EL PROYECTO DE LEY ORGÁNICA DE PROTECCIÓN DE DATOS Agencia Española de Protección de Datos

Actuación del legislador nacional Adaptación al RGPD El Reglamento 2016/679 sustituirá a la Directiva 95/46 a partir de 25 de mayo de 2018 El Reglamento  Norma de alcance general Obligatoria en todos sus elementos Directamente aplicable Reglamento tiene efecto unificador de la ley Actuación del legislador Desarrollo o complemento del derecho europeo Garantía por vía positiva del principio de seguridad jurídica

Tramitación administrativa Trámites concluidos Elaboración borrador por Ponencia CGC Consulta pública  7 a 28 de febrero de 2017 Aprobación por la Sección de Derecho Público CGC  19 de mayo de 2017 Consejo de Ministros. Primera vuelta 23 de junio de 2017 Información pública 28 de junio a 19 de julio de 2017 SGT Ministerios - AEPD y autoridades autonómicas - CGPJ y Consejo Fiscal Dictamen del Consejo de Estado  26 de octubre de 2017 Consejo de Ministros. Segunda vuelta  10 de noviembre de 2017 Remisión a las Cortes Generales. Tramitación parlamentaria

Disposiciones generales (Título I) Objeto Desarrollo del derecho fundamental (art. 18.4 CE) Adaptar y completar el RGPD Ámbito de aplicación  Tratamientos sujetos a RGPD Tratamientos no sujetos Aplicación supletoria: régimen electoral, instituciones penitenciarias, Registro Civil, registros de la Propiedad y Mercantiles Tratamiento de los datos de las personas fallecidas por los herederos. Las instrucciones del fallecido se pueden incorporar a un registro

Principios (Título II) Consentimiento  Exclusión del “tácito” permitido por actual legislación – Art. 28 Ley 39/2015 Consentimiento de menores sin autorización > 13 años Consentimiento no será base legal para tratar determinados datos sensibles con el fin principal de identificar al interesado por esos datos Interés legítimo ponderado por el propio legislador  Sistemas de información crediticia Datos de contacto profesional Videovigilancia Sistemas de exclusión publicitaria (“listas Robinson”) Denuncias internas en el sector privado...

Transparencia e información  Derechos (Título III) Transparencia e información  Se consagra opción de información «por capas» Ejercicio de los derechos Clarificación de derecho de acceso Clarificación de derecho a la portabilidad Obligación de bloqueo como requisito para permitir labor de supervisión

Responsables y encargados (Título IV) Modelo de responsabilidad activa basado en enfoque de riesgo  Análisis de riesgo como presupuesto necesario Delegado de protección de datos (DPD)-art. 34 Enumeración no exhaustiva de entidades obligadas Acreditación voluntaria de la cualificación a través de esquemas de certificación Impulso de la resolución amistosa de reclamaciones  Códigos de conducta y DPD

Transferencias Internacionales (Título V) Procedimiento de intervención de autoridad de supervisión ante tribunales en TI basadas en instrumentos estandarizados  Sentencia del Tribunal de Justicia de la Unión Europea de 6 octubre 2015 (asunto Schrems) “(…) Corresponde al legislador nacional prever las vías de acción que permitan a la autoridad nacional de control exponer las alegaciones que juzgue fundadas ante los tribunales nacionales, para que éstos, si concuerdan en las dudas de esa autoridad sobre la validez de la decisión de la Comisión, planteen al Tribunal de Justicia una cuestión prejudicial sobre la validez de ésta.”

Autoridades de Supervisión (Título VI) La Agencia Española de Protección de Datos como autoridad administrativa independiente (Ley 40/2015) Relaciones de cooperación y coordinación entre las autoridades de control estatal y autonómicas  Especial referencia al funcionamiento del Comité Europeo de Protección de Datos

Régimen Sancionador (Título VIII) Tipificación de conductas a partir del marco europeo  Prescripción de infracciones Sistema de sanciones RGPD Sector público Sanción de apercibimiento Propuesta de inicio de expediente disciplinario Publicidad de la sanción Remisión al desarrollo reglamentario para adecuar los procedimientos (Título VII)

Disposiciones adicionales “Disposición adicional primera. Medidas de seguridad en el ámbito del sector público. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos de carácter personal, para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679.”

Disposiciones adicionales “Disposición adicional segunda. Protección de datos y transparencia y acceso a la información pública. La publicidad activa y el acceso a la información pública regulados por el Título I de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información y buen gobierno se someterán, cuando la información contenga datos de carácter personal, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/2013, en el Reglamento (UE) 2016/679 y en la presente ley orgánica.”

Disposiciones adicionales “Disposición adicional novena . Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos. Cuando la publicación de un acto administrativo contuviese datos de carácter personal del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo las cuatro últimas cifras numéricas del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. “

Disposiciones adicionales “Disposición adicional décima. Potestad de verificación de las Administraciones Públicas. Cuando se formulen solicitudes por medios electrónicos en las que el interesado declare datos personales que obren en poder de las Administraciones Públicas, el órgano destinatario de la solicitud podrá efectuar en el ejercicio de sus competencias las verificaciones necesarias para comprobar la exactitud de los datos.”

Gracias por su atención