Lopd1

Real Decreto 1720/2007, de 21 de diciembre, po... http://noticias.juridicas.com/base_datos/Admin/...

Noticias Jurídicas
Miércoles, 3 de octubre de 2012

Base de Datos de Legislación
Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el
Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de
Vigente protección de datos de carácter personal.

Sumario:

Artículo único. Aprobación del reglamento.

DISPOSICIÓN TRANSITORIA PRIMERA. Adaptación de los códigos tipo inscritos en
el Registro General de Protección de Datos.
DISPOSICIÓN TRANSITORIA SEGUNDA. Plazos de implantación de las medidas de
seguridad.
DISPOSICIÓN TRANSITORIA TERCERA. Régimen transitorio de las solicitudes para
el ejercicio de los derechos de las personas.
DISPOSICIÓN TRANSITORIA CUARTA. Régimen transitorio de los procedimientos.
DISPOSICIÓN TRANSITORIA QUINTA. Régimen transitorio de las actuaciones
previas.
DISPOSICIÓN DEROGATORIA ÚNICA. Derogación normativa.
DISPOSICIÓN FINAL PRIMERA. Título competencial.
DISPOSICIÓN FINAL SEGUNDA. Entrada en vigor.
REGLAMENTO DE DESARROLLO DE LA LEY ORGÁNICA 15/1999, DE 13 DE
DICIEMBRE, DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL
TÍTULO I. DISPOSICIONES GENERALES.
Artículo 1. Objeto.
Artículo 2. Ámbito objetivo de aplicación.
Artículo 3. Ámbito territorial de aplicación.
Artículo 4. Ficheros o tratamientos excluidos.
Artículo 5. Definiciones.
Artículo 6. Cómputo de plazos.
Artículo 7. Fuentes accesibles al público.
TÍTULO II. PRINCIPIOS DE PROTECCIÓN DE DATOS.
CAPÍTULO I. CALIDAD DE LOS DATOS.
Artículo 8. Principios relativos a la calidad de los datos.
Artículo 9. Tratamiento con fines estadísticos, históricos o científicos.
Artículo 10. Supuestos que legitiman el tratamiento o cesión de los datos.
Artículo 11. Verificación de datos en solicitudes formuladas a las
Administraciones públicas.
CAPÍTULO II. CONSENTIMIENTO PARA EL TRATAMIENTO DE LOS
DATOS Y DEBER DE INFORMACIÓN.
SECCIÓN I. OBTENCIÓN DEL CONSENTIMIENTO DEL AFECTADO.
Artículo 12. Principios generales.
Artículo 13. Consentimiento para el tratamiento de datos de
menores de edad.
Artículo 14. Forma de recabar el consentimiento.
Artículo 15. Solicitud del consentimiento en el marco de una
relación contractual para fines no relacionados directamente con la
misma.
Artículo 16. Tratamiento de datos de facturación y tráfico en
servicios de comunicaciones electrónicas.

1 de 13 03/10/12 12:06


Artículo 17. Revocación del consentimiento.
SECCIÓN II. DEBER DE INFORMACIÓN AL INTERESADO.
Artículo 18. Acreditación del cumplimiento del deber de
información.
Artículo 19. Supuestos especiales.
CAPÍTULO III. ENCARGADO DEL TRATAMIENTO.
Artículo 20. Relaciones entre el responsable y el encargado del
tratamiento.
Artículo 21. Posibilidad de subcontratación de los servicios.
Artículo 22. Conservación de los datos por el encargado del
tratamiento.
TÍTULO III. DERECHOS DE ACCESO, RECTIFICACIÓN, CANCELACIÓN
Y OPOSICIÓN.
CAPÍTULO I. DISPOSICIONES GENERALES.
Artículo 23. Carácter personalísimo.
Artículo 24. Condiciones generales para el ejercicio de los derechos
de acceso, rectificación, cancelación y oposición.
Artículo 25. Procedimiento.
Artículo 26. Ejercicio de los derechos ante un encargado del
tratamiento.
CAPÍTULO II. DERECHO DE ACCESO.
Artículo 27. Derecho de acceso.
Artículo 28. Ejercicio del derecho de acceso.
Artículo 29. Otorgamiento del acceso.
Artículo 30. Denegación del acceso.
CAPÍTULO III. DERECHOS DE RECTIFICACIÓN Y CANCELACIÓN.
Artículo 31. Derechos de rectificación y cancelación.
Artículo 32. Ejercicio de los derechos de rectificación y cancelación.
Artículo 33. Denegación de los derechos de rectificación y
cancelación.
CAPÍTULO IV. DERECHO DE OPOSICIÓN.
Artículo 34. Derecho de oposición.
Artículo 35. Ejercicio del derecho de oposición.
Artículo 36. Derecho de oposición a las decisiones basadas
únicamente en un tratamiento automatizado de datos.
TÍTULO IV. DISPOSICIONES APLICABLES A DETERMINADOS
FICHEROS DE TITULARIDAD PRIVADA.
CAPÍTULO I. FICHEROS DE INFORMACIÓN SOBRE SOLVENCIA
PATRIMONIAL Y CRÉDITO.
SECCIÓN I. DISPOSICIONES GENERALES.
Artículo 37. Régimen aplicable.
SECCIÓN II. TRATAMIENTO DE DATOS RELATIVOS AL
CUMPLIMIENTO O INCUMPLIMIENTO DE OBLIGACIONES
DINERARIAS FACILITADOS POR EL ACREEDOR O POR QUIEN
ACTÚE POR SU CUENTA O INTERÉS.
Artículo 38. Requisitos para la inclusión de los datos.
Artículo 39. Información previa a la inclusión.
Artículo 40. Notificación de inclusión.
Artículo 41. Conservación de los datos.
Artículo 42. Acceso a la información contenida en el fichero.
Artículo 43. Responsabilidad.
Artículo 44. Ejercicio de los derechos de acceso, rectificación,
cancelación y oposición.
CAPÍTULO II. TRATAMIENTOS PARA ACTIVIDADES DE
PUBLICIDAD Y PROSPECCIÓN COMERCIAL.
Artículo 45. Datos susceptibles de tratamiento e información al
interesado.
Artículo 46. Tratamiento de datos en campañas publicitarias.
Artículo 47. Depuración de datos personales.

2 de 13 03/10/12 12:06


Artículo 48. Ficheros de exclusión del envío de comunicaciones
comerciales.
Artículo 49. Ficheros comunes de exclusión del envío de
comunicaciones comerciales.
Artículo 50. Derechos de acceso, rectificación y cancelación.
Artículo 51. Derecho de oposición.
TÍTULO V. OBLIGACIONES PREVIAS AL TRATAMIENTO DE LOS
DATOS.
CAPÍTULO I. CREACIÓN, MODIFICACIÓN O SUPRESIÓN DE
FICHEROS DE TITULARIDAD PÚBLICA.
Artículo 52. Disposición o Acuerdo de creación, modificación o
supresión del fichero.
Artículo 53. Forma de la disposición o acuerdo.
Artículo 54. Contenido de la disposición o acuerdo.
CAPÍTULO II. NOTIFICACIÓN E INSCRIPCIÓN DE LOS
FICHEROS DE TITULARIDAD PÚBLICA O PRIVADA.
Artículo 55. Notificación de ficheros.
Artículo 56. Tratamiento de datos en distintos soportes.
Artículo 57. Ficheros en los que exista más de un responsable.
Artículo 58. Notificación de la modificación o supresión de
ficheros.
Artículo 59. Modelos y soportes para la notificación.
Artículo 60. Inscripción de los ficheros.
Artículo 61. Cancelación de la inscripción.
Artículo 62. Rectificación de errores.
Artículo 63. Inscripción de oficio de ficheros de titularidad
pública.
Artículo 64. Colaboración con las autoridades de control de las
comunidades autónomas.
TÍTULO VI. TRANSFERENCIAS INTERNACIONALES DE DATOS.
Artículo 65. Cumplimiento de las disposiciones de la Ley
Orgánica 15/1999, de 13 de diciembre.
Artículo 66. Autorización y notificación.
CAPÍTULO II. TRANSFERENCIAS A ESTADOS QUE
PROPORCIONEN UN NIVEL ADECUADO DE PROTECCIÓN.
Artículo 67. Nivel adecuado de protección acordado por la
Agencia Española de Protección de Datos.
Artículo 68. Nivel adecuado de protección declarado por
Decisión de la Comisión Europea.
Artículo 69. Suspensión temporal de las transferencias.
CAPÍTULO III. TRANSFERENCIAS A ESTADOS QUE NO
PROPORCIONEN UN NIVEL ADECUADO DE PROTECCIÓN.
Artículo 70. Transferencias sujetas a autorización del Director
de la Agencia Española de Protección de Datos.
TÍTULO VII. CÓDIGOS TIPO.
Artículo 71. Objeto y naturaleza.
Artículo 72. Iniciativa y ámbito de aplicación.
Artículo 73. Contenido.
Artículo 74. Compromisos adicionales.
Artículo 75. Garantías del cumplimiento de los códigos tipo.
Artículo 76. Relación de adheridos.
Artículo 77. Depósito y publicidad de los códigos tipo.
Artículo 78. Obligaciones posteriores a la inscripción del código
tipo.
TÍTULO VIII. DE LAS MEDIDAS DE SEGURIDAD EN EL
TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL.
Artículo 79. Alcance.

3 de 13 03/10/12 12:06


Artículo 80. Niveles de seguridad.
Artículo 81. Aplicación de los niveles de seguridad.
Artículo 82. Encargado del tratamiento.
Artículo 83. Prestaciones de servicios sin acceso a datos
personales.
Artículo 84. Delegación de autorizaciones.
Artículo 85. Acceso a datos a través de redes de
comunicaciones.
Artículo 86. Régimen de trabajo fuera de los locales del
responsable del fichero o encargado del tratamiento.
Artículo 87. Ficheros temporales o copias de trabajo de
documentos.
CAPÍTULO II. DEL DOCUMENTO DE SEGURIDAD.
Artículo 88. El documento de seguridad.
CAPÍTULO III. MEDIDAS DE SEGURIDAD APLICABLES A
FICHEROS Y TRATAMIENTOS AUTOMATIZADOS.
SECCIÓN I. MEDIDAS DE SEGURIDAD DE NIVEL
BÁSICO.
Artículo 89. Funciones y obligaciones del personal.
Artículo 90. Registro de incidencias.
Artículo 91. Control de acceso.
Artículo 92. Gestión de soportes y documentos.
Artículo 93. Identificación y autenticación.
Artículo 94. Copias de respaldo y recuperación.
SECCIÓN II. MEDIDAS DE SEGURIDAD DE NIVEL
MEDIO.
Artículo 95. Responsable de seguridad.
Artículo 96. Auditoría.
Artículo 97. Gestión de soportes y documentos.
Artículo 98. Identificación y autenticación.
Artículo 99. Control de acceso físico.
Artículo 100. Registro de incidencias.
SECCIÓN III. MEDIDAS DE SEGURIDAD DE NIVEL
ALTO.
Artículo 101. Gestión y distribución de soportes.
Artículo 102. Copias de respaldo y recuperación.
Artículo 103. Registro de accesos.
Artículo 104. Telecomunicaciones.
CAPÍTULO IV. MEDIDAS DE SEGURIDAD APLICABLES A
LOS FICHEROS Y TRATAMIENTOS NO AUTOMATIZADOS.
SECCIÓN I. MEDIDAS DE SEGURIDAD DE NIVEL
BÁSICO.
Artículo 105. Obligaciones comunes.
Artículo 106. Criterios de archivo.
Artículo 107. Dispositivos de almacenamiento.
Artículo 108. Custodia de los soportes.
SECCIÓN II. MEDIDAS DE SEGURIDAD DE NIVEL
MEDIO.
Artículo 109. Responsable de seguridad.
Artículo 110. Auditoría.
SECCIÓN III. MEDIDAS DE SEGURIDAD DE NIVEL
ALTO.
Artículo 111. Almacenamiento de la información.
Artículo 112. Copia o reproducción.
Artículo 113. Acceso a la documentación.
Artículo 114. Traslado de documentación.
TÍTULO IX. PROCEDIMIENTOS TRAMITADOS POR LA
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS.

4 de 13 03/10/12 12:06


Artículo 115. Régimen aplicable.
Artículo 116. Publicidad de las resoluciones.
CAPÍTULO II. PROCEDIMIENTO DE TUTELA DE LOS
DERECHOS DE ACCESO, RECTIFICACIÓN,
CANCELACIÓN Y OPOSICIÓN.
Artículo 117. Instrucción del procedimiento.
Artículo 118. Duración del procedimiento y efectos de
la falta de resolución expresa.
Artículo 119. Ejecución de la resolución.
CAPÍTULO III. PROCEDIMIENTOS RELATIVOS AL
EJERCICIO DE LA POTESTAD SANCIONADORA.
SECCIÓN I. DISPOSICIONES GENERALES.
Artículo 120. Ámbito de aplicación.
Artículo 121. Inmovilización de ficheros.
SECCIÓN II. ACTUACIONES PREVIAS.
Artículo 122. Iniciación.
Artículo 123. Personal competente para la
realización de las actuaciones previas.
Artículo 124. Obtención de información.
Artículo 125. Actuaciones presenciales.
Artículo 126. Resultado de las actuaciones
previas.
SECCIÓN III. PROCEDIMIENTO SANCIONADOR.
Artículo 127. Iniciación del procedimiento.
Artículo 128. Plazo máximo para resolver.
SECCIÓN IV. PROCEDIMIENTO DE
DECLARACIÓN DE INFRACCIÓN DE LA LEY
ORGÁNICA 15/1999, DE 13 DE DICIEMBRE, POR
LAS ADMINISTRACIONES PÚBLICAS.
Artículo 129. Disposición general.
CAPÍTULO IV. PROCEDIMIENTOS RELACIONADOS
CON LA INSCRIPCIÓN O CANCELACIÓN DE
FICHEROS.
SECCIÓN I. PROCEDIMIENTO DE INSCRIPCIÓN
DE LA CREACIÓN, MODIFICACIÓN O
SUPRESIÓN DE FICHEROS.
Artículo 131. Especialidades en la notificación
de ficheros de titularidad pública.
Artículo 132. Acuerdo de inscripción o
cancelación.
Artículo 133. Improcedencia o denegación de la
inscripción.
Artículo 134. Duración del procedimiento y
efectos de la falta de resolución expresa.
SECCIÓN II. PROCEDIMIENTO DE
CANCELACIÓN DE OFICIO DE FICHEROS
INSCRITOS.
Artículo 136. Terminación del expediente.
CAPÍTULO V. PROCEDIMIENTOS RELACIONADOS
CON LAS TRANSFERENCIAS INTERNACIONALES DE
DATOS.
SECCIÓN I. PROCEDIMIENTO DE
AUTORIZACIÓN DE TRANSFERENCIAS
INTERNACIONALES DE DATOS.
Artículo 138. Instrucción del procedimiento.
Artículo 139. Actos posteriores a la resolución.

5 de 13 03/10/12 12:06


SECCIÓN II. PROCEDIMIENTO DE
SUSPENSIÓN TEMPORAL DE
TRANSFERENCIAS INTERNACIONALES DE
DATOS.
Artículo 141. Iniciación.
Artículo 142. Instrucción y resolución.
Artículo 143. Actos posteriores a la
resolución.
Artículo 144. Levantamiento de la
suspensión temporal.
CAPÍTULO VI. PROCEDIMIENTO DE
INSCRIPCIÓN DE CÓDIGOS TIPO.
Artículo 146. Análisis de los aspectos sustantivos
del código tipo.
Artículo 147. Información pública.
Artículo 148. Mejora del código tipo.
Artículo 149. Trámite de audiencia.
Artículo 150. Resolución.
Artículo 152. Publicación de los códigos tipo por
la Agencia Española de Protección de Datos.
CAPÍTULO VII. OTROS PROCEDIMIENTOS
TRAMITADOS POR LA AGENCIA ESPAÑOLA DE
PROTECCIÓN DE DATOS.
SECCIÓN I. PROCEDIMIENTO DE EXENCIÓN
DEL DEBER DE INFORMACIÓN AL
INTERESADO.
Artículo 154. Propuesta de nuevas medidas
compensatorias.
Artículo 155. Terminación del
procedimiento.
SECCIÓN II. PROCEDIMIENTO PARA LA
AUTORIZACIÓN DE CONSERVACIÓN DE
DATOS PARA FINES HISTÓRICOS,
ESTADÍSTICOS O CIENTÍFICOS.

DISPOSICIÓN ADICIONAL ÚNICA. Productos de
software.
DISPOSICIÓN FINAL ÚNICA. Aplicación supletoria.

La actual Ley Orgánica 15/1999, de 13 de diciembre de Protección de
datos de carácter personal adaptó nuestro ordenamiento a lo
dispuesto por la Directiva 95/46/CE del Parlamento Europeo y del
Consejo de 24 de octubre de 1995, relativa a la protección de las
personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos, derogando a su vez
la hasta entonces vigente Ley Orgánica 5/1992, de 29 de octubre, de
Regulación del tratamiento automatizado de datos de carácter
personal.

6 de 13 03/10/12 12:06


La nueva Ley, que ha nacido con una amplia vocación de
generalidad, prevé en su artículo 1 que tiene por objeto
garantizar y proteger, en lo que concierne al tratamiento de los
datos personales, las libertades públicas y los derechos
fundamentales de las personas físicas, y especialmente de su
honor e intimidad personal. Comprende por tanto el tratamiento
automatizado y el no automatizado de los datos de carácter
personal.

A fin de garantizar la necesaria seguridad jurídica en un ámbito
tan sensible para los derechos fundamentales como el de la
protección de datos, el legislador declaró subsistentes las
normas reglamentarias existentes y, en especial, los Reales
Decretos 428/1993, de 26 de marzo, por el que se aprueba el
Estatuto de la Agencia de Protección de Datos, 1332/1994, de 20
de junio, por el que se desarrollan determinados aspectos de la
Ley Orgánica 5/1992, de 29 de octubre de Regulación del
tratamiento automatizado de los datos de carácter personal y
994/1999, de 11 de junio, por el que se aprueba el Reglamento
de Medidas de seguridad de los ficheros automatizados que
contengan datos de carácter personal, a la vez que habilitó al
Gobierno para la aprobación o modificación de las disposiciones
reglamentarias necesarias para la aplicación y desarrollo de la
Ley Orgánica 15/1999.

Por otra parte, la Ley 34/2002, de 11 de julio, de Servicios de la
sociedad de la información y de comercio electrónico y la Ley
32/2003, de 3 de noviembre, General de Telecomunicaciones
atribuyen competencias en materia sancionadora a la Agencia
Española de Protección de Datos. Éstas requieren de desarrollo
reglamentario con la peculiaridad de que ambas normas se
ordenan a la tutela no sólo de los derechos de las personas
físicas, sino también de las jurídicas.

II

Este Reglamento comparte con la Ley Orgánica la finalidad de
hacer frente a los riesgos que para los derechos de la
personalidad pueden suponer el acopio y tratamiento de datos
personales. Por ello, ha de destacarse que esta norma
reglamentaria nace con la vocación de no reiterar los contenidos
de la norma superior y de desarrollar, no sólo los mandatos
contenidos en la Ley Orgánica de acuerdo con los principios que
emanan de la Directiva, sino también aquellos que en estos años
de vigencia de la Ley se ha demostrado que precisan de un
mayor desarrollo normativo.

Por tanto, se aprueba este Reglamento partiendo de la necesidad
de dotar de coherencia a la regulación reglamentaria en todo lo
relacionado con la transposición de la Directiva y de desarrollar
los aspectos novedosos de la Ley Orgánica 15/1999, junto con
aquellos en los que la experiencia ha aconsejado un cierto de
grado de precisión que dote de seguridad jurídica al sistema.

III

El reglamento viene a abarcar el ámbito tutelado anteriormente
por los Reales Decretos 1332/1994, de 20 de junio, y 994/1999,
de 11 de junio, teniendo en cuenta la necesidad de fijar criterios
aplicables a los ficheros y tratamientos de datos personales no

7 de 13 03/10/12 12:06


automatizados. Por otra parte, la atribución de funciones a
la Agencia Española de Protección de Datos por la Ley
34/2002, de 11 de julio, de Servicios de la sociedad de la
información y de comercio electrónico y la Ley 32/2003, de
3 de noviembre, General de Telecomunicaciones obliga a
desarrollar también los procedimientos para el ejercicio de
la potestad sancionadora por la Agencia.

El reglamento se estructura en nueve títulos cuyo contenido
desarrolla los aspectos esenciales en esta materia.

El título I contempla el objeto y ámbito de aplicación del
reglamento. A lo largo de la vigencia de la Ley Orgánica
15/1999, se ha advertido la conveniencia de desarrollar el
apartado 2 de su artículo 2 para aclarar qué se entiende por
ficheros y tratamientos relacionados con actividades
personales o domésticas, aspecto muy relevante dado que
están excluidos de la normativa sobre protección de datos
de carácter personal.

Por otra parte, el presente reglamento no contiene
previsiones para los tratamientos de datos personales a los
que se refiere el apartado 3 del artículo 2 de la Ley
Orgánica, dado que se rigen por sus disposiciones
específicas y por lo especialmente previsto, en su caso, por
la propia Ley Orgánica 15/1999. En consecuencia, se
mantiene el régimen jurídico propio de estos tratamientos y
ficheros.

Además, en este título se aporta un conjunto de definiciones
que ayudan al correcto entendimiento de la norma, lo que
resulta particularmente necesario en un ámbito tan
tecnificado como el de la protección de datos personales.
Por otra parte, fija el criterio a seguir en materia de
cómputo de plazos con el fin de homogeneizar esta cuestión
evitando distinciones que suponen diferencias de trato de
los ficheros públicos respecto de los privados.

El título II, se refiere a los principios de la protección de
datos. Reviste particular importancia la regulación del
modo de captación del consentimiento atendiendo a
aspectos muy específicos como el caso de los servicios de
comunicaciones electrónicas y, muy particularmente, la
captación de datos de los menores. Asimismo, se ofrece lo
que no puede definirse sino como un estatuto del encargado
del tratamiento, que sin duda contribuirá a clarificar todo lo
relacionado con esta figura. Las previsiones en este ámbito
se completan con lo dispuesto en el título VIII en materia de
seguridad dotando de un marco coherente a la actuación
del encargado.

El título III se ocupa de una cuestión tan esencial como los
derechos de las personas en este ámbito. Estos derechos de
acceso, rectificación, cancelación y oposición al
tratamiento, según ha afirmado el Tribunal Constitucional
en su sentencia número 292/2000, constituyen el haz de
facultades que emanan del derecho fundamental a la
protección de datos y sirven a la capital función que
desempeña este derecho fundamental: garantizar a la
persona un poder de control sobre sus datos personales, lo

8 de 13 03/10/12 12:06


que sólo es posible y efectivo imponiendo a terceros
los mencionados deberes de hacer.

A continuación, los títulos IV a VII permiten clarificar
aspectos importantes para el tráfico ordinario, como la
aplicación de criterios específicos a determinado tipo
de ficheros de titularidad privada que por su
trascendencia lo requerían -los relativos a la solvencia
patrimonial y crédito y los utilizados en actividades de
publicidad y prospección comercial-, el conjunto de
obligaciones materiales y formales que deben conducir
a los responsables a la creación e inscripción de los
ficheros, los criterios y procedimientos para la
realización de las transferencias internacionales de
datos, y, finalmente, la regulación de un instrumento,
el código tipo, llamado a jugar cada vez un papel más
relevante como elemento dinamizador del derecho
fundamental a la protección de datos.

El |título VIII regula un aspecto esencial para la tutela
del derecho fundamental a la protección de datos, la
seguridad, que repercute sobre múltiples aspectos
organizativos, de gestión y aún de inversión, en todas
las organizaciones que traten datos personales. La
repercusión del deber de seguridad obligaba a un
particular rigor ya que en esta materia han confluido
distintos elementos muy relevantes. Por una parte, la
experiencia dimanante de la aplicación del Real
Decreto 994/1999 permitía conocer las dificultades
que habían enfrentado los responsables e identificar
los puntos débiles y fuertes de la regulación. Por otra,
se reclamaba la adaptación de la regulación en
distintos aspectos. En este sentido, el reglamento trata
de ser particularmente riguroso en la atribución de los
niveles de seguridad, en la fijación de las medidas que
corresponda adoptar en cada caso y en la revisión de
las mismas cuando ello resulte necesario. Por otra
parte, ordena con mayor precisión el contenido y las
obligaciones vinculadas al mantenimiento del
documento de seguridad. Además, se ha pretendido
regular la materia de modo que contemple las
múltiples formas de organización material y personal
de la seguridad que se dan en la práctica. Por último,
se regula un conjunto de medidas destinadas a los
ficheros y tratamientos estructurados y no
automatizados que ofrezca a los responsables un
marco claro de actuación.

Finalmente en el título IX, dedicado a los
procedimientos tramitados por la Agencia Española de
Protección de Datos, se ha optado por normar
exclusivamente aquellas especialidades que
diferencian a los distintos procedimientos tramitados
por la Agencia de las normas generales previstas para
los procedimientos en la Ley 30/1992, de 26 de
noviembre, de Régimen Jurídico de las
Administraciones Públicas y del Procedimiento
Administrativo Común, cuya aplicación se declara
supletoria al presente Reglamento.

9 de 13 03/10/12 12:06


En su virtud, a propuesta del Ministro de Justicia,
con la aprobación previa de la Ministra de
Administraciones Públicas, de acuerdo con el
Consejo de Estado y previa deliberación del
Consejo de Ministros en su reunión del día 21 de
diciembre de 2007, dispongo:

Artículo único. Aprobación del reglamento.

Se aprueba el Reglamento de desarrollo de la Ley
Orgánica 15/1999, de 13 de diciembre, de
Protección de datos de carácter personal, cuyo
texto se incluye a continuación.

DISPOSICIÓN TRANSITORIA PRIMERA.
Adaptación de los códigos tipo inscritos en el
Registro General de Protección de Datos.

En el plazo de un año desde la entrada en vigor
del presente Real Decreto deberán notificarse a la
Agencia Española de Protección de Datos las
modificaciones que resulten necesarias en los
códigos tipo inscritos en el Registro General de
Protección de Datos para adaptar su contenido a
lo dispuesto en el |título VII del mismo.

DISPOSICIÓN TRANSITORIA SEGUNDA.
Plazos de implantación de las medidas de
seguridad.

La implantación de las medidas de seguridad
previstas en el presente Real Decreto deberá
producirse con arreglo a las siguientes reglas:

1. Respecto de los ficheros automatizados que
existieran en la fecha de entrada en vigor del
presente Real Decreto:

a. En el plazo de un año desde su entrada en
vigor, deberán implantarse las medidas de
seguridad de nivel medio exigibles a los
siguientes ficheros:

1. Aquéllos de los que sean responsables
las Entidades Gestoras y Servicios
Comunes de la Seguridad Social y se
relacionen con el ejercicio de sus
competencias.

2. Aquéllos de los que sean responsables
las mutuas de accidentes de trabajo y
enfermedades profesionales de la
Seguridad Social.

3. Aquéllos que contengan un conjunto de
datos de carácter personal que ofrezcan
una definición de las características o
de la personalidad de los ciudadanos y
que permitan evaluar determinados
aspectos de la personalidad o del
comportamiento de los mismos,

10 de 13 03/10/12 12:06


respecto de las medidas de este
nivel que no fueran exigibles
conforme a lo previsto en el
artículo 4.4 del Reglamento de
Medidas de seguridad de los
ficheros automatizados de datos de
carácter personal, aprobado por
Real Decreto 994/1999, de 11 de
junio.

b. En el plazo de un año desde su entrada
en vigor deberán implantarse las
medidas de seguridad de nivel medio y
en el de dieciocho meses desde aquella
fecha, las de nivel alto exigibles a los
siguientes ficheros:

1. Aquéllos que contengan datos
derivados de actos de violencia de
género.

2. Aquéllos de los que sean
responsables los operadores que
presten servicios de
comunicaciones electrónicas
disponibles al público o exploten
redes públicas de comunicaciones
electrónicas respecto a los datos de
tráfico y a los datos de localización.

c. En los demás supuestos, cuando el
presente reglamento exija la
implantación de una medida adicional,
no prevista en el Reglamento de
Medidas de seguridad de los ficheros
automatizados de datos de carácter
personal, aprobado por Real Decreto
994/1999, de 11 de junio, dicha medida
deberá implantarse en el plazo de un
año desde la entrada en vigor del
presente Real Decreto.

2. Respecto de los ficheros no automatizados
que existieran en la fecha de entrada en
vigor del presente Real Decreto:

a. Las medidas de seguridad de nivel
básico deberán implantarse en el plazo
de un año desde su entrada en vigor.

b. Las medidas de seguridad de nivel
medio deberán implantarse en el plazo
de dieciocho meses desde su entrada en
vigor.

c. Las medidas de seguridad de nivel alto
deberán implantarse en el plazo de dos
años desde su entrada en vigor.

3. Los ficheros, tanto automatizados como no
automatizados, creados con posterioridad a

11 de 13 03/10/12 12:06


la fecha de entrada en vigor del
presente Real Decreto deberán tener
implantadas, desde el momento de su
creación la totalidad de las medidas de
seguridad reguladas en el mismo.

DISPOSICIÓN TRANSITORIA
TERCERA. Régimen transitorio de las
solicitudes para el ejercicio de los
derechos de las personas.

A las solicitudes para el ejercicio de los
derechos de acceso, oposición,
rectiﬁcación y cancelación que hayan
sido efectuadas antes de la entrada en
vigor del presente Real Decreto, no les
será de aplicación el mismo, rigiéndose
por la normativa anterior.

CUARTA. Régimen transitorio de los
procedimientos.

A los procedimientos ya iniciados antes
de la entrada en vigor del presente Real
Decreto, no les será de aplicación el
mismo, rigiéndose por la normativa
anterior.

QUINTA. Régimen transitorio de las
actuaciones previas.

A las actuaciones previas iniciadas con
anterioridad a la entrada en vigor del
presente Real Decreto, no les será de
aplicación el mismo, rigiéndose por la
normativa anterior.

El presente Real Decreto se aplicará a
las actuaciones previas que se inicien
después de su entrada en vigor.

DISPOSICIÓN DEROGATORIA
ÚNICA. Derogación normativa.

Quedan derogados el Real Decreto
1332/1994, de 20 de junio, por el que se
desarrollan determinados aspectos de la
Ley Orgánica 5/1992, de 29 de octubre,
de Regulación del tratamiento
automatizado de los datos de carácter
personal, el Real Decreto 994/1999, de
11 de junio, por el que se aprueba el
Reglamento de Medidas de seguridad
de los ﬁcheros automatizados que
contengan datos de carácter personal y
todas las normas de igual o inferior
rango que contradigan o se opongan a
lo dispuesto en el presente Real
Decreto.

12 de 13 03/10/12 12:06


DISPOSICIÓN FINAL PRIMERA.
Título competencial.

El |título I, con excepción del
apartado c del artículo 4, los títulos
II, III, VII y VIII, así como los
artículos 52, 53.3, 53.4, 54, 55.1,
55.3, 56, 57, 58 y 63.3 del
Reglamento se dictan al amparo de
lo dispuesto en el artículo 149.1.1.
de la Constitución, que atribuye al
Estado la competencia exclusiva
para la regulación de las
condiciones básicas que garanticen
la igualdad de todos los españoles
en el ejercicio de los derechos y en
el cumplimiento de los deberes
constitucionales.

DISPOSICIÓN FINAL
SEGUNDA. Entrada en vigor.

El presente Real Decreto entrará
en vigor a los tres meses de su
íntegra publicación en el Boletín
Oﬁcial del Estado.

Dado en Madrid, el 21 de
diciembre de 2007.

- Juan Carlos R. -

El Ministro de Justicia,
Mariano Fernández Bermejo

©Leggio, Contenidos y
Aplicaciones Informáticas,
S.L.
Prohibida la reproducción total o
parcial de los contenidos sin el
permiso de los titulares.

13 de 13 03/10/12 12:06

Lopd1

Más contenido relacionado

Similar a Lopd1 (20)

Último (20)

Lopd1