La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) fue una ley orgánica española, derogada con la entrada en vigor, el 5 de diciembre de 2018, de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, que adapta la legislación española al Reglamento General de Protección de Datos de la Unión Europea.

La LO 15/1999 tenía por objetivo garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y también los derechos fundamentales de las personas físicas, y especialmente de su honor, intimidad ,privacidad personal y familiar. Fue aprobada por las Cortes Generales el 13 de diciembre de 1999.

Esta ley se desarrolló en el artículo 18 de la Constitución Española de 1978, sobre el derecho a la intimidad familiar. Quedaban excluidas de esta normativa aquellos datos recogidos para uso doméstico, las materias clasificadas del estado y aquellos ficheros que recogen datos sobre terrorismo y otras formas de delincuencia organizada (no simple delincuencia).

La Agencia Española de Protección de Datos, de ámbito estatal y creada en 1992, es la encargada de velar por el cumplimiento de esta Ley.

Desarrollo normativo

El Real Decreto 1720/2007, de 21 de diciembre de desarrollo de la Ley Orgánica de Protección de Datos. Se trata de un desarrollo de la Ley Orgánica 15/99 de Protección de Datos de 13 de diciembre; desarrolla tanto los principios de la ley, como las medidas de seguridad a aplicar en los sistemas de información. Se aplica tanto a ficheros en soporte automatizado, como en cualquier otro tipo de soportes.

Órganos de control y posibles sanciones El órgano de control del cumplimiento de la normativa de protección de datos dentro del territorio español, con carácter general es la Agencia Española de Protección de Datos (AEPD), existiendo otras Agencias de Protección de Datos de carácter autonómico, en las comunidades autónomas de Cataluña y en el País Vasco.

Las sanciones se dividen en tres grupos dependiendo de la gravedad del hecho cometido,Listado de empresas sancionadas en 2009 Listado de las empresas que están siendo sancionadas durante el año 2009, con indicación de la cuantía impuesta y la fecha. También refleja el "Top 3" de las empresas más sancionadas durante este periodo, monto total en euros de todas las sanciones y otra información estadística siendo España el país de la Unión Europea que tiene las sanciones más altas en materia de protección de datos. Dichas sanciones dependen de la infracción cometida. La última empresa sancionada ha sido la empresa Grupon, sancionada por la agencia estatal de protección de datos, con 20.000 euros por almacenar los códigos CVV de las tarjetas de crédito de sus clientes sin informarles.

Se dividen en:

Pese al importe de las sanciones, existen muchas empresas en España que todavía no se han adecuado a la misma, o lo han hecho de forma parcial o no revisan de forma periódica su adecuación; por lo que resulta esencial el mantenimiento y revisión de la adecuación realizada.

En el sector público, la citada Ley regula igualmente el uso y manejo de la información y los ficheros con datos de carácter personal utilizados por todas las administraciones públicas.

La Agencia Española de Protección de Datos (AEPD) fue creada en 1994 conforme a lo establecido en la derogada LORTAD. Su sede se encuentra en Madrid, si bien las comunidades autónomas de Madrid, País Vasco y Cataluña han creado sus propias Agencias de carácter autonómico.

Procedimientos de inspección y de tutela de Derechos

Agencia Española de Protección de Datos (AEPD)

Año 2012 En 2012 las denuncias presentadas ante la AEPD aumentaron un 12 %. La actividad de la Agencia ha crecido notablemente en 2012, con un incremento del 15 % en los ficheros inscritos y de casi un 40 % en las resoluciones dictadas. Las denuncias por suplantación de identidad, en especial en suministro y comercialización de energía y agua (222%) y en telecomunicaciones (92 %), han experimentado un incremento sustancial. De las 863 resoluciones de infracción declaradas a responsables privados, más del 34 % concluyeron en apercibimiento, sin imposición de sanción. Por otra parte la mayor parte de las sanciones afecta al sector de las telecomunicaciones, que supone un 73 % del total. Tres de los principales operadores acumulan 70,94 % del importe global de multas.

Año 2011

En 2011 las denuncias registradas fueron un 51,6% mayores que las presentadas en 2010. Este incremento también se ve reflejado en el aumento de las resoluciones declarativas de infracción del 37,7 %. No obstante, la aplicación de la figura del apercibimiento ha determinado una disminución del 14,5 % en las sanciones económicas declaradas. El sector donde se ha incrementado más las sanciones (64 %) y se han declarado en mayor medida (25,5 %) y cuantía, (63 %) es el de las telecomunicaciones. La cuantía de las sanciones ha crecido un 12 % respecto a 2010.

Año 2009 En 2009 se incrementaron en más de un 75 % de las denuncias recibidas, que alcanzaron la cifra de 4136, y el número de solicitudes de tutela de derechos, en un 58 %. Se resolvieron 709 procedimientos sancionadores, de los que 621 acabaron con sanción con un importe total de 24,8 millones de euros.

Fuente: Memoria de la Agencia Española de Protección de Datos (AEPD) de los años 2007, 2008, 2009.

+Número de reclamacionesLugarSector de actividad económicaProcedimientos resueltos1Telecomunicaciones9082Sector financiero7683Videovigilancia721

+Número de sanciones por sectores LugarSector de actividad económicaProcedimientos resueltos1Telecomunicaciones1702Videovigilancia1173Sector financiero895Comunicac. electrónicas y spam39

+Distribución de las sanciones por su gravedad LugarTipo de sanciónPorcentaje1Graves74%2Leves21,3%3Muy graves4,6%

Año 2008 En 2008 el número de hechos denunciados ante la AEPD (junto con las investigaciones iniciadas de oficio) se incrementó en más del 45%, alcanzando la cifra de 2362. La AEPD resolvió en 2008 un total de 630 procedimientos sancionadores, casi un 58% más que en 2007, de los cuales 535 culminaron con la imposición de sanción. Las multas impuestas ascendieron hasta los 22,6 millones de euros, lo que supone un incremento de un 15% respecto al año anterior.

El número de procedimientos resueltos de declaraciones de infracción cometidas por las administraciones públicas subió en 2008 casi un 20% respecto al año anterior, pasando de 66 a 79, de los cuales 59 acabaron con una declaración de infracción.

Año 2007 En 2007 la Agencia Española de Protección de Datos resolvió 399 procedimientos sancionadores, incrementándose un 32,5% respecto al año anterior. Las sanciones económicas impuestas por la AEPD ascendieron hasta los 19.600.000 euros.

Agencias autonómicas de protección de datos

Año 2007 La Agencia de Protección de Datos de la Comunidad de Madrid realizó 196 procedimientos de inspección y 32 procedimientos de tutela de derechos en el año 2007.

La Agencia Vasca de Protección de Datos-Datuak Babesteko Euskal Bulegoa (AVDP-DBEB), resolvió 43 denuncias y 18 procedimientos de infracción en 2007.Memoria de la agencia vasca de 2007

Red Iberoamericana de protección de datos

La Red Iberoamericana de Protección de Datos (RIPD), desde su creación en 2003, ha desarrollado una intensa y fructífera labor, como la organización de diez encuentros. Además de contribuir a que más de 150 millones de ciudadanos latinoamericanos dispongan en la actualidad, junto al tradicional amparo de habeas data, de normas que permitan garantizar eficazmente el uso de su información personal y de autoridades especializadas con competencias para tutelar dichas garantías.

En América Latina se están desarrollando políticas para la protección de los datos personales. En 2012 se aprobaron dos nuevas leyes. En Nicaragua, la Ley N.º787 de Protección de Datos Personales, de 29 de marzo de 2012 y la Ley Estatuaria N.º1581 del 17 de octubre de 2012, por la cual se dictan disposiciones generales para la Protección de Datos Personales.

En Chile, asimismo la Ley 19.628, de 28 de agosto de 1999, sobre Protección a la Vida Privada, se encuentra actualmente en un proceso de revisión de parte de su articulado.

La Asamblea Nacional de Venezuela está tramitando el proyecto de ley de Protección de Datos Personales de Habeas data. Y en Costa Rica ya existe una Agencia de Protección de datos de la República de Costa Rica, en cumplimiento de la ley aprobada en 2011.

Deber de información

Los datos personales se clasifican en función de su mayor o menor grado de sensibilidad, siendo los requisitos legales y de medidas de seguridad informáticas más estrictos en función de dicho mayor grado de sensibilidad, siendo obligatorio por otro lado, en todo caso la declaración de los ficheros de protección de datos a la Agencia Española de Protección de Datos.

Según dice el artículo n.º 5 («Derecho de información en la recogida de datos»),

Se permite sin embargo, el tratamiento de datos de carácter personal sin haber sido recabados directamente del afectado o interesado, aunque no se exime de la obligación de informar de forma expresa, precisa e inequívoca, por parte del responsable del fichero o su representante, dentro de los tres meses siguientes al inicio del tratamiento de los datos.

Excepción: No será necesaria la comunicación en tres meses de dicha información si los datos han sido recogidos de «fuentes accesibles al público»,definidas como aquellos «ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación» y «tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos (...) y las listas de personas pertenecientes a grupos de profesionales (...) Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación». «En cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten». y se destinan a la actividad de publicidad o prospección comercial, en este caso «en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten».

Cláusula modelo

Esta podría ser una cláusula modelo de información/consentimiento de derechos amparados por la LOPD:

Datos cuyo tratamiento está prohibido

Los relativos a «infracciones penales o administrativas».

Excepción: Solo podrán ser incluidos en ficheros de las Administraciones públicas competentes.

Consentimiento

Tipos de consentimiento A) Consentimiento inequívoco

El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.

B) Consentimiento tácito

Esta será la forma normal del consentimiento en los supuestos que no se exija un consentimiento expreso o expreso y por escrito.

C) Consentimiento expreso

Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.

D) Consentimiento expreso y por escrito