Organisk lag om skydd av personuppgifter och garanti för digitala rättigheter

Organisk lag 3/2018 om skydd av personuppgifter och garanti för digitala rättigheter
Cortes Generales
Citat	BOE-A-2018-16673
Territoriell utsträckning	Spanien
Passerade	Cortes Generales
passerade	18 oktober 2018 (kongress) 21 november 2018 (senat)
Antagen	6 december 2018
Effektiv	7 december 2018
Upphäver
organisk lag 15/1999 av den 13 december om skydd av personuppgifter

Den organiska lagen 3/2018 av den 5 december om skydd av personuppgifter och garanti för digitala rättigheter (spanska: Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales) är en organisk lag godkänd av Cortes Generales som har som mål att anpassning av den spanska inhemska lagen om den allmänna dataskyddsförordningen . Denna organiska lag upphäver den tidigare organiska lagen 15/1999 om skydd av personuppgifter, även om den fortfarande gäller för vissa verksamheter.

Denna lag trädde i kraft den 7 december 2018.

Strukturera

Lagen består av nittiosju artiklar strukturerade i tio rubriker, tjugotvå tilläggsbestämmelser, sex övergångsbestämmelser, en upphävandebestämmelse och sexton slutbestämmelser.

Rubrik I

Den hänför sig till lagens allmänna bestämmelser.

Enligt den första artikeln har den organiska lagen två syften. Den första är att anpassa den spanska lagen från vad som finns i den allmänna dataskyddsförordningen och "garantera att medborgarens digitala rättigheter överensstämmer med det mandat som fastställs i artikel 18.4 i konstitutionen."

Rubrik II

Det hänför sig till principerna för skydd av personuppgifter. Dessa inkluderar noggrannhet, konfidentialitet, samtycke och bearbetning av speciella uppgifter såsom brottslingar och minderåriga. En minderårig måste vara fjorton år innan han eller hon kan ge sitt samtycke.

Rubrik III

Rubrik III deklarerar de personuppgiftsskydd och bearbetningsrättigheter som enheter har. Dessa är, i överensstämmelse med europeiska bestämmelser, följande: åtkomst, rättelse, radering, opposition, rätten till begränsning av behandlingen och rätten till portabilitet. Jämfört med tidigare reglering är rätten till begränsning av behandling och rätten till portabilitet av uppgifter en förändring.

Rubrik IV

I rubrik IV ingår bestämmelser för specifika behandlingar. Dessa regler bör följas när en ansvarig har för avsikt att behandla en specifik datamängd.

Den här rubriken inkluderar förordningen om inkludering och bearbetning av data av kreditupplysningsföretag, populärt känd som "defaulter lists".

Som ett erkännande av lagligheten av databehandling för kreditupplysningsändamål är denna process föremål för vissa försiktighetsåtgärder. Artikel 20 anger att endast uppgifter som hänför sig till "skulder som är bekräftade och förfallna, vars existens eller belopp inte har varit föremål för ett administrativt eller rättsligt anspråk från gäldenären och som inte löses genom alternativ överenskommelse mellan de två parterna ."

Genom samma process måste borgenären informera den andra parten om vilka personuppgifter som kan lämnas till lämpliga enheter om de bryter mot sitt kontrakt. Detta måste meddelas innan avtalet tecknas.

De enheter som innehar uppgifterna kommer att kunna behandla och behålla dem under den tid som avtalet inte uppfylls. Detta kan ske i upp till fem år efter att avtalet har brutits, tills uppgifterna måste raderas.

Den sjätte ytterligare bestämmelsen i lagen förbjuder inkludering av uppgifter i dessa filer när kapitalbeloppet (utan ränta eller straffavgifter) är mindre än 50 euro, men regeringen kan ändra kapitalbeloppet med ett kungligt dekret .

Rubrik V

Rubrik V avser de ansvariga och ansvariga för behandlingen av uppgifter. Till skillnad från den tidigare modellen baserad på efterlevnadshantering är den nuvarande modellen som fastställts av lagar och förordningar en av aktivt ansvar. De ansvariga måste på förhand utvärdera de uppgifter de vill behandla och sedan vidta nödvändiga säkerhetsåtgärder för att behandlingen ska kunna ske. Det finns också bestämmelser relaterade till figuren för dataskyddsombudet ( DPO) .

Rubrik VI

Rubrik VI reglerar internationell överföring av uppgifter.

Rubrik VII

Huvudartikel: Spanska dataskyddsmyndigheten

Rubrik VII handlar om den spanska dataskyddsmyndighetens rättsliga status som statlig kontrollmyndighet. Dess andra kapitel reglerar den befogenhet för de dataskyddsmyndigheter som kan finnas i de autonoma kommunerna vars befogenhet är begränsad till den databehandling som utförs av den autonoma offentliga sektorn och kontrollmyndigheternas skyldighet att samarbeta med varandra. I verkligheten finns sådana dataskyddsmyndigheter bara i de autonoma samhällena i Katalonien , Baskien och Andalusien .

Rubrik VIII

Rubrik VIII reglerar förfarandena vid eventuell överträdelse av dataskyddsbestämmelserna.

Rubrik IX

Rubrik IX reglerar straffregimen för brott mot lagen som bestämmer de ansvariga parterna och upprättar en katalog över kränkningar som klassificeras som mycket allvarliga, allvarliga eller ringa. Lagen hänvisar till den allmänna dataskyddsförordningen med avseende på storleken och nivån på ansvaret för straffen. Preskriptionstiden för brott är lika reglerad.

Som ett undantag föreskrivs i artikel 77 andra stycket i lagen att när de ansvariga överträdarna är organisationer med grundlagsrelevans eller offentliga förvaltningar, kan de endast straffas med en varning. Detta utesluter möjligheten till ekonomiska straff för dessa enheter, vilket var fallet med den tidigare organiska lagen 15/1999 av den 13 december.

Rubrik X

Rubrik X i lagen erkänner och garanterar en rad rättigheter en serie rättigheter som lagen hänvisar till som "digitala" såsom nätneutralitet och universell tillgång, rätten till säkerhet och digital utbildning, rätten att bli bortglömd, rätten till portabilitet av digitala data och den digitala viljan; är lika reglerad rätten till digital frånkoppling i samband med arbetsrelationer.

Kontroverser

Insamling av personuppgifter av politiska partier

Den tredje till sista bestämmelsen i lagen lade till en ny artikel femtioåtta (a) till den allmänna valregimens organiska lag som tillät politiska partier att samla in personuppgifter relaterade till politiska åsikter i samband med deras valaktiviteter. Detta kunde inträffa närhelst sådana aktiviteter utfördes med "lämpliga garantier". Detta ansågs "skyddat av allmänintresset". På samma sätt tillät det politiska partier att "använda personuppgifter som erhållits på webbsidor och andra offentligt tillgängliga källor för att förverkliga politiska aktiviteter under valperioden", som att skicka valpropaganda elektroniskt eller via sociala medier.

Denna artikel föreföll ha skydd i paragraf 56 i den allmänna dataskyddsförordningen som föreskriver att "om, i samband med valverksamhet, det demokratiska systemets funktion kräver att de politiska partierna i en medlemsstat samlar in personuppgifter om människors politiska åsikt, kan behandlingen av dessa uppgifter tillåtas av skäl av allmänt intresse, så länge som lämpliga garantier erbjuds.”

Denna bestämmelse väckte djup oro i den juridiska sektorn eftersom de ovan nämnda aktiviteterna inte krävde förhandsgodkännande och uppenbarligen skulle tillåta skapandet av databaser över medborgare på grundval av deras politiska åsikter. Detta skapar profiler för enskilda personer. Enligt vissa sektorer skulle denna praxis ha legaliserat fallet Cambridge Analytica i Spanien. Den spanska dataskyddsmyndigheten har indikerat att de anser att lagen inte tillåter skapandet av ideologiska databaser, och inte heller distribution av personlig information baserad på ideologiska eller politiska profiler. Det politiska partiet Unidos Podemos tillkännagav att det kommer att vädja om grundlagsstridighet mot artikeln under förutsättning att den stred mot artiklarna 16 och 18 i den spanska konstitutionen . Det gjorde de till slut aldrig. Den spanska ombudsmannen överklagade denna bestämmelse om grundlagsstridighet. Nämnda överklagande godkändes för behandling den 12 mars 2019. Den 22 maj 2019 biföll författningsdomstolens plenarsammanträde nämnda överklagande och förklarade föreskriften författningsstridig och ogiltigt med en konsensus av tolv ledamöter.