Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal

Qué ha cambiado

6 modificaciones desde su publicación, de la más reciente a la más antigua.

• 6 de diciembre de 2018
  Reforma BOE-A-2018-16673
  Ver qué cambió →
• 30 de julio de 2018
  Reforma BOE-A-2018-10751
  Ver qué cambió →
• 5 de marzo de 2011
  Reforma BOE-A-2011-4117
  Ver qué cambió →
• 31 de diciembre de 2003
  Reforma BOE-A-2003-23936
  Ver qué cambió →
• 19 de diciembre de 2001
  Reforma BOE-A-2001-24149
  Ver qué cambió →
• 4 de enero de 2001
  Reforma BOE-A-2001-332
  Ver qué cambió →
• 14 de diciembre de 1999
  Versión original BOE-A-1999-23750

Artículo por artículo

Qué dice cada artículo, en lenguaje sencillo (55 artículos con resumen).Pulsa en un artículo para leer su texto oficial en el BOE.

1. Artículo 1 — Objeto

   La Ley garantiza y protege las libertades públicas y derechos fundamentales, especialmente honor e intimidad, en el tratamiento de datos personales.

2. Artículo 2 — Ámbito de aplicación

   La ley aplica a datos personales en soporte físico. Rige tratamientos en España o por responsables no establecidos en la UE que usen medios en España. No aplica a ficheros personales/domésticos, clasificados, antiterroristas (con notificación) o específicos (electoral, estadístico, militar, civil).

3. Artículo 3 — Definiciones

   Define datos personales, fichero, tratamiento, responsable, interesado, disociación, encargado, consentimiento y cesión. Las fuentes accesibles al público incluyen censos promocionales, directorios telefónicos, listas profesionales, diarios oficiales y medios de comunicación.

4. Artículo 4 — Calidad de los datos

   Los datos deben ser adecuados, pertinentes, no excesivos, exactos y actualizados. Se prohíben usos incompatibles (salvo fines históricos, estadísticos o científicos). Se cancelan cuando dejan de ser necesarios o si son inexactos.

5. Artículo 5 — Derecho de información en la recogida de datos

   Se debe informar previamente sobre el tratamiento de datos: finalidad, obligatoriedad, derechos y responsable. Excepciones aplican si la información se deduce o es imposible. Plazo de 3 meses si no se recaban directamente.

6. Artículo 6 — Consentimiento del afectado

   El tratamiento de datos requiere consentimiento inequívoco, salvo excepciones legales (funciones públicas, contratos, interés vital, fuentes públicas). El consentimiento es revocable sin efectos retroactivos. Sin consentimiento, el afectado puede oponerse por motivos legítimos.

7. Artículo 7 — Datos especialmente protegidos

   Datos ideología, religión, origen racial, salud y vida sexual requieren consentimiento expreso o ley. Prohibidos ficheros exclusivos para estos datos. Excepciones médicas y vitales con secreto profesional.

8. Artículo 8 — Datos relativos a la salud

   Las instituciones y centros sanitarios públicos y privados, así como sus profesionales, pueden tratar datos de salud de los pacientes conforme a la legislación estatal o autonómica sobre sanidad.

9. Artículo 9 — Seguridad de los datos

   El responsable y encargado deben adoptar medidas técnicas y organizativas para garantizar la seguridad de los datos, evitando alteraciones o accesos no autorizados. Los ficheros deben cumplir condiciones reglamentarias de seguridad.

10. Artículo 10 — Deber de secreto

    El responsable del fichero y quienes traten datos personales tienen deber de secreto profesional y guarda, obligación que subsiste tras finalizar la relación con el titular o responsable.

11. Artículo 11 — Comunicación de datos

    Los datos personales solo se comunican a terceros con consentimiento, salvo excepciones legales (ley, fuentes públicas, funciones oficiales, salud urgente). El consentimiento es revocable y nulo si no se conoce la finalidad. El receptor debe cumplir la ley.

12. Artículo 12 — Acceso a los datos por cuenta de terceros

    El acceso de terceros para prestar servicio no es comunicación de datos. Debe haber contrato escrito que regule el tratamiento, medidas de seguridad y destrución/devolución de datos al finalizar. El incumplimiento hace responsable al tercero.

13. Artículo 13 — Impugnación de valoraciones

    Se impugnan decisiones basadas solo en datos personales. Se obtienen criterios y programa. La valoración solo tiene valor probatorio a petición del afectado.

14. Artículo 14 — Derecho de consulta al Registro General de Protección de Datos

    Cualquier persona puede consultar gratuitamente en el Registro General de Protección de Datos la existencia de tratamientos, sus finalidades y la identidad del responsable.

15. Artículo 15 — Derecho de acceso

    El interesado accede gratuitamente a sus datos, origen y comunicaciones. Se puede consultar o recibir copia. El ejercicio es cada 12 meses, salvo interés legítimo.

16. Artículo 16 — Derecho de rectificación y cancelación

    El responsable rectifica o cancela en 10 días datos inexactos. La cancelación bloquea datos para responsabilidades. Se notifica a terceros si hubo comunicación previa.

17. Artículo 17 — Procedimiento de oposición, acceso, rectificación o cancelación

    Los procedimientos de oposición, acceso, rectificación y cancelación se establecen reglamentariamente. No se exige contraprestación alguna por su ejercicio.

18. Artículo 18 — Tutela de los derechos

    Las actuaciones contrarias a la Ley pueden reclamarse ante la Agencia de Protección de Datos. Si se deniegan derechos de acceso, rectificación, cancelación u oposición, el interesado puede ponerlo en conocimiento de la Agencia o del organismo autonómico competente. La resolución de tutela debe dicti

19. Artículo 19 — Derecho a indemnización

    Los interesados tienen derecho a ser indemnizados si sufren daño por incumplimiento de la Ley por parte del responsable o encargado del tratamiento. En ficheros públicos, la responsabilidad se exige según la legislación de responsabilidad de las Administraciones públicas. En ficheros privados, la

20. Artículo 20 — Creación, modificación o supresión

    La creación, modificación o supresión de ficheros de Administraciones públicas requiere disposición general publicada en el BOE o Diario Oficial. Deben indicar: finalidad, personas afectadas, procedimiento de recogida, estructura y tipos de datos, cesiones/transferencias, órganos responsables, vías

21. Artículo 21 — Comunicación de datos entre Administraciones públicas

    Los datos de las Administraciones públicas no se comunican a otras para competencias distintas, salvo que esté previsto en la disposición de creación o de superior rango, o para fines históricos, estadísticos o científicos. Pueden comunicarse datos destinados a otra Administración. Los datos de

22. Artículo 22 — Ficheros de las Fuerzas y Cuerpos de Seguridad

    Los ficheros de Fuerzas y Cuerpos de Seguridad con datos administrativos están sujetos al régimen general. La recogida para fines policiales sin consentimiento se limita a lo necesario para prevenir peligros reales o reprimir infracciones penales, almacenándose en ficheros específicos clasificados

23. Artículo 23 — Excepciones a los derechos de acceso, rectificación y cancelación

    Se deniega acceso, rectificación o cancelación por peligros para la defensa del Estado, seguridad pública, derechos de terceros o investigaciones. Hacienda puede denegar si obstaculiza actuaciones tributarias o hay inspección. El afectado puede reclamar ante la Agencia de Protección de Datos.

24. Artículo 24 — Otras excepciones a los derechos de los afectados

    No aplica la obligación de informar al afectado si impide funciones de control de las Administraciones públicas, afecta a la Defensa Nacional, seguridad pública o persecución de infracciones penales o administrativas. El apartado 2 está anulado.

25. Artículo 25 — Creación

    Se permiten ficheros privados con datos personales si son necesarios para la actividad legítima del titular y se respetan las garantías de la Ley para la protección de las personas.

26. Artículo 26 — Notificación e inscripción registral

    La creación de ficheros requiere notificación previa a la Agencia de Protección de Datos con responsable, finalidad, ubicación, datos, seguridad y cesiones. Deben comunicarse cambios. La inscripción es automática al mes si no hay resolución.

27. Artículo 27 — Comunicación de la cesión de datos

    Al ceder datos por primera vez, el responsable debe informar al afectado sobre la finalidad, naturaleza de los datos y datos del cesionario. Esta obligación no existe si la cesión viene impuesta por ley o en los supuestos del artículo 11.

28. Artículo 28 — Datos incluidos en las fuentes de acceso público

    Los datos en censos promocionales solo incluyen lo necesario. El interesado puede revocar el consentimiento, exigir la exclusión gratuita de sus datos o la objeción al uso publicitario. La atención se realiza en 10 días (telemático) o en la siguiente edición (físico). Las copias electrónicas pierden

29. Artículo 29 — Prestación de servicios de información sobre solvencia patrimonial y crédito

    Los servicios de información sobre solvencia solo tratan datos de registros públicos o con consentimiento. Se notifica a los interesados en 30 días si se registran datos de incumplimiento de obligaciones dinerarias. El interesado puede solicitar los datos, evaluaciones de los últimos seis meses y

30. Artículo 30 — Tratamientos con fines de publicidad y de prospección comercial

    Para publicidad y prospección comercial, se usan datos de fuentes públicas o con consentimiento. Cada comunicación debe informar del origen, responsable y derechos. El interesado puede conocer el origen de sus datos y oponerse gratuitamente al tratamiento, siendo dado de baja a su solicitud.

31. Artículo 31 — Censo promocional

    Para actividades comerciales, se puede solicitar al INE o Comunidades Autónomas una copia del censo promocional (nombre, apellidos, domicilio del censo electoral). La vigencia es de un año. Los interesados pueden solicitar no aparecer gratuitamente, incluyendo el documento de empadronamiento. Se

32. Artículo 32 — Códigos tipo

    Los responsables de tratamientos pueden formular códigos tipo mediante acuerdos sectoriales o convenios, estableciendo condiciones de organización, seguridad y garantías para el ejercicio de derechos. Estos códigos, de carácter deontológico o de buena práctica, deben depositarse en el Registro

33. Artículo 33 — Norma general

    Las transferencias de datos a países sin protección equivalente requieren autorización previa de la Agencia de Protección de Datos, que evalúa garantías, naturaleza de los datos y normas vigentes.

34. Artículo 34 — Excepciones

    No se requiere autorización para transferencias por tratados, auxilio judicial, fines médicos, pagos, consentimiento inequívoco, contratos, interés público, procesos judiciales, registros públicos o a la UE.

35. Artículo 35 — Naturaleza y régimen jurídico

    La Agencia de Protección de Datos es un ente público independiente con personalidad jurídica. Su personal guarda secreto profesional. Se financia con presupuestos estatales y su patrimonio.

36. Artículo 36 — El Director

    El Director, nombrado por Real Decreto por 4 años entre miembros del Consejo Consultivo, dirige la Agencia con independencia. Cesa por petición propia, separación gubernamental o causas graves.

37. Artículo 37 — Funciones

    La Agencia de Protección de Datos vela por el cumplimiento de la ley, autoriza tratamientos, atiende reclamaciones, sanciona, informa sobre derechos y publica resoluciones, salvo excepciones legales.

38. Artículo 38 — Consejo Consultivo

    El Consejo Consultivo asesora al Director. Está compuesto por representantes del Congreso, Senado, Gobierno, ayuntamientos, historia, universidades, usuarios, comunidades autónomas y sector privado.

39. Artículo 39 — El Registro General de Protección de Datos

    El Registro General de Protección de Datos, integrado en la Agencia, inscribe ficheros públicos y privados, autorizaciones, códigos tipo y datos para ejercer derechos de información, acceso, rectificación, cancelación y oposición.

40. Artículo 41 — Órganos correspondientes de las Comunidades Autónomas

    Los órganos de las Comunidades Autónomas ejercen funciones de control sobre ficheros propios, con plena independencia. El Director de la Agencia convoca reuniones de cooperación y coordinación con dichos órganos.

41. Artículo 42 — Ficheros de las Comunidades Autónomas en materia de su exclusiva competencia

    Si el mantenimiento de un fichero autonómico contraviene la ley, el Director de la Agencia requiere medidas correctoras en un plazo fijo. Si no se cumple, puede impugnar la resolución de la Administración.

42. Artículo 46 — Infracciones de las Administraciones públicas

    En infracciones de administraciones públicas, el órgano sancionador dicta medidas para cesar efectos, notifica al responsable y afectados, y puede proponer actuaciones disciplinarias. El Director comunica al Defensor del Pueblo.

43. Disposición adicional primera — Ficheros preexistentes

    Los ficheros preexistentes deben adecuarse a la ley en 3 años (privados: comunicar; públicos: regular). Los no automatizados tienen 12 años desde el 24 de octubre de 1995. Los afectados mantienen derechos de acceso, rectificación y cancelación.

44. Disposición adicional segunda — Ficheros y Registro de Población de las Administraciones públicas

    Las Administraciones pueden solicitar al INE datos de padrones sin consentimiento para crear registros de población, comunicando a los interesados sus derechos de acceso, rectificación y cancelación.

45. Disposición adicional tercera — Tratamiento de los expedientes de las derogadas Leyes de Vagos y Maleantes y de Peligrosidad y Rehabilitación Social

    Los expedientes de las derogadas Leyes de Vagos y Maleantes y de Peligrosidad no pueden consultarse sin consentimiento expreso o tras 50 años. Pasado este plazo, se facilitan suprimiendo datos sensibles salvo fallecimiento.

46. Disposición adicional cuarta — Modificación del artículo 112.4 de la Ley General Tributaria

    La cesión de datos a la Administración tributaria no requiere consentimiento del afectado. Tampoco se aplica la regla general sobre Administraciones públicas en este ámbito tributario.

47. Disposición adicional quinta — Competencias del Defensor del Pueblo y órganos autonómicos semejantes

    Esta ley no afecta las competencias del Defensor del Pueblo ni de los órganos autonómicos semejantes.

48. Disposición adicional sexta — Modificación del artículo 24.3 de la Ley de Ordenación y Supervisión de los Seguros Privados

    Las aseguradoras pueden crear ficheros comunes para siniestros y fraude sin consentimiento, pero deben informar al afectado sobre el responsable y sus derechos de acceso, rectificación y cancelación. Los datos de salud requieren consentimiento expreso.

49. Disposición transitoria primera — Tratamientos creados por Convenios internacionales

    La Agencia de Protección de Datos es competente para proteger datos en convenios internacionales con España, mientras no se cree otra autoridad específica para ese cometido.

50. Disposición transitoria segunda — Utilización del censo promocional

    Reglamentariamente se desarrollarán los procedimientos del censo promocional: formación, oposición, puesta a disposición y control. El Reglamento fijará los plazos de puesta en operación.

51. Disposición transitoria tercera — Subsistencia de normas preexistentes

    Hasta la aplicación de la disposición final primera, permanecen vigentes normas reglamentarias previas, especialmente los Reales Decretos 428/1993, 1332/1994 y 994/1999, si no se oponen a esta Ley.

52. Disposición derogatoria única — Derogación normativa

    Queda derogada la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de los datos de carácter personal.

53. Disposición final primera — Habilitación para el desarrollo reglamentario

    El Gobierno aprobará o modificará las disposiciones reglamentarias necesarias para la aplicación y desarrollo de esta ley.

54. Disposición final segunda — Preceptos con carácter de Ley ordinaria

    Los Títulos IV, VII, la disposición adicional cuarta, la transitoria primera y la final primera tienen carácter de Ley ordinaria. El Título VI lo tiene, salvo el último inciso del párrafo 4 del artículo 36.

55. Disposición final tercera — Entrada en vigor

    La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, entra en vigor en el plazo de un mes, contado desde su publicación en el Boletín Oficial del Estado.