconsejable, a la hora de normar estos campos, acudir a mecanismos jurídicos dotados de menor nivel de
vinculación, susceptibles de una elaboración o modificación más rápida de lo habitual y caracterización de sus
destinatarios la que les otorga eficacia normativa.
En esta línea la Ley recoge normas de autorregulación, compatibles con las recomendaciones de la Agencia,
que evitan los inconvenientes derivadios de la especial rigidez de la Ley Orgánica que, por su propia
naturaleza, es inidónea para un acentuado casuísmo. La propia experiencia de lo ocurrido con el Convenio del
Consejo de Europa, que ha tenido que ser objeto de múltiples modificaciones al socaire de las distintas
innovaciones tecnológicas, de las sucesivas y diferentes aplicaciones -estadística, Seguridad Social,
relaciones, de empleo, datos policiales, publicidad directa o tarjetas de crédito, entre otras-o de la ampliación
de los campos de utilización-servicio telefónico o correo electrónico- aconseja recurrir a las citadas normas de
autorregulación. De ahí que la Ley acuda a ellas para aplicar las previsiones legales a los distintos sectores de
actividad. Tales normas serán elaboradas por iniciativa de las asociaciones y organizaciones pertinentes y
serán aprobadas, sin valor reglamentario, por la Agencia, siendo precisamente la iniciativa y participación de
las entidades afectadas la garantía de la virtualidad de las normas.
7
La Ley no consagra nuevos tipos delictivos, ni define supuestos de responsabilidad penal para la
eventualidadde su incumplimiento. Ello obedece a que se entiende que la sede lógica para tales menesteres
no es esta Ley, sino sólo el Código Penal.
Sí se atribuye, sin embargo, a la Administración la potestad sancionadora que es lógico correlato de su
función de inspección del uso de los ficheros, similar a las demás inspecciones administrativas, y que se
configura de distinta forma según se proyecte sobre la utilización indebida de los ficheros públicos, en cuyo
caso procederá la oportuna responsabilidad disciplinaria, o sobre los privados, para cuyo supuesto se preven
sanciones pecuniarias.
De acuerdo con la práctica usual, la Ley se limita a tipificar, de conformidad con lo requerido por la
jurisprudencia constitucional y ordinaria, unos supuestos genéricos de responsabilidad administrativa,
recogiendo una gradación de infracciones que sigue la habitual distinción entre leves, graves y muy graves, y
que toma como criterio básico el de los bienes jurídicos emanados. Las sanciones, a su vez, difieren seguir
que los ficheros indebidamente utilizados sean públicos o privados: en el primer caso, procederá la
responsabilidad disciplinaria, sin perjuicio de la intervención del Defensor del Pueblo; para el segundo, se
prevén sanciones pecuniarias, en todo caso, se articula la posibilidad en los supuestos, Constitutivos de
infracción muy grave, de cesión ilícita de datos o de cualquier otro atentado contra los derechos de los
afectados que revista gravedad, de inmovilizar los ficheros.
8
Finalmente, la Ley estipula un período transitorio que se justifica por la necesidad de ajustar la utilización de
los ficheros existentes a las disposiciones legales.
Pasado este período transitorio, y una vez en vigor la Ley, podrá muy bien decirse, una vez más, que el
desarrollo legislativo de un precepto constitucional se traduce en una protección reforzada de los derechos
fundamentales del ciudadano. En este caso, al desarrollar legislativamente el mandato constitucional de
limitar el uso de la informática, se está estableciendo un nuevo y más consistente derecho a la privacidad de
las personas.