Chapitre I. Dispositions générales relatives à la protection de la personne à l’égard des traitements des données à caractère personnel

Article 1er. Objet

(Loi du 27 juillet 2007)

“La présente loi protège les libertés et les droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel (…).”

Article 2. Définitions

Aux fins de la présente loi, on entend par:

(a) “code de conduite”: contributions sectorielles élaborées en vue de la bonne application de la présente loi. Les codes de conduite sont élaborés à l’échelon national ou communautaire par les associations professionnelles et les autres organisations représentatives des responsables du traitement et sont facultativement soumis pour approbation à la Commission nationale ou au groupe de protection des personnes à l’égard du traitement des données à caractère personnel tel qu’institué par l’article 29 de la Directive 95/46/CE;

(b) “Commission nationale”: la Commission nationale pour la protection des données;

(Loi du 27 juillet 2007)

“(c) “consentement de la personne concernée”: toute manifestation de volonté (…) libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou statutaire accepte que les données à caractère personnel fassent l’objet d’un traitement;”

(d) “destinataire”: la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu’il s’agisse ou non d’un tiers; les autorités qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre de l’exécution d’une mission légale d’enquête ou de contrôle ne sont pas considérées comme des destinataires;

(Loi du 27 juillet 2007)

“(e) “donnée à caractère personnel” (ci-après dénommée “donnée”): toute information de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image, concernant une personne identifiée ou identifiable (“personne concernée”); une personne physique (…) est réputée identifiable si elle peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique;”

(f) “donnée relative à la santé”: toute information concernant l’état physique et mental d’une personne concernée, y compris les données génétiques;

(g) “donnée génétique”: toute donnée concernant les caractères héréditaires d’un individu ou d’un groupe d’individus apparentés;

(h) “fichier de données à caractère personnel” (ci-après dénommé “fichier”): tout ensemble structuré de données accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique;

(i) “instance médicale”: tout praticien de la santé et toute personne soumise à la même obligation de secret professionnel, ainsi que tout établissement hospitalier visé par la loi du 28 août 1998 sur les établissements hospitaliers, effectuant un traitement de données nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements ou de la gestion de services de santé;

“interconnexion”: est abrogée par la loi du 27 juillet 2007

(j) “ministre”: le ministre ayant dans ses attributions la protection des données;

(Loi du 22 décembre 2006)

(k) “organisme de sécurité sociale”: tout organisme de droit public ou privé qui assure des prestations, obligatoires ou facultatives, relatives à la maladie, la maternité, la vieillesse, les accidents corporels, l’invalidité, la dépendance, le décès, le chômage, “le congé parental” ainsi que des prestations familiales ou d’aides sociales;

(l) “pays tiers”: Etat non membre de l’Union européenne;

(Loi du 27 juillet 2007.)

“(m) “personne concernée”: toute personne physique (…) qui fait l’objet d’un traitement de données à caractère personnel;”

(n) “responsable du traitement”: la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque les finalités et les moyens du traitement sont déterminés par ou en vertu des dispositions légales, le responsable du traitement est déterminé par ou en vertu des critères spécifiques conformément aux dispositions légales;

(o) “sous-traitant”: la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données pour le compte du responsable du traitement;

(Loi du 27 juillet 2007)

“(p) “surveillance”: toute activité qui, opérée au moyen d’instruments techniques, consiste en l’observation, la collecte ou l’enregistrement de manière non occasionnelle des données à caractère personnel d’une ou de plusieurs personnes, relatives à des comportements, des mouvements, des communications ou à l’utilisation d’appareils électroniques et informatisés;”

(q) “tiers”: la personne physique ou morale, l’autorité publique, le service ou tout autre organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placés sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilités à traiter les données. Dans le secteur public, on entend par tiers un ministère, une administration, un établissement public, une commune ou un service public autre que le responsable du traitement ou son sous-traitant;

(r) “traitement de données à caractère personnel” (ci-après dénommé “traitement”): toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et appliquées à des données, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction.

Article 3. Champ d’application

(Loi du 27 juillet 2007)

“(1) La présente loi s’applique:

– au traitement automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données contenues ou appelées à figurer dans un fichier;

– à toute forme de captage, de traitement et de diffusion de sons et images qui permettent d’identifier des personnes physiques;

– au traitement de données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales ou la sûreté de l’Etat, même liées à un intérêt économique ou financier important de l’Etat, sans préjudice des dispositions spécifiques de droit national ou international régissant ces domaines.

(2) Est soumis à la présente loi:

(a) le traitement mis en œuvre par un responsable du traitement établi sur le territoire luxembourgeois;

(b) le traitement mis en œuvre par un responsable du traitement qui, sans être établi sur le territoire luxembourgeois ou sur celui d’un autre Etat membre de l’Union européenne, recourt à des moyens de traitement situés sur le territoire luxembourgeois, à l’exclusion des moyens qui ne sont utilisés qu’à des fins de transit sur ce territoire ou sur celui d’un autre Etat membre de l’Union européenne.

Pour le traitement mentionné à l’article 3, paragraphe (2) lettre (b), le responsable du traitement désigne par une déclaration écrite à la Commission nationale un représentant établi sur le territoire luxembourgeois qui se substitue au responsable du traitement dans l’accomplissement de ses obligations prévues par la présente loi sans que ce dernier ne soit dégagé de sa propre responsabilité.

(3) La présente loi ne s’applique pas au traitement mis en œuvre par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques.”

Chapitre II. Conditions de licéité du traitement

Article 4. Qualité des données

(1) Le responsable du traitement doit s’assurer que les données qu’il traite le sont loyalement et licitement, et notamment que ces données sont:

(a) collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités;

(b) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement;

(c) exactes et, si nécessaire, mises à jour; toute mesure raisonnable doit être prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées;

(d) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées sans préjudice du paragraphe (2) ci-après.

(Loi du 27 juillet 2007)

“(2) Un traitement ultérieur de données à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible avec les finalités déterminées pour lesquelles les données ont été collectées.”

(3) Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 5. Légitimité du traitement

(Loi du 27 juillet 2007)

“(1) Le traitement de données ne peut être effectué que (…):

(a) s’il (…) est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, ou

(b) s’il (…) est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le ou les tiers auxquels les données sont communiquées, ou

(c) s’il (…) est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci, ou

(d) s’il (…) est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er , ou

(e) s’il (…) est nécessaire à la sauvegarde de l’intérêt vital de la personne concernée, ou

(f) si la personne concernée a donné son consentement.”

(2) Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 6. Traitement de catégories particulières de données

(1) Les traitements qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les traitements de données relatives à la santé et à la vie sexuelle, y compris le traitement des données génétiques sont interdits.

(2) Le paragraphe (1) ne s’applique pas lorsque:

(Loi du 27 juillet 2007)

(a) la personne concernée a donné son consentement “exprès” à un tel traitement, sauf indisponibilité du corps humain et sauf le cas interdit par la loi, ou lorsque

(Loi du 27 juillet 2007)

(b) le traitement est nécessaire aux fins de respecter les obligations et les droits spécifiques du responsable du traitement (…) en matière de droit du travail dans la mesure où il est autorisé par la loi, ou lorsque

(c) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement, ou lorsque

(d) le traitement est mis en œuvre, avec le consentement de la personne concernée par une fondation, une association ou tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse ou syndicale, dans le cadre de leurs activités légitimes, à condition que le traitement se rapporte aux données nécessaires des seuls membres de cet organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité et que les données ne soient pas communiquées à des tiers sans le consentement des personnes concernées, ou lorsque

(e) le traitement porte sur des données manifestement rendues publiques par la personne concernée, ou lorsque

(Loi du 27 juillet 2007)

“(f) le traitement (…) est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice (…), ou lorsque

(g) le traitement s’avère nécessaire pour un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques sans préjudice de l’application de l’article 7 ci-après (…), ou lorsque”

(h) le traitement est mis en œuvre par voie de règlement grand-ducal tel que prévu à l’article 17, “ou lorsque”

(Loi du 27 juillet 2007)

“(i) le traitement est mis en œuvre dans le cadre d’un traitement de données judiciaires au sens de l’article 8.

(…)

(3) Toutefois, (…) les données génétiques ne peuvent faire l’objet d’un traitement que:

a) pour vérifier l’existence d’un lien génétique dans le cadre de l’administration de la preuve en justice, pour l’identification d’une personne, la prévention ou la répression d’une infraction pénale déterminée dans les cas visés au paragraphe (2) du présent article par les lettres (f), (h) et (i), ou

b) dans le cas visé au paragraphe (2) du présent article par la lettre (c) lorsque le traitement est nécessaire à la sauvegarde des intérêts vitaux, ou

c) dans le cas visé au paragraphe (2) du présent article par la lettre (g) lorsque le traitement s’avère nécessaire pour un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques, ou

d) dans le cas visé à l’article 7, paragraphe (2) lorsque la personne concernée a donné son consentement exprès et si le traitement est effectué dans les seuls domaines de la recherche en matière de santé ou de la recherche scientifique sauf indisponibilité du corps humain et sauf dans le cas où la loi prévoit que l’interdiction visée au paragraphe (1) ne peut être levée par le consentement de la personne concernée.

Dans les cas où la loi permet la levée de l’interdiction par le consentement de la personne concernée, mais qu’il s’avère que pour des raisons pratiques le consentement est impossible à requérir ou disproportionné par rapport à l’objectif recherché et sans préjudice du droit d’opposition de la personne concernée, il peut être passé outre à l’exigence du consentement préalable dans des conditions à déterminer par règlement grand-ducal, ou

e) dans le cas visé à l’article 7, paragraphe (1), lorsque le traitement de données génétiques est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, ou de l’administration de soins ou de traitements. Dans ce cas, le traitement de ces données ne peut être mis en œuvre que par les instances médicales.”

(4) Quiconque effectue un traitement ou opère une communication à un tiers en violation des dispositions du paragraphe (1) qui précède est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement ou de la communication contraires aux dispositions du paragraphe (1) du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 7. Traitement de catégories particulières de données par les services de la santé

(Loi du 27 juillet 2007)

“Sans préjudice de l’application de l’article 6 paragraphe (3) relatif au traitement des données génétiques:

(1) le traitement de données relatives à la santé et à la vie sexuelle nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements peut être mis en œuvre par des instances médicales;

(2) le traitement de données relatives à la santé et à la vie sexuelle nécessaire aux fins de la recherche en matière de santé ou de la recherche scientifique peut être mis en œuvre par des instances médicales, ainsi que par les organismes de recherche et par les personnes physiques ou morales dont le projet de recherche a été approuvé en vertu de la législation applicable en matière de recherche biomédicale. Si le responsable est une personne morale, il indique un responsable délégué soumis au secret professionnel;

(3) le traitement de données relatives à la santé et à la vie sexuelle nécessaire aux fins de la gestion de services de santé peut être mis en œuvre par des instances médicales, ainsi que lorsque le responsable du traitement est soumis au secret professionnel, par les organismes de sécurité sociale et les administrations qui gèrent ces données en exécution de leurs missions légales et réglementaires, par les entreprises d’assurance, les sociétés gérant les fonds de pension, la Caisse médico-chirurgicale mutualiste et par celles des personnes physiques ou morales bénéficiant d’un agrément dans le domaine médico-social ou thérapeutique en vertu de la loi du 8 septembre 1998 réglant les relations entre l’Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique lorsqu’ils développent leur activité dans l’un des domaines à énumérer par règlement grand-ducal.

(4) Le recours à un sous-traitant est possible dans les conditions prévues à l’article 21.

Sous réserve que leur traitement soit en lui-même licite au regard des articles 6 et 7, les données y visées peuvent être communiquées à des tiers ou utilisées à des fins de recherche, d’après les modalités et suivant les conditions à déterminer par règlement grand-ducal.

Les prestataires de soins et les fournisseurs peuvent communiquer les données relatives à leurs prestations au médecin traitant et à un organisme de sécurité sociale ou à la Caisse médico-chirurgicale mutualiste aux fins de remboursement des dépenses afférentes.

(5) Quiconque effectue un traitement ou opère une communication à un tiers en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement ou de la communication contraires aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.”

Article 8. Traitement de données judiciaires

(1) Le traitement des données dans le cadre d’enquêtes pénales et de procédures judiciaires est opéré dans le respect des dispositions du Code d’instruction criminelle, du Code de procédure civile, de la loi portant règlement de procédure devant les juridictions administratives ou d’autres lois.

(2) Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être mis en œuvre qu’en exécution d’une disposition légale.

(3) Il ne peut être tenu de recueil exhaustif des condamnations pénales que sous le contrôle de l’autorité publique compétente en la matière.

(4) Quiconque, agissant à titre privé, effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 9. Traitement réalisé dans le cadre de la liberté d’expression

(Loi du 27 juillet 2007)

(…) Sans préjudice des dispositions prévues dans la “loi du 8 juin 2004 sur la liberté d’expression dans les médias” et dans la mesure où les dérogations ci-après s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression, le traitement mis en œuvre aux seules fins de journalisme ou d’expression artistique ou littéraire n’est pas soumis:

(a)

– à la prohibition de traiter les catégories particulières de données telle que prévue à l’article 6, paragraphe (1);

– aux limitations concernant le traitement de données judiciaires prévues à l’article 8;

(Loi du 27 juillet 2007)

“lorsque le traitement se rapporte à des données rendues manifestement publiques par la personne concernée ou à des données qui sont en rapport direct avec la vie publique de la personne concernée ou avec le fait dans lequel elle est impliquée de façon volontaire;”

(b) à la condition de protection adéquate exigée s’agissant des traitements de données faisant l’objet d’un transfert vers un pays tiers telle que prévue à l’article 18, paragraphe (1);

(c) à l’obligation d’information de l’article 26, paragraphe (1), lorsque son application compromettrait la collecte des données auprès de la personne concernée;

(d) à l’obligation d’information de l’article 26, paragraphe (2), lorsque son application compromettrait soit la collecte des données, soit une publication en projet, soit la mise à disposition du public, de quelque manière que ce soit de ces données ou fournirait des indications permettant d’identifier les sources d’information;

(Loi du 27 juillet 2007)

“(e) au droit d’accès de la personne concernée qui est différé et limité conformément (…) à l’article 29, paragraphe (3).”

(…)

Article 10. Traitement à des fins de surveillance

(1) Le traitement à des fins de surveillance ne peut être effectué que:

(a) si la personne concernée a donné son consentement, ou

(b) aux abords ou dans tout lieu accessible ou non au public autres que les locaux d’habitation, notamment dans les parkings couverts, les gares, aérogares et les moyens de transports publics, pourvu que le lieu en question présente de par sa nature, sa situation, sa configuration ou sa fréquentation un risque rendant le traitement nécessaire:

(Loi du 27 juillet 2007)

“-à la sécurité des usagers ainsi qu’à la prévention des accidents;(…)

-à la protection des biens, s’il existe un risque caractérisé de vol ou de vandalisme”, ou

(c) aux lieux d’accès privé dont la personne physique ou morale y domiciliée est le responsable du traitement, “ou”

(Loi du 27 juillet 2007)

“(d) si le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement.”

(2) Les personnes concernées sont informées par des moyens appropriés tels que des panneaux de signalisation, des circulaires et/ou des envois recommandés par voie postale ou électronique de la mise en œuvre des traitements visés au paragraphe (1), lettres (b) et (c). A la demande de la personneconcernée, le responsable du traitement fournit à celle-ci les informations prévues à l’article 26, paragraphe (2).

(3) Les données collectées à des fins de surveillance ne sont communiquées que:

(a) si la personne concernée a donné son consentement sauf le cas interdit par la loi, ou

(b) aux autorités publiques dans le cadre de l’article 17, paragraphe (1), ou

(c) aux autorités judiciaires compétentes pour constater ou poursuivre une infraction pénale et aux autorités judiciaires devant lesquelles un droit en justice est exercé ou défendu.

(4) Quiconque effectue un traitement en violation des dispositions du paragraphe (1) qui précède est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du paragraphe (1) du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 11. Abrogé par la loi du 31 juillet 2006 et repris par l’article L. 261-1 Code du Travail

(Loi du 27 juillet 2007)

“Article 11 nouveau: Traitement à des fins de surveillance sur le lieu de travail

Le traitement à des fins de surveillance sur le lieu de travail ne peut être mis en œuvre par l’employeur, s’il est le responsable du traitement, que dans les conditions visées à l’article L. 261-1 du Code du

Travail.”

Chapitre III. Formalités préalables à la mise en œuvre des traitements et publicités des traitements

Article 12. Notification préalable à la Commission nationale

(1) (a) A l’exception de ceux qui relèvent des dispositions prévues aux articles 8, 14 et 17, les traitements de données font l’objet d’une notification préalable par le responsable du traitement auprès de la Commission nationale.

(b) Les traitements relevant d’un même responsable du traitement et ayant des finalités identiques ou liées entre elles peuvent faire l’objet d’une notification unique. Dans ce cas les informations requises en application de l’article 13 ne sont fournies pour chacun des traitements que dans la mesure où elles lui sont propres.

(Loi du 27 juillet 2007)

“(2) Sont exemptés de l’obligation de notification:

(a) les traitements, sauf ceux à des fins de surveillance visés aux articles 10 ci-dessus et L. 261-1 du Code du Travail, effectués par le responsable du traitement, s’il désigne un chargé de la protection des données. Le chargé de la protection des données établit et continue à la Commission nationale un registre comprenant les traitements effectués par le responsable du traitement, à l’exception de ceux exemptés de notification conformément au paragraphe (3) du présent article et conformément aux dispositions relatives à la publicité des traitements telles que prévues à l’article 15;

(b) les traitements ayant pour seul but la tenue d’un registre qui en vertu d’une disposition légale est destiné à l’information du public et qui est ouvert à la consultation du public ou de toute personne justifiant d’un intérêt légitime;

(c) les traitements mis en œuvre par les avocats, notaires et huissiers, et nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice;

(d) les traitements mis en œuvre aux seules fins de journalisme ou d’expression artistique ou littéraire visés à l’article 9;

(e) les traitements nécessaires à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement.

(3) Sont en outre exemptés de l’obligation de notification:

(a) Les traitements de données qui se rapportent exclusivement à des données à caractère personnel nécessaires à l’administration des salaires des personnes au service ou travaillant pour le responsable du traitement, pour autant que ces données soient utilisées exclusivement pour l’administration des salaires visée et qu’elles soient uniquement communiquées aux destinataires qui y ont droit.

(b) Les traitements de données qui visent exclusivement la gestion des candidatures et des recrutements ainsi que l’administration du personnel au service ou travaillant pour le responsable du traitement.

Le traitement ne peut se rapporter ni à des données relatives à la santé de la personne concernée, ni à des données sensibles ou judiciaires au sens des articles 6 et 8, ni à des données destinées à une évaluation de la personne concernée.

Ces données ne peuvent être communiquées à des tiers, sauf dans le cadre de l’application d’une disposition légale ou réglementaire, ou pour autant qu’elles soient indispensables à la réalisation des objectifs du traitement.

(c) Les traitements de données qui se rapportent exclusivement à la comptabilité du responsable du traitement, pour autant que ces données soient utilisées exclusivement pour cette comptabilité et que le traitement concerne uniquement des personnes dont les données sont nécessaires à la comptabilité.

Ces données ne peuvent être communiquées à des tiers, sauf dans le cadre de l’application d’une disposition réglementaire ou légale ou pour autant que la communication soit indispensable pour la comptabilité.

(d) Les traitements de données qui visent exclusivement l’administration d’actionnaires, d’obligataires et d’associés, pour autant que le traitement porte uniquement sur les données nécessaires à cette administration, que ces données portent uniquement sur des personnes dont les données sont nécessaires à cette administration, que ces données ne soient pas communiquées à des tiers, sauf dans le cadre de l’application d’une disposition légale ou réglementaire.

(e) Les traitements de données qui visent exclusivement la gestion de la clientèle ou des fournisseurs du responsable du traitement.

Le traitement peut uniquement porter sur des clients ou des fournisseurs potentiels, existants ou anciens du responsable du traitement.

Le traitement ne peut se rapporter ni à des données relatives à la santé de la personne concernée, ni à des données sensibles ou judiciaires au sens des articles 6 et 8.

Ces données ne peuvent être communiquées à des tiers, sauf dans le cadre de l’application d’une disposition légale ou réglementaire, ou encore aux fins de la gestion normale d’entreprise.

(f) Les traitements de données qui sont effectués par une fondation, une association ou tout autre organisme sans but lucratif dans le cadre de leurs activités ordinaires.

Le traitement doit se rapporter exclusivement à l’administration des membres propres, des personnes avec qui le responsable du traitement entretient des contacts réguliers ou des bienfaiteurs de la fondation, de l’association ou de l’organisme.

Ces données ne peuvent être communiquées à des tiers, sauf dans le cadre de l’application d’une disposition légale ou réglementaire.

(g) Les traitements de données d’identification indispensables à la communication effectués dans le seul but d’entrer en contact avec l’intéressé, pour autant que ces données ne soient pas communiquées à un tiers.

La lettre (g) s’applique uniquement aux traitements de données non visés par une des autres dispositions de la présente loi.

(h) Les traitements de données portant exclusivement sur l’enregistrement de visiteurs, effectué dans le cadre d’un contrôle d’accès manuel, dans la mesure où les données traitées se limitent aux seuls nom, adresse professionnelle du visiteur, identification de son employeur, identification de son véhicule, nom, section et fonction de la personne visitée ainsi qu’au jour et à l’heure de la visite.

Ces données ne peuvent être utilisées exclusivement que pour le contrôle d’accès manuel.

(i) Les traitements de données qui sont effectués par les établissements d’enseignement en vue de gérer leurs relations avec leurs élèves ou étudiants.

Le traitement se rapporte exclusivement à des données à caractère personnel relatives à des élèves ou étudiants potentiels, actuels ou anciens de l’établissement d’enseignement concerné.

Ces données ne peuvent être communiquées à des tiers, sauf dans le cadre de l’application d’une disposition légale ou réglementaire.

(j) Les traitements de données à caractère personnel effectués par des autorités administratives si le traitement est soumis à des réglementations particulières adoptées par ou en vertu de la loi et réglementant l’accès aux données traitées ainsi que leur utilisation et leur obtention.

(k) Les traitements de données à caractère personnel nécessaires à la gestion des systèmes et réseaux informatiques et de communications électroniques, pourvu qu’ils ne soient pas mis en œuvre à des fins de surveillance au sens des articles 10 et 11 nouveau.

(l) Les traitements mis en œuvre conformément à l’article 36 de la loi du 28 août 1998 sur les établissements hospitaliers à l’exception des traitements de données génétiques.

(m) Les traitements mis en œuvre conformément à l’article 7 paragraphe (1) par un médecin et concernant ses patients à l’exception des traitements de données génétiques.

(n) Les traitements mis en œuvre par un pharmacien et par un professionnel soumis à la loi modifiée du 26 mars 1992 sur l’exercice et la revalorisation de certaines professions de santé. Le traitement de données à caractère personnel se rapporte exclusivement à la délivrance des médicaments et aux soins ou prestations effectuées. Ces données ne peuvent être communiquées à des tiers, sauf dans le cadre de l’application d’une disposition légale ou réglementaire.”

(4) Quiconque ne se soumet pas à l’obligation de notification ou fournit des informations incomplètes ou inexactes est puni d’une amende de 251 à 125.000 euros. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 13. Contenu et forme de la notification

(1) La notification comprend au moins les informations suivantes:

(Loi du 27 juillet 2007.)

(a) le nom et l’adresse du responsable du traitement, et le cas échéant de son représentant (…);

(b) la condition de légitimité du traitement;

(c) la ou les finalité(s) du traitement;

(d) la description de la ou des catégories de personnes concernées et des données ou des catégories de données s’y rapportant;

(e) les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées;

(f) les pays tiers à destination desquels des transferts de données sont envisagés;

(g) une description générale permettant d’apprécier de façon préliminaire le caractère approprié des mesures prises pour assurer la sécurité du traitement en application des articles 22 et 23;

(…) abrogée par la loi du 27 juillet 2007

(2) Toute modification affectant les informations visées au paragraphe (1) doit être notifiée à la Commission nationale préalablement à la mise en œuvre du traitement.

(Loi du 27 juillet 2007)

“(3) La notification se fait auprès de la Commission nationale moyennant support papier accompagné, le cas échéant, d’un support informatique ou d’une transmission par voie électronique suivant un schéma à établir par elle. Il est accusé réception de la notification.

Un règlement grand-ducal fixe le montant et les modalités de paiement d’une redevance à percevoir lors de toute notification et de toute modification de notification.

(4) Les traitements qui ont une même finalité, qui portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent faire l’objet d’une notification unique auprès de la Commission nationale. Dans ce cas le responsable de chaque traitement adresse à la Commission nationale un engagement formel de conformité de celui-ci à la description figurant dans la notification.”

Article 14. Autorisation préalable de la Commission nationale

(Loi du 27 juillet 2007)

“(1) Sont soumis à l’autorisation préalable de la Commission nationale:

(a) les traitements de données génétiques visés au paragraphe (3) lettres (c) et (d) de l’article 6;

(b) les traitements à des fins de surveillance visés à l’article 10 dès lors que les données résultant de la surveillance font l’objet d’un enregistrement et à l’article 11 nouveau;

(c) les traitements de données à des fins historiques, statistiques ou scientifiques visés à l’article 4, paragraphe (2);

(d) l’interconnexion de données visée à l’article 16;

(e) le traitement concernant le crédit et la solvabilité des personnes concernées lorsque ce traitement est effectué par des personnes autres que des professionnels du secteur financier ou des compagnies d’assurance concernant leurs clients;

(f) les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes;

(g) l’utilisation de données à des fins autres que celles pour lesquelles elles ont été collectées. Un tel traitement ne peut être effectué que moyennant consentement préalable de la personne concernée ou s’il est nécessaire à la sauvegarde de l’intérêt vital de la personne concernée.”

(2) La demande d’autorisation comprend les informations suivantes:

(Loi du 27 juillet 2007)

(a) le nom et l’adresse du responsable du traitement (…) “et le cas échéant” de son représentant (…);

(b) la condition de légitimité du traitement;

(c) la ou les finalités du traitement;

(d) l’origine des données;

(e) la description détaillée des données ou catégories de données ainsi que des traitements envisagés;

(f) la description de la ou des catégories de personnes concernées;

(g) les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées;

(h) les pays tiers à destination desquels des transferts de données sont envisagés;

(i) une description détaillée permettant d’apprécier le respect des mesures de sécurité prévues aux articles 22 et 23.

(…) abrogée par la loi du 27 juillet 2007

(Loi du 27 juillet 2007)

“(3) Toute modification affectant les informations visées au paragraphe (2) doit être autorisée par la Commission nationale préalablement à la mise en œuvre du traitement.

(4) La demande d’autorisation se fait auprès de la Commission nationale moyennant support papier accompagné, le cas échéant, d’un support informatique ou d’une transmission par voie électronique. Il est accusé réception de la demande d’autorisation. Un règlement grand-ducal fixera le montant et les modalités de paiement d’une redevance à percevoir lors de toute autorisation et de toute modification d’autorisation.”

(5) Les traitements qui ont une même finalité, qui portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisées par une décision unique de la Commission nationale. Dans ce cas le responsable de chaque traitement adresse à la Commission nationale un engagement formel de conformité de celui-ci à la description figurant dans l’autorisation.

(6) Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 15. Publicité des traitements

(1) La Commission nationale tient un registre public des traitements.

(2) Figurent dans ce registre:

(a) les traitements notifiés à la Commission nationale en vertu de l’article 12, paragraphe (1);

(b) les traitements autorisés par la Commission nationale en vertu de l’article 14, paragraphe (1); et

(Loi du 27 juillet 2007)

“(c) les traitements surveillés par le chargé de la protection des données et continués à la Commission nationale en vertu de l’article 12, paragraphe (2) lettre (a) ainsi que l’identité de celui-ci.”

(3) Le registre tenu par la Commission nationale contient sur chaque traitement les informations requises respectivement par l’article 13, paragraphe (1) et par l’article 14, paragraphe (2). Pour les traitements soumis à autorisation préalable, le registre renseigne en plus sur l’autorisation émise par la Commission nationale.

(4) Toute personne peut prendre connaissance, et ce gratuitement, des informations contenues dans le registre public qui est en ligne, à l’exception de celles prévues respectivement à l’article 13, paragraphe (1) lettre (g) et à l’article 14, paragraphe (2) lettre (i).

(5) Cependant la Commission nationale peut limiter cette publicité lorsqu’une telle mesure est nécessaire pour sauvegarder:

(a) la sûreté de l’Etat,

(b) la défense,

(c) la sécurité publique,

(Loi du 27 juillet 2007)

“(d) la prévention, la recherche et la constatation d’infractions pénales et la lutte contre le blanchiment,”

(e) un intérêt économique ou financier important de l’Etat ou de l’Union Européenne, y compris dans les domaines monétaire, budgétaire et fiscal,

(f) la protection de la personne concernée ou des droits et libertés d’autrui,

(g) la liberté d’expression,

(h) une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux points (c), (d) et (e) et (i) le secret professionnel et le secret d’affaires de la personne concernée et du responsable du traitement.

(6) La Commission nationale publie un rapport annuel qui fait état des notifications et autorisations.

(7) Le présent article ne s’applique pas aux traitements ayant pour seul but la tenue d’un registre qui, en vertu d’une loi ou d’un règlement grand-ducal, est destiné à l’information du public et qui est ouvert à la consultation du public ou de toute personne justifiant d’un intérêt légitime.

Article 16. Interconnexion de données

(Loi du 27 juillet 2007)

(1) L’interconnexion de données qui n’est pas expressément prévue par un texte légal “ou réglementaire” doit faire l’objet d’une autorisation préalable de la Commission nationale sur demande conjointe présentée par les responsables des traitements en cause.

(2) L’interconnexion de données doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements, ne pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées, être assortie de mesures de sécurité appropriées et tenir compte du type de données faisant l’objet de l’interconnexion.

(Loi du 27 juillet 2007)

“(3) L’interconnexion n’est autorisée que dans le respect des finalités compatibles entre elles de fichiers et du respect du secret professionnel auquel les responsables du traitement sont le cas échéant astreints.”

Article 17. Autorisation par voie réglementaire

(1) Font l’objet d’un règlement grand-ducal:

(a) les traitements d’ordre général nécessaires à la prévention, à la recherche et à la constatation des infractions pénales qui sont réservés, conformément à leurs missions légales et réglementaires respectives, aux organes du corps de la police grand-ducale, de l’Inspection générale de la police et de l’administration des douanes et accises.

Le règlement grand-ducal déterminera le responsable du traitement, la condition de légitimité du traitement, la ou les finalités du traitement, la ou les catégories de personnes concernées et les données ou les catégories de données s’y rapportant, l’origine de ces données, les tiers ou les catégories de tiers auxquels ces données peuvent être communiquées et les mesures à prendre pour assurer la sécurité du traitement en application de l’article 22 de la présente loi,

(b) les traitements relatifs à la sûreté de l’Etat, à la défense et à la sécurité publique, et

(c) les traitements de données dans des domaines du droit pénal effectués en vertu de conventions internationales, d’accords intergouvernementaux ou dans le cadre de la coopération avec l’Organisation internationale de police criminelle (OIPC – Interpol),

(Loi du 27 juillet 2007)

“(d) la création et l’exploitation, aux fins et conditions visées sous (a), d’un système de vidéosurveillance des zones de sécurité. Est à considérer comme telle tout lieu accessible au public qui par sa nature, sa situation, sa configuration ou sa fréquentation présente un risque accru d’accomplissement d’infractions pénales.

Les zones de sécurité sont fixées dans les conditions prévues par règlement grand-ducal.”

(2) Le contrôle et la surveillance des traitements mis en œuvre tant en application d’une disposition de droit interne qu’en application d’une convention internationale est exercé par une autorité de contrôle composée du Procureur Général d’Etat, ou de son délégué qui la préside, et de deux membres de la Commission nationale nommés, sur proposition de celle-ci, par le ministre.

L’organisation et le fonctionnement de l’autorité de contrôle font l’objet d’un règlement grand-ducal.

L’autorité de contrôle est informée immédiatement de la mise en œuvre d’un traitement de données visé par le présent article. Elle veille à ce que ces traitements soient effectués conformément aux dispositions légales qui les régissent.

Pour l’exercice de sa mission, l’autorité de contrôle a un accès direct aux données traitées. Elle peut procéder, quant aux traitements effectués, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission. Elle peut également charger un de ses membres à procéder à des missions de contrôle spécifique qui sont exécutées dans les conditions indiquées cidessus. L’autorité de contrôle fait opérer les rectifications et radiations nécessaires. Elle présente chaque année au ministre un rapport rendant compte de l’exécution de sa mission.

Le droit d’accès aux données visées au présent article ne peut être exercé que par l’intermédiaire de l’autorité de contrôle. Celle-ci procède aux vérifications et investigations utiles, fait opérer les rectifications nécessaires et informe la personne concernée que le traitement en question ne contient aucune donnée contraire aux conventions, à la loi et à ses règlements d’exécution.

(3) Toute personne, agissant à titre privé, qui effectue un traitement en violation des dispositions du présent article est punie d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Chapitre IV. Transferts de données vers des pays tiers

Article 18. Principes

(1) Le transfert vers un pays tiers de données faisant l’objet d’un traitement ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si le pays en question assure un niveau de protection adéquat et moyennant le respect des dispositions de la présente loi et de ses règlements d’exécution.

(2) Le caractère adéquat du niveau de protection offert par un pays tiers doit être apprécié par le responsable du traitement au regard de toutes les circonstances relatives à un transfert ou une catégorie de transferts de données, notamment la nature des données, la finalité et la durée du ou des traitements envisagés, le pays d’origine et le pays de destination finale, les règles de droit générales et sectorielles en vigueur dans le pays en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.

(3) En cas de doute, le responsable du traitement informe sans délai la Commission nationale qui apprécie si un pays tiers assure un niveau de protection adéquat. La Commission nationale notifie conformément à l’article 20 à la Commission européenne les cas dans lesquels elle estime que le pays tiers n’assure pas un niveau de protection adéquat.

(4) Lorsque la Commission européenne ou la Commission nationale constate qu’un pays tiers ne dispose pas d’un niveau de protection adéquat, tout transfert de données vers ce pays est prohibé.

(5) Quiconque effectue un transfert de données vers un pays tiers en violation des dispositions des paragraphes (1), (2) et (4) qui précèdent est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du transfert contraire aux dispositions des paragraphes (1), (2) et (4) du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 19. Dérogations

(1) Le transfert de données ou d’une catégorie de données vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 18, paragraphe (2), peut toutefois être effectué à condition que:

(a) la personne concernée ait donné son consentement au transfert envisagé, ou

(b) le transfert soit nécessaire à l’exécution d’un contrat auquel la personne concernée et le responsable du traitement sont parties ou à l’exécution de mesures précontractuelles prises à la demande de la personne concernée, ou

(c) le transfert soit nécessaire à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers, ou

(d) le transfert soit nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d’un intérêt public important, ou pour la constatation, l’exercice ou la défense d’un droit en justice, ou

(e) le transfert soit nécessaire à la sauvegarde de l’intérêt vital de la personne concernée, ou

(Loi du 27 juillet 2007)

(f) le transfert intervienne depuis un registre public tel que prévu à l’ “article 12 paragraphe (2) lettre (b).”

(Loi du 27 juillet 2007)

“(2) Dans le cas d’un transfert effectué vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 18, paragraphe (2), le responsable du traitement doit, sur demande de la Commission nationale, notifier à celle-ci, endéans la quinzaine de la demande, un rapport établissant les conditions dans lesquelles il a opéré le transfert.”

(3) Sans préjudice des dispositions du paragraphe (1), la Commission nationale peut autoriser, sur la base d’une demande dûment motivée, un transfert ou un ensemble de transferts de données vers un pays tiers et n’assurant pas un niveau de protection adéquat, au sens de l’article 18, paragraphe (2), ceci lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes concernées, ainsi qu’à l’exercice des droits correspondants. Ces garanties peuvent résulter de clauses contractuelles appropriées. Le responsable du traitement est tenu de se conformer à la décision de la Commission nationale.

(4) Quiconque effectue un transfert de données vers un pays tiers en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du transfert contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 20. Information réciproque

(Loi du 27 juillet 2007)

“(1) La Commission nationale informe le ministre de toute décision prise en application des articles 18, paragraphes (3) et (4), et 19, paragraphe (3).”

(2) Le ministre informe la Commission nationale de toute décision relative au niveau de protection d’un pays tiers prise par la Commission européenne.

Chapitre V. Subordination et sécurité des traitements

Article 21. Subordination

Toute personne qui agit sous l’autorité du responsable du traitement ou sous celle du sous-traitant, ainsi que le sous-traitant lui-même, et qui accède à des données ne peut les traiter que sur instruction du responsable du traitement, sauf en vertu d’obligations légales.

Article 22. Sécurité des traitements

(Loi du 27 juillet 2007)

(1) Le responsable du traitement doit mettre en œuvre toutes les mesures techniques et l’organisation appropriées pour assurer la protection des données qu’il traite contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite. “Une description de ces mesures ainsi que de tout changement ultérieur majeur est, à sa demande et dans les quinze jours, communiquée à la Commission nationale.”

(2) Lorsque le traitement est mis en œuvre pour compte du responsable du traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d’organisation relatives aux traitements à effectuer. Il incombe au responsable du traitement ainsi qu’au sous-traitant de veiller au respect de ces mesures.

(3) Tout traitement effectué pour compte doit être régi par un contrat ou un acte juridique consigné par écrit qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que:

(a) le sous-traitant n’agit que sur la seule instruction du responsable du traitement; et que

(b) les obligations visées au présent article incombent également à celui-ci.

Article 23. Mesures de sécurité particulières

En fonction du risque d’atteinte à la vie privée, ainsi que de l’état de l’art et des coûts liés à leur mise en œuvre, les mesures visées à l’article 22, paragraphe (1) doivent:

(a) empêcher toute personne non autorisée d’accéder aux installations utilisées pour le traitement de données (contrôle à l’entrée des installations);

(b) empêcher que des supports de données puissent être lus, copiés, modifiés ou déplacés par une personne non autorisée (contrôle des supports);

(c) empêcher l’introduction non autorisée de toute donnée dans le système d’information, ainsi que toute prise de connaissance, toute modification ou tout effacement non autorisés de données enregistrées (contrôle de la mémoire);

(d) empêcher que des systèmes de traitements de données puissent être utilisés par des personnes non autorisées à l’aide d’installations de transmission de données (contrôle de l’utilisation);

(e) garantir que, pour l’utilisation d’un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu’aux données relevant de leur compétence (contrôle de l’accès);

(f) garantir que puisse être vérifié et constaté l’identité des tiers auxquels des données peuvent être transmises par des installations de transmission (contrôle de la transmission);

(g) garantir que puisse être vérifié et constaté a posteriori l’identité des personnes ayant eu accès au système d’information et quelles données ont été introduites dans le système, à quel moment et par quelle personne (contrôle de l’introduction);

(h) empêcher que, lors de la communication de données et du transport de supports de données, les données puissent être lues, copiées, modifiées ou effacées de façon non autorisée (contrôle du transport);

(i) sauvegarder les données par la constitution de copies de sécurité (contrôle de la disponibilité).

Article 24. Secret professionnel

(1) Les membres de la Commission nationale et toute personne qui exerce des fonctions auprès de la Commission nationale ou accomplit une mission pour son compte ainsi que le chargé de la protection des données sont soumis au respect du secret professionnel prévu à l’article 458 du Code pénal, même après la fin de leur fonction.

(2) Le chargé de la protection des données agissant dans le cadre de l’accomplissement de ses missions, ne peut opposer à la Commission nationale le secret professionnel auquel il est soumis.

(3) Le prestataire de service de certification ne peut opposer à la Commission nationale le secret professionnel auquel il est soumis conformément à l’article 19 de la loi du 14 août 2000 relative au commerce électronique.

(Loi du 27 juillet 2007)

(4) Le responsable du traitement agissant dans le cadre de l’accomplissement de ses missions visées à l’article 7, “paragraphes (1er) et (2)”, ne peut opposer à la Commission nationale le secret professionnel auquel il est soumis lorsque celle-ci a été saisie conformément à l’article 32, paragraphes (4) et (5).

Article 25. Sanctions relatives à la subordination et à la sécurité des traitements

Quiconque effectue un traitement en violation des règles relatives à la confidentialité ou à la sécurité visées aux articles 21, 22 et 23 est puni d’un emprisonnement de huit jours à six mois et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions des articles 21, 22 et 23 sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Chapitre VI. Droits de la personne concernée

Article 26. Le droit à l’information de la personne concernée

(1) Lorsque des données sont collectées directement auprès de la personne concernée, le responsable du traitement doit fournir à la personne concernée, au plus tard lors de la collecte et quels que soient les moyens et supports employés, les informations suivantes, sauf si la personne concernée en a déjà été informée:

(a) l’identité du responsable du traitement et, le cas échéant, de son représentant;

(b) la ou les finalités déterminées du traitement auquel les données sont destinées;

(c) toute autre information supplémentaire telle que:

– les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées;

– le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse;

– l’existence d’un droit d’accès aux données la concernant et de rectification de ces données;

(…) abrogée par la loi du 27 juillet 2007

(Loi du 27 juillet 2007)

“dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données.”

(2) Lorsque les données n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit, dès l’enregistrement des données ou, si une communication de données à un tiers est envisagée, au plus tard lors de la première communication de données, fournir à la personne concernée, sauf si elle en est déjà informée, les informations suivantes:

(a) l’identité du responsable du traitement et, le cas échéant, de son représentant;

(b) la ou les finalités déterminées du traitement auquel les données sont destinées;

(c) toute information supplémentaire telle que:

– les catégories de données concernées;

– les destinataires ou les catégories de destinataires des données auxquels les données sont susceptibles d’être communiquées;

– l’existence d’un droit d’accès aux données la concernant et de rectification de ces données;

(…) abrogée par la loi du 27 juillet 2007

(Loi du 27 juillet 2007)

“dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données.”

(3) Quiconque contrevient aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 27. Exceptions au droit à l’information de la personne concernée

(1) L’article 26, paragraphes (1) et (2), ne s’applique pas lorsque le traitement est nécessaire pour sauvegarder:

(a) la sûreté de l’Etat;

(b) la défense;

(c) la sécurité publique;

(Loi du 27 juillet 2007)

“(d) la prévention, la recherche, la constatation et la poursuite d’infractions pénales y compris celles à la lutte contre le blanchiment, ou le déroulement d’autres procédures judiciaires;”

(e) un intérêt économique ou financier important de l’Etat ou de l’Union européenne, y compris dans les domaines monétaire, budgétaire et fiscal;

(f) la protection de la personne concernée ou des droits et libertés d’autrui;

(Loi du 27 juillet 2007)

“(g) une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux lettres (c), (d) et (e).

(2) Les dispositions de l’article 26 sont susceptibles de dérogations lors de la collecte de données dans les cas prévus à l’article 9, lettres (c) et (d).”

(3) Les dispositions de l’article 26 paragraphes (1) et (2) ne s’appliquent pas lorsque, en particulier pour un traitement ayant une finalité statistique, historique ou scientifique, l’information de la personne concernée se révèle impossible ou implique des efforts disproportionnés ou si l’enregistrement ou la communication des données est prévu par la loi.

(4) Quiconque contrevient aux dispositions des paragraphes (1) et (2) qui précèdent est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions des paragraphes (1) et (2) du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Article 28. Droit d’accès

(1) Sur demande à introduire auprès du responsable du traitement, la personne concernée ou ses ayants droit justifiant d’un intérêt légitime peuvent obtenir sans frais, à des intervalles raisonnables et sans délais excessifs:

(a) l’accès aux données la concernant;

(b) la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, sur les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées;

(c) la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information disponible sur l’origine des données;

(d) la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant, au moins dans le cas des décisions automatisées visées à l’article 31.

(2) Celui qui entrave sciemment par quelque moyen que ce soit, l’exercice du droit d’accès, sera puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

(3) Le patient a un droit d’accès aux données le concernant. Le droit d’accès est exercé par le patient luimême ou par l’intermédiaire d’un médecin qu’il désigne. En cas de décès du patient, son conjoint non séparé de corps et ses enfants ainsi que toute personne qui au moment du décès a vécu avec lui dans le ménage ou, s’il s’agit d’un mineur, ses père et mère, peuvent exercer, par l’intermédiaire d’un médecin qu’ils désignent, le droit d’accès dont question à l’alinéa qui précède.

Le droit d’accès du patient pourra encore être exercé, du vivant d’une personne placée sous le régime de la curatelle ou sous celui de la tutelle tel qu’il est organisé par la loi du 11 août 1982, par l’intermédiaire d’un médecin désigné par son curateur ou tuteur.

(…) abrogé par la loi du 27 juillet 2007

(4) Selon le cas, le responsable du traitement procédera à la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente loi, notamment en raison du caractère incomplet ou inexact des données, sous peine d’encourir dans les conditions de l’article 33 l’interdiction temporaire ou définitive du traitement ou la destruction des données.

(5) Toute personne qui dans l’exercice de son droit d’accès a des raisons sérieuses d’admettre que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer la Commission nationale qui procède aux vérifications nécessaires.

(6) Toute rectification, tout effacement ou verrouillage effectué conformément au paragraphe (4) sera notifié sans délai par le responsable du traitement aux destinataires auxquels les données ont été communiquées, à moins que cela ne s’avère impossible.

(7) Sans préjudice de la sanction prévue au paragraphe (4), quiconque contrevient sciemment aux dispositions du présent article ou quiconque prend sciemment un nom ou prénom supposé ou une fausse qualité pour obtenir communication des données faisant l’objet d’un traitement en application du paragraphe (1), est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

Article 29. Exceptions au droit d’accès

(1) Le responsable du traitement peut limiter ou différer l’exercice du droit d’accès d’une personne concernée lorsqu’une telle mesure est nécessaire pour sauvegarder:

(a) la sûreté de l’Etat;

(b) la défense;

(c) la sécurité publique;

(Loi du 27 juillet 2007)

“(d) la prévention, la recherche, la constatation et la poursuite d’infractions pénales, y compris celles à la lutte contre le blanchiment, ou le déroulement d’autres procédures judiciaires;”

(e) un intérêt économique ou financier important de l’Etat ou de l’Union européenne, y compris dans les domaines monétaire, budgétaire et fiscal;

(f) la protection de la personne concernée ou des droits et libertés d’autrui;

(Loi du 27 juillet 2007)

“(g) une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux lettres (c), (d) et (e).”

(…) abrogée par la loi du 27 juillet 2007

(2) Au cas où il n’existe manifestement aucun risque d’atteinte à la vie privée d’une personne concernée, le responsable du traitement peut limiter le droit d’accès lorsque les données sont traitées exclusivement aux fins de recherche scientifique ou sont stockées sous la forme de données pendant une durée n’excédant pas celle nécessaire à la seule finalité d’établissement de statistiques et que ces données ne puissent être utilisées aux fins de prendre une mesure ou une décision se rapportant à des personnes précises.

(Loi du 27 juillet 2007)

“(3) Dans le cadre d’un traitement de données à caractère personnel effectué à des fins de journalisme ou d’expression artistique ou littéraire, toute personne a un droit d’accès aux données la concernant.

Toutefois, dans tous les cas, le droit d’accès de la personne concernée aux données la concernant et utilisées dans le cadre d’un traitement mis en œuvre aux fins de journalisme ou d’expression artistique ou littéraire est limité dans la mesure où il ne peut pas porter sur des informations relatives à l’origine des données et qui permettraient d’identifier une source. Sous cette réserve l’accès doit être exercé par l’intermédiaire de la Commission nationale pour la protection des données en présence du Président du Conseil de Presse ou de son représentant, ou le Président du Conseil de Presse dûment appelé.”

(4) Le responsable du traitement doit indiquer le motif pour lequel il limite ou diffère l’exercice du droit d’accès.

Lorsque le droit d’accès est différé, le responsable du traitement doit indiquer la date à partir de laquelle le droit d’accès peut à nouveau être exercé. Le responsable du traitement notifiera le motif à la Commission nationale.

(5) En cas de limitation de l’exercice du droit d’accès de la personne concernée, le droit d’accès est exercé par la Commission nationale qui dispose d’un pouvoir d’investigation en la matière et qui fait opérer la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente loi. La Commission nationale peut communiquer à la personne concernée le résultat de ses investigations, sans toutefois mettre en danger la ou les finalités des traitements en question.

(6) Quiconque contrevient à la disposition du paragraphe (4) qui précède est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

Article 30. Droit d’opposition de la personne concernée

(1) Toute personne concernée a le droit:

(a) de s’opposer à tout moment pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de dispositions légales prévoyant expressément le traitement. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut pas porter sur ces données;

(Loi du 27 juillet 2007)

(b) de s’opposer, sur demande et gratuitement, au traitement la concernant envisagé par le responsable du traitement “des données” à des fins de prospection; il incombe au responsable du traitement de porter l’existence de ce droit à la connaissance de la personne concernée;

(c) d’être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

(2) Quiconque contrevient sciemment aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

Article 31. Décisions individuelles automatisées

Une personne peut être soumise à une décision individuelle automatisée produisant des effets juridiques à son égard, si cette décision:

(a) est prise dans le cadre de la conclusion ou de l’exécution d’un contrat, à condition que la demande de conclusion ou d’exécution du contrat, introduite par la personne concernée, ait été satisfaite ou que des mesures appropriées, telle que la possibilité de faire valoir son point de vue, garantissent la sauvegarde de son intérêt légitime, ou

(b) est autorisée par la loi, qui précise les mesures garantissant la sauvegarde de l’intérêt légitime de la personne concernée.

Chapitre VII. Contrôle et surveillance de l’application de la loi

Article 32. Missions et pouvoirs de la Commission nationale

(1) Il est institué une autorité de contrôle dénommée “Commission nationale pour la protection des données” chargée de contrôler et de vérifier si les données soumises à un traitement sont traitées en conformité avec les dispositions de la présente loi et de ses règlements d’exécution.

(2) Tous les ans, la Commission nationale rend compte, dans son rapport écrit aux membres du Gouvernement en conseil, de l’exécution de ses missions. Dans ce rapport, elle relève plus particulièrement l’état des notifications et des autorisations, les déficiences ou abus qui ne sont pas spécifiquement visés par les dispositions légales, réglementaires et administratives existantes. Elle publiera son rapport annuel. Le rapport est avisé par la commission consultative des droits de l’homme, organe consultatif du gouvernement en matière de droits de l’homme sur le territoire du Grand-Duché de Luxembourg dont la composition et les attributions sont déterminées par règlement grand-ducal.

(3) Les missions de la Commission nationale sont les suivantes:

(a) assurer l’application des dispositions de la présente loi et de ses règlements d’exécution en particulier celles relatives à la confidentialité et à la sécurité des traitements;

(b) recevoir les notifications préalables à la mise en œuvre d’un traitement, de même que les changements affectant le contenu de ces notifications, et procéder a posteriori au contrôle de la licéité des traitements notifiés; de même elle est informée sans délai de tout traitement soumis à autorisation préalable;

(c) assurer la publicité des traitements lui notifiés en tenant un registre afférent, sauf disposition contraire;

(d) autoriser la mise en œuvre des traitements soumis au régime de l’article 14 de la présente loi;

(e) être demandée en son avis sur tous les projets ou propositions de loi portant création d’un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi. Ces avis sont publiés au rapport annuel visé à l’article 15, paragraphe (6);

(f) présenter au Gouvernement toutes suggestions susceptibles de simplifier et d’améliorer le cadre législatif et réglementaire à l’égard du traitement des données;

(g) recevoir et le cas échéant après discussion avec les auteurs approuver les codes de conduite relatifs à un traitement ou un ensemble de traitements lui soumis par des associations professionnelles représentatives de responsables du traitement;

(h) conseiller le Gouvernement, soit à la demande de celui-ci, soit sur sa propre initiative, au sujet des conséquences de l’évolution des technologies de traitement de l’information au regard du respect des libertés et droits fondamentaux des personnes; à cette fin, elle peut faire procéder à des études, des enquêtes ou expertises;

(i) favoriser de façon régulière et par tout moyen qu’elle juge opportun, la diffusion d’informations relatives aux droits des personnes concernées et aux obligations des responsables du traitement, notamment en ce qui concerne le transfert de données vers des pays tiers.

(4) La Commission nationale peut être saisie par toute personne, agissant par elle- même, par l’entremise de son avocat ou par toute autre personne physique ou morale dûment mandatée, d’une demande relative au respect de ses droits et libertés fondamentaux à l’égard d’un traitement. La personne concernée est informée des suites réservées à sa requête.

(Loi du 27 juillet 2007)

(5) La Commission nationale peut, en particulier, être saisie par toute personne concernée d’une demande de vérification de la licéité d’un traitement en cas de refus ou de limitation de l’exercice du droit d’accès de la personne concernée conformément à l’article 29, “paragraphe (5)”, de la présente loi.

(6) Si la Commission nationale est saisie par l’une des personnes ou organes visés à l’article L. 261-1 paragraphe (2) du Code du Travail, sur une violation de cet article, elle statue dans le mois de la saisine.

(7) Dans le cadre de la présente loi, la Commission nationale dispose d’un pouvoir d’investigation en vertu duquel elle a accès aux données faisant l’objet du traitement en question. Elle recueille toutes les informations nécessaires à l’accomplissement de sa mission de contrôle. A cette fin elle a un accès direct aux locaux autres que les locaux d’habitation où a lieu le traitement ainsi qu’aux données faisant l’objet du traitement et procède aux vérifications nécessaires.

(8) La Commission nationale a le droit d’ester en justice dans l’intérêt de la présente loi et de ses règlements d’exécution. Elle dénonce aux autorités judiciaires les infractions dont elle a connaissance.

(9) La Commission nationale coopère avec ses homologues que sont les autorités de contrôle instituées dans les autres Etats membres de l’Union européenne, dans la mesure nécessaire à l’accomplissement de leurs missions notamment en échangeant toutes informations utiles.

(10) La Commission nationale représente le Luxembourg au “groupe de protection des personnes à l’égard du traitement des données à caractère personnel” institué par l’article 29 de la Directive 95/46/CE.

(11) Quiconque empêche ou entrave sciemment, de quelque manière que ce soit, l’accomplissement des missions incombant à la Commission nationale, est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. Est considéré comme empêchant ou entravant sciemment l’accomplissement des missions incombant à la Commission nationale, le refus opposé à ses membres de donner accès aux locaux autres que les locaux d’habitation, où a lieu un traitement aux données faisant l’objet d’un traitement ou de communiquer tous renseignements et documents demandés.

Article 33. Sanctions administratives

(1) La Commission nationale peut prendre les sanctions disciplinaires suivantes:

(a) avertir ou admonester le responsable du traitement ayant violé les obligations lui imposées par les articles 21 à 24;

(b) verrouiller, effacer ou détruire des données faisant l’objet d’un traitement contraire aux dispositions de la présente loi ou de ses règlements d’exécution;

(c) interdire temporairement ou définitivement un traitement contraire aux dispositions de la présente loi ou à ses règlements d’exécution;

(d) ordonner l’insertion intégrale ou par extraits de la décision d’interdiction par la voie des journaux ou de toute autre manière, aux frais de la personne sanctionnée.

(2) Les décisions ci-dessus sont susceptibles d’un recours en réformation suivant l’article 3 de la loi du 7 novembre 1996 portant organisation des juridictions de l’ordre administratif.

Article 34. Composition de la Commission nationale

(1) La Commission nationale est une autorité publique qui prend la forme d’un établissement public. Son siège est fixé à Luxembourg-ville. Il peut être transféré à tout moment dans toute autre localité du Luxembourg par voie de règlement grand-ducal.

La Commission nationale dispose de la personnalité juridique et jouit de l’autonomie financière et administrative, sous la tutelle du ministre.

Elle exerce en toute indépendance les missions dont elle est investie en vertu de la présente loi.

(2) La Commission nationale est composée de trois membres effectifs et de trois membres suppléants nommés et révoqués par le Grand-Duc sur proposition du Gouvernement en conseil. Le président est désigné par le Grand-Duc. Les membres sont nommés pour un terme de six ans, renouvelable une fois.

Le Gouvernement en conseil propose au Grand-Duc comme membre effectif et suppléant chaque fois au moins un juriste et un informaticien justifiant d’une formation universitaire accomplie.

Avant d’entrer en fonction, le président de la Commission nationale prête entre les mains du GrandDuc ou de son représentant le serment suivant: “Je jure fidélité au Grand-Duc, obéissance à la constitution et aux lois de l’Etat. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité.”

Avant d’entrer en fonction, les membres de la Commission nationale prêtent entre les mains du président de la Commission nationale le serment suivant: “Je jure fidélité au Grand-Duc, obéissance à la constitution et aux lois de l’Etat. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité.”

Lorsque le président ou un membre effectif de la Commission nationale est issu du secteur public, il obtient un congé spécial pour la durée de son mandat avec maintien de tous les avantages et droits découlant de son statut respectif. Il continue notamment à jouir de son traitement, indemnité ou salaire suivant le cas, ainsi que du régime de sécurité sociale correspondant à son statut.

(Loi du 27 juillet 2007)

“Par traitement, indemnité ou salaire au sens du présent article on entend l’émolument fixé pour les différentes fonctions physiques au moment de sa nomination, y compris toutes les majorations pour ancienneté de service, avancements et promotions auxquels le fonctionnaire, employé ou ouvrier peut prétendre en vertu d’une disposition légale, d’une disposition réglementaire prise en vertu d’une loi et du contrat collectif des ouvriers de l’Etat, s’il avait continué à faire partie de son administration ou établissement d’origine.

Ne sont pas compris dans le terme traitement, indemnité et salaire, les remises, droits casuels, indemnités de voyage ou de déplacement, frais de bureau et autres lorsqu’ils ne sont pas à considérer, d’après les dispositions qui les établissent, comme constituant une partie intégrante du traitement, de l’indemnité ou du salaire.

(…)

En cas de cessation de mandat, le membre concerné est réintégré sur sa demande dans son administration d’origine à un emploi correspondant aux grade et échelon atteints à la fin de son mandat.”

A défaut de vacance, il peut être créé un emploi hors cadre correspondant à ce traitement; cet emploi est supprimé de plein droit à la première vacance qui se produit dans une fonction appropriée du cadre normal.

Lorsque le président ou un membre effectif de la Commission nationale est issu du secteur privé, il touche une rémunération calculée par référence à la réglementation fixant le régime des indemnités des employés occupés dans les administrations et services de l’Etat qui est applicable en la matière, sur base d’une décision individuelle prise en vertu de l’article 23 du règlement grand-ducal du 28 juillet 2000 fixant le régime des indemnités des employés occupés dans les administrations et services de l’Etat. Il reste affilié au régime de sécurité sociale auquel il était soumis pendant l’exercice de sa dernière occupation.

En cas de cessation du mandat, il touche pendant une durée maximale d’un an une indemnité d’attente mensuelle correspondant au salaire ou traitement mensuel moyen du dernier revenu professionnel cotisable annuel mis en compte au titre de sa carrière d’assurance en cours avant le début de sa fonction de président ou de membre effectif de la Commission nationale. Cette indemnité d’attente est réduite dans la mesure où l’intéressé touche un revenu professionnel ou bénéficie d’une pension personnelle.

Le président et les membres effectifs de la Commission nationale bénéficient d’une indemnité spéciale tenant compte de l’engagement requis par les fonctions, à fixer par règlement grand-ducal.

La démission d’un membre de la Commission nationale intervient de plein droit par l’atteinte de la limite d’âge de 65 ans.

Les membres suppléants touchent une indemnité dont le montant est fixé par règlement grand-ducal.

(3) Les membres de la Commission nationale ne peuvent être membre du Gouvernement, de la Chambre des Députés, du Conseil d’Etat ou du Parlement Européen ni exercer d’activité professionnelle ou détenir directement ou indirectement des intérêts dans une entreprise ou tout autre organisme opérant dans le champ des traitements de données.

(4) Si, en cours de mandat un membre de la Commission nationale cesse d’exercer ses fonctions, le mandat de son successeur est limité à la période restant à courir.

Article 35. Fonctionnement de la Commission nationale

(1) La Commission nationale est un organe collégial. Elle établit son règlement intérieur comprenant ses procédures et méthodes de travail dans le mois de son installation. Le règlement intérieur est publié au Mémorial.

(2) Sous réserve des dispositions de la présente loi, le règlement intérieur fixe:

(a) les règles de procédure applicables devant la Commission nationale,

(b) les conditions de fonctionnement de la Commission nationale,

(c) l’organisation des services de la Commission nationale.

(3) Les membres effectifs de la Commission nationale sont convoqués par le président. La convocation est de droit à la demande de deux membres effectifs. La convocation précise l’ordre du jour.

Les membres effectifs empêchés d’assister à une réunion sont tenus d’en avertir leur suppléant et de lui continuer la convocation.

(4) La Commission nationale ne peut valablement siéger ni délibérer qu’à condition de réunir trois membres.

(5) Les membres de la Commission nationale ne peuvent siéger, délibérer ou décider dans aucune affaire dans laquelle ils ont un intérêt direct ou indirect.

(6) Les délibérations sont prises à la majorité des voix. Les abstentions ne sont pas recevables.

(7) Le Gouvernement en conseil ayant proposé à la nomination un membre de la Commission nationale peut proposer sa révocation au Grand-Duc. La Commission nationale est entendue en son avis avant toute révocation.

(8) Dans l’exercice de leurs fonctions, les membres et les suppléants de la Commission nationale ne reçoivent d’instruction d’aucune autorité.

Article 36. Statut des membres et agents de la Commission nationale

(Loi du 27 juillet 2007)

“(1) Le cadre du personnel de la Commission nationale comprend les fonctions et emplois suivants:

a) dans la carrière supérieure de l’attaché de direction, grade de computation de la bonification d’ancienneté: grade 12,

– des conseillers de direction 1ère classe;

– des conseillers de direction;

– des conseillers de direction adjoints;

– des attachés de direction 1ers en rang;

– des attachés de direction.

b) dans la carrière supérieure de l’ingénieur, grade de computation d’ancienneté: grade 12,

– des ingénieurs 1ère classe;

– des ingénieurs-chef de division;

– des ingénieurs principaux;

– des ingénieurs-inspecteurs;

– des ingénieurs.

c) dans la carrière moyenne de l’ingénieur technicien, grade de computation de la bonification d’ancienneté: grade 7,

– des ingénieurs techniciens inspecteurs principaux 1ers en rang;

– des ingénieurs techniciens inspecteurs principaux;

– des ingénieurs techniciens-inspecteurs;

– des ingénieurs techniciens principaux;

– des ingénieurs techniciens.

d) dans la carrière moyenne du rédacteur, grade de computation de la bonification d’ancienneté: grade 7,

– des inspecteurs principaux 1ers en rang;

– des inspecteurs principaux;

– des inspecteurs;

– des chefs de bureau;

– des chefs de bureau adjoints;

– des rédacteurs principaux;

– des rédacteurs.

Les agents des carrières prévues ci-dessus sont des fonctionnaires de l’Etat.”

(2) Le cadre prévu au paragraphe (1) ci-dessus peut être complété par des employés de l’Etat ainsi que par des ouvriers de l’Etat dans les limites des crédits disponibles.

La rémunération des employés de l’Etat est fixée conformément au règlement grand-ducal du 28 juillet 2000 fixant le régime des indemnités des employés occupés dans les administrations et services de l’Etat.

(3) Les rémunérations et autres indemnités de tous membres, agents et employés de la Commission nationale sont à charge de la Commission nationale.

(4) La Commission nationale peut, dans des cas déterminés, faire appel à des experts externes dont les prestations sont définies et rémunérées sur la base d’un contrat de droit privé.

Article 37. Dispositions financières

(1) Au moment de sa création, la Commission nationale bénéficie d’une dotation initiale de deux cent mille euros à charge du budget de l’Etat. L’Etat met à sa disposition les biens mobiliers et immobiliers nécessaires au bon fonctionnement et à l’exercice de ses missions.

(2) L’exercice financier de la Commission nationale coïncide avec l’année civile.

(3) Avant le 31 mars de chaque année, la Commission nationale arrête son compte d’exploitation de l’exercice précédent, ensemble avec son rapport de gestion. Avant le 30 septembre de chaque exercice, la Commission nationale arrête le budget pour l’exercice à venir. Le budget, les comptes annuels et les rapports arrêtés sont transmis au Gouvernement en conseil qui décide de la décharge à donner à la Commission nationale. La décision constatant la décharge accordée à la Commission nationale ainsi que les comptes annuels de la Commission nationale sont publiés au Mémorial.

(Loi du 27 juillet 2007)

(4) La Commission nationale est autorisée à prélever la contrepartie de ses frais du personnel en service et de ses frais de fonctionnement par la redevance à percevoir telle que prévue “aux articles 13 et 14”.

Pour le solde des frais restant à couvrir dans le cadre de ses missions conférées par la présente loi, la Commission nationale bénéficiera d’une dotation d’un montant à déterminer sur une base annuelle et à inscrire au budget de l’Etat.

(5) abrogé par la loi du 27 juillet 2007

Chapitre VIII. Recours juridictionnels

Article 38. Généralités

Sans préjudice des sanctions pénales instituées par la présente loi et des actions en responsabilité régies par le droit commun, en cas de mise en œuvre d’un traitement en violation des formalités prévues par la présente loi toute personne dispose d’un recours juridictionnel tel que prévu ci-après:

Article 39. Action en cessation

(1) A la requête

– du Procureur d’Etat qui a déclenché une action publique pour violation de la présente loi,

– de la Commission nationale, dans l’hypothèse où une sanction disciplinaire visée à l’article 33 de la présente loi, qui n’a pas fait l’objet d’un recours ou qui a été confirmée par la juridiction administrative, n’a pas été respectée, ou

– d’une personne lésée, dans l’hypothèse où la Commission nationale n’a pas pris position sur une saisine intervenue sur la base de l’article 32, paragraphe (4), (5) ou (6) de la présente loi,  le président du tribunal d’arrondissement du lieu où le traitement est mis en œuvre, ou le juge qui le remplace, ordonne la cessation du traitement contraire aux dispositions de la présente loi et la suspension provisoire de l’activité du responsable du traitement ou du sous-traitant. Le président du tribunal d’arrondissement, ou le juge qui le remplace, peut ordonner la fermeture provisoire de l’établissement du responsable du traitement ou du sous-traitant lorsque sa seule activité est de traiter des données.

(2) L’action est recevable même lorsque le traitement illégal a pris fin ou n’est plus susceptible de se reproduire.

(3) L’action est introduite et jugée comme en matière de référé conformément aux articles 932 à 940 du Nouveau code de procédure civile. Toutefois, par dérogation à l’article 939, alinéa 2, du Nouveau code de procédure civile, l’ordonnance de référé n’est pas susceptible d’opposition.

(4) Sont également applicables les articles 2059 à 2066 du Code civil.

(5) La publication de la décision peut être ordonnée, en totalité ou par extrait, aux frais du contrevenant, par la voie des journaux ou de toute autre manière. Il ne peut être procédé à la publication qu’en vertu d’une décision judiciaire coulée en force de chose jugée.

(6) La suspension provisoire et le cas échéant la fermeture provisoire peuvent être ordonnées indépendamment de l’action publique. La suspension provisoire ou la fermeture provisoire ordonnée par le président du tribunal d’arrondissement, ou par le juge qui le remplace, prend toutefois fin en cas de décision de non-lieu ou d’acquittement, et au plus tard à l’expiration d’un délai de deux ans à partir de la décision initiale de suspension ou de fermeture.

Chapitre IX. Le chargé de la protection des données

Article 40. Le chargé de la protection des données

(Loi du 27 juillet 2007)

(1) Tout responsable de traitement peut (…) désigner un chargé de la protection des données, dont il communique l’identité à la Commission nationale.

(2) Les pouvoirs du chargé de la protection des données sont les suivants:

(a) un pouvoir d’investigation aux fins d’assurer la surveillance du respect des dispositions de la présente loi et de ses règlements d’exécution par le responsable du traitement;

(b) un droit d’information auprès du responsable du traitement et corrélativement, un droit d’informer le responsable du traitement des formalités à accomplir afin de se conformer aux dispositions de la présente loi et de ses règlements d’exécution.

(Loi du 27 juillet 2007)

“(3) Dans l’exercice de ses missions le chargé de la protection des données est indépendant vis-à-vis du responsable du traitement qui le désigne.

Afin de pouvoir s’acquitter de ses missions, le chargé de la protection des données doit disposer d’un temps approprié.

Les missions ou activités exercées concurremment par le chargé de la protection des données ne doivent pas être susceptibles de provoquer un conflit d’intérêt avec l’exercice de sa mission.

(4) Le chargé de la protection des données ne peut faire l’objet de représailles de la part de l’employeur du fait de l’exercice de ses missions, sauf violation de ses obligations légales ou conventionnelles.”

(5) Le chargé de la protection des données consulte la Commission nationale en cas de doute quant à la conformité à la présente loi d’un traitement mis en œuvre sous sa surveillance.

(6) Peuvent être désignés à la fonction de chargé de la protection des données les personnes physiques et morales qui sont agréées par la Commission nationale.

(Loi du 27 juillet 2007)

(7) L’agrément pour l’activité du chargé de la protection des données est subordonné à la justification d’une formation universitaire accomplie en droit, économie, gestion d’entreprise, sciences de la nature, ou informatique (…).

(8) Par dérogation au paragraphe précédent, les membres inscrits dans une des professions réglementées suivantes peuvent être agréés comme chargé de la protection des données sans autre condition: avocat à la Cour, réviseur d’entreprises, expert-comptable, médecin.

Un règlement grand-ducal peut ajouter à cette liste d’autres professions réglementées et assujetties à un organisme de surveillance ou de discipline, soit officiel soit propre à la profession et reconnu par la loi.

(9) La Commission nationale vérifie les qualités de tout chargé de la protection des données. Elle peut s’opposer à tout moment à la désignation ou au maintien du chargé de la protection des données lorsqu’il:

(a) ne présente pas les qualités requises pour la fonction de chargé de la protection des données; ou

(b) est d’ores et déjà en relation avec le responsable du traitement dans le cadre d’autres activités que celle du traitement des données et que cette relation fait naître un conflit d’intérêts limitant son indépendance.

En cas d’opposition de la Commission nationale, le responsable du traitement dispose de trois jours pour désigner un nouveau chargé de la protection des données.

(10) La Commission nationale définit les modalités du contrôle continu des qualités requises à la fonction de chargé de la protection des données.

(11) Un règlement grand-ducal fixera les modalités de désignation et de révocation du chargé de protection des données, d’exécution de ses missions, de même que ses relations avec la Commission nationale.

Chapitre X. Dispositions spécifiques, transitoires et finales

Article 41. Dispositions spécifiques

(1) (a) Les autorités compétentes visées aux articles 88-1 à 88-4 du Code d’instruction criminelle, et

(b) les autorités agissant dans le cadre d’un crime flagrant ou dans le cadre de l’article 40 du Code d’instruction criminelle, accèdent de plein droit, sur requête et par l’intermédiaire de l’Institut luxembourgeois de régulation (ciaprès “ILR”) aux données concernant l’identité des abonnés et utilisateurs des opérateurs et fournisseurs de communications électroniques ainsi que des services postaux et des fournisseurs de ces services.

(Loi du 27 juillet 2007)

“La centrale des secours d’urgence 112, les centres d’appels d’urgence de la police grand-ducale et la centrale du service d’incendie et de sauvetage de la Ville de Luxembourg accèdent dans les mêmes conditions et modalités que les autorités visées à l’alinéa précédent aux seules données concernant l’identité des abonnés et utilisateurs des opérateurs et fournisseurs de communications électroniques.”

(2) A ces fins, les opérateurs et les fournisseurs mettent d’office et gratuitement à la disposition de l’ILR les données prescrites au paragraphe (1). Les données doivent être actualisées au moins une fois par jour.

L’accès doit être garanti vingt-quatre heures sur vingt-quatre et sept jours sur sept. Un règlement grandducal détermine les services de communications électroniques et services postaux pour lesquels les opérateurs et fournisseurs de services doivent mettre à disposition les données ainsi que la nature, le format et les modalités de mise à disposition des données.

(Loi du 27 juillet 2007)

“(3) L’accès de plein droit se limite aux mesures spéciales de surveillance telles que prévues aux articles 88-1 à 88-4 du Code d’instruction criminelle, celles prises en matière de crime flagrant ou dans le cadre de l’article 40 du Code d’Instruction criminelle et aux mesures particulières de secours d’urgence prestées dans le cadre des activités de la centrale des secours d’urgence 112, des centres d’appels d’urgence de la police grand-ducale et de la centrale du service d’incendie et de sauvetage de la Ville de Luxembourg.”

(4) La procédure est entièrement automatisée suite à l’autorisation de la Commission nationale. La Commission nationale vérifiera en particulier la sécurisation du système informatique utilisé. Cette automatisation permettra l’accès à distance par voie de communication électronique.

(Loi du 27 juillet 2007)

“(5) L’autorité de contrôle visée à l’article 17, paragraphe (2) veille au respect du présent article.”

Article 42. Dispositions transitoires

(1) Les traitements existant dans des fichiers non automatisés ou automatisés antérieurs à l’entrée en vigueur de la présente loi doivent être rendus conformes aux dispositions du chapitre II et du chapitre VI, dans un délai de deux ans à compter de la date d’entrée en vigueur de la présente loi.

(2) Toutefois la personne concernée peut obtenir, sur demande, et notamment en ce qui concerne l’exercice de son droit d’accès, la rectification, l’effacement ou le verrouillage des données incomplètes, inexactes ou conservées de manière incompatible aux fins légitimes poursuivies par le responsable du traitement.

(3) La Commission nationale peut permettre que les données conservées uniquement à des fins de recherche historiques soient dispensées de respecter le paragraphe (1).

(Loi du 27 juillet 2007)

“(4) Pour l’application des dispositions de l’article 34 ci-dessus, la rémunération de l’agent nommé le 14 octobre 2002 membre effectif de la Commission nationale pour la protection des données et titulaire d’un diplôme universitaire en informatique est fixée en supposant qu’une nomination fictive à la fonction d’attaché de gouvernement soit intervenue le 1er novembre 2002, qu’il ait bénéficié d’une promotion à la fonction d’attaché de gouvernement premier en rang le 1er novembre 2005 et qu’il bénéficierait d’une promotion à la fonction de conseiller de direction adjoint au plus tôt le 1er novembre 2008.”

Article 43. Mise en vigueur des dispositions transitoires

(1) La Commission nationale établira le schéma de notification prévu à l’article 13, paragraphe (3), dans les quatre mois de la nomination de ses membres. Elle informera le public, moyennant publication au Mémorial et communiqué de presse aux journaux édités au Luxembourg, de la date à partir de laquelle le schéma de notification est disponible auprès de la Commission nationale.

(2) Les responsables du traitement procéderont à la notification de leurs traitements dans les quatre mois à partir de la date de la publication officielle mentionnée au paragraphe (1).

(3) Les responsables du traitement dont les traitements sont autorisés, lors de l’entrée en vigueur de la présente loi, moyennant règlement grand-ducal ou arrêté ministériel “autorisant la création et l’exploitation d’une banque de données”, ne notifieront ou ne demanderont l’autorisation de leurs traitements qu’à l’expiration de la durée de validité de l’autorisation octroyée, à moins que pour des raisons de conformité avec les dispositions de la présente loi, ils jugent nécessaire de le faire auparavant.

(4) Les traitements non automatisés de données contenues ou appelées à figurer dans un fichier sont à notifier dans les douze mois à partir de la date de la publication officielle mentionnée au paragraphe (1).

Article 44. Dispositions finales

(1) La loi modifiée du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques est abrogée.

(2) Pour autant qu’ils ne sont pas contraires aux dispositions de la présente loi, les règlements pris en exécution de la loi modifiée du 31 mars 1979 précitée resteront en vigueur tant qu’ils n’auront pas été remplacés par de nouvelles dispositions.

(Loi du 27 juillet 2007)

“(3) L’article 4 paragraphe (3) lettre d) de la loi du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques doit être modifié comme suit:

– à l’alinéa 1er, il y a lieu de compléter le bout de phrase “afin de fournir une preuve d’une transaction commerciale” par “afin de fournir une preuve d’une transaction commerciale ou de toute autre communication commerciale”;

– à l’alinéa 2, la première phrase débute comme suit: “Les parties aux transactions ou à toutes autres communications commerciales….”

(4) Aux articles 5 paragraphe (1) lettre a) et 9 paragraphe (1) lettre a) de la loi du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques la durée de “12 mois”

est remplacée par celle de “6 mois”.

(5) L’article 12 de la loi du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques est complété à la fin par l’ajout suivant “(…) sans préjudice de l’application de l’article 8 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel”.

(6) L’article 23 de la loi du 8 juin 2004 sur la liberté d’expression dans les médias est modifié comme suit:

Au point 1. du paragraphe (2) est rajouté après les mots “et éditeurs” le bout de phrase suivant: “y compris dans le domaine des traitements de données à caractère personnel”.

Au point 2 du même paragraphe est intercalé entre les mots “par la voie d’un média” et “sans préjudice des pouvoirs réservés” le bout de phrase suivant: “y compris des plaintes concernant le respect des droits et libertés des personnes en matière de traitement des données à caractère personnel.”

Article 45. Entrée en vigueur

La présente loi entre en vigueur le premier jour du quatrième mois qui suit sa publication au Mémorial.

Par dérogation à ce qui précède, les articles 34, 35, 36 et 37 entrent en vigueur trois jours après publication de la présente loi au Mémorial.

Las solicitudes de información que las entidades requieren de la Central de Información de Riesgos se rigen por lo dispuesto en el apartado b) de la norma octava de la Circular 3/1995, de 25 de septiembre, según la modificación introducida por la Circular 6/1998, de 29 de mayo, norma que no específica el medio o vehículo para llevar a cabo la solicitud. Para poder prestar el mejor servicio en tiempo y calidad, dado el incremento de las solicitudes, es aconsejable restringir el uso del papel como vehículo de la solicitud a favor de los medios informáticos.

Conviene, por otra parte, que esas solicitudes se acompañen de una declaración expresa del solicitante de que obran en su poder las autorizaciones de los titulares que requiere la norma citada.

Por todo ello, el Banco de España, en uso de las facultades que le otorga el artículo 16 del Decreto-ley 18/1962, de 7 de junio, y disposiciones concordantes; vistos los informes preceptivos y oídos los sectores interesados, ha dispuesto:

Norma única.

Se modifican como sigue las normas y anejos de la Circular 3/1995, de 25 de septiembre, sobre Central de Información de Riesgos:

Se añade un último párrafo al apartado b) de la norma octava con el siguiente texto:

“Las solicitudes de las entidades se formularán con el formato y declaración que recoge el anejo IV bis, y deberán realizarse en soporte magnético o por interconexión de ordenadores. Sólo se admitirán en papel solicitudes que no se refieran a más de cinco titulares.”

Se crea el anejo IV bis con el formato de solicitud que se indica.

Entrada en vigor.- La presente Circular entrará en vigor el 1 de noviembre de 1999.

Madrid, 27 de julio de 1999.- El Gobernador, Luis Angel Rojo Duque.

ANEJO IV bis

Modelo de solicitud de información de riesgos

En nombre y representación de (nombre y código de la entidad) solicito informe de la CIR sobre las posiciones de riesgo de los titulares cuyo nombre y código de identificación se relaciona a continuación-

La petición de información que se realiza cumple en su totalidad lo establecido en la norma octava, b) de la Circular 3/1995, del Banco de España, y, en consecuencia, declaro que, a la fecha de la presente solicitud, obra archivada en esta entidad una autorización escrita, expresa y válida, otorgada por cada uno de los titulares relacionados, asumiéndose cualquier tipo de responsabilidad que pudiera emanar del incumplimiento de esta declaración.

Identificación y firma o identificación informática del presentador de la solicitud

Campos:

Código del titular Nombre completo del titular.

La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, contiene, en sus artículos 24, 25 y 26, una nueva regulación de los registros electrónicos, y el Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la citada Ley, regula las condiciones de su funcionamiento.

En cumplimiento de las previsiones indicadas, esta resolución tiene por objeto la creación y regulación de un registro electrónico en la Mutualidad General de Funcionarios Civiles del Estado (MUFACE), habilitado para la recepción y remisión de solicitudes, escritos y comunicaciones presentados electrónicamente relacionados con determinados procedimientos, expresamente determinados en su sede electrónica, que son competencia del mencionado Organismo de conformidad con lo dispuesto en el Texto Refundido de la Ley sobre Seguridad Social de los Funcionarios Civiles del Estado, aprobado por el Real Decreto Legislativo 4/2000, de 23 junio.

Las disposiciones generales que regulan el Registro Electrónico de MUFACE se recogen en los seis primeros apartados de esta resolución. A continuación, los apartados 7 a 11 recogen las condiciones necesarias para la presentación electrónica de escritos, solicitudes y comunicaciones. Finalmente, se describen en los apartados 12 a 16 los requisitos técnicos en materia de Tecnologías de la Información, aplicables a este Registro Electrónico.

La creación del “Fichero del Registro Electrónico de MUFACE” dispuesta en el apartado sexto de esta resolución cuenta con el informe favorable de la Agencia Española de Protección de Datos.

Por último, la creación de este Registro Electrónico cuenta con la aprobación previa requerida por el artículo 27.1 del Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio.

En consecuencia, dispongo:

1. Objeto y ámbito de aplicación

1.1 La presente resolución tiene como objeto la creación y regulación del Registro Electrónico de MUFACE (en adelante Registro Electrónico), para la recepción y remisión, por vía electrónica, de solicitudes, escritos y comunicaciones, en la forma prevista en el artículo 24 de la Ley 11/2007, de 22 de junio, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos, y en el Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la citada Ley.

1.2 El Registro Electrónico será único para todas las Dependencias y Servicios de MUFACE.

1.3 En ningún caso tendrán la condición de registro electrónico de MUFACE los buzones de correo electrónico corporativo asignados a los empleados públicos o las distintas unidades y órganos.

2. Dirección del Registro Electrónico

El acceso de los interesados al Registro Electrónico se realizará a través de la dirección de la sede electrónica de MUFACE: https://sede.muface.gob.es.

3. Responsabilidades y órganos competentes

3.1 La gestión del Registro Electrónico corresponde a la Dirección General de MUFACE, que la ejercerá a través de la Secretaría General.

3.2 Corresponde asimismo a la Dirección General:

a) La aprobación y modificación de la relación de solicitudes, comunicaciones y escritos normalizados, correspondientes a servicios, procedimientos y trámites específicos, conforme a lo previsto en la letra a) del apartado 2 del artículo 24 de la Ley 11/2007, de 22 de junio.

b) La aprobación o modificación de los formularios para las solicitudes, comunicaciones y escritos normalizados, con especificación de los campos de los mismos que deban ser cumplimentados obligatoriamente y de los criterios de congruencia entre los datos consignados en el formulario. Las Resoluciones de aprobación de estos formularios, con independencia de la publicación oficial que les resulte de aplicación, serán divulgadas a través de la sede electrónica.

3.3 La Secretaría General será responsable de la seguridad del Registro Electrónico y dispondrá de los medios organizativos y técnicos adecuados para garantizar lo previsto en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad y en el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre.

3.4 En ningún caso, el órgano responsable del Registro Electrónico responderá del uso fraudulento que los usuarios del sistema puedan llevar a cabo de los servicios prestados mediante administración electrónica. A estos efectos, dichos usuarios asumen con carácter exclusivo la responsabilidad de la custodia de los elementos necesarios para su autenticación en el acceso a estos servicios, el establecimiento de la conexión precisa y la utilización de la firma electrónica, así como de las consecuencias que pudieran derivarse del uso indebido, incorrecto o negligente de los mismos. Igualmente será responsabilidad del usuario la adecuada custodia y manejo de los ficheros que le sean devueltos por el Registro Electrónico como recibo de presentación.

4. Calendario, fecha y hora oficial

4.1 El Registro Electrónico permitirá la presentación de solicitudes, escritos y comunicaciones durante las veinticuatro horas de todos los días del año, sin perjuicio de las interrupciones previstas en el artículo 30.2 del Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos, cuando concurran razones justificadas de
mantenimiento técnico u operativo, de las que se informará en el propio registro y en la sede electrónica.

4.2 A los efectos oportunos la sede electrónica mostrará, en lugar igualmente visible:

a) El calendario de días inhábiles relativo a sus procedimientos y trámites, que será el que se determine en la Resolución anual de la Secretaría de Estado para la Función Pública publicada en el “Boletín Oficial del Estado” para todo el territorio nacional.

b) La fecha y hora del Registro Electrónico, a efectos del cómputo de plazos, se regirá por la fecha y hora oficial peninsular, que será la que conste como fecha y hora de la transacción en el Registro Electrónico. La sincronización de la fecha y la hora se realizará según lo dispuesto en el artículo 15 del Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad.

5. Carácter de las comunicaciones a través del Registro Electrónico

La presentación de solicitudes, escritos y comunicaciones por medio del Registro Electrónico tendrá carácter voluntario, salvo lo previsto en el artículo 27.6 de la Ley 11/2007, de 22 de junio y lo previsto en los artículos 14.4 y 32.1 del Real Decreto 1671/2009, siendo alternativa a la presentación en los lugares señalados en el artículo 38.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

6. Fichero de Protección de Datos

6.1 En cumplimiento de lo previsto en el artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se crea el fichero de datos personales “Fichero del Registro Electrónico de MUFACE”, cuya titularidad corresponde a la Dirección General, válido a efectos del ejercicio por parte de los ciudadanos de los derechos previsto por dicha ley.

6.2 El contenido del fichero se recoge en el anexo I de esta resolución.

7. Acreditación de la identidad

7.1 Las solicitudes, escritos y comunicaciones podrán ser presentados ante el Registro Electrónico por los interesados o sus representantes, en los términos definidos en los artículos 30 y siguientes de la Ley 30/1992, de 26 de noviembre.

7.2 El firmante del documento podrá acreditar su identidad ante el Registro Electrónico mediante firma electrónica o a través de funcionarios públicos habilitados, mediante el procedimiento previsto en el artículo 22 de la Ley 11/2007, de 22 de junio.

7.3 La sede electrónica de MUFACE informará sobre los sistemas de representación y de autenticación y firma utilizables para la presentación de escritos ante el Registro Electrónico a través de su aplicación gestora, con especificación, en su caso, de los servicios, procedimientos y trámites a los que sean de aplicación.

7.4 Cuando la representación no quede acreditada o no pueda presumirse, se requerirá dicha acreditación por la vía que corresponda.

8. Documentos admitidos

8.1 El Registro Electrónico de MUFACE estará habilitado únicamente para la recepción y remisión de escritos, solicitudes y comunicaciones que se presenten por medios electrónicos respecto de los trámites y procedimientos incluidos en el anexo II de esta resolución o de la versión que figure actualizada, en cada momento, en la dirección electrónica de acceso al mismo, junto con los correspondientes modelos normalizados
para cada caso.

8.2 El Registro Electrónico podrá rechazar los documentos electrónicos que se encuentren en alguna de las circunstancias previstas en el artículo 29.1 del Real Decreto 1671/2009, de 6 de noviembre, en la forma establecida en el mismo. En su caso, la notificación al remitente se hará de conformidad con lo allí dispuesto.

8.3 La sede electrónica incluirá la relación actualizada de los procedimientos y trámites admitidos por el Registro Electrónico.

9. Documentación complementaria

Toda presentación de solicitudes, escritos y comunicaciones podrá incorporar como documentación complementaria:

a) Los documentos electrónicos que cumplan los requisitos técnicos que se regulan en el apartado 12 y siguientes de esta resolución.

b) Los documentos no disponibles en formato electrónico y que, por su naturaleza, no sean susceptibles de aportación utilizando el procedimiento de copia digitalizada previsto en el artículo 35.2 de la Ley 11/2007, de 22 de junio, podrán incorporarse a través de las vías previstas en el artículo 38.4 de la Ley 30/1992, de 26 de noviembre, en el plazo de diez días desde la presentación del correspondiente formulario electrónico. El incumplimiento de este plazo para la aportación de la documentación complementaria, podrá dar lugar a su requerimiento conforme a lo dispuesto en el artículo 71 de la Ley 30/1992, de 26 de noviembre.

c ) S i empre que se realice la presentación de documentos electrónicos separadamente al formulario principal, el interesado deberá mencionar el número o código de registro individualizado que permita identificar el expediente en el que haya de surtir efectos.

d) De conformidad con el artículo 35.3 de la Ley 11/2007, de 22 de junio, los formularios electrónicos de solicitud podrán incluir comprobaciones automáticas de la información aportada respecto de datos almacenados en sistemas propios o pertenecientes a otras administraciones e, incluso, ofrecer el formulario cumplimentado, en todo o en parte, con el objeto de que el ciudadano verifique la información y, en su caso, la modifique y complete.

10. Acuse de recibo

Tras la recepción de una solicitud, escrito o comunicación, el Registro Electrónico emitirá, automáticamente, un recibo firmado electrónicamente, que podrá ser impreso, en el que constarán los datos proporcionados por el interesado, la fecha y hora en que tal presentación se produjo, el número de registro de entrada y otros contenidos acordes con lo establecido en el artículo 30.3 del Real Decreto 1671/2009, de 6 de noviembre.

11. Cómputo de plazos

El cómputo de plazos se realizará conforme a lo dispuesto en los apartados 3, 4 y 5 del artículo 26 de la Ley 11/2007, de 22 de junio.

12. Requisitos técnicos en materia de Tecnologías de la Información 12.1 Los requisitos técnicos que se recogen en este apartado y los siguientes se consideran referidos al tratamiento de la información y las comunicaciones en lo que afecten al Registro Electrónico.

12.2 Un resumen de las normas y protocolos particulares que se deriven de lo aquí dispuesto estará publicado, en todo momento, en la correspondiente sede electrónica.

13. Firma electrónica

Se admitirán los sistemas de firma electrónica que sean conformes con lo establecido en el artículo 10 del Real Decreto 1671/2009, de 6 de noviembre.

14. Interoperabilidad y seguridad

El Registro Electrónico dispondrá los medios organizativos y técnicos adecuados para garantizar la interoperabilidad y seguridad de acuerdo con lo previsto en el Real Decreto 3/2010, de 8 de enero y en el Real Decreto 4/2010, de 8 de enero.

15. Accesibilidad

El diseño del Registro Electrónico observará los requisitos de accesibilidad previstos en el Real Decreto 1494/2007, de 12 de noviembre, por el que se aprueba el Reglamento sobre las condiciones básicas para el acceso de las personas con discapacidad a las tecnologías, productos y servicios relacionados con la sociedad de la información y medios de comunicación social. En este sentido las páginas web relacionadas con el
Registro Electrónico deberán ajustarse a la prioridad 1 de la Norma UNE 139803:2004.

16. Condiciones técnicas de los documentos electrónicos admitidos por el Registro Electrónico

Los formatos de los documentos electrónicos y de las imágenes electrónicas de los documentos serán establecidos en el marco del Esquema Nacional de Interoperabilidad.

De acuerdo con los instrumentos informáticos y vías de comunicación disponibles, podrá limitarse la extensión máxima de los documentos complementarios a presentar en una sola sesión.

17. Entrada en vigor

La presente resolución entrará en vigor el día siguiente al de su publicación en el “Boletín Oficial del Estado”.

Madrid, 27 de mayo de 2011.–El Director General de la Mutualidad General de Funcionarios Civiles del Estado, José María Fernández Lacasa.

ANEXO I.- Fichero de datos personales

Nombre del fichero: Registro Electrónico de MUFACE.
Finalidad del fichero: anotaciones registrales de los asientos electrónicos efectuados en este Registro Electrónico para que, en su caso, se pueda realizar la consulta correspondiente de la información registral de un asiento.
Usos previstos: recepción y remisión al órgano u organismo competente de escritos, solicitudes y comunicaciones, así como de la documentación complementaria de los mismos. Fines estadísticos.
Personas o colectivos sobre los que se pretende obtener datos de carácter personal, o que resulten obligados a suministrarlos: el asiento registral contendrá el nombre y el DNI de los mutualistas o beneficiarios que resulten interesados en un procedimiento tramitado ante MUFACE.
Procedimiento de recogida de datos de carácter personal: automatizado.
Estructura básica del Fichero y descripción de los tipos de datos de carácter personal, incluidos en el mismo: el fichero incluirá los datos que resulten de los documentos presentados a través del Registro.
Datos de carácter identificativo: DNI, Nombre y apellidos.
Otros datos de carácter identificativo.
Sistema de tratamiento utilizado en su organización: automatizado.
Cesiones de datos que se prevean y transferencias a países terceros, en su caso: la transmisión de la información y documentación a la Administración destinataria de la misma.
Órgano administrativo responsable del Fichero: Dirección General de MUFACE.
Órgano administrativo ante el que pueden ejercitarse los derechos de acceso, rectificación, cancelación y oposición: Dirección General de MUFACE.
Medidas de seguridad, con indicación del nivel básico, medio o alto, exigible: alto.

ANEXO II.- Relación de procedimientos de MUFACE admisibles a través del Registro Electrónico
1. Procedimiento para la tramitación electrónica de las prestaciones dentarias y oculares.
2. Elección de entidad médica.
3. Petición de talonarios de recetas.
4. Solicitud de Documentos de Afiliación.
5. Baja de beneficiarios por Internet.
6. Certificados de afiliación, de cobertura de asistencia sanitaria, de prestaciones recibidas y de beneficiarios incluidos en documento de afiliación.
7. Comunicación de cambio de datos personales.
8. Reactivación del alta de beneficiarios.
9. Solicitud de la tarjeta sanitaria europea.

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado constitutivo de la Comunidad Europea y, en particular, el apartado 2 de su artículo 47, y sus artículos 55 y 95,

Vista la propuesta de la Comisión (DO C 30 de 5.2.1999, p. 4),

Visto el dictamen del Comité Económico y Social (DO C 169 de 16.6.1999, p. 36),

De conformidad con el procedimiento establecido en el artículo 251 del Tratado  (Dictamen del Parlamento Europeo de 6 de mayo de 1999 (DO C 279 de 1.10.1999, p. 389), Posición común del Consejo de 28 de febrero de 2000 (DO C 128 de 8.5.2000, p. 32) y Decisión del Parlamento Europeo de 4 de mayo de 2000),

Considerando lo siguiente:

(1) La Unión Europea tiene como objetivo crear una unión cada vez más estrecha entre los Estados y los pueblos europeos, así como asegurar el progreso económico y social. De conformidad con el apartado 2 del artículo 14 del Tratado, el mercado interior supone un espacio sin fronteras interiores, en el que la libre circulación de mercancías y servicios y la libertad de establecimiento están garantizadas. El desarrollo de los servicios de la sociedad de la información en el espacio sin fronteras interiores es un medio esencial para eliminar las barreras que dividen a los pueblos europeos.

(2) El desarrollo del comercio electrónico en la sociedad de la información ofrece importantes oportunidades para el empleo en la Comunidad, especialmente para las pequeñas y medianas empresas, que facilitará el crecimiento de las empresas europeas, así como las inversiones en innovación, y también puede incrementar la competitividad de la industria europea, siempre y cuando Internet sea accesible para todos.

(3) El Derecho comunitario y las características del ordenamiento jurídico comunitario constituyen una baza fundamental para que los ciudadanos y los agentes europeos puedan disfrutar plenamente, y sin tener en cuenta las fronteras, de las oportunidades que ofrece el comercio electrónico. La presente Directiva tiene, por consiguiente, como finalidad garantizar un elevado nivel de integración jurídica comunitaria con objeto de establecer un auténtico espacio sin fronteras interiores en el ámbito de los servicios de la sociedad de la información.

(4) Es importante que el comercio electrónico pueda beneficiarse plenamente del mercado interior y que se alcance un alto grado de integración comunitaria, como en el caso de la Directiva 89/552/CEE del Consejo, de 3 de octubre de 1989, sobre la coordinación de determinadas disposiciones legales, reglamentarias y administrativas de los Estados miembros relativas al ejercicio de actividades de radiodifusión televisiva

(DO L 298 de 17.10.1989, p. 23; Directiva cuya última modificación la constituye la Directiva 97/36/CE del Parlamento Europeo y del Consejo (DO L 202 de 30.7.1997, p. 60).

(5) El desarrollo de los servicios de la sociedad de la información en la Comunidad se ve entorpecido por cierto número de obstáculos jurídicos que se oponen al buen funcionamiento del mercado interior y que hacen menos atractivo el ejercicio de la libertad de establecimiento y de la libre circulación de servicios. Dichos obstáculos tienen su origen en la disparidad de legislaciones, así como en la inseguridad jurídica de los regímenes nacionales aplicables a estos servicios; a falta de coordinación y ajuste de las legislaciones en los ámbitos en cuestión, hay obstáculos que pueden estar justificados con arreglo a la jurisprudencia del Tribunal de justicia de las Comunidades Europeas y existe una inseguridad jurídica sobre el alcance del control que los Estados miembros pueden realizar sobre los servicios procedentes de otro Estado miembro.

 (6) Atendiendo a los objetivos comunitarios, a lo dispuesto en los artículos 43 y 49 del Tratado y al Derecho derivado comunitario, conviene suprimir dichos obstáculos coordinando determinadas legislaciones nacionales y aclarando conceptos jurídicos a nivel comunitario, en la medida en que sea necesario para el buen funcionamiento del mercado interior. La presente Directiva, al no tratar sino algunos puntos específicos que plantean problemas para el mercado interior, es plenamente coherente con la necesidad de respetar el principio de subsidiariedad de conformidad con el artículo 5 del Tratado.

(7) Es fundamental para garantizar la seguridad jurídica y la confianza de los consumidores que la presente Directiva establezca un marco claro y de carácter general para determinados aspectos jurídicos del comercio electrónico en el mercado interior.

(8) El objetivo de la presente Directiva es crear un marco jurídico que garantice la libre circulación de los servicios de la sociedad de la información entre Estados miembros y no armonizar el campo de la legislación penal en sí.

(9) La libre circulación de los servicios de la sociedad de la información puede constituir, en muchos casos, un reflejo específico en el Derecho comunitario de un principio más general, esto es, de la libertad de expresión consagrada en el apartado 1 del artículo 10 del Convenio para la protección de los derechos humanos y de las libertades fundamentales, ratificado por todos los Estados miembros; por esta razón, las Directivas que tratan de la prestación de servicios de la sociedad de la información deben garantizar que se pueda desempeñar esta actividad libremente en virtud de dicho artículo, quedando condicionada únicamente a las restricciones establecidas en al apartado 2 de dicho artículo y en el apartado 1 del artículo 46 del Tratado. La presente Directiva no está destinada a influir en las normas y principios nacionales fundamentales relativos a la libertad de expresión.

(10) De conformidad con el principio de proporcionalidad, las medidas previstas en la presente Directiva se limitan al mínimo necesario para conseguir el objetivo del correcto funcionamiento del mercado interior. En aquellos casos en que sea necesaria una intervención comunitaria y con el fin de garantizar que realmente dicho espacio interior no presente fronteras interiores para el comercio electrónico, la Directiva debe garantizar un alto nivel de protección de los objetivos de interés general y, en especial, la protección de los menores y la dignidad humana, la protección del consumidor y de la salud pública. A tenor de lo dispuesto en el artículo 152 del Tratado, la protección de la salud es un componente esencial de las demás políticas comunitarias.

(11) La presente Directiva no afecta al nivel de protección, en particular, de la salud pública y de los intereses de los consumidores fijados en los instrumentos comunitarios; entre otras, la Directiva 93/13/CEE del Consejo, de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores (DO L 95 de 21.4.1993, p. 29) y la Directiva 97/7/CE del Parlamento Europeo y del Consejo, de 20 de mayo de 1997, relativa a la protección de los consumidores en materia de contratos a distancia (DO L 144 de 4.6.1997, p. 19) constituyen un instrumento esencial para la protección del consumidor en materia contractual. Dichas Directivas se seguirán aplicando en su integridad a los servicios de la sociedad de la información; también forman parte de este acervo comunitario, plenamente aplicable a los servicios de la sociedad de la información, en particular, la Directiva 84/450/CEE del Consejo, de 10 de septiembre de 1984, sobre publicidad engañosa y publicidad comparativa (DO L 250 de 19.9.1984, p. 17: Directiva cuya última modificación la constituye la Directiva 97/55/CE del Parlamento Europeo y del Consejo (DO L 290 de 23.10.1997, p. 18) la Directiva 87/102/CEE del Consejo, de 22 de diciembre de 1986, relativa a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros en materia de crédito al Consumo (DO L 42 de 12.2.1987, p. 48: Directiva cuya última modificación la constituye la Directiva 98/7/CE del Parlamento Europeo y del Consejo (DO L 101 de 1.4.1998, p. 17) la Directiva 93/22/CEE del Consejo, de 10 de mayo de 1993, relativa a los servicios de inversión en el ámbito de los valores negociables (DO L 141 de 11.6.1993, p. 27); Directiva cuya última modificación la constituye la Directiva 97/9/CE del Parlamento Europeo y del Consejo (DO L 84 de 26.3.1997, p. 22) la Directiva 90/314/CEE del Consejo, de 13 de junio de 1990, relativa a los viajes combinados, las vacaciones combinadas y los circuitos combinados (DO L 158 de 23.6.1990, p. 59) la Directiva 98/6/CE del Parlamento Europeo y del Consejo, de 16 de febrero de 1998, relativa a la protección de los consumidores en materia de indicación de los precios de los productos ofrecidos a los consumidores ( DO L 80 de 18.3.1998, p. 27)  la Directiva 92/59/CEE del Consejo, de 29 de junio de 1992, relativa a la seguridad general de los productos (DO L 228 de 11.8.1992, p. 24), la Directiva 94/47/CE del Parlamento Europeo y del Consejo, de 26 de octubre de 1994, sobre el derecho de utilización de inmuebles en régimen de tiempo compartido (DO L 280 de 29.10.1994, p. 83), la Directiva 98/27/CE del Parlamento Europeo y del Consejo, de 19 de mayo de 1998, relativa a las acciones de cesación en materia de protección de los intereses de los consumidores (DO L 166 de 11.6.1998, p. 51; Directiva modificada por la Directiva 1999/4/CE (DO L 171 de 7.7.1999, p. 12)), la Directiva 85/374/CEE del Consejo, de 25 de julio de 1985, relativa a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros en materia de responsabilidad por los daños causados por productos defectuosos (DO L 120 de 7.8.1985, p. 29; Directiva modificada por la Directiva 1999/34/CE del Parlamento Europeo y del Consejo PO L 141 de 4.6.1999, p. 20), la Directiva 1999/44/CE del Parlamento Europeo y del Consejo, de 25 de abril de 1999, sobre determinados aspectos de la venta y las garantías de los bienes de consumo (DO L 171 de 7.7.1999, p. 12.) la futura Directiva del Parlamento Europeo y del Consejo relativa a la comercialización a distancia de servicios financieros destinados a los consumidores y la Directiva 92/28/CEE del Consejo, de 31 de marzo de 1992, relativa a la publicidad de los medicamentos para uso humano (DO L 113 de 30.4.1992, p. 13) La presente Directiva no debe afectar a la Directiva

(12) Es necesario excluir del ámbito de aplicación de la presente Directiva algunas actividades habida cuenta de que, en el momento presente, la libre circulación de servicios no puede quedar garantizar con arreglo al Tratado o al actual Derecho comunitario derivado. Esta exclusión no va en perjuicio de los posibles instrumentos que puedan resultar necesarios para el buen funcionamiento del mercado interior; las cuestiones fiscales y, concretamente, el impuesto sobre el valor añadido que grava gran número de los servicios objeto de la presente Directiva deben excluirse del ámbito de aplicación de la presente Directiva.

(13)La presente Directiva no tiene la finalidad de establecer normas sobre obligaciones fiscales; tampoco prejuzga la elaboración de instrumentos comunitarios relativos a aspectos fiscales del comercio electrónico.

(14) La protección de las personas con respecto al tratamiento de datos de carácter personal se rige únicamente por la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos

(DO L 281 de 23.11.1995, p. 31) y la Directiva 97/66/CE del Parlamento Europeo y del Consejo, de 15 de diciembre de 1997, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones (DO L 24 de 30.1.1998, p. 1) que son enteramente aplicables a los servicios de la sociedad de la información. Dichas Directivas establecen ya un marco jurídico comunitario en materia de datos personales y, por tanto, no es necesario abordar este aspecto en la presente Directiva para garantizar el correcto funcionamiento del mercado interior, en particular la libre circulación de datos personales entre Estados miembros. La aplicación y ejecución de la presente Directiva debe respetar plenamente los principios relativos a la protección de datos personales, en particular en lo que se refiere a las comunicaciones comerciales no solicitadas y a la responsabilidad de los intermediarios, la presente Directiva no puede evitar el uso anónimo de redes abiertas como Internet,

(15) La confidencialidad de las comunicaciones queda garantizada por el artículo 5 de la Directiva 97/66/CE; basándose en dicha Directiva, los Estados miembros deben prohibir cualquier forma de interceptar o vigilar esas comunicaciones por parte de cualquier persona que no sea su remitente o su destinatario salvo que esté legalmente autorizada.

(16) La exclusión de las actividades relacionadas con los juegos de azar del ámbito de aplicación de la presente Directiva se refiere sólo a juegos de azar, loterías y apuestas, que impliquen una participación con valor monetario; ésta no se refiere a los concursos o juegos promocionales en que el objetivo sea fomentar la venta de bienes o servicios y en los que los pagos, si los hay, sólo sirven para adquirir los bienes o servicios publicitarios.

(17) La definición de servicios de la sociedad de la información ya existe en el Derecho comunitario, y se recoge en la Directiva 98/34/CE del Parlamento Europeo y del Consejo, de 22 de junio de 1998, por la que se establece un procedimiento de información en materia de las normas y reglamentaciones técnicas y de las reglas relativas a los servicios de la sociedad de la información (DO L 204 de 21.7.1998, p. 37: Directiva modificada por la Directiva 98148/CE (DO L 217 de 5.8.1998, p. 18)) y en la Directiva 98/784/CE del Parlamento Europeo y del Consejo de 20 de noviembre de 1998, relativa a la protección jurídica de los servicios de acceso condicional o basados en dicho acceso (DO L 320 de 28.11.1998, p. 54). Dicha definición se refiere a cualquier servicio prestado normalmente a título oneroso, a distancia, mediante un equipo electrónico para el tratamiento (incluida la compresión digital) y el almacenamiento de datos, y a petición individual de un receptor de un servicio; estos servicios a los que se hace referencia en la lista indicativa del anexo V de la Directiva 98/34/CE que no implica tratamiento y almacenamiento de datos no están incluidos en la presente definición.

(18) Los servicios de la sociedad de la información cubren una amplia variedad de actividades económicas que se desarrollan en línea; dichas actividades en particular consisten en la venta de mercancías en línea. Las actividades como la entrega de mercancías en sí misma o la prestación de servicios fuera de la línea no están cubiertas. Los servicios de la sociedad de la información no se limitan únicamente a servicios que dan lugar a la contratación en línea, sino también, en la medida en que representan una actividad económica, son extensivos a servicios no remunerados por sus destinatarios, como aquellos que consisten en ofrecer información en línea o comunicaciones comerciales, o los que ofrecen instrumentos de búsqueda, acceso y recopilación de datos. Los servicios de la sociedad de la información cubren también servicios consistentes en transmitir información a través de una red de comunicación, o albergar información facilitada por el destinatario del servicio. La radiodifusión televisiva según se define en la Directiva 89/552/CEE y la radiodifusión radiofónica no son servicios de la sociedad de la información, ya que no se prestan a petición individual; por el contrario, los servicios que se transmiten entre dos puntos, como el vídeo a la carta o el envío de comunicaciones comerciales por correo electrónico son servicios de la sociedad de la información. El uso del correo electrónico o, por ejemplo, de sistemas equivalentes de comunicación entre individuos, por parte de personas físicas que actúan fuera de su profesión, negocio o actividad profesional, incluso cuando los usan para celebrar contratos entre sí, no constituyen un servicio de la sociedad de la información. La relación contractual entre un empleado y su empresario no es un servicio de la sociedad de la información; las actividades que por su propia naturaleza no pueden realizarse a distancia ni por medios electrónicos, tales como el control legal de la contabilidad de las empresas o el asesoramiento médico que requiere el reconocimiento físico de un paciente, no constituyen servicios de la sociedad de la información.

(19) Se debe determinar el lugar de establecimiento del prestador de servicios a tenor de lo dispuesto en la jurisprudencia del Tribunal de justicia, según la cual el concepto de establecimiento implica la realización efectiva de una actividad económica a través de un establecimiento fijo durante un período indefinido. Este requisito se cumple también cuando se constituye una sociedad durante un período determinado; cuando se trata de una sociedad que proporciona servicios mediante un sitio Internet, dicho lugar de establecimiento no se encuentra allí donde está la tecnología que mantiene el sitio ni allí donde se puede acceder al sitio, sino el lugar donde se desarrolla la actividad económica. En el supuesto de que existan varios establecimientos de un mismo prestador de servicios es importante determinar desde qué lugar de establecimiento se presta un servicio concreto; en caso de especial dificultad para determinar a partir de cual de los distintos lugares de establecimiento se presta un servicio dado, será el lugar en que el prestador tenga su centro de actividades en relación con ese servicio en particular.

(20) La definición del “destinatario de un servicio” abarca todos los tipos de utilización de los servicios de la sociedad de la información, tanto por personas que suministran información en redes abiertas tales como Internet, como las que buscan información en Internet por razones profesionales o privadas.

(21) El ámbito de aplicación del ámbito coordinado no prejuzga la futura armonización comunitaria en relación con los servicios de la sociedad de la información, ni la futura legislación nacional adoptada con arreglo al Derecho comunitario. El ámbito coordinado se refiere sólo a los requisitos relacionados con las actividades en línea, como la información en línea, la publicidad en línea, las compras en línea o la contratación en línea, y no se refiere a los requisitos legales del Estado miembro relativos a las mercancías, tales como las normas de seguridad, las obligaciones de etiquetado o la responsabilidad de las mercancías, ni a los requisitos del Estado miembro relativos a la entrega o transporte de mercancías, incluida la distribución de medicamentos. El ámbito coordinado no afecta al ejercicio del derecho preferente de las autoridades públicas en relación con determinados bienes, tales como las obras de arte.

(22) El control de los servicios de la sociedad de la información debe hacerse en el origen de la actividad para garantizar que se protegen de forma eficaz los intereses generales y que, para ello, es necesario garantizar que la autoridad competente garantice dicha protección no sólo en el caso de los ciudadanos de su país, sino en el de todos los ciudadanos de la Comunidad. Es indispensable precisar con claridad esta responsabilidad del Estado miembro de origen de los servicios para mejorar la confianza mutua entre los Estados miembros; además y con el fin de garantizar de forma eficaz la libre circulación de servicios y la seguridad jurídica para los prestadores de servicios y sus destinatarios, en principio estos servicios deben estar sujetos al régimen jurídico del Estado miembro en que está establecido el prestador de servicios.

(23) No es objetivo de la presente Directiva fijar normas adicionales de Derecho internacional privado relativas a conflictos entre legislaciones y no afecta a la jurisdicción de los tribunales de justicia. Las disposiciones de la legislación aplicable determinada por las normas del Derecho internacional privado no podrán restringir la libre prestación de servicios de la sociedad de la información tal como se enuncia en la presente Directiva.

(24) En el contexto de la presente Directiva, pese a la regla del control en el origen de los servicios de la sociedad de la información, resulta legítimo que, en las condiciones establecidas en la presente Directiva, los Estados miembros puedan tomar medidas dirigidas a restringir la libre circulación de los servicios de la sociedad de la información.

(25) Los tribunales nacionales, incluidos los tribunales civiles, que conocen de controversias de Derecho privado pueden adoptar medidas que establecen excepciones a la libertad de prestar servicios en el marco de la sociedad de la información de conformidad con las condiciones establecidas en la presente Directiva.

(26) Los Estados miembros, de conformidad con las condiciones establecidas en la presente Directiva, pueden aplicar sus normas nacionales sobre Derecho penal y enjuicia-miento criminal con vistas a adoptar todas las medidas de investigación y otras, necesarias para la averiguación y persecución de delitos, sin que sea necesario notificar dichas medidas a la Comisión.

(27) La presente Directiva, junto con la futura Directiva del Parlamento Europeo y del Consejo relativa a la comercialización a distancia de servicios financieros destinados a los consumidores, contribuye a la creación de un marco jurídico para la provisión en línea de servicios financieros. La presente Directiva no impide futuras iniciativas en el campo de los servicios financieros, en particular en relación con la armonización de normas de conducta en este terreno. La posibilidad, establecida por la presente Directiva, de que los Estados miembros restrinjan, en determinadas circunstancias, la libre provisión de servicios de la sociedad de la información a fin de proteger a los consumidores comprende también medidas en el ámbito de los servicios financieros, en particular medidas destinadas a proteger a los inversores.

(28) La obligación de los Estados miembros de no someter el acceso al ejercicio de la actividad de prestador de servicios de la sociedad de la información a autorización previa no se refiere a los servicios postales recogidos en la Directiva 97/67/CE del Parlamento Europeo y del Consejo, de 15 de diciembre de 1997, relativa a las normas comunes para el desarrollo del mercado interior de los servicios postales de la Comunidad y la mejora de la calidad del servicio(DO L 15 de 21.L1998, p. 14), consistentes en el reparto físico de mensajes impresos de correo electrónico y que no afecta a los regímenes de acreditación voluntaria, en particular para los prestadores de servicios de certificación de firma electrónica.

(29) Las comunicaciones comerciales son esenciales para financiar los servicios de la sociedad de la información y el desarrollo de una amplia variedad de servicios nuevos y gratuitos. En interés de los consumidores y en beneficio de la lealtad de las transacciones, las comunicaciones comerciales incluidas las rebajas, ofertas y concursos o juegos promocionales deben respetar algunas obligaciones en cuanto a su transparencia; dichas obligaciones se entenderán sin perjuicio de lo dispuesto en la Directiva 97/7/CE. Lo dispuesto en la presente Directiva deberá entenderse sin perjuicio de las Directivas existentes sobre comunicaciones comerciales y, especialmente, la Directiva 98/43/CE.

(30) El envío por correo electrónico de comunicaciones comerciales no solicitadas puede no resultar deseable para los consumidores y los prestadores de servicios de la sociedad de la información y trastornar el buen funcionamiento de las redes interactivas. La cuestión del consentimiento del destinatario en determinados casos de comunicaciones comerciales no solicitadas no se regula en la presente Directiva sino que ya está regulada, en particular, por las Directivas 97/7/CE y 97/66/CE. En los Estados miembros que autoricen las comunicaciones comerciales por correo electrónico no solicitadas, deberá fomentarse y facilitarse la creación por el sector competente de dispositivos de filtro; además, las comunicaciones comerciales no solicitadas han de ser en todos los casos claramente identificables como tales con el fin de mejorar la transparencia y facilitar el funcionamiento de los dispositivos creados por la industria. Las comunicaciones comerciales por correo electrónico no solicitadas no deberán redundar en gastos suplementarios para el destinatario.

(31) Los Estados miembros que permiten el envío de comunicación comercial no solicitada por parte de prestadores de servicios establecidos en su territorio por correo electrónico sin consentimiento previo del receptor, deben garantizar que los prestadores de servicios consultan periódicamente las listas de exclusión voluntaria en las que se podrán inscribir las personas físicas que no deseen recibir dichas comunicaciones comerciales, y las respeten.

(32) Para suprimir los obstáculos que impiden el desarrollo en la Comunidad de los servicios transfronterizos que las personas que ejercen las profesiones reguladas puedan ofrecer en Internet, es necesario que se respeten las normas profesionales, previstas para proteger especialmente a los consumidores o la salud pública, y que dicho respeto quede garantizado a nivel comunitario. Los códigos de conducta a nivel comunitario constituyen un instrumento privilegiado para determinar las normas deontológicas aplicables a la comunicación comercial; conviene impulsar en primer lugar su elaboración o, si procede, su adaptación, sin perjuicio de la autonomía de los colegios y asociaciones profesionales.

(33) La presente Directiva complementa el Derecho comunitario y nacional en lo que respecta a las profesiones reguladas manteniendo un conjunto coherente de normas aplicables en la materia.

(34) Todo Estado miembro debe ajustar su legislación en cuanto a los requisitos y, especialmente, los requisitos formales que puedan entorpecer la celebración de contratos por vía electrónica. Se debe examinar de forma sistemática qué legislaciones necesitan proceder a dicho ajuste y este examen debe versar sobre todas las fases y actos necesarios para realizar el proceso contractual, incluyendo el registro del contrato. El resultado de dicho ajuste debería hacer posibles la celebración de contratos por vía electrónica. El efecto jurídico de la firma electrónica es objeto de la Directiva 1999/93/CE del Parlamento Europeo y del Consejo, de 13 de diciembre de 1999, por la que se establece un marco común para la firma electrónica (DO L 13 de 19.1.2000, p. 12). El acuse de recibo expedido por un prestador de servicios puede consistir en suministrar en línea un servicio pagado.

(35) La presente Directiva no afecta a la posibilidad que tienen los Estados miembros de mantener o establecer regímenes jurídicos específicos o generales en materia de contratos que pueden cumplirse por vía electrónica, en particular los requisitos en relación con la seguridad de las firmas electrónicas.

(36) Los Estados miembros pueden mantener restricciones para el uso de los contratos electrónicos en lo que se refiere a los contratos que requieran, por ley, la intervención de los tribunales, las autoridades públicas o las profesiones que ejerzan una función pública. Esta posibilidad se aplica también a los contratos que requieren la intervención de los tribunales, autoridades públicas o profesiones que ejerzan una función pública para surtir efectos frente a terceros, así como también a los contratos que requieran, por ley, la certificación o la fe pública notarial.  

(37) La obligación de los Estados miembros de suprimir los obstáculos por la celebración de los contratos electrónicos se refiere sólo a los obstáculos derivados del régimen jurídico y no a los obstáculos prácticos derivados de la imposibilidad de utilizar la vía electrónica en determinados casos.

(38) La obligación de los Estados miembros de suprimir obstáculos para la celebración de contratos por la vía electrónica debe realizarse con arreglo al régimen jurídico relativo a los contratos consagrado en el Derecho comunitario.

(39) Las excepciones a las disposiciones relativas a los contratos celebrados exclusivamente por correo electrónico o mediante comunicaciones individuales equivalentes previstas en la presente Directiva, en relación con la información exigida y la realización de un pedido, no deben tener como resultado permitir la inclusión de dichas disposiciones por parte de los prestadores de servicios de la sociedad de la información.

(40) La divergencia de las normativas y jurisprudencias nacionales actuales o futuras en el ámbito de la responsabilidad de los prestadores de servicios que actúan como intermediarios entorpece el correcto funcionamiento del mercado interior al obstaculizar, en especial, el desarrollo de servicios transfronterizos y producir distorsiones de la competencia. En algunos casos, los prestadores de servicios tienen el deber de actuar para evitar o poner fin a actividades legales. Lo dispuesto en la presente Directiva deberá constituir una base adecuada para elaborar mecanismos rápidos y fiables que permitan retirar información ilícita y hacer que sea imposible acceder a ella; convendría que estos mecanismos se elaborasen tomando como base acuerdos voluntarios negociados entre todas las partes implicadas y fomentados por los Estados miembros. Todas las partes que participan en el suministro de servicios de la sociedad de la información tienen interés en que este tipo de mecanismos se apruebe y se aplique. Lo dispuesto en la presente Directiva sobre responsabilidad no supone un obstáculo para que las distintas partes interesadas desarrollen y apliquen de forma efectiva sistemas técnicos de protección e identificación y de supervisión que permite la tecnología digital dentro de los límites trazados por las Directivas 95/46/CE y 97/66/CE.

(41) La presente Directiva logra un justo equilibrio entre los diferentes intereses en presencia y establece principios sobre los que pueden basarse acuerdos y normas industriales.

(42) Las exenciones de responsabilidad establecidas en la presente Directiva sólo se aplican a aquellos casos en que la actividad del prestador de servicios de la sociedad de la información se limita al proceso técnico de explotar y facilitar el acceso a una red de comunicación mediante la cual la información facilitada por terceros es transmitida o almacenada temporalmente, con el fin de hacer que la transmisión sea más eficiente. Esa actividad es de naturaleza meramente técnica, automática y pasiva, lo que implica que el prestador de servicios de la sociedad de la información no tiene conocimiento ni control de la información transmitida o almacenada.

(43) Un prestador de servicios puede beneficiarse de las exenciones por mera transmisión (mere conduit) y por la forma de almacenamiento automático, provisional y temporal, denominada “memoria tampón” (caching) cuando no tenga participación alguna en el contenido de los datos transmitidos; esto requiere, entre otras cosas, que no modifique los datos que transmite. Este requisito no abarca las manipulaciones de carácter técnico que tienen lugar en el transcurso de la transmisión, puesto que no alteran la integridad de los datos contenidos en la misma.

(44) Un prestador de servicios que colabore deliberadamente con uno de los destinatarios de su servicio a fin de cometer actos ilegales rebasa las actividades de mero transporte (mere conduit) o la forma de almacenamiento automático, provisional y temporal, denominada “memoria tampón” (caching) y no puede beneficiarse, por consiguiente, de las exenciones de responsabilidad establecidas para dichas actividades.

(45) Las limitaciones de la responsabilidad de los prestadores de servicios intermediarios establecida en la presente Directiva no afecta a la posibilidad de entablar acciones de cesación de distintos tipos. Dichas acciones de cesación pueden consistir, en particular, en órdenes de los tribunales o de las autoridades administrativas por los que se exija poner fin a cualquier infracción o impedir que se cometa, incluso retirando la información ilícita o haciendo imposible el acceso a ella.

(46) Para beneficiarse de una limitación de responsabilidad, el prestador de un servicio de la sociedad de la información consistente en el almacenamiento de datos habrá de actuar con prontitud para retirar los datos de que se trate o impedir el acceso a ellos en cuanto tenga conocimiento efectivo de actividades ilícitas. La retirada de datos o la actuación encaminada a impedir el acceso a los mismos habrá de llevarse a cabo respetando el principio de libertad de expresión y los procedimientos establecidos a tal fin a nivel nacional. La presente Directiva no afecta a la posibilidad de que los Estados miembros establezcan requisitos específicos que deberán cumplirse con prontitud antes de que retiren los datos de que se trate o se impida el acceso a los mismos.

(47) Los Estados miembros no pueden imponer a los prestadores de servicios una obligación de supervisión exclusivamente con respecto a obligaciones de carácter general. Esto no se refiere a las obligaciones de supervisión en casos específicos y, en particular, no afecta a las órdenes de las autoridades nacionales formuladas de conformidad con la legislación nacional.

(48) La presente Directiva no afecta a la posibilidad de que los Estados miembros exijan a los prestadores de servicios, que proporcionan alojamiento de datos suministrados por destinatarios de su servicio, que apliquen un deber de diligencia, que cabe esperar razonablemente de ellos y que esté especificado en el Derecho nacional, a fin de detectar y prevenir determinados tipos de actividades ilegales.

(49) Los Estados miembros y la Comisión fomentarán la elaboración de códigos de conducta; ello no irá en perjuicio del carácter voluntario de dichos códigos ni de la posibilidad de que las partes interesadas decidan libremente la adhesión a los mismos.

(50) Es importante que la propuesta de Directiva del Parlamento Europeo y del Consejo relativa a la armonización de ciertos aspectos de los derechos de autor y derechos conexos en la sociedad de la información y la presente Directiva entren en vigor más o menos al mismo tiempo, para garantizar el establecimiento de un marco normativo claro relativo a la cuestión de la responsabilidad de los intermediarios por infracciones de los derechos de autor y los derechos conexos a escala comunitaria.

(51) Corresponderá a cada Estado miembro, llegado el caso, ajustar aquellas disposiciones de su legislación que puedan entorpecer la utilización de los mecanismos de solución extrajudicial de conflictos por vías electrónicas adecuadas. El resultado de dicho ajuste debe hacer posible el funcionamiento de tales mecanismos de forma real y efectiva, tanto de derecho como de hecho, incluso en situaciones transfronterizas.

(52) El ejercicio efectivo de las libertades del mercado interior hace necesario que se garantice a las víctimas un acceso eficaz a los medios de resolución de litigios. Los daños y perjuicios que se pueden producir en el marco de los servicios de la sociedad de la información se caracterizan por su rapidez y por su extensión geográfica. Debido a esta característica y a la necesidad de velar por que las autoridades nacionales eviten que se ponga en duda la confianza mutua que se deben conceder, la presente Directiva requiere de los Estados miembros que establezcan las condiciones para que se puedan emprender los recursos judiciales pertinentes. Los Estados miembros estudiarán la necesidad de ofrecer acceso a los procedimientos judiciales por los medios electrónicos adecuados.

(53) La Directiva 98/27/CE, aplicable a los servicios de la sociedad de la información, establece un mecanismo relativo a las acciones de cesación en materia de protección de los intereses colectivos de los consumidores; este mecanismo contribuirá a la libre circulación de los servicios de la sociedad de la información al garantizar un alto nivel de protección de los consumidores.

(54) Las sanciones establecidas en virtud de la presente Directiva se entenderán sin perjuicio de cualquier otra sanción o reparación establecidos en virtud de la legislación nacional. Los Estados miembros no están obligados a establecer sanciones penales por infracción de las disposiciones nacionales adoptadas en aplicación de la presente Directiva.

(55) La presente Directiva no afecta a la legislación aplicable a las obligaciones contractuales relativas a los contratos celebrados por los consumidores: por lo tanto, la presente Directiva no podré tener como efecto el privar al consumidor de la protección que le confieren las normas obligatorias relativas a las obligaciones contractuales que impone la legislación del Estado miembro en que tiene su residencia habitual.

(56) Por lo que se refiere a la excepción prevista en la presente Directiva, se deberá interpretar que las obligaciones contractuales en los contratos celebrados por los consumidores incluyen la información sobre elementos esenciales del contenido del contrato, incluidos los derechos del consumidor, que tengan una influencia determinante sobre la decisión de celebrarlo.

(57) El Tribunal de justicia siempre ha sostenido que un Estado miembro conserva el derecho de adoptar medidas contra un prestador de servicios establecido en otro Estado miembro, cuya actividad se dirige principalmente o en su totalidad hacia el territorio del primer Estado miembro, cuando dicho establecimiento se haya realizado con la intención de evadir la legislación que se hubiera aplicado al prestador de servicios en caso de que se hubiera establecido en el territorio del primer Estado miembro.

(58) La presente Directiva no será aplicable a los servicios procedentes de prestadores establecidos en un tercer país; habida cuenta de la dimensión global del comercio electrónico, conviene garantizar, no obstante, la coherencia del marco comunitario con el marco internacional. La Directiva se entenderá sin perjuicio de los resultados a que se llegue en los debates en curso sobre los aspectos jurídicos en las organizaciones internacionales (entre otras, la Organización Mundial del Comercio, la Organización de Cooperación y Desarrollo Económico y la CNUDMI).

(59) Pese a la naturaleza global de las comunicaciones electrónicas, es necesario coordinar las medidas reguladoras nacionales a escala de la Unión Europea, con el fin de evitar la fragmentación del mercado interior y establecer el adecuado marco regulador europeo. Dicha coordinación deberá contribuir también al establecimiento de una posición común firme en las negociaciones en los foros internacionales.

(60) Para lograr un desarrollo sin trabas del comercio electrónico, es esencial que dicho marco jurídico sea sencillo, claro y seguro y compatible con las normas vigentes a escala internacional, de modo que no se vea afectada la competitividad de la industria europea y no se obstaculice la realización de acciones innovadoras en dicho ámbito.

(61) Para el correcto funcionamiento del mercado por vía electrónica en un contexto mundializado, es precisa una concertación entre la Unión Europea y los grandes espacios no europeos con el fin de compatibilizar las legislaciones y los procedimientos.

(62) Debe reforzarse la cooperación con terceros países en el sector del comercio electrónico, en particular con los países candidatos, los países en vías de desarrollo y los principales socios comerciales de la Unión Europea.

(63) La adopción de la presente Directiva no impide a los Estados miembros tener en cuenta las diferentes repercusiones sociales y socioculturales inherentes a la aparición de la sociedad de la información y, en particular, no impide que los Estados miembros adopten medidas políticas de conformidad con la legislación comunitaria con el propósito de alcanzar objetivos sociales, culturales y democráticas en atención a su diversidad lingüística, sus peculiaridades nacionales y regionales y su legado cultural, así como con el fin de proporcionar y garantizar el acceso público a un abanico lo más amplio posible de servicios de la sociedad de la información. El desarrollo de la sociedad de la información debe garantizar en todos los casos que los ciudadanos europeos puedan acceder al patrimonio cultural europeo en un entorno digital.

(64) Las comunicaciones electrónicas brindan a los Estados miembros una excelente vía para prestar servicios públicos en los ámbitos cultural, educativo y lingüístico.

(65) El Consejo de Ministros, en su Resolución de 19 de enero de 1999 sobre la dimensión relativa a los consumidores de la sociedad de la información (DO C 23 de 28.1.1999, p. 1), ha destacado que la protección de los consumidores merecía especial atención en el marco de dicha sociedad. La Comisión examinará en qué medida las actuales normas de protección del consumidor no proporcionan la protección adecuada en relación con la sociedad de la información y, si procede, señalará las posibles lagunas de esta legislación y los aspectos en los que podría resultar necesario tomar medidas adicionales; llegado el caso, la Comisión debería hacer propuestas específicas adicionales para colmar las lagunas que haya detectado.

HAN ADOPTADO LA PRESENTE DIRECTIVA:

CAPÍTULO 1. DISPOSICIONES GENERALES

Artículo 1. Objetivo y ámbito de aplicación

1 .El objetivo de la presente Directiva es contribuir al correcto funcionamiento del mercado interior garantizando la libre circulación de los servicios de la sociedad de la información entre los Estados miembros.

2. En la medida en que resulte necesario para alcanzar el objetivo enunciado en el apartado 1 mediante la presente Directiva, se aproximarán entre sí determinadas disposiciones nacionales aplicables a los servicios de la sociedad de la información relativas al mercado interior, el establecimiento de los prestadores de servicios, las comunicaciones comerciales, los contratos por vía electrónica, la responsabilidad de los intermediarios, los códigos de conducta, los acuerdos extrajudiciales para la solución de litigios, los recursos judiciales y la cooperación entre Estados miembros.

3. La presente Directiva completará el ordenamiento jurídico comunitario aplicable a los servicios de la sociedad de la información, sin perjuicio del nivel de protección, en particular, de la salud pública y de los intereses del consumidor, fijados tanto en los instrumentos comunitarios como en las legislaciones nacionales que los desarrollan, en la medida en que nos restrinjan la libertad de prestar servicios de la sociedad de la información.

4. La presente Directiva no establece normas adicionales de Derecho internacional privado ni afecta a la jurisdicción de los tribunales de justicia.

5. La presente Directiva no se aplicará:

a) en materia de fiscalidad;

b) a cuestiones relacionadas con servicios de la sociedad de la información incluidas en las Directivas 95/46/CE y 97/66/CE;

c) a cuestiones relacionadas con acuerdos o prácticas que se rijan por la legislación sobre carteles;

d) a las siguientes actividades de los servicios de la sociedad de la información;

las actividades de los notarios o profesiones equivalentes, en la medida en que impliquen una conexión directa y específica con el ejercicio de la autoridad pública,

la representación de un cliente y la defensa de sus intereses ante los tribunales,

las actividades de juegos de azar que impliquen apuestas de valor monetario incluidas loterías y apuestas.

6. La presente Directiva no afectará a las medidas adoptadas en el plano comunitario ni nacional, dentro del respeto del Derecho comunitario, para fomentar la diversidad cultural y lingüística y garantizar la defensa del pluralismo.

Artículo 2. Definiciones

A efectos de la presente Directiva, se entenderá por:

a) servicios de la sociedad de la información”: servicios en el sentido del apartado 2 del artículo 1 de la Directiva 98/34/CE, modificada por la Directiva 98/48/CE;

b) “prestador de servicios”: cualquier persona física o jurídica que suministre un servicio de la sociedad de la información;

c) “prestador de servicios establecido”: prestador que ejerce de manera efectiva una actividad económica a través de una instalación estable y por un período de tiempo indeterminado. La presencia y utilización de los medios técnicos y de las tecnologías utilizadas para prestar el servicio no constituyen en sí mismos el establecimiento del prestador de servicios;

d)”destinatario del servicio”: cualquier persona física o jurídica que utilice un servicio de la sociedad de la información por motivos profesionales o de otro tipo y, especialmente, para buscar información o para hacerla accesible;

e)”consumidor”: cualquier persona física que actúa con un propósito ajeno a su actividad económica, negocio o profesión;

f)”comunicación comercial”: todas las formas de comunicación destinadas a proporcionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización persona con una actividad comercial, industrial, artesanal de profesiones reguladas. No se consideran comunicaciones comerciales en sí mismas las siguientes:

los datos que permiten acceder directamente a la actividad de dicha empresa, organización o persona y, concretamente el nombre de dominio o la dirección de correo electrónico,

las comunicaciones relativas a los bienes, servicios o a la imagen de dicha empresa, organización o persona, elaboradas de forma independiente de ella, en particular cuando estos se realizan sin contrapartida económica;

g)”profesión regulada”: cualquier profesión en el sentido o bien de la letra d) del artículo 1 de la Directiva 89/48/CE del Consejo, de 21 de diciembre de 1988, relativa a un sistema general de reconocimiento de títulos de enseñanza superior que sancionen formaciones profesionales de una duración mínima de tres años (DO L 19 de 24A.1989, p. 16), o de la letra o) del artículo 1 de la Directiva 92/5I/CE del Consejo, de 18 de junio de 1992, relativa a un segundo sistema general de reconocimiento de formaciones profesionales que completa la Directiva 89/48/CE (DO L 209 de 24.7.1992, p. 25; Directiva cuya última modificación la constituye la Directiva 97/38/CE de la Comisión (DO L 184 de 12.7.1997, p. 31)

h) “ámbito coordinado”: los requisitos exigibles a los prestadores de servicios en los regímenes jurídicos de los Estados miembros aplicables a los prestadores de servicios de la sociedad de la información a los servicios de la sociedad de la información, independientemente de si son de tipo general o destinados específicamente a los mismos,

I) El ámbito coordinado se refiere a los requisitos que debe cumplir el prestador de servicios en relación con:

el inicio de la actividad de un servicio de la sociedad de la información, como los requisitos relativos a cualificaciones, autorizaciones o notificaciones,

el ejercicio de la actividad de un servicio de la sociedad de la información, como los requisitos relativos al comportamiento del prestador de servicios, los requisitos en relación con la calidad o el contenido del servicio, incluidos los aplicables a publicidad y contratos, o los requisitos relativos a la responsabilidad del prestador de servicios.

II) El ámbito coordinado no se refiere a los requisitos siguientes:

requisitos aplicables a las mercancías en sí,

requisitos aplicables a la entrega de las mercancías,

requisitos aplicables a los servicios no prestados por medios electrónicos.

Artículo 3. Mercado interior

1. Todo Estado miembro velará por que los servicios de la sociedad de la información facilitados por un prestador de servicios establecido en su territorio respeten las disposiciones nacionales aplicables en dicho Estado miembro que formen parte del ámbito coordinado.

2. Los Estados miembros no podrán restringir la libertad de prestación de servicios de la sociedad de la información de otro Estado miembro por razones inherentes al ámbito coordinado.

3. No se aplicarán los apartados 1 y 2 a los ámbitos a que se hace referencia en el anexo.

4. Los Estados miembros podrán tomar medidas que constituyen excepciones al apartado 2 respecto de un determinado servicio de la sociedad de la información si se cumplen las condiciones siguientes:

a) Las medidas deberán ser:

I) necesarias por uno de los motivos siguientes:

orden público, en particular la prevención, investigación, descubrimiento y procesamiento del delito, incluidas la protección de menores y la lucha contra la instigación al odio por motivos de raza, sexo, religión o nacionalidad, así como las violaciones de la dignidad humana de personas individuales,

protección de la salud pública,

seguridad pública, incluidas la salvaguarda de la seguridad y la defensa nacionales, protección de los consumidores, incluidos los inversores;

II) tomadas en contra de un servicio de la sociedad de la información que vaya en detrimento de los objetivos enunciados en el inciso i) o que presente un riesgo serio y grave de ir en detrimento de dichos objetivos;

III) proporcionadas a dichos objetivos.

b) Antes de adoptar dichas medidas y sin perjuicio de los procesos judiciales, incluidas las actuaciones preliminares y los actos realizados en el marco de una investigación criminal, el Estado miembro deberá:

haber pedido al Estado miembro que figura en el apartado 1 que tome medidas y este último no haberlas tomado, o no haber resultado suficientes,

haber notificado a la Comisión y al Estado miembro mencionado en el apartado 1 su intención de adoptar dichas medidas.

5. En caso de urgencia, los Estados miembros podrán establecer excepciones a las condiciones estipuladas en la letra b) del apartado 4. Cuando así ocurra, las medidas se notificarán con la mayor brevedad a la Comisión y al Estado miembro a que hace referencia el apartado 1, indicando las razones de la urgencia según el Estado miembro.

6. Sin perjuicio de la posibilidad de un Estado miembro de tomar las medidas en cuestión, la Comisión deberá examinar la compatibilidad de las medidas notificadas con el Derecho comunitario en el más breve plazo; en caso de que llegue a la conclusión de que dichas medidas son incompatibles con el Derecho comunitario, la Comisión solicitará a dicho Estado miembro que se abstenga de tomar ninguna de las medidas propuestas o que ponga fin lo antes posible a las mismas

CAPITULO II. PRINCIPIOS

Sección 1: Régimen de establecimiento y de información

Artículo 4. Principio de no autorización previa

1.Los Estados miembros dispondrán que el acceso a la actividad de prestador de servicios de la sociedad de la información no pueda someterse a autorización previa ni a ningún otro requisito con efectos equivalentes.

2.Lo dispuesto en el apartado 1 no irá en perjuicio de los regímenes de autorización que no tengan por objeto específico y exclusivo los servicios de la sociedad de la información, ni de los regímenes cubiertos por la Directiva 97/13/CE del Parlamento Europeo y del Consejo, de 10 de abril de 1997, relativa a un marco común en materia de autorizaciones generales y licencias individuales en el ámbito de los servicios de telecomunicaciones (DO L 117 de 7.5.1997, p. 15).

Artículo 5. Información general exigida

1. Además de otros requisitos en materia de información contemplados en el Derecho comunitario, los Estados miembros garantizarán que el prestador de servicios permita a los destinatarios del servicio y a las autoridades competentes acceder con facilidad y de forma directa y permanente como mínimo a los datos siguientes:

a) nombre del prestador de servicios;

b) dirección geográfica donde está establecido el prestador de servicios

c) señas que permitan ponerse en contacto rápidamente con el prestador de servicios y establecer una comunicación directa y efectiva con él, incluyendo su dirección de correo electrónico;

d) si el prestador de servicios está inscrito en un registro mercantil u otro registro público similar, nombre de dicho registro y número de inscripción asignado en él al prestador de servicios, u otros medios equivalentes de identificación en el registro;

e) si una determinada actividad está sujeta a un régimen de autorización, los datos de la autoridad de supervisión correspondiente;

f) en lo que se refiere a las profesiones reguladas:

si el prestador de servicios pertenece a un colegio profesional o institución similar, datos de dicho colegio o institución,

título profesional expedido y el Estado miembro en que se expidió,

referencia a las normas profesionales aplicables en el Estado miembro de establecimiento y los medios de acceder a las mismas;

g) si el prestador de servicios ejerce una actividad gravada por el impuesto sobre el valor añadido (IVA), el número de identificación a que hace referencia el apartado 1 del artículo 22 de la Sexta Directiva 77/388/CEE del Consejo, de 17 de mayo de 1977, en materia de armonización de las legislaciones de los Estados miembros relativas a los impuestos sobre el volumen de negocios. Sistema común del Impuesto sobre el Valor Añadido: base imponible uniforme (DO L 14 5 de 13.6.1977, p. 1; Directiva cuya última modificación la constituye la Directiva 1999/85/CE del Parlamento Europeo y del Consejo (DO L 277 de 28.10.1999, p. 34).

2. Además de otros requisitos en materia de información establecidos en el Derecho comunitario, los Estados miembros garantizarán que cuando los servicios de la sociedad de la información hagan referencia a precios, éstos se indiquen claramente y sin ambigüedades, y se haga constar en particular, si están incluidos los impuestos y los gastos de envío.

Sección 2: Comunicaciones comerciales

Artículo 6. Información exigida

Además de otros requisitos en materia de información establecidos en el Derecho comunitario, los Estados miembros garantizarán que las comunicaciones comerciales que forman parte o constituyen un servicio de la sociedad de la información cumplan al menos las condiciones siguientes:

a) las comunicaciones comerciales serán claramente identificables como tales;

b) será claramente identificable la persona física o jurídica en nombre de la cual se hagan dichas comunicaciones comerciales;

c) las ofertas promocionales, como los descuentos, premios y regalos, cuando estén permitidos en el Estado miembro de establecimiento del prestador de servicios, deberán ser claramente identificables como tales, y serán fácilmente accesibles y presentadas de manera clara e inequívoca las condiciones que deban cumplirse para acceder a ellos;

d) los concursos o juegos promocionales, cuando estén permitidos en el Estado miembro de establecimiento del prestador de servicios, serán claramente identificables como tales las condiciones de participación; serán fácilmente accesibles y se presentarán de manera clara e inequívoca.

Artículo 7.Comunicación comercial no solicitada

1. Además de otros requisitos establecidos en el Derecho comunitario, los Estados miembros que permitan la comunicación comercial no solicitada por correo electrónico garantizarán que dicha comunicación comercial facilitada por un prestador de servicios establecido en su territorio sea identificable de manera clara e inequívoca como tal en el mismo momento de su recepción.

2. Sin perjuicio de los dispuesto en las Directivas 97/7/CE y 97/66/CE, los Estados miembros deberán adoptar medidas para garantizar que los prestadores de servicios que realicen comunicaciones comerciales no solicitadas por correo electrónico consulten regularmente las listas de exclusión voluntaria (“opt-out”) en las que se podrán inscribir las personas físicas que no deseen recibir dichas comunicaciones comerciales, y las respeten.

Artículo 8. Profesiones reguladas

1 .Los Estados miembros garantizarán que esté permitido el uso de comunicaciones comerciales que en todo o en parte constituyan un servicio de la sociedad de la información facilitado por un miembro de una profesión regulada, condicionado al cumplimiento de normas profesionales relativas, en particular, a la independencia, dignidad y honor de la profesión, el secreto profesional y la lealtad hacia clientes y colegas.

2. Sin perjuicio de la autonomía de los colegios y asociaciones profesionales, los Estados miembros y la Comisión fomentarán que las asociaciones y colegios profesionales establezcan códigos de conducta comunitarios para determinar los tipos de información que puedan facilitarse a efectos de comunicación comercial, con arreglo a las normas a que se hace referencia en el apartado 1.

3. A la hora de elaborar propuestas de iniciativas comunitarias que puedan resultar necesarias para garantizar el funcionamiento adecuado del mercado interior en los que se refiere a la información a la que hace referencia el apartado 2, la Comisión tendrá debidamente en cuenta los códigos de conducta aplicables en el plano comunitario y actuará en estrecha cooperación con las asociaciones y colegios profesionales correspondientes.

4. La presente Directiva se aplicará además de las Directivas comunitarias relativas al acceso a las actividades de las profesiones reguladas y a su ejercicio.

Sección 3: Contratos por vía electrónica

Artículo 9. Tratamiento de los contratos por vía electrónica

1. Los Estados miembros velarán por que su legislación permita la celebración de contratos por vía electrónica, Los Estados miembros garantizarán en particular que el régimen jurídico aplicable al proceso contractual no entorpezca la utilización real de los contratos por vía electrónica, ni conduzca a privar de efecto y de validez jurídica a este tipo de contratos en razón de su celebración por vía electrónica.

2. Los Estados miembros podrán disponer que el apartado 1 no se aplique a contratos incluidos en una de las categorías siguientes:

a) los contratos de creación o transferencia de derechos en materia inmobiliaria, con la excepción de los derechos de arrendamiento;

b) los contratos que requieran por ley la intervención de los tribunales, las autoridades públicas o profesionales que ejerzan una función pública;

c) los contratos de crédito y caución y las garantías presentadas por personas que actúan por motivos ajenos a su actividad económica, negocio o profesión;

d) los contratos en materia de Derecho de familia o de sucesiones.

3. Los Estados miembros comunicarán a la Comisión las categorías a que hace referencia el apartado 2 a las que no se aplicará el apartado 1. Los Estados miembros enviarán a la Comisión cada cinco años un informe sobre la aplicación del apartado 2, explicando los motivos por los que consideran necesario mantener las categorías a que hace referencia la letra b) del apartado 2, a las que no aplicará el apartado 1.

Artículo 10. Información exigida

1 . Además de otros requisitos en materia de información contemplados en el Derecho comunitario, los Estados miembros garantizarán, excepto cuando las partes que no son consumidores así los acuerden, que el prestador de servicios facilite al menos la siguiente información de manera clara, comprensible e inequívoca y antes de que el destinatario del servicio efectúe un pedido:

a) los diferentes pasos técnicos que deben darse para celebrar el contrato;

b) si el prestador de servicios va a registrar o no el contrato celebrado, y si éste va a ser accesible;

c) los medios técnicos para identificar y corregir los errores de introducción de datos antes de efectuar el pedido;

d) las lenguas ofrecidas para la celebración del contrato.

2. Los Estados miembros garantizarán que, excepto cuando las partes que no son consumidores así lo acuerden, el prestador de servicios indique los códigos de conducta correspondientes a los que se acoja y facilite información sobre la manera de consultar electrónicamente dichos códigos.

3. Las condiciones generales de los contratos facilitadas al destinatario deben estar disponibles de tal manera que éste pueda almacenarlas y reproducirlas.

4. Los apartados 1 y 2 no son aplicables a los contratos celebrados exclusivamente mediante intercambio de correo electrónico u otra comunicación individual equivalente.

Artículo 11. Realización de un pedido

1 .Los Estados miembros garantizarán que, excepto cuando las partes que no son consumidores así lo acuerden, en los casos en que el destinatario de un servicio efectúe su pedido por vía electrónica, se aplicarán los principios siguientes:

el prestador de servicios debe acusar recibo del pedido del destinatario sin demora indebida y por vía electrónica,

se considerará que se han recibido el pedido y el acuse de recibo cuando las partes a las que se dirigen puedan tener acceso a los mismos.

2. Los Estados miembros garantizarán que, excepto cuando así lo acuerden las partes que no son consumidores, el prestador de servicios ponga a disposición del destinatario del servicio los medios técnicos adecuados, eficaces, accesibles que le permitan identificar y corregir los errores de introducción de datos, antes de realizar el pedido.

3. El primer guión del apartado 1 y el apartado 2 del artículo 11 no se aplicarán a los contratos celebrados exclusivamente por intercambio de correo electrónico u otra comunicación individual equivalente.

Sección 4: Responsabilidad de los prestadores de servicios intermediarios

Artículo 12. Mera transmisión

1 .Los Estados miembros garantizarán que, en el caso de un servicio de la sociedad de la información que consista en transmitir en una red de comunicaciones, datos facilitados por el destinatario del servicio o en facilitar acceso a una red de comunicaciones, no se pueda considerar al prestador de servicios de este tipo responsable de los datos transmitidos, a condición de que el prestador de servicios:

a) no haya originado él mismo la transmisión;

b) no seleccione al destinatario de la transmisión; y

c) no seleccione ni modifique los datos transmitidos.

2. Las actividades de transmisión y concesión de acceso enumeradas en el apartado 1 engloban el almacenamiento automático, provisional y transitorio de los datos transmitidos siempre que dicho almacenamiento sirva exclusivamente para ejecutar la transmisión en la red de comunicaciones y que su duración no supere el tiempo razonablemente necesario para dicha transmisión.

3. El presente artículo no afectará a la posibilidad de que un tribunal o una autoridad administrativa, de conformidad con los sistemas jurídicos de los Estados miembros, exija al prestador de servicios que ponga fin a una infracción o que la impida.

Artículo 13. Memoria tampón (Caching)

1. Los Estados miembros garantizarán que, cuando se preste un servicio de la sociedad de la información consistente en transmitir por una red de comunicaciones datos facilitados por el destinatario del servicio, el prestador del servicio no pueda ser considerado responsable del almacenamiento automático, provisional y temporal de esta información, realizado con la única finalidad de hacer más eficaz la transmisión ulterior de la información a otros destinatarios del servicio, a petición de éstos, a condición de que:

a) el prestador de servicios no modifique la información;

b) el prestador de servicios cumpla las condiciones de acceso a la información;

c) el prestador de servicios cumpla las normas relativas a la actualización de la información, especificadas de manera ampliamente reconocida y utilizada por el sector;

d) el prestador de servicios no interfiera en la utilización lícita de tecnología ampliamente reconocida y utilizada por el sector, con el fin de obtener datos sobre la utilización de la información; y

e) el prestador de servicios actúe con prontitud para retirar la información que haya almacenado, o hacer que el acceso a ella será imposible, en cuanto tenga conocimiento efectivo del hecho de que la información ha sido retirada del lugar de la red en que se encontraba inicialmente, de que se ha imposibilitado el acceso a dicha información o de que un tribunal o una autoridad administrativa ha ordenado retirarla o impedir que se acceda a ella.

2. El presente artículo no afectará a la posibilidad de que un tribunal o una autoridad administrativa, de conformidad con los sistemas jurídicos de los Estados miembros, exija al prestador de servicios poner fin a una infracción o impedirla.

Artículo 14. Alojamiento de datos

1. Los Estados miembros garantizarán que, cuando se preste un servicio de la sociedad de la información consistente en almacenar datos facilitados por el destinatario del servicio, el prestador de servicios no pueda ser considerado responsable de los datos almacenados a petición del destinatario, a condición de que:

a) el prestador de servicios no tenga conocimiento efectivo de que la actividad a la información es ilícita y, en lo que se refiere a una acción por daños y perjuicios, no tenga conocimiento de hechos o circunstancias por los que la actividad o la información revele su carácter ilícito, o de que,

b) en cuanto tenga conocimiento de estos puntos, el prestador de servicios actúe con prontitud para retirar los datos o hacer que el acceso a ellos sea imposible.

2. El apartado 1 no se aplicará cuando el destinatario del servicio actúe bajo la autoridad o control del prestador de servicios.

3. El presente artículo no afectará la posibilidad de que un tribunal o una autoridad administrativa, de conformidad con los sistemas jurídicos de los Estados miembros, exijan al prestador de servicios de poner fin a una infracción o impedirla, ni a la posibilidad de que los Estados miembros establezcan procedimientos por los que se rija la retirada de datos o impida el acceso a ellos.

Artículo 15. Inexistencia de obligación general de supervisión

1. Los Estados miembros no impondrán a los prestadores de servicios una obligación general de supervisar los datos que transmitan o almacenen, ni una obligación general de realizar búsquedas activas de hechos o circunstancias que indiquen actividades ilícitas, respecto de los servicios contemplados en los artículos 12, 13 y 14.

2. Los Estados miembros podrán establecer obligaciones tendentes a que los prestadores de servicios de la sociedad de la información comuniquen con prontitud a las autoridades públicas competentes los presuntos datos ilícitos o las actividades ilícitas llevadas a cabo por destinatarios de su servicio o la obligación de comunicar a las autoridades competentes, a solicitud de éstas, información que les permita identificar a los destinatarios de su servicio con los que hayan celebrado acuerdos de almacenamiento.

CAPÍTULO III. APLICACIÓN

Artículo 16. Códigos de conducta

1. Los Estados miembros y la Comisión fomentarán:

a) la elaboración de códigos de conducta a nivel comunitario, a través de asociaciones u organizaciones comerciales, profesionales o de consumidores, con el fin de contribuir a que se apliquen correctamente los artículos 5 a 15;

b) el envío voluntario a la Comisión de los proyectos de códigos de conducta a nivel nacional o comunitario;

c) la posibilidad de acceder a los códigos de conducta por vía electrónica en las lenguas comunitarias:

d) la comunicación a los Estados miembros y a la Comisión, por parte de las asociaciones u organizaciones profesionales y de consumidores, de la evaluación que éstas hagan de la aplicación de sus códigos de conducta y su repercusión en las prácticas, usos o costumbres relacionados con el comercio electrónico;

e) la elaboración de códigos de conducta en materia de protección de los menores y de la dignidad humana.

2. Los Estados miembros y la Comisión fomentarán la participación de asociaciones u organizaciones que representen a los consumidores en la redacción y aplicación de los códigos de conducta que afecten a sus intereses, y que se elaborarán de conformidad con lo dispuesto en la letra a) del apartado 1. Cuando resulte adecuado, a fin de tener en cuenta sus necesidades específicas, deberá consultarse a las asociaciones que representen a los discapacitados y a los malvidentes.

Artículo 17. Solución extrajudicial de litigios

1. Los Estados miembros velarán por que, en caso de desacuerdo entre un prestador de servicios de la sociedad de la información y el destinatario del servicio, su legislación no obstaculice la utilización de los mecanismos de solución extrajudicial, existentes con arreglo a la legislación nacional para la solución de litigios, incluso utilizando vías electrónicas adecuadas.

2. Los Estados miembros alentarán a los órganos responsables de la solución extrajudicial de litigios, en particular de litigios en materia de productos de consumo, a que actúen de modo tal que proporcionen garantías de procedimiento adecuadas a las partes afectadas.

3. Los Estados miembros incitarán a los órganos responsables de la solución extrajudicial de litigios a que informen a la Comisión de las decisiones relevantes que tomen en relación con los servicios de la sociedad de la información, y a que le transmitan todos los demás datos sobre prácticas, usos o costumbres relacionados con el comercio electrónico.

Artículo 18. Recursos judiciales

1. Los Estados miembros velarán por que los recursos judiciales existentes en virtud de la legislación nacional en relación con las actividades de servicios de la sociedad de la información permitan adoptar rápidamente medidas, incluso medidas provisionales, destinadas a poner término a cualquier presunta infracción y a evitar que se produzcan nuevos perjuicios contra los intereses afectados.

2. En el anexo de la Directiva 98/27/CE se añadirá el punto siguiente:

” 11. Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico, en el mercado interior (“Directiva sobre el comercio electrónico”) (DO L 178 de 17.7.2000, p. 1).”

Artículo 19. Cooperación

1. Los Estados miembros dispondrán de los medios de control e investigación necesarios para aplicar de forma eficaz la presente Directiva y garantizarán que los prestadores de servicios comuniquen la información requerida.

2. Los Estados miembros cooperarán con los demás Estados miembros y, a tal efecto, designarán uno o más puntos de contacto cuyas señas comunicarán a los demás Estados miembros y a la Comisión.

3. Los Estados miembros facilitarán, a la mayor brevedad y de conformidad con la legislación nacional, la ayuda y la información que les soliciten otros Estados miembros o la Comisión, incluso utilizando las vías electrónicas adecuadas.

4. Los Estados miembros crearán puntos de contacto accesibles, como mínimo, por vía electrónica y a los que los destinatarios de un servicio y los prestadores de servicios podrán dirigirse para:

a) conseguir información general sobre sus derechos y obligaciones contractuales así como los mecanismos de reclamación y recurso disponibles en caso de litigio, incluidos los aspectos prácticos relativos a la utilización de tales mecanismos;

b) obtener los datos de las autoridades, asociaciones u organizaciones de las que pueden obtener información adicional o asistencia práctica.

5. Los Estados miembros velarán por que se comunique a la Comisión toda decisión administrativa o resolución judicial de carácter relevante que se adopte en sus respectivos territorios sobre litigios relativos a los servicios de la sociedad de la información y a las prácticas, usos y costumbres relacionados con el comercio electrónico. La Comisión comunicará dichas decisiones o resoluciones a los demás Estados miembros.

Artículo 20. Sanciones

Los Estados miembros determinarán las sanciones aplicables a las infracciones de las disposiciones nacionales que se adopten en aplicación de la presente Directiva y tomarán todas las medidas necesarias para garantizar su aplicación. Las sanciones que establezcan deberán ser efectivas, proporcionadas y disuasorias.

CAPÍTULO IV. DISPOSICIONES FINALES

Artículo 21. Reexamen

1. Antes del 17 de julio de 2003 y, a continuación, cada dos años, la Comisión presentará al Parlamento Europeo, al Consejo y al Comité Económico y Social un informe sobre su aplicación, que irá acompañado, en su caso, de propuestas para adaptarla a la evolución jurídica, técnica y económica en el ámbito de los servicios de la sociedad de la información, en particular por lo que respecta a la prevención del delito, protección de menores, de los consumidores y al buen funcionamiento del mercado interior.

2. Al examinar la necesidad de adaptar la presente Directiva, el informe analizará especialmente la necesidad de presentar propuestas relativas a la responsabilidad de los proveedores de hipervínculos y servicios de instrumentos de localización, a los procedimientos de “detección y retirada” y a la imputación de responsabilidad tras la retirada del contenido. El informe analizará asimismo la necesidad de establecer condiciones suplementarias para la exención de responsabilidad, dispuesta de los artículos 12 y 13, en función del desarrollo tecnológico, así como la posibilidad de aplicar los principios del mercado interior a las comunicaciones comerciales por correo electrónico no solicitadas.

Artículo 22.Transposición

1. Los Estados miembros adoptarán las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva antes del 17 de enero de 2002. Las comunicarán inmediatamente a la Comisión.

2. Cuando los Estados miembros adopten las disposiciones contempladas en el apartado 1, éstas incluirán una referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

Artículo 23. Entrada en vigor

La presente Directiva entrará en vigor el día de su publicación en el Diario Oficial de las Comunidades Europeas.

Artículo 24. Destinatarios

Los destinatarios de la presente Directiva serán los Estados miembros.

Hecho en Luxemburgo, el 8 de junio de 2000.

Por el Parlamento Europeo . La Presidenta N. FONTAINE

Por el Consejo : El Presidente G.  D'OLIVEIRA  MARTINS

ANEXO

EXCEPCIONES AL ARTÍCULO 3

Tal como se establece en el apartado 3 del artículo 3, los apartados 1 y 2 del artículo 3 no se aplicarán a los ámbitos siguientes:

derechos de autor, derechos afines y derechos mencionados en la Directiva 87/54/CEE (DO L 24 de 27.1.1987, p. 36) y en la Directiva 96/9/CE (DO L 77 de 27.3.1996, p. 20), así como a los derechos de propiedad industrial, emisión de moneda electrónica por parte de instituciones a las que los Estados miembros hayan aplicado una de las excepciones previstas en el apartado 1 del artículo 8 de la Directiva 2000/46/CE, apartado 2 del artículo 44 de la Directiva 85/611/CEE (DO L 375 de 31.12.1985, p. 3; Directiva cuya última modificación la constituye la Directiva 95/26/CE (DO L 168 de 18.7.1995, p. 7),artículo 30 y título IV de la Directiva 92/49/CEE(DO L 228 de 11.8.1992, p. 1; Directiva cuya última modificación la constituye la Directiva 92/26/CE), título IV de la Directiva 92/96/CEE(DO L 360 de 9.12.1992, p. 1; Directiva cuya última modificación la constituye la Directiva 95/26/CE), artículos 7 y 8 de la Directiva 88/357/CEE(DO L 172 de 4.7.1988, p. 1; Directiva cuya última modificación la constituye la Directiva 92/49/CE.) y artículo 4 de la Directiva 90/619/CEE(DO L 330 de 29.11.1990, p. 50: Directiva cuya última modificación la constituye la Directiva 92/96/CE), libertad de las partes de elegir la legislación aplicable a su contrato, obligaciones contractuales relativas a contratos celebrados por los consumidores, validez formal de los contratos por los que se crean o transfieren derechos en materia de propiedad inmobiliaria, en caso de que dichos contratos estén sujetos a requisitos formales obligatorios en virtud de la legislación del Estado miembro en el que esté situada la propiedad inmobiliaria, licitud de las comunicaciones comerciales no solicitadas por correo electrónico.

DIRECTIVE 2000/31/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL

of on certain legal aspects of Information Society services, in particular electronic commerce, in the Internal Market

(“Directive on electronic commerce”)

THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,

Having regard to the Treaty establishing the European Community, and in particular Articles 47(2), 55 and 95 thereof,

Having regard to the proposal from the Commission 1 ,

Having regard to the Opinion of the Economic and Social Committee 2 ,

Acting in accordance with the procedure laid down in Article 251 of the Treaty 3 ,

______________________________

1 OJ C 30, 5.2.1999, p. 4 and OJ C

2 OJ C 169, 16.6.1999, p. 36.

3 Opinion of the European Parliament of 6 May 1999 (OJ C 279, 1.10.1999, p. 389),

Council Common Position of (OJ C ) (not yet published in the Official Journal) and 

Decision of the European Parliament of (OJ C ) (not yet published in the Official Journal).

_____________________________

Whereas:

(1) The European Union is seeking to forge ever closer links between the States and peoples of Europe, to ensure economic and social progress; in accordance with Article 14 (2) of the Treaty, the Internal Market comprises an area without internal frontiers in which the free movement of goods, services and the freedom of establishment are ensured; the development of Information Society services within the area without internal frontiers is vital to eliminating the barriers which divide the European peoples;

(2) The development of electronic commerce within the Information Society offers significant employment opportunities in the Community, particularly in small and medium-sized enterprises, and will stimulate economic growth and investment in innovation by European companies, and can also enhance the competitiveness of European industry, provided that everyone has access to the Internet;

(3) Community law and the characteristics of the Community legal order are a vital asset to enable European citizens and operators to take full advantage, without consideration of borders, of the opportunities afforded by electronic commerce; this Directive therefore has the purpose of ensuring a high level of Community legal integration in order to establish a real area without internal borders for Information Society services;

(4) It is important to ensure that electronic commerce could fully benefit from the Internal Market and therefore that, as with Council Directive 89/552/EEC of 3 October 1989 on the coordination of certain provisions laid down by Law, Regulation or Administrative Action in Member States concerning the pursuit of television broadcasting activities 1 , a high level of Community integration is achieved;

(5) The development of Information Society services within the Community is hampered by a number of legal obstacles to the proper functioning of the Internal Market which make less attractive the exercise of the freedom of establishment and the freedom to provide services; these obstacles arise from divergences in legislation and from the legal uncertainty as to

which national rules apply to such services; in the absence of coordination and adjustment of legislation in the relevant areas, obstacles might be justified in the light of the case-law of the Court of Justice of the European Communities; legal uncertainty exists with regard to the extent to which Member States may control services originating from another Member State;

(6) In the light of Community objectives, of Articles 43 and 49 of the Treaty and of secondary Community law, these obstacles should be eliminated by coordinating certain national laws and by clarifying certain legal concepts at Community level to the extent necessary for the proper functioning of the Internal Market; by dealing only with certain specific matters which give rise to problems for the Internal Market, this Directive is fully consistent with the need to respect the principle of subsidiarity as set out in Article 5 of the Treaty;

___________________________________________

1 OJ L 298, 17.10.1989, p. 23. Directive as amended by Directive 97/36/EC of the European Parliament and of the Council (OJ L 202, 30.7.1997, p. 60).

___________________________________________

(7) In order to ensure legal certainty and consumer confidence, this Directive must lay down a clear and general framework to cover certain legal aspects of electronic commerce in the Internal Market;

(8) The objective of this Directive is to create a legal framework to ensure the free movement of Information Society services between Member States and not to harmonise the field of criminal law as such;

(9) The free movement of Information Society services can in many cases be a specific reflection in Community law of a more general principle, namely freedom of expression as enshrined in Article 10(1) of the Convention for the Protection of Human Rights and Fundamental Freedoms, which has been ratified by all the Member States; for this reason, Directives covering the supply of Information Society services must ensure that this activity may be engaged in freely in the light of that Article, subject only to the restrictions laid down in paragraph 2 of that Article and in Article 46(1) of the Treaty; this Directive is not intended to affect national fundamental rules and principles relating to freedom of expression;

(10) In accordance with the principle of proportionality, the measures provided for in this Directive are strictly limited to the minimum needed to achieve the objective of the proper functioning of the Internal Market; where action at Community level is necessary, and in order to guarantee an area which is truly without internal frontiers as far as electronic commerce is concerned, the Directive must ensure a high level of protection of objectives of general interest, in particular the protection of minors and human dignity, consumer protection and the protection of public health; according to Article 152 of the Treaty, the protection of public health is an essential component of other Community policies;

(11) This Directive is without prejudice to the level of protection for, in particular, public health and consumer interests, as established by Community acts; amongst others, Council Directive 93/13/EEC of 5 April 1993 on unfair terms in consumer contracts 1 and Directive 97/7/EC of the European Parliament and of the Council of 20 May 1997 on the protection of consumers in respect of distance contracts 2 form a vital element for protecting consumers in contractual matters; those Directives also apply in their entirety to Information Society services; that same Community acquis, which is fully applicable to Information Society services, also embraces in particular Council Directive 84/450/EEC of 10 September 1984 concerning misleading and comparative advertising 3 , Council Directive 87/102/EEC of 22 December 1986 for the approximation of the laws, regulations and administrative provisions of the Member States concerning consumer credit 4 , Council Directive 93/22/EEC of 10 May 1993 on investment services in the securities field 5 , Council Directive 90/314/EEC of 13 June 1990 on package travel, package holidays and package tours 6 , Directive 98/6/EC of the European Parliament and of the Council of 16 February 1998 on consumer production in the indication of prices of products offered to consumers 7 , Council Directive 92/59/EEC of 29 June 1992 on general product safety 8 , Directive 94/47/EC of the European Parliament and of the Council of 26 October 1994 on the protection of purchasers in respect of certain aspects on contracts relating to the purchase of the right to use immovable properties on a timeshare basis 9 , Directive 98/27/EC of the European Parliament and of the Council of 19 May 1998 on injunctions for the protection of

___________________________________________

1 OJ L 95, 21.4.1993, p. 29.

2 OJ L 144, 4.6.1997, p. 19.

3 OJ L 250, 19.9.1984, p. 17. Directive as amended by Directive 97/55/EC of the European Parliament and of the Council (OJ L 290, 23.10.1997, p. 18).

4 OJ L 42, 12.2.1987, p. 48. Directive as last amended by Directive 98/7/EC of the European Parliament and of the Council (OJ L 101, 1.4.1998, p. 17).

5 OJ L 141, 11.6.1993, p. 27. Directive as last amended by Directive 97/9/EC of the European Parliament and of the Council (OJ L 84, 26.3.1997, p. 22).

6 OJ L 158, 23. 6.1990, p. 59.

7 OJ L 80, 18. 3.1998, p. 27.

8 OJ L 228, 11. 8.1992, p. 24.

9 OJ L 280, 29.10.1994, p. 83.

_____________________________________________

consumers' interests 1 , Council Directive 85/374/EEC of 25 July 1985 on the approximation of the laws, regulations and administrative provisions concerning liability for defective products 2 , Directive 1999/44/EC of the European Parliament and of the Council of 25 May 1999 on certain aspects of the sale of consumer goods and associated guarantees 3 , Directive 2000/…/EC of …….. concerning the distance marketing of consumer financial services 4 and Council Directive 92/28/EEC of 31 March 1992 on the advertising of medicinal products 5 ; this Directive should be without prejudice to Directive 98/43/EC of the European Parliament and of the Council of 6 July 1998 on the approximation of the laws, regulations and administrative provisions of the Member States relating to the advertising and sponsorship of tobacco products 6 adopted within the framework of the Internal Market, or to Directives on the protection of public health; this Directive complements information requirements established by the abovementioned Directives and in particular Directive 97/7/EC;

(12) It is necessary to exclude certain activities from the scope of this Directive, on the grounds that the freedom to provide services in these fields cannot, at this stage, be guaranteed under the Treaty or existing secondary legislation; excluding these activities does not preclude any instruments which might prove necessary for the proper functioning of the Internal Market; taxation, particularly value-added tax imposed on a large number of the services covered by this Directive, must be excluded from the scope of this Directive;

__________________________________

1 OJ L 166, 11.6.1998, p. 51. Directive as amended by Directive 1999/44/EC

(OJ L 171, 7.7.1999, p. 12).

2 OJ L 210, 7.8.1985, p. 29. Directive as amended by Directive 1999/34/EC (OJ L 141, 4.6.1999, p. 20).

3 OJ L 171, 7.7.1999, p. 12.

4 OJ L …

5 OJ L 113, 30.4.1992, p. 13.

6 OJ L 213, 30.7.1998, p. 9.

___________________________________

(13) This Directive does not aim to establish rules on fiscal obligations nor does it pre-empt the drawing up of Community instruments concerning fiscal aspects of electronic commerce; 

(14) The protection of individuals with regard to the processing of personal data is solely governed by Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data 1 and Directive 97/66/EC of the European Parliament and of the Council of 15 December 1997 concerning the processing of personal data and the protection of privacy in the telecommunications sector 2 which are fully applicable to Information Society services; these Directives already establish a Community legal framework in the field of personal data and therefore it is not necessary to cover this issue in this Directive in order to ensure the smooth functioning of the Internal Market, in particular the free movement of personal data between Member States; the implementation and application of this Directive should be made in full compliance with the principles relating to the protection of personal data, in particular as regards unsolicited commercial communication and the liability of intermediaries; this Directive cannot prevent the anonymous use of open networks such as the Internet;

(15) The confidentiality of communications is guaranteed by Article 5 of Directive 97/66/EC; in accordance with that Directive, Member States must prohibit any kind of interception or surveillance of such communications by others than the senders and receivers, except when legally authorised;

_______________________________________

1 OJ L 281, 23.11.1995, p. 31.

2 OJ L 24, 30. 1.1998, p. 1.

_______________________________________

(16) The exclusion of gambling activities from the scope of application of this Directive covers only games of chance, lotteries and betting transactions, which involve wagering a stake with monetary value; this does not cover promotional competitions or games where the purpose is to encourage the sale of goods or services and where payments, if they arise, serve only to acquire the promoted goods or services;

(17) The definition of Information Society services already exists in Community law in Directive 98/34/EC of the European Parliament and of the Council of 22 June 1998 laying down a procedure for the provision of information in the field of technical standards and regulations and of rules on information society services 1 and in Directive 98/84/EC of the European Parliament and of the Council of 20 November 1998 on the legal protection of services based on, or consisting of, conditional access 2 ; this definition covers any service normally provided for remuneration, at a distance, by means of electronic equipment for the processing (including digital compression) and storage of data, and at the individual request of a recipient of a service; those services referred to in the indicative list in Annex V to Directive 98/34/ECwhich do not imply data processing and storage are not covered by this definition;

________________________________________

1 OJ L 204, 21.7.1998, p. 37. Directive as amended by Directive 98/48/EC (OJ L 217, 5.8.1998, p. 18).

2 OJ L 320, 28.11.1998, p. 54.

________________________________________

(18) Information Society services span a wide range of economic activities which take place on-line; these activities can, in particular, consist of selling goods on-line; activities such as the delivery of goods as such or the provision of services off-line are not covered; Information Society services are not solely restricted to services giving rise to on-line contracting but also, in so far as they represent an economic activity, extend to services which are not remunerated by those who receive them, such as those offering on-line information or commercial communications, or those providing tools allowing for search, access and retrieval of data; Information Society services also include services consisting of the transmission of information via a communication network, in providing access to a communication network or in hosting information provided by a recipient of the service; television broadcasting within the meaning of Directive EEC/89/552 and radio broadcasting are not Information Society services because they are not provided at individual request; by contrast, services which are transmitted point to point, such as video on demand or the provision of commercial communications by electronic mail are Information Society services; the use of electronic mail or equivalent individual communications for instance by natural persons acting outside their trade, business or profession including their use for the conclusion of contracts between such persons is not an Information Society service; the contractual relationship between an employee and his employer is not an Information Society service; activities which by their very nature cannot be carried out at a distance and by electronic means, such as the statutory auditing of company accounts or medical advice requiring the physical examination of a patient are not Information Society services;

(19) The place at which a service provider is established should be determined in conformity with the case-law of the Court of Justice according to which the concept of establishment involves the actual pursuit of an economic activity through a fixed establishment for an indefinite period; this requirement is also fulfilled where a company is constituted for a given period; the place of establishment of a company providing services via an Internet website is not the place at which the technology supporting its website is located or the place at which its website is accessible but the place where it pursues its economic activity; in cases where a provider has several places of establishment it is important to determine from which place of establishment the service concerned is provided; in cases where it is difficult to determine from which of several places of establishment a given service is provided, this is the place where the provider has the centre of his activities relating to this particular service; 

(20) The definition of “recipient of a service” covers all types of usage of Information Society services, both by persons who provide information on open networks such as the Internet and by persons who seek information on the Internet for private or professional reasons;

(21) The scope of the coordinated field is without prejudice to future Community harmonisation relating to Information Society services and to future legislation adopted at national level in accordance with Community law; the coordinated field covers only requirements relating to on-line activities such as on-line information, on-line advertising, on-line shopping, on-line contracting and does not concern Member State's legal requirements relating to goods such as safety standards, labelling obligations, or liability for goods, or Member State's requirements relating to the delivery or the transport of goods, including the distribution of medicinal products; the coordinated field does not cover the exercise of rights of pre-emption by public authorities concerning certain goods such as works of art;

(22) Information Society services should be supervised at the source of the activity, in order to ensure an effective protection of public interest objectives; to that end, it is necessary to ensure that the competent authority provides such protection not only for the citizens of its own country but for all Community citizens; in order to improve mutual trust between Member States, it is essential to state clearly this responsibility on the part of the Member State where the services originate; moreover, in order to effectively guarantee freedom to provide services and legal certainty for suppliers and recipients of services, such Information Society services should in principle be subject to the law of the Member State in which the service provider is established;

(23) This Directive neither aims to establish additional rules on private international law relating to conflicts of law nor does it deal with the jurisdiction of Courts; provisions of the applicable law designated by rules of private international law must not restrict the freedom to provide Information Society services as established in this Directive;

(24) In the context of this Directive, notwithstanding the rule on the control at source of Information Society services, it is legitimate under the conditions established in this Directive for Member States to take measures to restrict the free movement of Information Society services;

(25) National courts, including civil courts, dealing with private law disputes can take measures to derogate from the freedom to provide Information Society services in conformity with conditions established in this Directive;

(26) Member States, in conformity with conditions established in this Directive, may apply their national rules on criminal law and criminal proceedings with a view to taking all investigative and other measures necessary for the detection and prosecution of criminal offences, without there being a need to notify such measures to the Commission;

(27) This Directive, together with Directive 2000/ /EC of the European Parliament and of the Council concerning the distance marketing of consumer financial services, contributes to the creation of a legal framework for the on-line provision of financial services; this Directive does not pre-empt future initiatives in the area of financial services in particular with regard to the harmonisation of rules of conduct in this field; the possibility for Member States, established in this Directive, under certain circumstances to restrict the freedom to provide Information Society services in order to protect consumers also covers measures in the area of financial services in particular measures aiming at protecting investors;

(28) The Member States' obligation not to subject access to the activity of an Information Society service provider to prior authorisation does not concern postal services covered by Directive 97/67/EC of the European Parliament and of the Council of 15 December 1997 on common rules for the development of the internal market of Community postal services and the improvement of quality of service 1 consisting of the physical delivery of a printed electronic mail message and does not affect voluntary accreditation systems, in particular for providers of electronic signature certification services;

_____________________________

1 OJ L 15, 21.1.1998, p. 14.

_____________________________

(29) Commercial communications are essential for the financing of Information Society services and for developing a wide variety of new, charge-free services; in the interests of consumer protection and fair trading, commercial communications, including discounts, promotional offers and promotional competitions or games, must meet a number of transparency requirements; these requirements are without prejudice to Directive 97/7/EC; this Directive should not affect existing Directives on commercial communications, in particular Directive 98/43/EC;

(30) The sending of unsolicited commercial communications by electronic mail may be undesirable for consumers and Information Society service providers and may disrupt the smooth functioning of interactive networks; the question of consent by recipients of certain forms of unsolicited commercial communications is not addressed by this Directive, but has already been addressed, in particular, in Directive 97/7/EC and in Directive 97/66/EC; in Member States which authorise unsolicited commercial communications by electronic mail, the setting up of appropriate industry filtering initiatives should be encouraged and facilitated; in addition it is necessary that in any event unsolicited commercial communications are clearly identifiable as such in order to improve transparency and to facilitate the functioning of such industry initiatives; unsolicited commercial communications by electronic mail should not result in additional communication costs for the recipient; 

(31) Member States which allow the sending of unsolicited commercial communication by electronic mail without prior consent of the recipient by service providers established in their territory have to ensure that the service providers consult regularly and respect the opt-out registers in which natural persons not wishing to receive such commercial communications can register themselves;

(32) In order to remove barriers to the development of cross-border services within the Community which members of the regulated professions might offer on the Internet, it is necessary that compliance be guaranteed at Community level with professional rules aiming, in particular, to protect consumers or public health; codes of conduct at Community level would be the best means of determining the rules on professional ethics applicable to commercial communication; the drawing-up or, where appropriate, the adaptation of such rules should be encouraged without prejudice to the autonomy of professional bodies and associations;

(33) This Directive complements Community law and national law relating to regulated professions maintaining a coherent set of applicable rules in this field;

(34) Each Member State is to amend its legislation containing requirements, and in particular requirements as to form, which are likely to curb the use of contracts by electronic means; the examination of the legislation requiring such adjustment should be systematic and should cover all the necessary stages and acts of the contractual process, including the filing of the contract; the result of this amendment should be to make contracts concluded electronically workable; the legal effect of electronic signatures is dealt with by Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures 1 ; the acknowledgement of receipt by a service provider may take the form of the on-line provision of the service paid for;

(35) This Directive does not affect Member States' possibility to maintain or establish general or specific legal requirements for contracts which can be fulfilled by electronic means, in particular requirements concerning secure electronic signatures;

_______________________________

1 OJ L 13, 19.1.2000, p. 12.

_______________________________

(36) Member States may maintain restrictions for the use of electronic contracts with regard to contracts requiring by law the involvement of courts, public authorities, or professions exercising public authority; this possibility also covers contracts which require the involvement of courts, public authorities, or professions exercising public authority in order to have an effect with regard to third parties as well as contracts requiring by law certification or attestation by a notary; 

(37) Member States' obligation to remove obstacles to the use of electronic contracts concerns only obstacles resulting from legal requirements and not practical obstacles resulting from the impossibility of using electronic means in certain cases;

(38) Member States' obligation to remove obstacles to the use of electronic contracts is to be implemented in conformity with legal requirements for contracts enshrined in Community law;

(39) The exceptions to the provisions concerning the contracts concluded exclusively by electronic mail or by equivalent individual communications provided for by this Directive, in relation to information to be provided and the placing of orders, should not enable, as a result, the by-passing of those provisions by providers of Information Society services;

(40) Both existing and emerging disparities in Member States' legislation and case-law concerning liability of service providers acting as intermediaries prevent the smooth functioning of the Internal Market, in particular by impairing the development of cross-border services and producing distortions of competition; service providers have a duty to act, under certain circumstances, with a view to preventing or stopping illegal activities; this Directive should constitute the appropriate basis for the development of rapid and reliable procedures for removing and disabling access to illegal information; such mechanisms could be developed on the basis of voluntary agreements between all parties concerned and should be encouraged by Member States; it is in the interest of all parties involved in the provision of Information Society services to adopt and implement such procedures; the provisions of this Directive relating to liability should not preclude the development and effective operation, by the different interested parties, of technical systems of protection and identification and of technical surveillance instruments made possible by digital technology within the limits laid down by Directives 95/46/EC and 97/66/EC;

(41) This Directive strikes a balance between the different interests at stake and establishes principles upon which industry agreements and standards can be based;

(42) The exemptions from liability established in this Directive cover only cases where the activity of the Information Society service provider is limited to the technical process of operating and giving access to a communication network over which information made available by third parties is transmitted or temporarily stored, for the sole purpose of making the transmission more efficient; this activity is of a mere technical, automatic and passive nature, which implies that the Information Society service provider has neither knowledge of nor control over the information which is transmitted or stored;

(43) A service provider can benefit from the exemptions for “mere conduit” and for “caching” when he is in no way involved with the information transmitted; this requires among other things that he does not modify the information that he transmits; this requirement does not cover manipulations of a technical nature which take place in the course of the transmission as they do not alter the integrity of the information contained in the transmission;

(44) A service provider who deliberately collaborates with one of the recipients of his service in order to undertake illegal acts goes beyond the activities of “mere conduit” or “caching” and as a result cannot benefit from the liability exemptions established for these activities;

(45) The limitations of the liability of intermediary service providers established in this Directive do not affect the possibility of injunctions of different kinds; such injunctions can in particular consist of orders by courts or administrative authorities requiring the termination or prevention of any infringement, including the removal of illegal information or the disabling of access to it;

(46) In order to benefit from a limitation of liability, the provider of an Information Society service, consisting of the storage of information, upon obtaining actual knowledge or awareness of illegal activities has to act expeditiously to remove or to disable access to the information concerned; the removal or disabling of access has to be undertaken in the observance of the principle of freedom of expression and of procedures established for this purpose at national level; this Directive does not affect Member States' possibility to establish specific requirements which must be fulfilled expeditiously prior to the removal or disabling of information;

(47) Member States are prevented from imposing a monitoring obligation on service providers only with respect to obligations of a general nature; this does not concern monitoring obligations in a specific case and, in particular, does not affect orders by national authorities in accordance with national legislation;

(48) This Directive does not affect the possibility for Member States to require service providers, who host information provided by recipients of their service, to apply duties of care, which can reasonably be expected from them and which are specified by national law, in order to detect and prevent certain types of illegal activities;

 (49) Member States and the Commission are to encourage the drawing-up of codes of conduct; this is not to impair the voluntary nature of such codes and the possibility for interested parties to decide freely whether to adhere to such codes; 

(50) It is important that the proposed Directive on the harmonisation of certain aspects of copyright and related rights in the Information Society and this Directive come into force within a similar time scale with a view to establishing a clear framework of rules relevant to the issue of liability of intermediaries for copyright and related rights infringements at Community level;

(51) Each Member State should be required, where necessary, to amend any legislation which is liable to hamper the use of schemes for the out-of-court settlement of disputes through electronic channels; the result of this amendment must be to make the functioning of such schemes genuinely and effectively possible in law and in practice, even across borders;

(52) The effective exercise of the freedoms of the Internal Market makes it necessary to guarantee victims effective access to means of settling disputes; damage which may arise in connection with Information Society services is characterised both by its rapidity and by its geographical extent; in view of this specific character and the need to ensure that national authorities do not endanger the mutual confidence which they should have in one another, this Directive requests Member States to ensure that appropriate court actions are available; Member States should examine the need to provide access to judicial procedures by appropriate electronic means;

(53) Directive 98/27/EC, which is applicable to Information Society services, provides a mechanism relating to actions for an injunction aimed at the protection of the collective interests of consumers; this mechanism will contribute to the free movement of Information Society services by ensuring a high level of consumer protection;

(54) The sanctions provided for under this Directive are without prejudice to any other sanction or remedy provided under national law; Member States are not obliged to provide criminal sanctions for infringement of national provisions adopted pursuant to this Directive;

(55) This Directive does not affect the law applicable to contractual obligations relating to consumer contracts; accordingly, this Directive cannot have the result of depriving the consumer of the protection afforded to him by the mandatory rules relating to contractual obligations of the law of the Member State in which he has his habitual residence;

(56) As regards the derogation contained in this Directive regarding contractual obligations concerning contracts concluded by consumers, those obligations should be interpreted as including information on the essential elements of the content of the contract, including consumer rights, which have a determining influence on the decision to contract;

(57) The Court of Justice has consistently held that a Member State retains the right to take measures against a service provider that is established in another Member State but directs all or most of his activity to the territory of the first Member State if the choice of establishment was made with a view to evading the legislation that would have applied to the provider had he been established on the territory of the first Member State;

(58) This Directive should not apply to services supplied by service providers established in a third country; in view of the global dimension of electronic commerce, it is, however, appropriate to ensure that the Community rules are consistent with international rules; this Directive is without prejudice to the results of discussions within international organisations (amongst others WTO, OECD, UNCITRAL) on legal issues;

(59) Despite the global nature of electronic communications, coordination of national regulatory measures at European Union level is necessary in order to avoid fragmentation of the Internal Market, and for the establishment of an appropriate European regulatory framework; such coordination should also contribute to the establishment of a common and strong negotiating position in international fora;

(60) In order to allow the unhampered development of electronic commerce, the legal framework must be clear and simple, predictable and consistent with the rules applicable at international level so that it does not adversely affect the competitiveness of European industry or impede innovation in that sector;

(61) If the market is actually to operate by electronic means in the context of globalisation, the European Union and the major non-European areas need to consult each other with a view to making laws and procedures compatible;

(62) Cooperation with third countries should be strengthened in the area of electronic commerce, in particular with applicant countries, the developing countries and the European Union's other trading partners;

(63) The adoption of this Directive will not prevent the Member States from taking into account the various social, societal and cultural implications which are inherent in the advent of the Information Society; in particular it should not hinder measures which Member States might adopt in conformity with Community law to achieve social, cultural and democratic goals taking into account their linguistic diversity, national and regional specificities as well as their cultural heritage, and to ensure and maintain public access to the widest possible range of Information Society services; in any case, the development of the Information Society is to ensure that Community citizens can have access to the cultural European heritage provided in the digital environment;

(64) Electronic communication offers the Member States an excellent means of providing public services in the cultural, educational and linguistic fields;

(65) The Council, in its Resolution of 19 January 1999 on the Consumer Dimension of the Information Society 1 , stressed that the protection of consumers deserved special attention in this field; the Commission will examine the degree to which existing consumer protection rules provide insufficient protection in the context of the Information Society and will identify, where necessary, the deficiencies of this legislation and those issues which could require additional measures; if need be, the Commission should make specific additional proposals to resolve such deficiencies that will thereby have been identified,

______________________________

1 OJ C 23, 28.1.1999, p. 1.

______________________________

HAVE ADOPTED THIS DIRECTIVE:

CHAPTER I. GENERAL PROVISIONS

Article 1. Objective and scope

1. This Directive seeks to contribute to the proper functioning of the Internal Market by ensuring the free movement of Information Society services between the Member States.

2. This Directive approximates, to the extent necessary for the achievement of the objective set out in paragraph 1, certain national provisions on Information Society services relating to the Internal Market, the establishment of service providers, commercial communications, electronic contracts, the liability of intermediaries, codes of conduct, out-of-court dispute settlements, court actions and cooperation between Member States.

3. This Directive complements Community law applicable to Information Society services without prejudice to the level of protection for, in particular, public health and consumer interests, as established by Community acts and national legislation implementing them insofar as this does not restrict the freedom to provide Information Society services.

4. This Directive does not establish additional rules on private international law nor does it deal with the jurisdiction of Courts.

5. This Directive shall not apply to:

(a) the field of taxation;

(b) questions relating to Information Society services covered by Directives 95/46/EC and 97/66/EC;

(c) questions relating to agreements or practices governed by cartel law;

(d) the following activities of Information Society services:

– the activities of notaries or equivalent professions to the extent that they involve a direct and specific connection with the exercise of public authority;

– the representation of a client and defence of his interests before the courts;

– gambling activities which involve wagering a stake with monetary value in games of chance, including lotteries and betting transactions.

6. This Directive does not affect measures taken at Community or national level, in the respect of Community law, in order to promote cultural and linguistic diversity and to ensure the defence of pluralism.

Article 2. Definitions

For the purpose of this Directive, the following terms shall bear the following meanings:

(a) “Information Society services”: services within the meaning of Article 1(2) of Directive 98/34/EC as amended by Directive 98/48/EC;

(b) “service provider”: any natural or legal person providing an Information Society service;

(c) “established service provider”: a service provider who effectively pursues an economic activity using a fixed establishment for an indefinite period. The presence and use of the technical means and technologies required to provide the service do not, in themselves, constitute an establishment of the provider;

(d) “recipient of the service”: any natural or legal person who, for professional ends or otherwise, uses an Information Society service, in particular for the purposes of seeking information or making it accessible;

(e) “consumer”: any natural person who is acting for purposes which are outside his or her trade, business or profession;

(f) “commercial communication”: any form of communication designed to promote, directly or indirectly, the goods, services or image of a company, organisation or person pursuing a commercial, industrial or craft activity or exercising a regulated profession. The following do not in themselves constitute commercial communications:

– information allowing direct access to the activity of the company, organisation or person, in particular a domain name or an electronic-mail address;

– communications relating to the goods, services or image of the company, organisation or person compiled in an independent manner, particularly when this is without financial consideration;

(g) “regulated profession”: any profession within the meaning of either Article 1(d) of Council Directive 89/48/ EEC of 21 December 1988 on a general system for the recognition of higher-education diplomas awarded on completion of professional education and training of at least three years' duration 1 or of Article 1(f) of Council Directive 92/51/EEC of 18 June 1992 on a second general system for the recognition of professional education and training to supplement Directive 89/48/EEC 2 ;

(h) “coordinated field”: requirements laid down in Member States' legal systems applicable to Information Society service providers or Information Society services, regardless of whether they are of a general nature or specifically designed for them.

_________________________________

1 OJ L 19, 24.1.1989, p. 16.

2 OJ L 209, 24.7.1992, p. 25. Directive as last amended by Commission Directive 97/38/EC (OJ L 184, 12.7.1997, p. 31).

________________________________

(I) The coordinated field concerns requirements with which the service provider has to comply in respect of:

– the taking up of the activity of an Information Society service, such as requirements concerning qualifications, authorisation or notification;

– the pursuit of the activity of an Information Society service, such as requirements concerning the behaviour of the service provider, requirements regarding the quality or content of the service including those applicable to advertising and contracts, or requirements concerning the liability of the service provider.

(II) The coordinated field does not cover requirements such as:

– requirements applicable to goods as such;

– requirements applicable to the delivery of goods;

– requirements applicable to services not provided by electronic means.

Article 3. Internal Market

1. Each Member State shall ensure that the Information Society services provided by a service provider established on its territory comply with the national provisions applicable in the Member State in question which fall within the coordinated field.

2. Member States may not, for reasons falling within the coordinated field, restrict the freedom to provide Information Society services from another Member State.

3. Paragraphs 1 and 2 shall not apply to the fields referred to in the Annex.

4. Member States may take measures to derogate from paragraph 2 in respect of a given Information Society service if the following conditions are fulfilled:

(a) the measures shall be:

(I) necessary for one of the following reasons:

– public policy, in particular the prevention, investigation, detection and prosecution of criminal offences, including the protection of minors and the fight against any incitement to hatred on grounds of race, sex, religion or nationality, and violations of human dignity concerning individual persons;

– the protection of public health;

– public security, including the safeguarding of national security and defence;

– the protection of consumers, including investors;

(II) taken against a given Information Society service which prejudices the objectives referred to in point (I) or which presents a serious and grave risk of prejudice to those objectives;

(III) proportionate to those objectives;

(b) before taking the measures in question and without prejudice to court proceedings, including preliminary proceedings and acts carried out in the framework of a criminal investigation, the Member State has:

– asked the Member State referred to in paragraph 1 to take measures and the latter did not take such measures, or they were inadequate;

– notified the Commission and the Member State referred to in paragraph 1 of its intention to take such measures.

5. Member States may, in the case of urgency, derogate from the conditions stipulated in paragraph 4(b). Where this is the case, the measures shall be notified in the shortest possible time to the Commission and to the Member State referred to in paragraph 1, indicating the reasons for which the Member State considers that there is urgency.

6. Without prejudice to the Member State's possibility to proceed with the measures in question, the Commission shall examine the compatibility of the notified measures with Community law in the shortest possible time; where it comes to the conclusion that the measure is incompatible with Community law, the Commission shall ask the Member State in question to refrain from taking any proposed measures or urgently to put an end to the measures in question.

CHAPTER II. PRINCIPLES

Section 1: Establishment and information requirements

Article 4. Principle excluding prior authorisation

1. Member States shall ensure that the taking up and pursuit of the activity of an Information Society service provider may not be made subject to prior authorisation or any other requirement having equivalent effect.

2. Paragraph 1 shall be without prejudice to authorisation schemes which are not specifically and exclusively targeted at Information Society services, or which are covered by Directive 97/13/EC of the European Parliament and of the Council of 10 April 1997 on a common framework for general authorisations and individual licences in the field of telecommunications services 1 .

Article 5. General information to be provided

1. In addition to other information requirements established by Community law, Member States shall ensure that the service provider shall render easily, directly and permanently accessible to the recipients of the service and competent authorities, at least the following information:

(a) the name of the service provider;

(b) the geographic address at which the service provider is established;

____________________________

1 OJ L 117, 7.5.1997, p. 15.

____________________________

(c) the details of the service provider, including his electronic mail address, which allow him to be contacted rapidly and communicated with in a direct and effective manner; 

(d) where the service provider is registered in a trade or similar public register, the trade register in which the service provider is entered and his registration number, or equivalent means of identification in that register;

(e) where the activity is subject to an authorisation scheme, the particulars of the relevant supervisory authority;

(f) as concerns the regulated professions:

– any professional body or similar institution with which the service provider is registered;

– the professional title and the Member State where it has been granted;

– a reference to the applicable professional rules in the Member State of establishment and the means to access them;

(g) where the service provider undertakes an activity that is subject to VAT, the identification number referred to in Article 22(1) of Sixth Council Directive (77/388/EEC) of 17 May 1977 on the harmonisation of the laws of the Member States relating to turnover taxes – Common system of value added tax: uniform basis of assessment 1 .

_______________________________

1 OJ L 145, 13.6.1977, p. 1. Directive as last amended by Directive 1999/85/EC (OJ L 277, 28.10.1999, p. 34).

________________________________

2. In addition to other information requirements established by Community law, Member States shall at least ensure that, where Information Society services refer to prices, these are to be indicated clearly and unambiguously and, in particular, must indicate whether they are inclusive of tax and delivery costs.

Section 2: Commercial communications

Article 6. Information to be provided

In addition to other information requirements established by Community law, Member States shall ensure that commercial communications which are part of, or constitute, an Information Society service comply at least with the following conditions:

(a) the commercial communication shall be clearly identifiable as such;

(b) the natural or legal person on whose behalf the commercial communication is made shall be clearly identifiable;

(c) promotional offers, such as discounts, premiums and gifts, where permitted in the Member State where the service provider is established, shall be clearly identifiable as such, and the conditions which are to be met to qualify for them shall be easily accessible and be presented clearly and unambiguously;

(d) promotional competitions or games, where permitted in the Member State where the service provider is established, shall be clearly identifiable as such, and the conditions for participation shall be easily accessible and be presented clearly and unambiguously.

Article 7. Unsolicited commercial communication

1. In addition to other requirements established by Community law, Member States which permit unsolicited commercial communication by electronic mail shall ensure that such commercial communication by a service provider established in their territory shall be identifiable clearly and unambiguously as such as soon as it is received by the recipient.

2. Without prejudice to Directive 97/7/EC and Directive 97/66/EC, Member States shall take measures to ensure that service providers undertaking unsolicited commercial communications by electronic mail consult regularly and respect the opt-out registers in which natural persons not wishing to receive such commercial communications can register themselves.

Article 8. Regulated professions

1. Member States shall ensure that the use of commercial communications which are part of, or constitute, an Information Society service provided by a member of a regulated profession is permitted subject to compliance with the professional rules regarding, in particular, the independence, dignity and honour of the profession, professional secrecy and fairness towards clients and other members of the profession.

2. Without prejudice to the autonomy of professional bodies and associations, Member States and the Commission shall encourage professional associations and bodies to establish codes of conduct at Community level in order to determine the types of information that can be given for the purposes of commercial communication in conformity with the rules referred to in paragraph 1.

3. When drawing up proposals for Community initiatives which may become necessary to ensure the proper functioning of the Internal Market with regard to the information referred to in paragraph 2, the Commission shall take due account of codes of conduct applicable at Community level and shall act in close co-operation with the relevant professional associations and bodies.

4. This Directive shall apply in addition to Community Directives concerning access to, and the exercise of, activities of the regulated professions.

Section 3: Contracts concluded by electronic means

Article 9. Treatment of contracts

1. Member States shall ensure that their legal system allows contracts to be concluded by electronic means. Member States shall in particular ensure that the legal requirements applicable to the contractual process neither create obstacles for the use of electronic contracts nor result in such contracts being deprived of legal effectiveness and validity on account of their having been made by electronic means.

2. Member States may lay down that paragraph 1 shall not apply to all or certain contracts falling into one of the following categories:

(a) contracts that create or transfer rights in real estate, except for rental rights;

(b) contracts requiring by law the involvement of courts, public authorities or professions exercising public authority;

(c) contracts of suretyship granted and on collateral securities furnished by persons acting for purposes outside their trade, business or profession;

(d) contracts governed by family law or by the law of succession.

3. Member States shall indicate to the Commission the categories referred to in paragraph 2 to which they do not apply paragraph 1. Member States shall submit to the Commission every five years a report on the application of paragraph 2 explaining the reasons why they consider it necessary to maintain the category referred to in paragraph 2(b) to which they do not apply paragraph 1.

Article 10. Information to be provided

1. In addition to other information requirements established by Community law, Member States shall ensure, except when otherwise agreed by parties who are not consumers, that at least the following information is given by the service provider clearly, comprehensibly and unambiguously and prior to the order being placed by the recipient of the service:

(a) the different technical steps to follow to conclude the contract;

(b) whether or not the concluded contract will be filed by the service provider and whether it will be accessible;

(c) the technical means for identifying and correcting input errors prior to the placing of the order;

(d) the languages offered for the conclusion of the contract.

2. Member States shall ensure that, except when otherwise agreed by parties who are not consumers, the service provider indicates any relevant codes of conduct to which he subscribes and information on how those codes can be consulted electronically.

3. Contract terms and general conditions provided to the recipient must be made available in a way that allows him to store and reproduce them.

4. Paragraphs 1 and 2 shall not apply to contracts concluded exclusively by exchange of electronic mail or by equivalent individual communications.

Article 11. Placing of the order

1. Member States shall ensure, except when otherwise agreed by parties who are not consumers, that in cases where the recipient of the service places his order through technological means, the following principles apply:

– the service provider has to acknowledge the receipt of the recipient's order without undue delay and by electronic means;

– the order and the acknowledgement of receipt are deemed to be received when the parties to whom they are addressed are able to access them.

2. Member States shall ensure that, except when otherwise agreed by parties who are not consumers, the service provider makes available to the recipient of the service appropriate, effective and accessible technical means allowing him to identify and correct input errors, prior to the placing of the order.

3. Paragraph 1, first indent, and paragraph 2 shall not apply to contracts concluded exclusively by exchange of electronic mail or by equivalent individual communications.

Section 4 Liability of intermediary service providers

Article 12. Mere conduit

1. Where an Information Society service is provided that consists of the transmission in a communication network of information provided by a recipient of the service, or the provision of access to a communication network, Member States shall ensure that the service provider is not liable for the information transmitted, on condition that the provider:

(a) does not initiate the transmission;

(b) does not select the receiver of the transmission; and

(c) does not select or modify the information contained in the transmission.

2. The acts of transmission and of provision of access referred to in paragraph 1 include the automatic, intermediate and transient storage of the information transmitted insofar as this takes place for the sole purpose of carrying out the transmission in the communication network, and provided that the information is not stored for any period longer than is reasonably necessary for the transmission.

3. This Article shall not affect the possibility for a court or administrative authority, in accordance with Member States' legal systems, to require the service provider to terminate or prevent an infringement.

Article 13. Caching

1. Where an Information Society service is provided that consists of the transmission in a communication network of information provided by a recipient of the service, Member States shall ensure that the service provider is not liable for the automatic, intermediate and temporary storage of that information, performed for the sole purpose of making more efficient the information's onward transmission to other recipients of the service upon their request, on condition that:

(a) the provider does not modify the information;

(b) the provider complies with conditions on access to the information;

(c) the provider complies with rules regarding the updating of the information, specified in a manner widely recognised and used by industry;

(d) the provider does not interfere with the lawful use of technology, widely recognised and used by industry, to obtain data on the use of the information; and

(e) the provider acts expeditiously to remove or to disable access to the information it has stored upon obtaining actual knowledge of the fact that the information at the initial source of the transmission has been removed from the network, or access to it has been disabled, or that a court or an administrative authority has ordered such removal or disablement.

2. This Article shall not affect the possibility for a court or administrative authority, in accordance with Member States' legal systems, to require the service provider to terminate or prevent an infringement.

Article 14. Hosting

1. Where an Information Society service is provided that consists of the storage of information provided by a recipient of the service, Member States shall ensure that the service provider is not liable for the information stored at the request of a recipient of the service, on condition that: 

(a) the provider does not have actual knowledge of illegal activity or information and, as regards claims for damages, is not aware of facts or circumstances from which the illegal activity or information is apparent; or

(b) the provider, upon obtaining such knowledge or awareness, acts expeditiously to remove or to disable access to the information.

2. Paragraph 1 shall not apply when the recipient of the service is acting under the authority or the control of the provider.

3. This Article shall not affect the possibility for a court or administrative authority, in accordance with Member States' legal systems, to require the service provider to terminate or prevent an infringement, nor does it affect the possibility for Member States to establish procedures governing the removal or disabling of access to information.

Article 15. No general obligation to monitor

1. Member States shall not impose a general obligation on providers, when providing the services covered by Articles 12, 13 and 14, to monitor the information which they transmit or store, nor a general obligation actively to seek facts or circumstances indicating illegal activity.

2. Member States may establish obligations for Information Society service providers promptly to inform the competent public authorities of alleged illegal activities undertaken or information provided by recipients of their service or obligations to communicate to the competent authorities, at their request, information enabling the identification of recipients of their service with whom they have storage agreements.

CHAPTER III. IMPLEMENTATION

Article 16. Codes of conduct

1. Member States and the Commission shall encourage:

(a) the drawing-up of codes of conduct at Community level, by trade, professional and consumer associations or organisations, designed to contribute to the proper implementation of Articles 5 to 15;

(b) the voluntary transmission of draft codes of conduct at national or Community level to the Commission;

(c) the accessibility of these codes of conduct in the Community languages by electronic means;

(d) the communication to the Member States and the Commission, by trade, professional and consumer associations or organisations, of their assessment of the application of their codes of conduct and their impact upon practices, habits or customs relating to electronic commerce;

(e) the drawing up of codes of conduct regarding the protection of minors and human dignity.

2. Member States and the Commission shall encourage the involvement of associations or organisations representing consumers in the drafting and implementation of codes of conduct affecting their interests and drawn up in accordance with point (a) of paragraph 1. Where appropriate, to take account of their specific needs, associations representing the visually impaired and disabled should be consulted.

Article 17. Out-of-court dispute settlement

1. Member States shall ensure that, in the event of disagreement between an Information Society service provider and the recipient of the service, their legislation does not hamper the use of out-of-court schemes, available under national law, for dispute settlement, including appropriate electronic means.

2. Member States shall encourage bodies responsible for the out-of-court settlement of, in particular, consumer disputes to operate in a way which provides adequate procedural guarantees for the parties concerned.

3. Member States shall encourage bodies responsible for out-of-court dispute settlement to inform the Commission of the significant decisions they take regarding Information Society services and to transmit any other information on the practices, usages or customs relating to electronic commerce.

Article 18. Court actions

1. Member States shall ensure that court actions available under national law concerning Information Society services' activities allow for the rapid adoption of measures, including interim measures, designed to terminate any alleged infringement and to prevent any further impairment of the interests involved.

2. The Annex to Directive 98/27/EC shall be supplemented as follows:

“11. Directive 2000/…/EC of the European Parliament and of the Council of ……. on certain legal aspects on Information Society services, in particular electronic commerce, in the Internal Market (“Directive on electronic commerce”) (OJ L …).”

Article 19. Cooperation

1. Member States shall have adequate means of supervision and investigation necessary to implement this Directive effectively and shall ensure that service providers supply them with the requisite information.

2. Member States shall cooperate with other Member States; they shall, to that end, appoint one or several contact points, whose details they shall communicate to the other Member States and to the Commission.

3. Member States shall, as quickly as possible, and in conformity with national law, provide the assistance and information requested by other Member States or by the Commission, including by appropriate electronic means.

4. Member States shall establish contact points which shall be accessible at least by electronic means and from which recipients and service providers may:

(a) obtain general information on contractual rights and obligations as well as on the complaint and redress mechanisms available in the event of disputes, including practical aspects involved in the use of such mechanisms;

(b) obtain the details of authorities, associations or organisations from which they may obtain further information or practical assistance.

5. Member States shall encourage the communication to the Commission of any significant administrative or judicial decisions taken in their territory regarding disputes relating to Information Society services and practices, usages and customs relating to electronic commerce. The Commission shall communicate these decisions to the other Member States.

Article 20. Sanctions

Member States shall determine the sanctions applicable to infringements of national provisions adopted pursuant to this Directive and shall take all measures necessary to ensure that they are enforced. The sanctions they provide for shall be effective, proportionate and dissuasive.

CHAPTER IV. FINAL PROVISIONS

Article 21. Re-examination

1. Before ……(1)… ,and thereafter every two years, the Commission shall submit to the European Parliament, the Council and the Economic and Social Committee a report on the application of this Directive, accompanied, where necessary, by proposals for adapting it to legal, technical and economic developments in the field of Information Society services, in particular with respect to crime prevention, the protection of minors, consumer protection and to the proper functioning of the Internal Market.

2. In examining the need for an adaptation of this Directive, the report shall in particular analyse the need for proposals concerning the liability of providers of hyperlinks and location tool services, “notice and take down” procedures and the attribution of liability following the taking down of content. The report shall also analyse the need for additional conditions for the exemption from liability, provided for in Articles 12 and 13, in the light of technical developments, and the possibility of applying the Internal Market principles to unsolicited commercial communications by electronic mail.

(1) Three years after the date of entry into force of this Directive.

Article 22. Transposition

1. Member States shall bring into force the laws, regulations and administrative provisions necessary to comply with this Directive before ……(2) . They shall forthwith inform the Commission thereof.

2. When Member States adopt the measures referred to in paragraph 1, these shall contain a reference to this Directive or shall be accompanied by such reference at the time of their official publication. The methods of making such reference shall be laid down by Member States.

Article 23. Entry into force

This Directive shall enter into force on the day of its publication in the Official Journal of the European Communities.

(2) 18 months after the date of entry into force of this Directive.

Article 24. Addressees

This Directive is addressed to the Member States.

Done at Brussels,

For the European Parliament For the Council

The President The President

ANNEX DG C I 1

ANNEX

Derogations from Article 3

As provided for in Article 3(3), Article 3(1) and (2) do not apply to:

– copyright, neighbouring rights, rights referred to in Directive 87/54/EEC 1 and Directive 96/9/EC 2 as well as industrial property rights;

– the emission of electronic money by institutions in respect of which Member States have applied one of the derogations provided for in Article 8(1) of Directive 2000/../EC 3 ;

– Article 44(2) of Directive 85/611/EEC 4 ;

– Article 30 and Title IV of Directive 92/49/EEC 5 , Title IV of Directive 92/96/EEC 6 ,

– Articles 7 and 8 of Directive 88/357/EEC 7 and Article 4 of Directive 90/619/EEC 8 ;

__________________________________

1 OJ L 24, 27. 1.1987, p. 36.

2 OJ L 77, 27. 3.1996, p. 20.

3 OJ L

4 OJ L 375, 31.12.1985, p. 3. Directive as last amended by Directive 95/26/EC (OJ L 168, 18.7.1995, p. 7).

5 OJ L 228, 11. 8.1992, p. 1. Directive as last amended by Directive 95/26/EC.

6 OJ L 360, 9.12.1992, p. 1. Directive as last amended by Directive 95/26/EC.

7 OJ L 172, 4. 7.1988, p. 1. Directive as last amended by Directive 92/49/EC.

8 OJ L 330, 29.11.1990, p. 50. Directive as last amended by Directive 92/96/EC.

ANNEX DG C I 2

– the freedom of the parties to choose the law applicable to their contract;

– contractual obligations concerning consumer contracts;

– formal validity of contracts creating or transferring rights in real estate where such contracts are subject to mandatory formal requirements of the law of the Member State where the real estate is situated;

– the permissibility of unsolicited commercial communications by electronic mail.

LA ASAMBLEA GENERAL,

VISTOS el informe anual del Consejo Permanente a la Asamblea General (AG/doc.4548/06 add. 6) sobre el estado de cumplimiento de la resolución AG/RES. 2121 (XXXV-O/05) “Acceso a la información pública: Fortalecimiento de la democracia”;

CONSIDERANDO que la Convención Americana sobre Derechos Humanos establece en su artículo 13 que “Toda persona tiene derecho a la libertad de pensamiento y de expresión. Este derecho comprende la libertad de buscar, recibir y difundir informaciones e ideas de toda índole, sin consideración de fronteras, ya sea oralmente, por escrito o en forma impresa o artística, o por cualquier otro procedimiento de su elección”;

CONSIDERANDO TAMBIÉN que el artículo 19 de la Declaración Universal de Derechos Humanos incluye el derecho “de investigar y recibir informaciones y opiniones, y el de difundirlas, sin limitación de fronteras, por cualquier medio de expresión”;

RECORDANDO que el Plan de Acción de la Tercera Cumbre de las Américas, celebrada en la ciudad de Quebec en 2001, señala que los Gobiernos asegurarán que sus legislaciones nacionales se apliquen de igual manera para todos, respetando la libertad de expresión y el acceso de todos los ciudadanos a la información pública;

DESTACANDO que la Carta Democrática Interamericana señala en su artículo 4 que son componentes fundamentales del ejercicio de la democracia: la transparencia de las actividades gubernamentales, la probidad, la responsabilidad de los gobiernos en la gestión pública, el respeto por los derechos sociales y la libertad de expresión y de prensa;

CONSTATANDO que los Jefes de Estado manifestaron en la Declaración de Nuevo León que el acceso a la información en poder del Estado, con el debido respeto a las normas constitucionales y legales, incluidas las de privacidad y confidencialidad, es condición indispensable para la participación ciudadana y promueve el respeto efectivo de los derechos humanos y que, en tal sentido, se comprometieron a contar también con los marcos jurídicos y normativos, así como con las estructuras y condiciones necesarias, para garantizar el derecho al acceso a la información pública;

TENIENDO EN CUENTA la adopción de la Declaración de Santiago sobre democracia y confianza ciudadana: Un nuevo compromiso de gobernabilidad para las Américas”  (AG/DEC.31 (XXXIII-O/03)), así como la resolución AG/RES. 1960 (XXXIII-O/03), “Programa de gobernabilidad democrática en las Américas”;

CONSIDERANDO que la Agencia Interamericana para la Cooperación y el Desarrollo (AICD) ha venido identificando y facilitando el acceso a los gobiernos de los Estados Miembros a las prácticas de gobierno electrónico que facilitan la aplicación de las tecnologías de la información y la comunicación a los procesos gubernamentales;

CONSIDERANDO TAMBIÉN que la Oficina para la Promoción de la Democracia (OPD) ha venido apoyando a los gobiernos de los Estados Miembros en el tratamiento del tema del acceso a la información pública;

TOMANDO NOTA de los trabajos realizados por el Comité Jurídico Interamericano (CJI) sobre el tema, en particular el documento “Derecho de la información: acceso y protección de la información y datos personales en formato electrónico” (CJI/doc.25/00 rev. 1);

RECONOCIENDO que la meta de lograr una ciudadanía informada debe compatibilizarse con otros objetivos de bien común, tales como la seguridad nacional, el orden público y la protección de la privacidad de las personas, conforme a las leyes adoptadas a tal efecto;

RECONOCIENDO también que la democracia se fortalece con el pleno respeto a la libertad de expresión, al acceso a la información pública y a la libre difusión de las ideas, y que todos los sectores de la sociedad, incluidos los medios de comunicación, a través de la información pública que difunden a la ciudadanía, pueden contribuir a un ambiente de tolerancia de todas las opiniones, propiciar una cultura de paz y fortalecer la gobernabilidad democrática;

TENIENDO EN CUENTA el importante papel que puede desempeñar la sociedad civil en promover un amplio acceso a la información pública;

TOMANDO NOTA de la Declaración de Principios sobre Libertad de Expresión de la Comisión Interamericana de Derechos Humanos (CIDH), así como de la Declaración Conjunta sobre Acceso a la Información del Relator Especial de las Naciones Unidas para la Libertad de Opinión y Expresión, el Representante de la Organización para la Seguridad y la Cooperación en Europa para la Libertad de los Medios de Comunicación y el Relator Especial para la Libertad de Expresión de la Comisión Interamericana de Derechos Humanos adoptada en 2005;

TOMANDO NOTA ASIMISMO de los informes del Relator Especial para la Libertad de Expresión de la CIDH sobre la situación del acceso a la información en el Hemisferio correspondientes a los años 2003, 2004 y 2005;

RECORDANDO las iniciativas adoptadas por la sociedad civil relativas al acceso a la información pública, particularmente la Declaración de Chapultepec, los Principios de Johannesburgo, los Principios de Lima y la Declaración SOCIUS Perú 2003: Acceso a la Información, así como el Foro Regional Acceso a la Información Pública: Retos para el Derecho a la Información en el Continente, realizado en la ciudad de Lima, Perú, los días 20 y 21 de enero del 2004;

RECORDANDO ASIMISMO que los medios de comunicación, el sector privado y los partidos políticos también pueden jugar un importante papel en la facilitación del acceso de los ciudadanos a la información en poder del Estado; y

TENIENDO EN CONSIDERACIÓN el informe del Consejo Permanente sobre la implementación de la resolución AG/RES. 2121 (XXXV-O/05) “Acceso a la información pública: Fortalecimiento de la democracia”,

RESUELVE:

1. Reafirmar que toda persona tiene la libertad de buscar, recibir, acceder y difundir informaciones y que el acceso a la información pública es requisito indispensable para el funcionamiento mismo de la democracia.

2. Instar a los Estados Miembros a que respeten y hagan respetar el acceso de todas las personas a la información pública y promuevan la adopción de las disposiciones legislativas o de otro carácter que fueren necesarias para asegurar su reconocimiento y aplicación efectiva.

3. Alentar a los Estados Miembros a que, de acuerdo con el compromiso asumido en la Declaración de Nuevo León y con el debido respeto a las normas constitucionales y legales, elaboren y/o adapten, de ser el caso, los respectivos marcos jurídicos y normativos, para brindar a los ciudadanos el amplio acceso a la información pública.

4. Alentar, asimismo, a los Estados Miembros a que, cuando elaboren y/o adapten, de ser el caso, los respectivos marcos jurídicos normativos, brinden a la sociedad civil la oportunidad de participar en dicho proceso e instar a los Estados Miembros a que, cuando elaboren y adapten su legislación nacional, tengan en cuenta criterios de excepción claros y transparentes.

5. Alentar a los Estados Miembros a que tomen las medidas necesarias, a través de sus respectivas legislaciones nacionales y otros medios apropiados, para facilitar la disponibilidad de dicha información a través de medios electrónicos o de cualquier otro medio que permita un fácil acceso a la información pública.

6. Encomendar a la Relatoría Especial para la Libertad de Expresión de la Comisión Interamericana de Derechos Humanos (CIDH) y al Departamento para la Promoción de la Gobernabilidad que:

a. Apoyen los esfuerzos de los Estados Miembros, que lo soliciten, en la elaboración de legislación y mecanismos sobre la materia de acceso a la información pública y participación ciudadana;

b. Asistan al Consejo Permanente en los trabajos de la Comisión de Asuntos Jurídicos y Políticos (CAJP) mencionados en el punto resolutivo 13.a.

7. Encomendar al Departamento de Asuntos Jurídicos Internacionales que:

a. Elabore un estudio con recomendaciones sobre el tema del acceso a la información y la protección de datos personales, basándose en los aportes de los órganos del sistema interamericano y de la sociedad civil, así como los trabajos preparatorios realizados durante la sesión especial de la CAJP sobre la materia.

b. Asista al Consejo Permanente en los trabajos de la CAJP mencionados en el punto resolutivo 13.a.

8. Solicitar al Comité Jurídico Interamericano a que prosiga realizando estudios sobre la protección de los datos personales con base en la legislación comparada, y que realice una actualización del estudio “Derecho de la información: acceso y protección de la información y datos personales en formato electrónico” del año 2000, tomando en cuenta los distintos puntos de vista sobre el tema, para lo cual elaborará y distribuirá entre los Estados Miembros, con el debido apoyo de la Secretaría, un nuevo cuestionario sobre el tema;

9. Encomendar a la Relatoría Especial para la Libertad de Expresión que continúe incluyendo en el Informe Anual de la CIDH un informe sobre la situación del acceso a la información pública en la región.

10. Encomendar a la CIDH que efectúe un estudio sobre cómo puede el Estado garantizar a todos los ciudadanos la libertad de buscar, recibir y difundir información pública, sobre la base del principio de libertad de expresión.

11. Encomendar a la Agencia Interamericana para la Cooperación y el Desarrollo que identifique nuevos recursos para apoyar los esfuerzos de los Estados Miembros que faciliten el acceso a la información pública.

12. Tomar nota del Informe de la Secretaría de la Sesión Especial de la Comisión de Asuntos Jurídicos y Políticos conducente a promover, difundir e intercambiar experiencias y conocimientos relativos al acceso a la información pública y su relación con la participación ciudadana, con la participación de expertos de los Estados y representantes de la sociedad civil, celebrada en la sede de la OEA, el 28 de abril de 2006 (CP/CAJP/2320/05 add. 2).

13. Recomendar al Consejo Permanente que:

a. Solicite a la CAJP que, a partir del informe de la citada sesión especial y teniendo en cuenta el informe del Presidente del Consejo Permanente sobre el cumplimiento de la resolución AG/RES. 2121 (XXXV-O/05), así como las contribuciones de las delegaciones de los Estados Miembros, la Relatoría Especial para la Libertad de Expresión de la CIDH, el Comité Jurídico Interamericano, el Departamento de Asuntos Jurídicos Internacionales, los órganos, organismos y entidades interesados de la Organización, y los representantes de la sociedad civil, elabore un documento de base sobre las mejores prácticas y el desarrollo de aproximaciones comunes o lineamientos para incrementar el acceso a la información pública; y

b. Solicite a la Secretaría General que promueva la realización de seminarios, talleres u otros eventos destinados a promover entre la ciudadanía y la administración pública el acceso a la información pública. 14. Solicitar al Consejo Permanente que informe a la Asamblea General en su próximo período ordinario de sesiones sobre el cumplimiento de la presente resolución, la cual será ejecutada de acuerdo con los recursos asignados en el programa-presupuesto de la Organización y otros recursos.

—————————————————————————————–

(1). La República Bolivariana de Venezuela reitera el planteamiento formulado a pie de página en la resolución AG/RES.2121 (XXXV-O/05) en relación a que la CIDH incluya en el estudio que le fuera encomendado en el operativo 9 de dicha resolución, tomando en cuenta el derecho de todos los ciudadanos a buscar, recibir y difundir información, cómo puede el Estado garantizar ese derecho a las poblaciones social y económicamente excluidas, en el marco de los principios de la transparencia de la información, cuando esta es difundida a través de los medios de comunicación, y con base al derecho de igualdad de las personas ante la ley.

En ese orden destacamos las importantes Conclusiones y Reflexiones de la Sesión Especial sobre Derecho a la Información Pública, efectuada el 28 de abril de 2006, en el marco de la OEA, en las cuales se reconoce que los medios de comunicación tienen responsabilidad en garantizar que los ciudadanos reciban sin distorsión de ninguna naturaleza la información que el Estado proporciona.

El gran crecimiento que han experimentado los servicios de telecomunicaciones disponibles al público con la entrada en el mercado de nuevos operadores y proveedores de servicios tiene como contrapartida la mayor dificultad de los usuarios para identificar los números telefónicos a los que deben dirigir sus comunicaciones.

Las guías telefónicas y los servicios especializados en el suministro de información telefónica sobre números de abonado, o servicios de directorio, ayudan a paliar este problema y adquieren una particular relevancia en un marco de competencia plena, ya que contribuyen a que se puedan establecer eficazmente las comunicaciones.

Por otro lado, además de la elaboración de guías telefónicas, los servicios de directorio son también susceptibles de prestarse en competencia, lo que conlleva beneficios adicionales a los usuarios. No obstante, en este caso es preciso lograr un equilibrio entre los intereses de éstos, que desean poder acceder al servicio de consulta sobre números de abonado mediante la marcación de un código sencillo, y los intereses de los proveedores, que precisan de una numeración propia que les identifique en el mercado.

El comité ECTRA (European Committee for Telecommunications Regulatory Affairs), perteneciente a la Conferencia Europea de Correos y Telecomunicaciones (CEPT), recomendó a las Administraciones designar el código 118 para identificar los servicios de directorio vocales, y que este espacio de numeración se distribuya de forma no discriminatoria entre sus proveedores (Recomendación CEPT/ECTRA, de 4 de diciembre de 1997, sobre la numeración de servicios vocales de directorio).

Para que los servicios de directorio puedan ser explotados adecuadamente, es conveniente garantizar a sus proveedores el acceso a una información centralizada sobre números de abonado. En el caso de España, la Comisión del Mercado de las Telecomunicaciones es el organismo encargado de suministrar a las entidades que deseen elaborar guías telefónicas los datos que le faciliten los operadores que presten el servicio telefónico disponible al público, tal y como establece el Reglamento por el que se desarrolla el título III de la Ley General de Telecomunicaciones en lo relativo al Servicio Universal de Telecomunicaciones, a las demás obligaciones de servicio público y a las obligaciones de carácter público en la prestación de los servicios y en la explotación de las redes de telecomunicaciones, aprobado por Real Decreto 1736/1998. Asimismo, debe ser posible que los proveedores de los servicios de directorio también puedan acceder a esta información. Para ello, según dispone el artículo 67.1 de dicho Reglamento, es necesario que el Ministerio de Fomento (competencia actual del Ministerio de Ciencia y Tecnología) determine las condiciones para hacer constar los datos personales que sean estrictamente necesarios para identificar a un abonado concreto.

Mediante la presente Orden, se regula este último aspecto y, siguiendo las directrices del Comité ECTRA, se atribuye el código 118 al servicio de consulta telefónica sobre números de abonado y se establecen las condiciones para su prestación en un marco de competencia plena entre proveedores. Igualmente, en lo que resulta necesario para que los proveedores puedan acceder a la información centralizada sobre números de abonado, se desarrollan los artículos 14 y 67.1 del citado Reglamento. Por último, se regulariza la situación del número 1003, correspondiente al servicio de información que ha venido siendo prestado por el operador dominante de la red pública telefónica fija, de forma que resulte compatible con el nuevo marco de competencia y pueda ser utilizado, por todos los operadores que provean red de acceso a sus abonados, durante un año desde la fecha de entrada en vigor de esta Orden. Transcurrido este plazo, dicho código quedará liberado.

El Plan Nacional de Numeración para los Servicios de Telecomunicaciones, aprobado por Acuerdo del Consejo de Ministros de 14 de noviembre de 1997, reserva los números cortos de tres cifras de la serie 11X para ser utilizados cuando lo recomiende la normativa europea, pudiendo atribuirse números de cuatro o más cifras que comiencen por 11 cuando no exista riesgo de provocar errores en la marcación o encaminamientos incorrectos. Igualmente, establece en su punto 1.4 que los operadores estarán obligados a realizar, en los sistemas que exploten, las modificaciones necesarias para tratar y encaminar las comunicaciones de forma eficiente cuando el Ministerio de Fomento (competencia actual del Ministerio de Ciencia y Tecnología) adopte decisiones en relación con este Plan, así como cuando se realicen atribuciones de recursos públicos de numeración, y que las llamadas serán tratadas en función de la naturaleza de los servicios.

El Reglamento por el que se desarrolla el título II de la Ley General de Telecomunicaciones en lo relativo a la interconexión y al acceso a las redes públicas y a la numeración, aprobado por Real Decreto 1651/1998, de 24 de julio, convalida el Plan Nacional de Numeración para los Servicios de Telecomunicaciones y establece, en su artículo 27, que la Secretaría General de Comunicaciones podrá dictar las resoluciones necesarias para el desarrollo de los Planes Nacionales de Numeración.

Por otra parte, el artículo 11 de la Ley 11/1998, de 24 de abril, General de Telecomunicaciones, dispone que las autorizaciones generales se otorgan de forma reglada y automática, previa asunción por el interesado de las condiciones que se establezcan mediante Orden del Ministro de Fomento (competencia actual del Ministro de Ciencia y Tecnología) para cada categoría de redes y servicios y previa comprobación del cumplimiento por aquel de los requisitos que se determinen en la misma.

Finalmente, el Real Decreto 557/2000, de 27 de abril, de reestructuración de los Departamentos Ministeriales, otorga al Ministerio de Ciencia y Tecnología las competencias hasta ahora atribuidas a la Secretaría General de Comunicaciones, del Ministerio de Fomento, excepto las atribuciones correspondientes a la Entidad Pública Empresarial Correos y Telégrafos.

La presente Orden, que ha tenido en cuenta para su elaboración las posibilidades técnicas existentes, ha sido sometida a la audiencia del sector a través de la Comisión Permanente del Consejo Asesor de las Telecomunicaciones y de la Sociedad de la Información.

Asimismo, se ha evacuado el preceptivo informe de la Comisión del Mercado de las Telecomunicaciones, de acuerdo con lo previsto en el artículo 1.dos.2.j) de la Ley 12/1997, de 24 de abril, de Liberalización de las Telecomunicaciones, así como el informe de la Agencia de Protección de Datos, de acuerdo con el artículo 37.h) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

La presente Orden se dicta al amparo de la competencia exclusiva estatal en materia de telecomunicaciones, prevista por el artículo 149.1.21.8 de la Constitución.

En su virtud, de acuerdo con el Consejo de Estado, dispongo:

CAPÍTULO I. DISPOSICIONES GENERALES.

Primero. Objeto.

La presente Orden tiene por objeto:

La delimitación de los datos personales que podrán figurar en las guías telefónicas impresas o electrónicas, así como los que podrán obtenerse a través de servicios de consulta telefónica, de acuerdo con lo previsto por el artículo 67.1 en relación con el artículo 14 del Reglamento por el que se desarrolla el título III de la Ley General de Telecomunicaciones en lo relativo al Servicio Universal de Telecomunicaciones, a las demás obligaciones de servicio público y a las obligaciones de carácter público en la prestación de los servicios y en la explotación de las redes de telecomunicaciones, aprobado por Real Decreto 1736/1998 (en adelante Reglamento del Servicio Universal).

El establecimiento de las condiciones de prestación del servicio de consulta telefónica sobre números de abonado en un marco de competencia.

La regulación del suministro de los datos sobre abonados que los operadores estén obligados a proporcionar a la Comisión del Mercado de las Telecomunicaciones, para que, de acuerdo con los citados artículos 67.1 y 14 del Reglamento del Servicio Universal, ésta pueda ponerlos a disposición de las entidades que:

Elaboren guías telefónicas impresas o electrónicas.

Provean servicios de consulta telefónica sobre números de abonados, mediante autorización general tipo D, a través de los códigos que se regulan en el capítulo IV de la presente Orden.

Presten servicios de llamadas de urgencia a través del número 112, y otras entidades que determine la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información por prestar servicios de llamadas de urgencia a través de números cortos.

Segundo. Ámbito de aplicación.

Tanto los datos que puedan figurar en las guías telefónicas impresas o electrónicas, como la prestación del servicio de consulta telefónica sobre números de abonado, se entenderan referidos a los abonados de los servicios de telecomunicaciones disponibles al público.

CAPÍTULO II. GESTIÓN DE DATOS PERSONALES DE LOS ABONADOS DE LOS SERVICIOS DE TELECOMUNICACIONES.

Tercero. Protección de datos personales.

1. Los datos personales que podrán obtenerse a través de las guías telefónicas y de los servicios de consulta sobre números de abonado se limitaran a los que sean estrictamente necesarios para identificar a un abonado concreto. A estos efectos, las entidades que deseen elaborar guías telefónicas y los proveedores de los servicios de consulta sobre números de abonado únicamente podrán utilizar, en sus bases de datos, la siguiente información relativa a cada abonado:

Nombre y apellidos, o razón social;

Números) de abonado(s);

Dirección postal del domicilio, exceptuando piso, letra y escalera;

Terminal específico que deseen declarar, en su caso.

2. No obstante, adicionalmente a lo dispuesto en el punto anterior, los proveedores de los servicios de consulta sobre números de abonado podrán utilizar otros datos personales de los abonados siempre que éstos hayan dado su consentimiento inequívoco. A estos efectos, se entenderá que existe consentimiento inequívoco de un abonado de un servicio de telecomunicaciones disponible al público cuando éste se haya dirigido a su operador o proveedor por escrito solicitándole que amplíe sus datos personales que figuran en la guía o servicio de directorio, o al proveedor del servicio de consulta sobre números de abonado solicitándole que amplíe sus datos personales sobre los que se pueda facilitar información. También se producirá cuando el operador o proveedor solicite al abonado su consentimiento y éste le responda fehacientemente en el plazo de un mes dando su aceptación.

3. Se requerirá el consentimiento expreso de los abonados del servicio telefónico móvil disponible al público y de los abonados de los servicios de inteligencia de red para poder utilizar la información a la que se refiere el punto 1 de este apartado.

Además, cuando los usuarios no sean titulares de un contrato de abono, tales como usuarios adicionales al titular del contrato, o propietarios de tarjetas de pago previo de servicios de telecomunicaciones, sólo se podrá utilizar dicha información cuando los interesados hayan manifestado su deseo de figurar en las guías o en los servicios de consulta sobre números de abonado. En el caso de usuarios adicionales al titular del contrato, se requerirá el consentimiento previo de éste.

4. Los abonados de los servicios de telecomunicaciones disponibles al público podrán exigir a los operadores y proveedores que se les excluya de las guías telefónicas o de los servicios de consulta telefónica sobre números de abonado, que se indique que sus datos personales no pueden utilizarse para fines de venta directa, que se omita, total o parcialmente, su dirección u otros datos personales, o que se enmienden los errores existentes en sus datos personales. A estos efectos, se entenderá que las demandas que los abonados realicen en relación con las guías telefónicas son extensibles a los servicios de consulta sobre números de abonado, salvo manifestación en contra.

Los operadores que presten el servicio telefónico disponible al público especificarán en sus correspondientes contratos de abono la forma en la que podrán ejercer el derecho que se regula en este punto. A estos efectos, el abonado comunicará al operador su petición con acreditación de la recepción de dicha comunicación.

Los operadores y proveedores deberán proporcionar las posibilidades de exclusión a las que se refiere este punto gratuitamente a los abonados.

5. Los proveedores de los servicios de consulta sobre números de abonado, y las guías telefónicas en formato electrónico, rechazarán las consultas que permitan obtener la identidad o el domicilio de un abonado a partir de su número de teléfono u otro recurso identificativo de abonados.

CAPÍTULO III. CONDICIONES PARA LA PRESTACIÓN DEL SERVICIO DE CONSULTA TELEFÓNICA SOBRE NÚMEROS DE ABONADO.

Cuarto. Descripción del servicio.

1. El servicio de consulta telefónica sobre números de abonado consiste en la transmisión y conducción de llamadas desde los accesos a las redes públicas telefónicas hasta los correspondientes centros de atención de llamadas, así como el suministro, a los usuarios del servicio telefónico disponible al público, de información vocal y, opcionalmente de datos, relativa a los números de abonado de este servicio.

2. Sin perjuicio de lo establecido en el punto 1 de este apartado, y con la salvaguarda de la protección de los datos personales a la que se refiere el apartado tercero, mediante el servicio de consulta telefónica sobre números de abonado se podrá proporcionar información sobre otros recursos identificativos de abonados de servicios de telecomunicaciones disponibles al público, tales como direcciones de correo electrónico o nombres de dominio. Igualmente, se podrá suministrar la información relacionada con los números de abonado que figure, o pueda figurar según la legislación vigente, en las publicaciones especializadas en la divulgación de datos comerciales.

Quinto. Títulos habilitantes.

1. Para la prestación del servicio de consulta telefónica sobre números de abonado mediante la utilización de la numeración que se atribuye en el apartado decimotercero, se requerirá una autorización general tipo D.

2. Los operadores que dispongan de un título habilitante válido para prestar el servicio telefónico disponible al público podrán proporcionar, a los abonados conectados directamente a sus redes de acceso, el servicio de consulta telefónica sobre números de abonado a través del código 1003.

Sexto. Suministro de información a los usuarios.

Los proveedores de los servicios de consulta telefónica sobre números de abonado deberán proporcionar a sus usuarios, al menos la información actualizada, relativa al conjunto del territorio nacional, sobre el contenido de las guías telefónicas incluidas en el ámbito del servicio universal de telecomunicaciones.

Séptimo. Principio de no-discriminación.

El servicio de consulta telefónica sobre números de abonado se prestará, en los términos previstos en la presente disposición, en condiciones no discriminatorias respecto de los números de abonado pertenecientes a:

Los distintos operadores del servicio telefónico disponible al público de cualquier ámbito territorial y;

Los distintos abonados de un mismo operador del servicio telefónico disponible al público.

Octavo. Accesos especiales y numeración de los titulares de autorizaciones generales tipo D.

1. Para la prestación del servicio de consulta telefónica sobre números de abonado, los titulares de redes públicas telefónicas que tengan la consideración de dominantes deberán atender las solicitudes técnicamente viables y debidamente justificadas, de los titulares de autorizaciones generales tipo D, de acceso especial a sus redes.

2. Los conflictos que se produzcan en relación con los acuerdos de accesos especiales entre titulares de autorizaciones generales tipo D y operadores de redes públicas telefónicas fijas se resolverán por la Comisión del Mercado de las Telecomunicaciones, de acuerdo con lo dispuesto en la normativa general sobre accesos especiales e interconexión.

3. Los titulares de autorizaciones generales tipo D tendrán derecho a obtener de la Comisión del Mercado de las Telecomunicaciones la asignación de recursos públicos de numeración pertenecientes al rango atribuido en el apartado decimotercero.

Noveno. Establecimiento de precios, facturación y cobro de las llamadas dirigidas al servicio de consulta telefónica sobre números de abonado prestado por entidades titulares de autorizaciones generales tipo D.

1. El contrato para el acceso al servicio de consulta telefónica sobre números de abonado prestado por entidades titulares de autorizaciones generales tipo D se entenderá perfeccionado por la aceptación por éstos de las llamadas de los usuarios y la consiguiente prestación del servicio.

2. Los proveedores del servicio al que se refiere el punto 1 de este apartado fijarán libremente los precios que se vayan a cobrar a los abonados de los operadores del servicio telefónico disponible al público con los que tengan acuerdos de acceso especial a sus redes, en función de las posibilidades técnicas de éstos. Estos precios se comunicarán, con diez días de antelación a su aplicación efectiva, al Consejo de Consumidores y Usuarios. Igualmente, se les dará publicidad para posibilitar que los usuarios tengan un conocimiento adecuado del precio del servicio.

3. Los operadores de redes públicas telefónicas que tengan la consideración de dominantes deberán incluir en las ofertas de acceso especial a sus redes, dirigidas a los proveedores del servicio al que se refiere el punto 1 de este apartado, un servicio de facturación y cobro de los precios que éstos hayan establecido para sus usuarios. El servicio de facturación y cobro dará derecho a una contraprestación económica que, para el caso de las redes públicas telefónicas fijas, se determinará en función de los costes derivados de su prestación. En todo caso, las facturas generadas indicarán el nombre y número telefónico del proveedor y el precio de su servicio.

4. Los proveedores del servicio al que se refiere el punto 1 de este apartado deberán proporcionar a sus usuarios la posibilidad de solicitar en línea una locución telefónica informativa sobre el precio del servicio.

Décimo. Derechos de obtención de los datos relativos a los abonados del servicio telefónico disponible al público.

Los titulares de autorizaciones generales tipo D y los operadores que presten el servicio de consulta telefónica sobre números de abonado mediante la utilización del número 1003, tendrán derecho a obtener de la Comisión del Mercado de las Telecomunicaciones, en los términos previstos en el capítulo y de esta Orden, los datos actualizados para la prestación de dicho servicio.

Undécimo. Prestación de facilidades que aporten un mayor valor añadido al servicio.

El servicio de consulta telefónica sobre números de abonado podrá incorporar facilidades que aporten un mayor valor añadido al servicio. No obstante, cuando se preste el servicio de terminación de llamadas, entendida ésta como la conexión telefónica entre los extremos llamante y llamado, el proveedor deberá estar en posesión del correspondiente título habilitante para la prestación del servicio telefónico disponible al público, debiendo garantizar que la información sobre identificación de línea llamante transite de forma transparente de extremo a extremo.

CAPÍTULO IV. ATRIBUCIÓN DE RECURSOS PÚBLICOS DE NUMERACIÓN AL SERVICIO DE CONSULTA TELEFÓNICA SOBRE NÚMEROS DE ABONADO Y ESTABLECIMIENTO DE LAS CONDICIONES PARTICULARES PARA LA PRESTACIÓN DEL SERVICIO.

Duodécimo. Atribución del código 1003.

1. Se atribuye el código 1003 al servicio de consulta telefónica sobre números de abonado de la red pública telefónica. Esta atribución tendrá validez durante el plazo de un año desde la fecha de entrada en vigor de esta Orden. Transcurrido este plazo, dicho código quedará liberado y disponible para su utilización según lo previsto en el Plan Nacional de Numeración para los Servicios de Telecomunicaciones o sus disposiciones de desarrollo.

2. El código 1003 podrá utilizarse para acceder al servicio de consulta telefónica sobre números de abonado ofrecido por el operador que provea el acceso a la red pública telefónica, que opcionalmente podrá proporcionar, además, información adicional en los términos establecidos en el punto 2 del apartado cuarto.

3. El servicio de consulta telefónica sobre los números de abonado de la red pública telefónica proporcionado por el operador designado para la prestación del servicio universal de telecomunicaciones será puesto a disposición de todos los operadores que provean el acceso a la red pública telefónica.

4. En cualquier caso, todos los usuarios del servicio telefónico fijo disponible al público podrán acceder al servicio de consulta proporcionado por el operador designado para la prestación del servicio universal.

Decimotercero. Atribución del código 118.

1. Se atribuye el código 118, coincidente con las tres primeras cifras del número nacional NXY ABMCDU, al servicio de consulta telefónica sobre números de abonado de la red pública telefónica.

2. El código 118 irá seguido de dos cifras. Los formatos resultantes y su utilización serán los siguientes:

Numeración Valores AB Utilización

118 AB AB = 10, …, 89 Proveedores en competencia.

118 0B

118 9B B = 0, …, 9 Reserva

3. Los recursos públicos de numeración determinados por los valores de las cifras AB comprendidos entre 10 y 89, ambos incluidos, se asignarán a las entidades titulares de autorizaciones generales tipo D.

4. Los recursos públicos de numeración determinados por los valores de las cifras AB comprendidos entre 00 y 09 y entre 90 y 99, podrá ser objeto de atribución posterior en función de las necesidades detectadas.

5. Los números pertenecientes al rango atribuido en este apartado serán accesibles desde las redes públicas telefónicas fijas cuyos operadores tengan la consideración de dominantes. Igualmente, podrán ser accesibles desde las redes de otros operadores del servicio telefónico disponible al público.

CAPÍTULO V. DATOS A FACILITAR POR LOS OPERADORES A LA COMISIÓN DEL MERCADO DE LAS TELECOMUNICACIONES Y DATOS A SUMINISTRAR POR ÉSTA.

Decimocuarto. Datos a facilitar por los operadores a la Comisión del Mercado de las Telecomunicaciones.

1. Los operadores que presten el servicio telefónico disponible al público facilitarán a la Comisión del Mercado de las Telecomunicaciones, en los plazos y en el soporte informático que ésta acuerde, los siguientes datos de todos sus abonados:

Nombre y apellidos, o razón social;

Número(s) de abonado(s);

Dirección postal del domicilio;

Terminal específico que deseen declarar, en su caso.

2. No obstante, adicionalmente a lo dispuesto en el punto anterior, los operadores que presten el servicio telefónico disponible al público también facilitarán a la Comisión del Mercado de las Telecomunicaciones otros datos que obrán en su poder de los abonados siempre que éstos hayan dado su consentimiento inequívoco. A estos efectos, se entenderá que existe consentimiento inequívoco de un abonado cuando éste se dirija al operador por escrito solicitándole que amplíe sus datos que figuran en la guía o servicios de directorio. También se producirá cuando el operador solicite al abonado su consentimiento y éste le responda fehacientemente en el plazo de un mes dando su aceptación. La Comisión del Mercado de las Telecomunicaciones podrá delimitar, razonadamente, el suministro de información adicional a la que se enumera en el punto 1 de este apartado.

3. Además, los operadores comunicarán a la Comisión del Mercado de las Telecomunicaciones los abonados del servicio telefónico móvil disponible al público y los abonados de los servicios de inteligencia de red que hayan manifestado expresamente su deseo de figurarán las guías telefónicas o en los servicios de directorio.

4. Los operadores que presten el servicio telefónico disponible al público entregarán a la Comisión del Mercado de las Telecomunicaciones, al menos con una periodicidad mensual, la información actualizada a la que se refieren los puntos 1, 2 y 3 de este apartado, con indicación detallada de los datos sobre los que, según lo dispuesto en el apartado tercero, no se pueda informar.

5. En todo caso, y sin perjuicio de lo dispuesto en los puntos anteriores de este apartado, los operadores y proveedores de los servicios de telecomunicaciones podrán suministrar directamente a los proveedores del servicio de consulta telefónica sobre números de abonado los datos sobre los que se pueda facilitar información al público, a los que se refiere el apartado tercero de esta Orden. Estos datos se proporcionarán igualmente a la Comisión del Mercado de las Telecomunicaciones, cuando ésta así lo acuerde por motivos de utilidad pública y salvaguarda de los principios de competencia efectiva, para facilitarlos a los proveedores del servicio de consulta telefónica sobre números de abonado.

Decimoquinto. Datos a suministrar por la Comisión del Mercado de las Telecomunicaciones.

1. La Comisión del Mercado de las Telecomunicaciones, previa petición, facilitará a las entidades que estén habilitadas para prestar el servicio de consulta telefónica sobre números de abonado la información actualizada que puedan utilizar en sus bases de datos, a la que se refiere el apartado tercero. Igualmente, facilitará a las entidades que elaboren guías telefónicas que incluyan, al menos, los datos contenidos en la guía comprendida en el ámbito del servicio universal de telecomunicaciones, la información que pueda figurar en éstas.

2. La Comisión del Mercado de las Telecomunicaciones, previa petición, facilitará a las entidades que presten servicios de llamadas de urgencia a través del número 112, y a otras entidades que determine la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información por prestar servicios de llamadas de urgencia a través de números cortos, la información actualizada a la que se refiere el punto 1 del apartado decimocuarto, con el formato que se acuerde entre las partes. Los datos obtenidos serán utilizados exclusivamente como soporte para una efectiva prestación de los servicios de atención de llamadas de urgencia, siendo responsabilidad de la entidad prestataria el adecuado uso de los mismos, que estará sometido a la legislación vigente sobre protección de datos de carácter personal.

3. El suministro gratuito de los datos a los interesados implicará exclusivamente la puesta a disposición gratuita de los mismos a favor de los receptores en las dependencias de la Comisión del Mercado de las Telecomunicaciones, siendo todos los demás costes a cargo de las entidades receptoras.

4. Los ficheros que se creen en relación con la prestación del servicio de consulta telefónica sobre números de abonado, o con la elaboración de las guías telefónicas, deberán ajustarse expresamente a lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y, particularmente, al derecho de información contenido en su artículo 5.

DISPOSICIÓN ADICIONAL PRIMERA. Datos que deben figurar en la guía telefónica incluida en el ámbito del servicio universal de telecomunicaciones, a la que se refiere la Orden de 21 de diciembre de 2001, del Ministerio de Ciencia y Tecnología, por la que se regulan diversos aspectos del servicio universal de telecomunicaciones.

1. Sin perjuicio de lo previsto en el punto 3 del apartado tercero de la presente Orden, los datos sobre abonados que deberán figurar en la guía telefónica incluida en el ámbito del servicio universal de telecomunicaciones son los siguientes:

Nombre y apellidos, o razón social;

Números) de abonado(s);

Dirección postal del domicilio, exceptuando piso, letra y escalera;

Terminal específico que deseen declarar, en su caso.

2. Los datos estarán relacionados por orden alfabético del primer apellido o razón social. Después del primer apellido se reflejará completo el segundo, seguido tras una coma, del nombre propio o de sus iniciales. Asociado a cada número figurará además la dirección del abonado, sin especificación de piso o letra y, en su caso, un identificador del tipo de terminal (teléfono normal, fax, RDSI, videoconferencia, telefonía móvil, telefonía de texto para sordos, etc.) que el abonado haya manifestado fehacientemente su deseo de que figure. Asimismo, los abonados podrán exigir, a través de sus operadores, que se omita de su dirección el número del portal, así como que se indique que sus datos no pueden utilizarse para fines de venta directa.

DISPOSICIÓN ADICIONAL SEGUNDA. Modificación de la Orden de Autorizaciones Generales.

Se introducen las siguientes enmiendas en la Orden de 22 de septiembre de 1998, del Ministerio de Fomento, por la que se establecen el régimen aplicable a las autorizaciones generales para servicios y redes de telecomunicaciones y las condiciones que deben cumplirse por sus titulares:

El párrafo segundo del artículo 2 adopta la siguiente redacción:

Las autorizaciones generales no otorgarán el derecho a la ocupación del dominio público o de la propiedad privada ni el de obtener asignaciones de recursos del espacio público de numeración, salvo en los casos en los que este último derecho se reconozca expresamente en las órdenes ministeriales que regulen cada servicio, o en los Planes Nacionales de Numeración o sus disposiciones de desarrollo.

Se añade el siguiente nuevo punto, que pasa a numerarse como 4, en el artículo 3:

4. Autorizaciones generales de tipo D:

Habilitan para la prestación del servicio de consulta telefónica sobre números de abonado, en los términos que establezca su normativa específica. Se considerará que los títulos habilitantes para la prestación del servicio telefónico disponible al público incluyen una autorización general tipo D.

Se añade el siguiente nuevo punto, que pasa a numerarse como 4, en el artículo 11:

4. Autorizaciones generales de tipo D:

Las condiciones aplicables a las autorizaciones generales de tipo D serán las que dispone la Orden del Ministerio de Ciencia y Tecnología por la que se establecen las condiciones de prestación del servicio de consulta telefónica sobre números de abonado.

DISPOSICIÓN TRANSITORIA PRIMERA. Datos del operador designado para la prestación del servicio universal de telecomunicaciones.

En el plazo de dos meses desde la fecha de entrada en vigor de esta Orden, y hasta que la Comisión del Mercado de las Telecomunicaciones ponga a disposición de las entidades habilitadas la información sobre números de abonado de todos los operadores, el operador designado para la prestación del servicio universal de telecomunicaciones facilitará a dicha Comisión, al menos con una periodicidad mensual, la información actualizada de sus abonados a la que se refiere el apartado decimocuarto, para que ésta los pueda poner a disposición de los interesados en los términos del apartado decimoquinto.

DISPOSICIÓN TRANSITORIA SEGUNDA. Números cortos distintos de los previstos en esta Orden.

Transcurrido un año desde la fecha de entrada en vigor de la presente Orden no se podrán utilizar, para la prestación del servicio de consulta telefónica sobre números de abonado, números cortos asignados distintos de los previstos en ella.

DISPOSICIÓN FINAL PRIMERA. Título competencial.

La presente Orden se dicta al amparo de la competencia exclusiva estatal en materia de telecomunicaciones, prevista por el artículo 149.1.21 de la Constitución.

DISPOSICIÓN FINAL SEGUNDA. Entrada en vigor.

Esta Orden entrará en vigor el día siguiente al de su publicación en el Boletín Oficial del Estado.

Madrid, 26 de marzo de 2002.

Birulés i Bertran.

Excmo. Sr. Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información e Ilmo. Sr. Director general de Telecomunicaciones y Tecnologías de la Información.

Lima, 16 de agosto de 2005

CONSIDERANDO:

Que, mediante Resolución Ministerial nº 181-2003-PCM se creó la Comisión Multisectorial para el Desarrollo de la Sociedad de la Información – CODESI, estableciendo en su artículo 2, que ésta tiene como objeto
elaborar un Plan para el Desarrollo de la Sociedad de la Información, las acciones necesarias a ejecutar para su desarrollo y los proyectos de normas y los dispositivos que coadyuven al adecuado desarrollo,
implementación y promoción de la Sociedad de la Información en el Perú;

Que, mediante Resolución Ministerial nº 148-2005-PCM se da por concluido el encargo conferido a la Comisión Multisectorial para el Desarrollo de la Sociedad de la Información – CODESI, creada por la Resolución Ministerial nº 181-2003-PCM, y se dispuso la publicación del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”;

Que, en el “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, se establece como factor crítico de éxito, al factor institucional, en virtud al cual, es necesario garantizar la
ejecución, el monitoreo, la evaluación y la actualización del referido Plan, para lo cual es precisa la asignación clara de responsabilidades a cargo de la Presidencia del Consejo de Ministros y el mantenimiento de una
coordinación entre el sector público, el privado, el académico y la sociedad civil;

Que, mediante Memorándum nº 318-2005-PCM/SGP.ONGEI la Oficina Nacional de Gobierno Electrónico e Informática – ONGEI ha propuesto la constitución de una Comisión Multisectorial para el seguimiento y evaluación del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”;

De conformidad con lo dispuesto por el Decreto Legislativo nº 560 – Ley del Poder Ejecutivo, el Decreto Ley nº 21292, Ley nº 27594 y los Decretos Supremos nºs. 066 y 067-2003-PCM;

SE RESUELVE:

Artículo 1º.- Constitúyase la Comisión Multisectorial para el seguimiento y evaluación del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, a fin de lograr el cumplimiento eficaz de sus objetivos, resultados y metas, en los plazos señalados en dicho Plan.

Artículo 2º.- La Comisión Multisectorial estará conformada por los siguientes miembros:

a) El Secretario de Gestión Pública, quien la presidirá;
b) El Jefe de la Oficina Nacional de Gobierno Electrónico e Informática;
c) Un representante del Ministerio de Economía y Finanzas;
d) Un representante del Ministerio de Educación;
e) Un representante del Ministerio de Transportes y Comunicaciones;
f) Un representante del Consejo Nacional de Descentralización;
g) Un representante del Consejo Nacional de Ciencia y Tecnología – CONCYTEC;
h) Un representante del Organismo Supervisor de la Inversión Privada en Telecomunicaciones – OSIPTEL;
i) Un representante del Instituto Nacional de Estadística e Informática – INEI;
j) Un representante del Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual -INDECOPI; y,
k) Un representante de la Asamblea Nacional de Rectores – ANr.

Los representantes ante la Comisión Multisectorial serán designados mediante Resolución del Titular de la entidad correspondiente, en el plazo de diez (10) días hábiles, contados a partir de la fecha de publicación de la presente Resolución Ministerial. (1)

Artículo 3º.- La Secretaría Técnica de la Comisión será ejercida por el Jefe de la Oficina Nacional de Gobierno Electrónico e Informática – ONGEI de la Presidencia del Consejo de Ministros.

Artículo 4º.- Los objetivos de la Comisión Multisectorial para el seguimiento y evaluación del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, son:

a) Efectuar las acciones tendientes a lograr la implementación de las acciones contenidas en el “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, para alcanzar los objetivos estratégicos establecidos en dicho Plan.

b) Realizar las coordinaciones necesarias para que se incorporen las acciones propuestas, en los planes operativos y planes estratégicos de sus respectivos Ministerios y entidades públicas, los que contendrán indicadores y metas que permitan evaluar el logro de los resultados esperados del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”.

c) Ejercer la labor de seguimiento y monitoreo de la implementación del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”.

d) Proponer la reorientación de las acciones en los casos en los cuales durante la implementación del Plan ocurran situaciones no previstas con anterioridad.

e) Elaborar un informe anual de los avances del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, a nivel regional, sectorial y nacional. (2)

Artículo 5º.- La instalación de la Comisión Multisectorial se realizará en la fecha convocada por su Presidente, lo que deberá ocurrir dentro de los quince (15) días hábiles posteriores a la fecha de publicación de la
presente Resolución Ministerial.

Artículo 6º.- Para la realización del monitoreo, seguimiento e implementación del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, la Comisión Multisectorial coordinará
con los Gobiernos Regionales, Locales y demás instituciones del Sector Público nacional, la incorporación de las metas y objetivos del referido Plan, en sus respectivos presupuestos y planes operativos institucionales, y la implementación de los medios y acciones pertinentes destinados a desarrollar la construcción de la Sociedad de la Información en el ámbito de sus competencias, en forma coordinada con otras instituciones, evitando
duplicidad de gastos en recursos estatales.

Asimismo, dicha Comisión podrá buscar y coordinar la cooperación internacional que permita apoyar la ejecución del Plan en sus diversos campos, y el apoyo financiero por parte de las organizaciones no gubernamentales que participan en el Plan.

Artículo 7º.- La Comisión Multisectorial se reunirá al menos una vez al mes de manera ordinaria y de manera extraordinaria cuando así lo solicite su Presidente.

Artículo 8º.– La Comisión Multisectorial podrá invitar a participar en sus reuniones a las instituciones de la sociedad civil que participaron en la elaboración del “Plan de Desarrollo de la Sociedad de la Información en
el Perú – La Agenda Digital Peruana”, y a otras instituciones o personas del Sector Público, del Sector Privado o de la sociedad civil que estime pertinente. (3)

Artículo 9º.- Excepcionalmente, cuando el caso lo requiera, la Comisión podrá solicitar a otros organismos, instituciones, gremios y entidades en general, públicas o privadas, y a especialistas, el asesoramiento, información y apoyo necesarios para articular las acciones que
se necesiten para el cumplimiento de su objeto,
sin implicar gasto al Estado. (4)

Regístrese, comuníquese y publíquese.

CARLOS FERRERO, Presidente del Consejo de Ministros

————————————————————————————————-

(1) Artículo modificado por el Artículo Único de la Resolución Ministerial nº 381-2005-PCM, publicada el 27 Octubre 2005, cuyo texto es el siguiente:

“Artículo 2.- La Comisión Multisectorial estará conformada por los siguientes miembros:

a) El Secretario de Gestión Pública, quien la presidirá;
b) El Jefe de la Oficina Nacional de Gobierno Electrónico e Informática;
c) Un representante del Ministerio de Economía y Finanzas;
d) Un representante del Ministerio de Educación;
e) Un representante del Ministerio de Transportes y Comunicaciones;
f) Un representante del Consejo Nacional de Descentralización;
g) Un representante del Consejo Nacional de Ciencia, Tecnología e Innovación Tecnológica – CONCYTEC;
h) Un representante del Organismo, Supervisor de la Inversión Privada en Telecomunicaciones – OSIPTEL;
i) Un representante del Instituto Nacional de Estadística e Informática – INEI;
j) Un representante del Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual -INDECOPI;
k) Un representante de la Asamblea Nacional de Rectores – ANR;

I) Un representante del Ministerio de Relaciones Exteriores; y,

II) Un representante del Instituto Nacional de Investigación y Capacitación de Telecomunicaciones – INICTEL.

Los representantes ante la Comisión Multisectorial serán designados mediante Resolución del Titular de la entidad correspondiente, en el plazo de diez (10) días hábiles, contados a partir de la fecha de
publicación de la presente Resolución Ministerial.”

(2) Artículo modificado por el Artículo Único de la Resolución Ministerial nº 381-2005-PCM, publicada el 27 Octubre 2005, cuyo texto es el siguiente:

” Artículo 4.- Los objetivos de la Comisión Multisectorial para el seguimiento y evaluación del “Plan de Desarrollo de la Sociedad de la Información – La Agenda Digital Peruana”, son:

a) Efectuar las acciones tendientes a lograr la implementación de las acciones contenidas en el “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, para alcanzar los objetivos estratégicos establecidos en dicho Plan;

b) Realizar las coordinaciones necesarias para que las acciones propuestas en el “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, se incorporen en los planes
operativos y planes estratégicos de los Ministerios y entidades públicas, los que contendrán indicadores y metas que permitan evaluar el logro de los resultados esperados del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”;

c) Ejercer la labor de seguimiento y monitoreo del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”;

d) Proponer la reorientación de las acciones en los casos en los cuales durante la implementación del Plan ocurran situaciones no previstas con anterioridad; y,

e) Elaborar un informe anual de los avances del Plan de Desarrollo de la Sociedad de la Información – La Agenda Digital Peruana, a nivel regional, sectorial y nacional, dicho informe debe ser presentado la última semana del mes de junio de cada año.”

(3) Artículo modificado por el Artículo Único de la Resolución Ministerial nº 381-2005-PCM, publicada el 27 Octubre 2005, cuyo texto es el siguiente:

” Artículo 8.- Para el cumplimiento de sus objetivos, la Comisión Multisectorial invitará a las instituciones del sector privado y de la sociedad civil que participaron en la elaboración del “Plan de Desarrollo de la Sociedad de la Información en el Perú – La Agenda Digital Peruana”, así como a otras instituciones o personas representativas de la sociedad civil.”

(4) Artículo modificado por el Artículo Único de la Resolución Ministerial nº 381-2005-PCM, publicada el 27 Octubre 2005, cuyo texto es el siguiente:

” Artículo 9.- La Comisión solicitará a otras instituciones, gremios, entidades y especialistas, sean del sector público o privado, el asesoramiento, información y apoyo necesarios para articular las acciones que se necesiten para el cumplimiento de sus objetivos.”

Dictamen 99/5, sobre el nivel de protección de los datos personales en Suiza, adoptado  el 7 de junio  de 1999 por el Grupo de trabajo de protección de las personas con respecto al tratamiento de datos de carácter personal  (DG XV D 5054/99/final WP 22).

WP 22 Grupo de trabajo sobre la protección de las personas por lo que respecta al tratamiento de datos personales

Dictamen 5/99 sobre el nivel de protección de los datos personales en Suiza.

Adoptado el 7 de junio de 1999

Se informó al Grupo(1) de la preparación por parte de la Comisión Europea de un proyecto de decisión basado en el apartado 6 del artículo 25 de la Directiva 95/46/CE, en el que se constata que Suiza, a resultas de su legislación interna, garantiza un nivel de protección adecuado, según lo dispuesto en el apartado 2 del artículo 25 de dicha Directiva.

Con vistas a emitir un dictamen para la Comisión Europea, asistida por el Comité creado por el artículo 31 de la Directiva 95/46/CE, el Grupo ha procedido a efectuar un análisis de las disposiciones sobre protección de datos aplicables en Suiza(2) .

A este respecto, debe establecerse una distinción entre la situación legislativa existente a escala federal (reglamentada por la ley sobre protección de datos de 19 de junio de 1992, modificada y completada posteriormente por la resolución del Consejo federal de 14 de junio de 1993) y la situación existente en cada uno de los cantones.

Habida cuenta de la distribución de competencias entre la Confederación y los cantones, la ley federal se aplica a los tratamientos de datos personales efectuados en el conjunto del sector privado suizo, así como a los tratamientos efectuados por las entidades públicas federales; por su parte, las disposiciones cantonales regulan los tratamientos de datos personales efectuados por el sector público cantonal o municipal. Son competencia de los cantones, por ejemplo, los tratamientos efectuados en los sectores de policía, educación y sanidad, y en concreto los hospitales públicos.

Para ser precisos, hay que especificar que los cantones tienen también que efectuar algunos tratamientos de datos personales en cumplimiento del derecho federal, por ejemplo para la percepción de impuestos federales.

Antes de examinar las normas legislativas federales y cantonales, es necesario tener en cuenta de antemano que las normas federales y cantonales deberían ajustarse a las normas que resultan:

– por una parte, del Convenio del Consejo de Europa para la protección de las personas respecto al tratamiento automatizado de los datos personales (Convenio nº 108), convenio ratificado por Suiza el 2 de octubre 1997 y que, sin ser directamente aplicable, establece compromisos internacionales tanto para la federación como para los cantones;

– por otra parte, de la Constitución federal (modificada por votación popular el pasado 18 de abril), tal como la interpreta la jurisprudencia del Tribunal federal. Se debe destacar que el nuevo texto constitucional concede a cualquier persona el derecho al respeto de su intimidad y, en particular, el derecho a protegerse contra el empleo abusivo de datos que le conciernan (artículo 13 relativo a la protección de la esfera privada).

(1) Creado por el artículo 29 de la Directiva 95/46/CE del Parlamento europeo y del Consejo de 24 octubre 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, DO L 281, 23 de noviembre de 1995, p. 31.Puede consultarse en: http://www.europa.eu.int/comm/dg15/fr/media/dataprot/index.htm.

(2) Para tener información más precisa sobre determinados puntos, el Presidente del Grupo escribió una carta al Representante federal para la protección de los datos con fecha de 15 de marzo de 1999. Éste respondió el 24 de marzo de 1999. Por otra parte, la Secretaría del Grupo ha mantenido diversos contactos con el Representante federal.

1. En opinión del Grupo, la ley federal sobre protección de datos garantiza un nivel de protección adecuado.

En su documento de trabajo adoptado el 24 de julio de 1998 relativo a las transferencias de datos personales hacia terceros países(3), el Grupo explicó las exigencias de la Directiva y enumeró los elementos concretos que deberían tenerse en cuenta para la evaluación del nivel de protección adecuado. A la vista de un cuadro de correspondencias entre las exigencias de la Directiva y las disposiciones de la ley federal4, resulta que la ley federal, que se aplica a los tratamientos automatizados de datos y a los tratamientos manuales, prevé el conjunto de principios enumerados en el documento de trabajo antes citado, tanto por lo que respecta a los principios de protección de las personas como a los mecanismos encaminados a garantizar una aplicación efectiva de los principios básicos.

Deben hacerse no obstante precisiones acerca del principio de transparencia y de la protección de datos sensibles.

Téngase en cuenta que el principio de transparencia está previsto, de forma explícita, para el caso particular de recogida sistemática de datos por un organismo federal. Sin embargo este principio se deriva, generalmente, del principio de buena fe del párrafo 2 del artículo 4 de la ley.5

La ley no prevé en absoluto la prohibición del tratamiento de los datos sensibles, sino que inserta disposiciones específicas para su tratamiento, así como para los perfiles personales, sujetos a las mismas normas de protección: el artículo 17 dispone que estos datos sólo pueden ser tratados por organismos federales si una ley lo prevé expresamente o si, en circunstancias excepcionales, una tarea definida en una ley lo exige absolutamente, si el Consejo federal lo ha autorizado, o si la persona interesada ha dado su consentimiento o ha hecho los datos accesibles para todo el mundo. Por lo que se refiere al sector privado, el apartado 1 del artículo 13 supedita el tratamiento de cualquier dato al consentimiento de la persona, a un interés público o privado preponderante o a una autorización legal; el artículo 12 prohíbe la comunicación a terceros de datos sensibles, de no existir motivos que lo justifiquen. Finalmente, la protección de los datos sensibles se ve reforzada por el artículo 35 de la ley, que prevé sanciones penales contra toda persona que viole el deber de discreción revelando tales datos de manera ilícita.

(3) Disponible en la dirección indicada en la nota nº1.

(4) Documento 5007/99, disponible en los servicios de la Comisión Europea, Dirección General XV “Mercado interior y servicios financieros”, Unidad E1 “Libre circulación de la información, protección de datos”, Rue de la Loi 200, B – 1049 Bruselas.

(5) Esta interpretación la confirmó el Representante federal en sus contactos informales con los servicios de la Comisión.

2. La situación en los cantones es más difícil de evaluar. (6) Los elementos de valoración siguientes aparecen no obstante a la luz del estudio hecho a petición de los servicios de la Comisión(7) que se refiere más concretamente a la legislación de varios cantones e indicaciones proporcionadas por el funcionario federal:

– las legislaciones adoptadas por los cantones se inspiran ampliamente en el Convenio 108, observación obviamente coherente con los compromisos de Suiza que resultan de su ratificación del Convenio;

– los tratamientos de datos personales deben responder, en particular, a los principios generales que se derivan de la jurisprudencia del Tribunal federal relativa al artículo 4 de la Constitución federal (igualdad de trato) y a la libertad personal que determina un tipo mínimo en cuanto a protección de los datos (sobre todo por lo que se refiere a los principios de calidad de los datos: legalidad, buena fe, finalidad, proporcionalidad o exactitud) o el derecho de acceso, rectificación o destrucción. Esta jurisprudencia debería confirmarse, o incluso probablemente reforzarse, sobre la base del nuevo texto constitucional antes citado;

– cuando no está sujeto a disposiciones cantonales de protección de datos, el tratamiento de datos personales por organismos cantonales efectuados en cumplimiento del derecho federal está reglamentado por la ley federal. Además, para estos tratamientos los cantones deben contar con un organismo encargado de velar por el respeto de la protección de los datos y que goce de las mismas competencias que el Representante federal. Tal es el caso, en particular, del tratamiento de datos de seguridad social y de los tratamientos de datos en los ámbitos del derecho de extranjería o del derecho de asilo, impuestos federales o estadística;

– algunos tratamientos de datos deben obedecer a normas específicas de confidencialidad, como por ejemplo el tratamiento de datos médicos en hospitales públicos, sometido a secreto médico. En conclusión, el Grupo recomienda a la Comisión y al Comité establecido por el artículo 31 de la Directiva 95/46/EC constatar que Suiza garantiza un nivel de protección adecuado según lo dispuesto en el apartado 6 del artículo 25 de esta Directiva.

-17 disponen de legislación propia en cuanto a protección de los datos (…); tres de ellos, por otra parte, introducen una disposición de protección de los datos en su constitución cantonal;

– 4 han adoptado directivas gubernamentales; dos también han introducido una disposición en su constitución cantonal y uno de ellos tiene un proyecto de ley;

– los demás cantones no tienen normativa cantonal específica (tres de ellos están desarrollando un proyecto de ley).

(6)De los 26 Cantones con que cuenta la Confederación:

(7) Disponible en los servicios de la Comisión Europea. Véase arriba la dirección en nota 4.

Hecho en Bruselas el 7 de junio de 1999

Por el Grupo

Peter HUSTINX

Presidente

Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz – SächsDSG) Vom 25. August 2003 (SächsGVBl. S. 330).(1) Zuletzt geändert durch Gesetz vom 14. Juli 2011 (SächsGVBl. S. 270)

Der Sächsische Landtag hat am 10.Juli 2003 das folgende Gesetz beschlossen:

Abschnitt 1: Allgemeine Vorschriften

§　1      Zweck des Gesetzes

Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er im Freistaat Sachsen durch Behörden und sonstige öffentliche Stellen bei der Verarbeitung personenbezogener Daten in seinem Recht auf informationelle Selbstbestimmung beeinträchtigt wird.

§　2　Anwendungsbereich

(1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch Behörden und sonstige öffentliche Stellen des Freistaates Sachsen, der Gemeinden und Landkreise sowie der sonstigen der Aufsicht des Freistaates Sachsen unterstehenden juristischen Personen des öffentlichen Rechts (öffentliche Stellen). Nehmen nicht-öffentliche Stellen hoheitliche Aufgaben der öffentlichen Verwaltung wahr, sind sie insoweit öffentliche Stellen im Sinne dieses Gesetzes.

(2) Als öffentliche Stellen gelten auch juristische Personen und sonstige Vereinigungen des privaten Rechts, an denen eine oder mehrere der in Absatz 1 genannten juristischen Personen des öffentlichen Rechts mit absoluter Mehrheit der Anteile oder absoluter Mehrheit der Stimmen beteiligt sind. Beteiligt sich eine juristische Person oder sonstige Vereinigung des privaten Rechts, die nach Satz 1 als öffentliche Stelle gilt, an einer weiteren Vereinigung des privaten Rechts, so findet Satz 1 entsprechende Anwendung.

(3) Für den Sachsen-Finanzverband, die Sachsen-Finanzgruppe, die Sparkassen, für andere öffentlich-rechtliche Unternehmen mit eigener Rechtspersönlichkeit sowie für Stellen nach Absatz 2, die am Wettbewerb teilnehmen, gelten die Vorschriften des Bundesdatenschutzgesetzes (BDSG) in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), in der jeweils geltenden Fassung, mit Ausnahme des zweiten Abschnittes.

(4) Soweit besondere Rechtsvorschriften des Freistaates Sachsen oder des Bundes den Schutz personenbezogener Daten regeln, gehen sie den Vorschriften dieses Gesetzes vor.

§　3　Begriffsbestimmungen

(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).

(2) Verarbeiten ist das Erheben, Speichern, Verändern, Anonymisieren, Übermitteln, Nutzen, Sperren und Löschen personenbezogener Daten. Im Einzelnen ist, ungeachtet der dabei angewendeten Verfahren:

(3) Datenverarbeitende Stelle ist jede Stelle, die personenbezogene Daten für sich selbst verarbeitet oder durch andere im Auftrag verarbeiten lässt.

(4) Dritter ist jede Person oder Stelle außerhalb der Daten verarbeitenden Stelle, ausgenommen der Betroffene.

(5) Eine automatisierte Verarbeitung personenbezogener Daten liegt vor, wenn diese durch Einsatz eines elektronischen Datenverarbeitungssystems programmgesteuert durchgeführt wird.

(6) Eine Akte ist jeder amtlichen oder dienstlichen Zwecken dienende Träger personenbezogener Daten einschließlich Bild- und Tonträgern, soweit sie nicht im Sinne von Absatz 5 automatisiert verarbeitet werden.

(7) Soweit andere landesrechtliche Vorschriften den Dateibegriff im Zusammenhang mit der Verarbeitung personenbezogener Daten verwenden und nichts anderes bestimmen, ist eine Datei

(1) Die Verarbeitung personenbezogener Daten ist nur zulässig,

(2) Die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von Daten über Gesundheit oder Sexualleben, ist nur zulässig, wenn

(3) Wer die Einwilligung des Betroffenen einholt, hat ihn zuvor in geeigneter Weise über die beabsichtigte Datenverarbeitung und ihren Zweck sowie die Empfänger vorgesehener Übermittlungen aufzuklären. Dabei ist er unter Darlegung der Rechtsfolgen darauf hinzuweisen, dass die Einwilligung verweigert und mit Wirkung für die Zukunft widerrufen werden kann, sofern dem Widerruf keine Rechtsgründe entgegenstehen.

(4) Die Einwilligung und die Hinweise bedürfen der Schriftform, soweit nicht im Einzelfall wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist die Einwilligungserklärung im äußeren Erscheinungsbild der Erklärung hervorzuheben.

(5) Das Erfordernis der Schriftform für die Einwilligung nach Absatz　4 kann durch die mit einer qualifizierten elektronischen Signatur verbundene elektronische Form ersetzt werden. Die Signatur mit einem Pseudonym ersetzt nicht die Schriftform.

§　5　Rechte des Betroffenen

(1) Der Betroffene hat nach Maßgabe dieses Gesetzes ein Recht auf

(2) Die in Absatz 1 genannten Rechte können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden.

(3) Sind an einer Verarbeitung der Daten des Betroffenen mehrere Stellen beteiligt, kann er sich an jede dieser Stellen wenden. Diese ist verpflichtet, das Vorbringen des Betroffenen an die Stelle weiterzuleiten, die seinem Begehren Rechnung tragen kann. Der Betroffene ist über die Weiterleitung zu unterrichten.

§　6　Datengeheimnis

(1) Den für eine öffentliche Stelle tätigen Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.

(2) Die in Absatz 1 Satz 1 genannten Personen sind bei der Aufnahme ihrer Tätigkeit über ihre Pflichten nach Absatz 1 sowie die sonstigen bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten und auf deren Einhaltung schriftlich zu verpflichten

§　7　Datenverarbeitung im Auftrag, Datenschutz bei Wartungsarbeiten

(1) Eine öffentliche Stelle kann, soweit gesetzlich nichts anderes bestimmt ist, einen anderen mit der Verarbeitung personenbezogener Daten beauftragen (Datenverarbeitung im Auftrag). Für die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz ist der Auftraggeber verantwortlich.

(2) Der Auftraggeber hat den Auftragnehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen personellen, technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei Gegenstand und Umfang der Datenverarbeitung, die notwendigen zusätzlichen personellen, technischen und organisatorischen Maßnahmen sowie etwaige Unterauftragsverhältnisse festzulegen sind. Der Auftraggeber ist verpflichtet, sich von der Einhaltung der getroffenen Festlegungen beim Auftragnehmer zu überzeugen. Der Auftraggeber hat dem Auftragnehmer die erforderlichen Weisungen zu erteilen. Die Datenverarbeitung ist nur im Rahmen des Auftrags und der Weisungen zulässig. Ist der Auftragnehmer der Ansicht, dass der Auftrag, eine einzelne Bestimmung des Auftrags oder eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.

(3) Ist der Auftragnehmer keine öffentliche Stelle im Sinne dieses Gesetzes, hat der Auftraggeber die für den Auftragnehmer zuständige Kontrollbehörde über die Beauftragung zu unterrichten.

(4) Die Beauftragung eines Auftragnehmers, der seinen Sitz außerhalb der Europäischen Union hat, ist nur zulässig, wenn eine Übermittlung an ihn nach § 17 Abs. 1 zulässig wäre. § 17 Abs. 4 gilt entsprechend.

(5) Die Absätze 1 bis 4 gelten für Wartungs- und Fernwartungsaufträge sowie ähnliche Maßnahmen (Wartungsarbeiten) entsprechend.

§　8　Automatisiertes Abrufverfahren

(1) Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung personenbezogener Daten an Dritte durch Abruf ermöglicht, ist zulässig, soweit dieses Verfahren unter Berücksichtigung der schutzwürdigen Interessen der Betroffenen und der Aufgaben der beteiligten Stellen angemessen ist.

(2) Die Zulässigkeit des einzelnen Abrufs beurteilt sich nach den für die Erhebung und Übermittlung geltenden Vorschriften. Die Verantwortung für die Zulässigkeit der Übermittlung im Einzelfall trägt die abrufende Stelle. Die Stelle, die die Daten für den Abruf bereithält, prüft die Zulässigkeit des Abrufes nur, wenn dazu Anlass besteht. Sie hat zu gewährleisten, dass die Zulässigkeit der Übermittlung personenbezogener Daten zumindest stichprobenweise überprüft werden kann.

(3) Die Stelle, die die Daten für den Abruf bereithält, führt das Verzeichnis nach § 10.

(4) Absatz 1 gilt nicht für Datenbestände, die der Allgemeinheit zur Benutzung offen stehen oder deren Veröffentlichung zulässig wäre.

§　9　Maßnahmen zur Gewährleistung des Datenschutzes

(1) Öffentliche Stellen, die personenbezogene Daten verarbeiten, haben alle angemessenen personellen, technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um eine den Vorschriften dieses Gesetzes entsprechende Datenverarbeitung zu gewährleisten. Die Grundsätze der Datenvermeidung und Datensparsamkeit sind zu beachten.

(2) Werden personenbezogene Daten verarbeitet, sind nach dem jeweiligen Stand der Technik Maßnahmen zu treffen, die geeignet sind zu gewährleisten, dass

(3) Die Staatsregierung wird ermächtigt, durch Rechtsverordnung die in den Absätzen 1 und 2 genannten Anforderungen und Maßnahmen nach dem jeweiligen Stand der Technik näher zu bestimmen und fortzuschreiben.

(4) Werden personenbezogene Daten in Akten verarbeitet, sind besondere Maßnahmen zu treffen, um zu verhindern, dass Unbefugte bei der Bearbeitung, der Aufbewahrung, dem Transport und der Vernichtung auf die Daten zugreifen können.

§　10　Verzeichnis automatisierter Verarbeitungsverfahren, Meldepflicht, Vorabkontrolle

(1) Jede Daten verarbeitende Stelle führt ein Verzeichnis der bei ihr eingesetzten automatisierten Verarbeitungsverfahren. In dem Verzeichnis sind schriftlich festzulegen:

(2) Die Gerichte führen Verzeichnisse nach Absatz　1 nur, soweit sie in Justizverwaltungsangelegenheiten tätig werden.

(3) Die Daten verarbeitenden Stellen sind verpflichtet, dem Sächsischen Datenschutzbeauftragten vor dem erstmaligen Einsatz eines automatisierten Verarbeitungsverfahrens das Verzeichnis im Sinne des Absatzes　1 zuzuleiten. Die Daten verarbeitende Stelle bringt das von ihr geführte Verzeichnis regelmäßig auf den neuesten Stand und leitet das aktualisierte Verzeichnis jährlich zum 1. März dem Sächsischen Datenschutzbeauftragten zu. Bei der Bestellung eines Datenschutzbeauftragten nach § 11 entfällt die Pflicht zur Zuleitung an den Sächsischen Datenschutzbeauftragten.

(4) Vor dem erstmaligen Einsatz oder der wesentlichen Änderung

ist durch den Sächsischen Datenschutzbeauftragten oder im Fall der Bestellung eines Datenschutzbeauftragten nach § 11 durch diesen zu prüfen, ob die Datenverarbeitung zulässig ist und die vorgesehenen Maßnahmen nach § 9ausreichend sind (Vorabkontrolle). Die Daten verarbeitende Stelle hat ihm dazu die erforderlichen Unterlagen zur Verfügung zu stellen. Die Stellungnahme soll innerhalb eines　Monats abgegeben werden. In den Fällen, in denen die Personalvertretung nach den Vorschriften des Sächsischen Personalvertretungsgesetzes (SächsPersVG) in der Fassung der Bekanntmachung vom 25. Juni 1999 (SächsGVBl. S. 430), zuletzt geändert durch Artikel 3 des Gesetzes vom 22. April 2005 (SächsGVBl.S. 121, 124), in der jeweils geltenden Fassung, zu unterrichten ist oder die der Mitwirkung oder Mitbestimmung der Personalvertretung unterliegen, ist die Stellungnahme der zuständigen Personalvertretung zuzuleiten. Entsprechendes gilt für die Unterrichtung oder Mitbestimmung des Betriebsrates nach dem Betriebsverfassungsgesetz in der Fassung der Bekanntmachung vom 25. September 2001 (BGBl. I S. 2518), zuletzt geändert durch Artikel 3 Abs. 3 des Gesetzes vom 14. August 2006 (BGBl. I S. 1897, 1907), in der jeweils geltenden Fassung. Der Datenschutzbeauftragte nach § 11 einer mit der Aufsicht betrauten öffentlichen Stelle hat, wenn ein Verfahren auch von nachgeordneten öffentlichen Stellen eingesetzt werden soll, das Ergebnis seiner Vorabkontrolle diesen sowie dem Sächsischen Datenschutzbeauftragten mitzuteilen.

(5) Die Absätze 1 bis 4 gelten nicht für Verfahren,

(1) Öffentliche Stellen im Sinne des § 2 Abs. 1 und 2 können einen Datenschutzbeauftragten sowie einen Vertreter, der ihn bei Abwesenheit vertritt, bestellen. Die Bestellung bedarf der Schriftform. Mehrere öffentliche Stellen können gemeinsam einen Datenschutzbeauftragten bestellen. Der Datenschutzbeauftragte muss nicht Beschäftigter einer öffentlichen Stelle im Sinne dieses Gesetzes sein.§ 25 Abs. 1 Satz 3 gilt entsprechend. Der Sächsische Datenschutzbeauftragte ist innerhalb eines Monats über die Bestellung zu unterrichten. Dabei sind der Name des Datenschutzbeauftragten sowie der　Tag seiner Bestellung mitzuteilen. Hierüber führt der Sächsische Datenschutzbeauftragte ein Register.

(2) Zum Datenschutzbeauftragten darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Sachkunde und Zuverlässigkeit besitzt und durch die Bestellung keinem Interessenkonflikt mit seinen sonstigen beruflichen Aufgaben ausgesetzt wird. Er ist bei der Erfüllung seiner Aufgaben dem Leiter der öffentlichen Stelle unmittelbar zu unterstellen und weisungsfrei. Er darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. Die öffentlichen Stellen haben den Datenschutzbeauftragten, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, zu unterstützen und ihn im erforderlichen Umfang von der Erfüllung seiner sonstigen dienstlichen Pflichten freizustellen.

(3) Der Datenschutzbeauftragte darf zur Aufgabenerfüllung Einsicht in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie deren Anwendungsvorschriften nehmen. Seine Kontrolle erstreckt sich auch auf personenbezogene Daten, die einem Berufs- oder besonderem Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen.§ 27 Abs. 2 gilt entsprechend.

(4) Der Datenschutzbeauftragte hat die Aufgabe, die öffentliche Stelle bei der Ausführung dieses Gesetzes sowie anderer Vorschriften über den Datenschutz zu unterstützen. Zu seinen Aufgaben gehört es insbesondere

(5) Der Datenschutzbeauftragte ist, auch nach Beendigung seiner Tätigkeit, zur Verschwiegenheit über die Identität Betroffener und Beschäftigter, die sich an ihn gewandt haben, sowie über Umstände, die Rückschlüsse auf diese Personen zulassen, verpflichtet; § 6 bleibt unberührt. Dies gilt nicht, soweit die Betroffenen oder Beschäftigten ihn von der Pflicht zur Verschwiegenheit entbunden haben.

Abschnitt 2: Rechtsgrundlagen der Datenverarbeitung

§　12　Erhebung

(1) Das Erheben personenbezogener Daten ist nur zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der erhebenden Stelle erforderlich ist.

(2) Personenbezogene Daten, die nicht allgemein zugänglich sind, sind beim Betroffenen mit seiner Kenntnis zu erheben. Dabei sind ihm zumindest Bezeichnung und Anschrift der erhebenden Stelle und gegebenenfalls des Auftragnehmers sowie der Erhebungszweck mitzuteilen. Werden die Daten auf Grund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, ist der Betroffene hierauf, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Über die Folgen der Verweigerung von Angaben ist der Betroffene aufzuklären.

(3) Personenbezogene Daten, die nicht allgemein zugänglich sind, dürfen beim Betroffenen ohne seine Kenntnis nur erhoben werden, wenn eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt.

(4) Bei Dritten dürfen personenbezogene Daten nur erhoben werden, wenn

(5) Werden personenbezogene Daten bei einem Dritten außerhalb des öffentlichen Bereiches erhoben, ist dieser auf Verlangen auf den Erhebungszweck hinzuweisen, soweit dadurch schutzwürdige Interessen des Betroffenen nicht beeinträchtigt werden. Werden die Daten auf Grund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, ist er auf die Auskunftspflicht, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Über die Folgen der Verweigerung von Angaben ist er aufzuklären.

(6) Werden personenbezogene Daten beim Betroffenen ohne seine Kenntnis oder bei Dritten erhoben, ist der Betroffene zu benachrichtigen. Dabei sind ihm zumindest Bezeichnung und Anschrift der erhebenden Stelle, die Rechtsgrundlage und der Erhebungszweck sowie bei einer beabsichtigten Übermittlung auch der Empfänger der Daten mitzuteilen. Die Mitteilung erfolgt zum Zeitpunkt der Speicherung oder im Fall einer beabsichtigten Übermittlung spätestens bei der ersten Übermittlung. Eine Pflicht zur Mitteilung besteht nicht, wenn

(7) Absatz 6 gilt für Gerichte nur, soweit sie in Justizverwaltungsangelegenheiten tätig werden.

§　13　Speicherung, Veränderung und Nutzung

(1) Das Speichern, Verändern und Nutzen personenbezogener Daten ist zulässig, wenn es

(2) Das Speichern, Verändern und Nutzen personenbezogener Daten für andere Zwecke ist nur zulässig, wenn

(3) Eine Speicherung oder Nutzung für andere Zwecke liegt nicht vor, wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung, der Durchführung von Organisationsuntersuchungen, der Prüfung und Wartung von automatisierten Verfahren der Datenverarbeitung sowie statistischen Zwecken der speichernden Stelle dient. Dies gilt auch für die Speicherung und Nutzung zu Ausbildungs- und Prüfungszwecken, soweit nicht überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen.

(4) Personenbezogene Daten, die ausschließlich zum Zwecke der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diesen Zweck und hiermit in Zusammenhang stehende Maßnahmen gegenüber Bediensteten genutzt werden.

(5) Sind mit personenbezogenen Daten, die nach den Absätzen 1 bis 3 gespeichert werden dürfen, weitere personenbezogene Daten des Betroffenen oder eines Dritten in Akten so verbunden, dass eine Trennung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, ist die Speicherung auch dieser Daten zulässig, soweit nicht schutzwürdige Interessen des Betroffenen oder eines Dritten an deren Geheimhaltung offensichtlich überwiegen. Unter denselben Voraussetzungen dürfen die für die Aufgabenerfüllung nicht erforderlichen Daten innerhalb der speichernden Stelle weitergegeben werden; eine darüber hinausgehende Nutzung dieser Daten ist unzulässig.

(6) Die Zusammenführung von Daten zu Persönlichkeitsprofilen ist unzulässig.

§　14　Übermittlung an öffentliche Stellen

(1) Die Übermittlung personenbezogener Daten an öffentliche Stellen im Sinne dieses Gesetzes, an öffentliche Stellen der anderen Länder, des Bundes, der Mitgliedstaaten der Europäischen Union sowie an Organe und Einrichtungen der Europäischen Union ist zulässig, wenn

(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf Ersuchen des Empfängers, trägt dieser die Verantwortung. In diesem Fall prüft die übermittelnde Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Empfängers liegt, es sei denn, dass besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht.

(3) Der Empfänger darf die übermittelten Daten nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihm übermittelt worden sind. Eine Verarbeitung für andere Zwecke ist nur unter den Voraussetzungen des § 13 Abs.　2 zulässig. Unterliegen die übermittelten Daten einem Berufs- oder besonderen Amtsgeheimnis, ist ihre Verarbeitung für andere Zwecke nur zulässig, wenn die zur Verschwiegenheit verpflichtete Person oder Stelle eingewilligt hat.

(4) Für die Übermittlung verbundener Daten gilt § 13 Abs. 5 entsprechend.

§　15　Übermittlung an öffentlich-rechtliche Religionsgesellschaften

Für die Übermittlung personenbezogener Daten an öffentlich-rechtliche Religionsgesellschaften gilt § 14 entsprechend, sofern für den Empfänger ausreichende Datenschutzregelungen gelten. Die Feststellung hierüber trifft das Staatsministerium für Kultus im Einvernehmen mit dem Sächsischen Datenschutzbeauftragten.

§　16　Übermittlung an nicht-öffentliche Stellen

(1) Die Übermittlung personenbezogener Daten an natürliche Personen oder nicht-öffentliche Stellen in den Mitgliedstaaten der Europäischen Union ist zulässig, wenn

(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.

(3) In den Fällen des Absatzes 1 Nr. 2 ist der Betroffene vor der Übermittlung zu hören und im Falle der Übermittlung zu unterrichten; dies gilt nicht, wenn dem schwerwiegende öffentliche oder private Belange entgegenstehen.

(4) Der Empfänger darf die übermittelten Daten nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihm übermittelt worden sind. Die übermittelnde Stelle hat den Empfänger hierauf hinzuweisen. Eine Verarbeitung für andere Zwecke ist nur zulässig, wenn eine Übermittlung nach Absatz　1 zulässig wäre und die übermittelnde Stelle eingewilligt hat

(5) Die übermittelnde Stelle kann die Übermittlung mit Auflagen versehen, die den Datenschutz beim Empfänger sicherstellen, oder mit diesem Vereinbarungen zur Gewährleistung des Datenschutzes treffen.

§　17　Übermittlung in Drittländer

(1) Die Übermittlung personenbezogener Daten in anderen als den in §§ 14, 15 und 16 genannten Fällen ist unter den Voraussetzungen des § 16 Abs. 1 zulässig, wenn in dem Land, in das die Daten übermittelt werden (Drittland), ein angemessenes Datenschutzniveau gewährleistet ist.

(2) Die Angemessenheit des Datenschutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Daten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und das Bestimmungsland, die für den Empfänger geltenden Rechtsvorschriften sowie die für ihn geltenden Standesregeln und Sicherheitsmaßnahmen herangezogen werden.

(3) Fehlt es im Drittland an einem angemessenen Schutzniveau, ist die Übermittlung nur zulässig, wenn

Datenübermittlungen nach Satz 1 Nr. 7 sind dem Sächsischen Datenschutzbeauftragten innerhalb eines Monats mitzuteilen; dieser leitet die Mitteilungen an die Europäische Kommission weiter.

(4) Eine Übermittlung hat zu unterbleiben, soweit Grund zu der Annahme besteht, dass durch sie gegen den Zweck eines deutschen Gesetzes verstoßen würde.

(5)　§ 16 Abs. 2 bis 4 gilt entsprechend.

Abschnitt 3: Rechte des Betroffenen

§　18　Auskunft

(1) Dem Betroffenen ist von der Daten verarbeitenden Stelle auf Antrag kostenfrei und ohne unzumutbare Verzögerung Auskunft zu erteilen über

(2) In dem Antrag soll die Art der personenbezogenen Daten näher bezeichnet werden, über die Auskunft erteilt werden soll.

(3) Sind die personenbezogenen Daten in Akten gespeichert, die zur Person des Betroffenen geführt werden, hat ihm die Daten verarbeitende Stelle auf Verlangen Einsicht in die Akten zu gewähren. Werden die Akten nicht zur Person des Betroffenen geführt, wird Auskunft erteilt, soweit der Betroffene Angaben macht, die das Auffinden der Akten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem vom Betroffenen geltend gemachten Informationsinteresse steht.

(4) Die Daten verarbeitende Stelle bestimmt das Verfahren, insbesondere die Form der Auskunftserteilung und Einsichtnahme nach pflichtgemäßem Ermessen; dabei dürfen berechtigte Interessen Dritter nicht beeinträchtigt werden.

(5) Die Auskunftserteilung unterbleibt, soweit

und deswegen das Interesse des Betroffenen an der Auskunftserteilung zurücktreten muss. Satz　1 gilt für die Gewährung von Akteneinsicht entsprechend.

(6) Die ablehnende Entscheidung bedarf keiner Begründung, soweit durch die Mitteilung der tatsächlichen oder rechtlichen Gründe der mit der Ablehnung verfolgte Zweck gefährdet würde. In diesem Fall ist der Betroffene darauf hinzuweisen, dass er den Sächsischen Datenschutzbeauftragten anrufen kann, Diesem ist auf Verlangen des Betroffenen die Auskunft zu erteilen. Die Mitteilung des Sächsischen Datenschutzbeauftragten an den Betroffenen darf keine Rückschlüsse auf den Erkenntnisstand der Daten verarbeitenden Stelle zulassen, sofern diese nicht einer weiter gehenden Auskunft zustimmt.

(7) Bezieht sich die Auskunft auf die Übermittlung personenbezogener Daten an

darf die Auskunft nur erteilt werden, wenn der Empfänger zustimmt.

(8) Die Absätze 1 bis 7 gelten für Gerichte nur, soweit sie in Justizverwaltungsangelegenheiten tätig werden.

§　19　SachsenBerichtigung

(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. Wird bei personenbezogenen Daten in Akten festgestellt, dass sie unrichtig sind, ist dies darüber hinaus in der Akte zu vermerken. Wird die Richtigkeit personenbezogener Daten vom Betroffenen bestritten, ist dies auf geeignete Weise festzuhalten.

(2) Von der Berichtigung unrichtiger Daten sind die Empfänger übermittelter Daten zu benachrichtigen, es sei denn, die Benachrichtigung erweist sich als unmöglich oder erfordert einen unverhältnismäßig hohen Aufwand.

§　20　SachsenLöschung

(1) Personenbezogene Daten sind zu löschen, wenn

(2) Personenbezogene Daten in Akten sind zu löschen, wenn die speichernde Stelle im Einzelfall feststellt, dass die gesamte Akte zur Aufgabenerfüllung nicht mehr erforderlich ist.

(3) Eine Löschung darf in den Fällen von Absatz 1 Nr. 2 und Absatz 2 erst erfolgen, nachdem die Daten dem zuständigen Archiv angeboten worden sind und dieses die Archivwürdigkeit verneint hat oder über sie nicht fristgemäß entschieden hat.

(4) Die Löschung unterbleibt, wenn

(5) Von einer Löschung nach Absatz 1 Nr. 1 sind die Empfänger übermittelter Daten nach Maßgabe des § 19 Abs. 2 zu verständigen.

§　21　Sperrung

(1) Personenbezogene Daten sind zu sperren, wenn

(2) Personenbezogene Daten in Akten sind zu sperren, wenn die Daten verarbeitende Stelle im Einzelfall feststellt, dass die Daten unzulässig gespeichert sind. Sie sind ferner zu sperren, wenn sie zur Aufgabenerfüllung nicht mehr erforderlich sind, eine Löschung nach 20 Abs. 2 nicht in Betracht kommt und ohne die Sperrung schutzwürdige Interessen des Betroffenen beeinträchtigt würden.

(3) Gesperrte personenbezogene Daten sind gesondert aufzubewahren; bei automatisierten Verfahren kann die Sperrung stattdessen auch durch zusätzliche technische Maßnahmen gewährleistet werden. Lassen sich auf Grund der Art der Verarbeitung Maßnahmen nach Satz　1 nicht oder nur mit unverhältnismäßigem Aufwand durchführen, sind die Daten mit einem Sperrvermerk zu versehen.

(4) Ohne Einwilligung des Betroffenen dürfen gesperrte personenbezogene Daten nur verarbeitet werden, wenn

Personenbezogene Daten, die unzulässig in Akten gespeichert sind oder deren Löschung gemäß § 20 Abs. 4 unterblieben ist, dürfen ohne Einwilligung des Betroffenen nicht mehr genutzt werden.

(5) Von einer Sperrung sind die Empfänger übermittelter Daten nach Maßgabe des19 Abs. 2 zu verständigen.

§　22　Widerspruchsrecht

(1) Der Betroffene kann im Einzelfall gegenüber der Daten verarbeitenden Stelle der beabsichtigten oder weiteren Verarbeitung seiner Daten widersprechen.

(2) Die Verarbeitung der Daten unterbleibt dann insoweit, als dies zur Wahrung der vom Betroffenen geltend gemachten schutzwürdigen, sich aus einer besonderen persönlichen Situation ergebenden Gründe erforderlich ist und diesen Gründen Vorrang gegenüber den Interessen der Daten verarbeitenden Stelle an einer beabsichtigten oder weiteren Verarbeitung der betroffenen Daten einzuräumen ist; dies gilt nicht, wenn dem Unterbleiben der Verarbeitung eine Rechtsvorschrift entgegensteht.

(3) Die Daten verarbeitende Stelle teilt dem Betroffenen das Ergebnis der Prüfung schriftlich mit.

(4) Die Absätze 1 bis 3 gelten nicht bei der Verarbeitung von Daten im Zusammenhang mit der Verfolgung von Straftaten und Ordnungswidrigkeiten.

§　23　Schadensersatz

(1) Fügt eine öffentliche Stelle dem Betroffenen durch eine nach den Vorschriften dieses Gesetzes oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige Verarbeitung seiner personenbezogenen Daten einen Schaden zu, ist der Träger der öffentlichen Stelle dem Betroffenen unabhängig von einem Verschulden zum Ersatz des daraus entstehenden Schadens verpflichtet. Die Ersatzpflicht besteht nicht, wenn der Schaden durch ein unabwendbares Ereignis eingetreten ist.

(2) Bei einer schweren Verletzung des Persönlichkeitsrechts ist dem Betroffenen auch der Schaden, der nicht Vermögensschaden ist, angemessen in Geld zu ersetzen.

(3) Sind an einer automatisierten Verarbeitung mehrere Stellen beteiligt und ist der Geschädigte nicht in der Lage, die Stelle festzustellen, die den Schaden verursacht hat, haften die Träger dieser Stellen.

(4) Mehrere Ersatzpflichtige haften als Gesamtschuldner.

(5) Auf das Mitverschulden des Betroffenen und den Ausgleich unter Gesamtschuldnern sind die §§ 254 und 426 des Bürgerlichen Gesetzbuches (BGB)entsprechend anzuwenden.

(6) Vorschriften, nach denen auch ein anderer für den Schaden verantwortlich ist, bleiben unberührt.

(7) Über Ansprüche nach den Absätzen 1 bis 5 entscheiden die ordentlichen Gerichte.

§　24　Anrufung des Sächsischen Datenschutzbeauftragten

(1) Jeder kann sich an den Sächsischen Datenschutzbeauftragten wenden, wenn er der Ansicht ist, bei der Verarbeitung seiner personenbezogenen Daten durch eine öffentliche Stelle in seinem Recht auf informationelle Selbstbestimmung verletzt worden zu sein. Dies gilt nicht, soweit eine Kontrolle durch den Sächsischen Datenschutzbeauftragten nach § 27 Abs. 2 bis 4 ausgeschlossen ist. Niemand darf benachteiligt oder gemaßregelt werden, weil er von seinem Recht nach Satz 1 Gebrauch gemacht hat.

(2) Der Sächsische Datenschutzbeauftragte teilt dem Betroffenen und der Daten verarbeitenden Stelle das Ergebnis seiner Prüfung mit. § 18 Abs. 5 und 6 Satz 4gilt entsprechend.

Abschnitt 4: Sächsischer Datenschutzbeauftragter

§　25　Berufung und Rechtsstellung

(1) Zur Wahrung des Rechts auf Datenschutz und zur Unterstützung bei der Ausübung der parlamentarischen Kontrolle wird beim Sächsischen Landtag der Sächsische Datenschutzbeauftragte berufen. Er wird vom Sächsischen Landtag mit der Mehrheit seiner Mitglieder auf sechs　Jahre gewählt. Wählbar ist, wer die Voraussetzungen für die Berufung in das Beamtenverhältnis auf Zeit erfüllt. Der Präsident des Landtages kann die Staatsregierung um Vorschläge ersuchen.

(2) Der Präsident des Landtages ernennt den Sächsischen Datenschutzbeauftragten zum Beamten auf Zeit. Mit der Beendigung des Beamtenverhältnisses endet auch die Funktion als Sächsischer Datenschutzbeauftragter.

(3) Vor Ablauf seiner Amtszeit kann der Sächsische Datenschutzbeauftragte ohne seine Zustimmung nur mit einer Mehrheit von zwei Dritteln der Mitglieder des Sächsischen Landtages abberufen werden, wenn Gründe vorliegen, die bei einem Richter auf Lebenszeit die Entlassung aus dem Dienst rechtfertigen.

(4) Der Sächsische Datenschutzbeauftragte ist in der Ausübung seines Amtes unabhängig, weisungsfrei und nur dem Gesetz unterworfen. Er untersteht der Dienstaufsicht des Präsidenten des Landtages, soweit seine Unabhängigkeit dadurch nicht beeinträchtigt wird. Für die Erfüllung seiner Aufgaben ist ihm die notwendige Personal- und Sachausstattung zur Verfügung zu stellen. Die Besetzung der Personalstellen erfolgt im Einvernehmen mit dem Sächsischen Datenschutzbeauftragten. Die Mitarbeiter können, falls sie mit der beabsichtigten Maßnahme nicht einverstanden sind, nur im Einvernehmen mit dem Sächsischen Datenschutzbeauftragten versetzt oder abgeordnet werden. Der Sächsische Datenschutzbeauftragte ist Vorgesetzter seiner Mitarbeiter. Dienstvorgesetzter und oberste Dienstbehörde des Sächsischen Datenschutzbeauftragten und seiner Mitarbeiter ist der Präsident des Landtages.

(5) Der Präsident des Landtages bestimmt im Einvernehmen mit dem Sächsischen Datenschutzbeauftragten dessen Stellvertreter.

(6) Der Sächsische Datenschutzbeauftragte und seine Mitarbeiter sind verpflichtet, über die ihnen bei ihrer amtlichen Tätigkeit bekannt gewordenen Angelegenheiten Verschwiegenheit gegenüber jedermann zu wahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen. Die Verschwiegenheitspflicht besteht auch nach der Beendigung der Tätigkeit fort.

(7) Der Sächsische Datenschutzbeauftragte und seine Mitarbeiter dürfen, soweit sie zur Verschwiegenheit verpflichtet sind, nur mit Genehmigung des Präsidenten des Landtages als Zeugen aussagen. Ihr Zeugnisverweigerungsrecht nach demBundesdatenschutzgesetz　bleibt unberührt.

(8) Stellt der Sächsische Datenschutzbeauftragte einen strafbewehrten Verstoß gegen dieses Gesetz oder andere Vorschriften über den Datenschutz fest, ist er befugt, diesen bei der zuständigen Behörde zur Anzeige zu bringen. Entsprechendes gilt bei Handlungen, die als Ordnungswidrigkeit geahndet werden können.

(3) Abreden, die durch dieses Gesetz begründete Rechte und Pflichten des Sächsischen Datenschutzbeauftragten abändern, sind unwirksam.

§　26　Anhörung des Sächsischen Datenschutzbeauftragten

Der Sächsische Datenschutzbeauftragte ist zu Entwürfen von Rechtsverordnungen und Verwaltungsvorschriften, soweit sie das Recht auf informationelle Selbstbestimmung betreffen, zu hören.

§　27　Kontrolle durch den Sächsischen Datenschutzbeauftragten

(1) Der Sächsische Datenschutzbeauftragte kontrolliert bei den öffentlichen Stellen die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz. Seine Kontrolle erstreckt sich auch auf personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen.

(2) Sicherheits- und Sicherheitsüberprüfungsakten unterliegen der Kontrolle durch den Sächsischen Datenschutzbeauftragten nicht, wenn der Betroffene der Kontrolle der auf ihn bezogenen Daten im Einzelfall gegenüber dem Sächsischen Datenschutzbeauftragten widersprochen hat. Satz 1 gilt entsprechend, wenn die dort genannten Daten automatisiert verarbeitet werden. Niemand darf benachteiligt oder gemaßregelt werden, weil er von seinem Recht nach Satz 1 Gebrauch gemacht hat.

(3) Die Kontrolle durch den Sächsischen Datenschutzbeauftragten erstreckt sich nicht auf personenbezogene Daten, die der Kontrolle durch die Kommission nach§ 2 des Gesetzes zur Ausführung des Gesetzes zu Artikel　10 Grundgesetz im Freistaat Sachsen (SächsAG G 10) vom 16. Oktober 1992 (SächsGVBl. S. 464) unterliegen, es sei denn, die Kommission ersucht den Sächsischen Datenschutzbeauftragten, die Einhaltung der Vorschriften über den Datenschutz bei bestimmten Vorgängen oder in bestimmten Bereichen zu kontrollieren und ausschließlich ihr darüber zu berichten.

(4) Die Gerichte unterliegen der Kontrolle des Sächsischen Datenschutzbeauftragten nur, soweit sie in Justizverwaltungsangelegenheiten tätig werden.

§　28　Pflicht zur Unterstützung

(1) Die öffentlichen Stellen sind verpflichtet, den Sächsischen Datenschutzbeauftragten und seine Beauftragten bei der Erfüllung ihrer Aufgaben zu unterstützen. Ihnen ist im Rahmen der Kontrollbefugnis nach § 27　insbesondere

(2) Der Sächsische Datenschutzbeauftragte hat den Leiter der betroffenen Stelle vor Beginn einer Kontrolle in deren Diensträumen zu informieren.

§　29　Beanstandungen und sonstige Äußerungen

(1) Stellt der Sächsische Datenschutzbeauftragte im Rahmen seiner gesetzlichen Zuständigkeiten Verstöße gegen dieses Gesetz oder gegen andere Vorschriften über den Datenschutz fest, beanstandet er dies schriftlich

nach deren Anhörung und fordert zur Stellungnahme und Behebung der Verstöße innerhalb einer von ihm zu bestimmenden angemessenen Frist auf. In den Fällen des Satzes 1 Nr. 2 und 3 unterrichtet der Sächsische Datenschutzbeauftragte gleichzeitig die zuständige Aufsichtsbehörde. In seiner Beanstandung setzt sich der Sächsische Datenschutzbeauftragte inhaltlich mit dem Vorbringen der öffentlichen Stelle auseinander.

(2) Der Sächsische Datenschutzbeauftragte kann von einer Beanstandung absehen oder auf eine Stellungnahme der betroffenen Stelle verzichten, insbesondere wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt.

(3) Die Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die auf Grund der Beanstandung des Sächsischen Datenschutzbeauftragten getroffen worden oder beabsichtigt sind. Die in Absatz 1 Satz 1 Nr.　2 und 3 genannten Stellen leiten der zuständigen Aufsichtsbehörde eine Abschrift ihrer Stellungnahme an den Sächsischen Datenschutzbeauftragten zu.

§　30　Tätigkeitsbericht und weitere Aufgaben

(1) Der Sächsische Datenschutzbeauftragte erstattet dem Sächsischen Landtag alle zwei Jahre jeweils zum 31. März einen Bericht über seine Tätigkeit als Kontrollbehörde nach § 27 und einen Bericht über seine Tätigkeit als Aufsichtsbehörde nach § 30a; er veröffentlicht diese Berichte. Er unterrichtet den Sächsischen Landtag und die Öffentlichkeit über wesentliche Entwicklungen des Datenschutzes.

(2) Der Sächsische Datenschutzbeauftragte kann sich im Rahmen seiner gesetzlichen Zuständigkeiten jederzeit an den Landtag wenden.

(3) Der Sächsische Datenschutzbeauftragte hat auf Anforderung des Landtages oder der Staatsregierung Gutachten und besondere Berichte zu Fragen des Datenschutzes zu erstatten. Auf Beschluss des Landtages oder auf Ersuchen der Staatsregierung geht der Sächsische Datenschutzbeauftragte Hinweisen auf Angelegenheiten nach, die den Datenschutz in dem seiner Kontrolle unterliegenden Bereich betreffen.

(4) Der Sächsische Datenschutzbeauftragte kann die Staatsregierung und einzelne Staatsministerien sowie andere öffentliche Stellen in Fragen des Datenschutzes beraten und ihnen Empfehlungen zur Verbesserung des Datenschutzes geben.

§　30a　Aufsichtsbehörde für den nicht-öffentlichen Bereich

Der Sächsische Datenschutzbeauftragte ist die zuständige Aufsichtsbehörde nach§ 38 BDSG über nicht-öffentliche Stellen im Anwendungsbereich des Dritten Abschnitts des Bundesdatenschutzgesetzes.

§　31　Datenschutzregister

(1) Der Sächsische Datenschutzbeauftragte führt ein Register der ihm nach § 10 Abs. 3 zugeleiteten Verzeichnisse (Datenschutzregister).

(2) Das Register nach Absatz 1 kann von jedermann eingesehen werden. Hiervon sind ausgenommen die Verzeichnisse der in § 18 Abs. 7 genannten Stellen. § 18bleibt unberührt.

Abschnitt 5: Sonstige Vorschriften

§　32　Fernmessen und Fernwirken

(1) Öffentliche Stellen dürfen ferngesteuerte Messungen und Beobachtungen (Fernmessdienste) in Wohnungen oder Geschäftsräumen nur vornehmen, wenn der Betroffene zuvor über den Verwendungszweck sowie über Art, Umfang und Zeitraum des Einsatzes unterrichtet worden ist und danach schriftlich eingewilligt hat. Entsprechendes gilt, soweit eine Übertragungseinrichtung dazu dienen soll, in Wohnungen oder Geschäftsräumen ferngesteuerte Wirkungen auszulösen (Fernwirkdienste). Die Einrichtung von Fernmess- oder Fernwirkdiensten ist nur zulässig, wenn der Betroffene erkennen kann, wann ein Dienst in Anspruch genommen wird. Der Betroffene kann seine Einwilligung jederzeit widerrufen, soweit dies mit der Zweckbestimmung des Dienstes vereinbar ist.

(2) Eine Leistung, der Abschluss oder die Abwicklung eines Vertragsverhältnisses dürfen nicht davon abhängig gemacht werden, dass der Betroffene nach Absatz 1 Satz 1 oder 2 einwilligt. Verweigert oder widerruft er seine Einwilligung, dürfen ihm keine Nachteile entstehen, die über die nachweisbaren Mehrkosten einer anderen Art der Datenerhebung hinausgehen.

§　33　Videoüberwachung und Videoaufzeichnung

(1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit dies zur Aufgabenerfüllung, insbesondere zur Gewährleistung der öffentlichen Sicherheit und Ordnung, oder zur Wahrnehmung eines Hausrechts erforderlich ist und schutzwürdige Interessen Betroffener nicht überwiegen.

(2) Die Speicherung von nach Absatz 1 erhobenen Daten (Videoaufzeichnung) und deren weitere Verarbeitung ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Für einen anderen Zweck dürfen sie nur verarbeitet werden, soweit dies zur Abwehr von Gefahren für die öffentliche Sicherheit sowie zur Verfolgung von Straftaten und Ordnungswidrigkeiten erforderlich ist.

(3) Die Tatsache der Videoüberwachung und die verantwortliche Stelle sind, soweit nicht offenkundig, durch geeignete Maßnahmen erkennbar zu machen.

(4) Das nach Absatz 1 gewonnene Bildmaterial und daraus gefertigte Unterlagen sind spätestens nach zwei　Monaten zu löschen oder zu vernichten, soweit diese nicht zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Geltendmachung von Rechtsansprüchen oder wegen entgegenstehender schutzwürdiger Interessen Betroffener, insbesondere zur Behebung einer bestehenden Beweisnot, erforderlich sind. §　20 Abs. 3 bleibt unberührt.

§　34　Automatisierte Einzelentscheidungen

(1) Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder diesen erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung zum Zweck der Bewertung einzelner Persönlichkeitsmerkmale gestützt werden.

(2) Absatz 1 gilt nicht, soweit

(3) Das Recht des Betroffenen auf Auskunft nach § 18 erstreckt sich auch auf den strukturierten Ablauf der automatisierten Verarbeitung seiner personenbezogenen Daten und die dabei herangezogenen Entscheidungskriterien.

§　35　Mobile personenbezogene Datenverarbeitungsmedien

(1) Mobile personenbezogene Datenverarbeitungsmedien zum Einsatz in automatisierten Verfahren, die an die Betroffenen ausgegeben werden und die über eine von der ausgebenden Stelle oder Dritten bereitgestellte Schnittstelle Daten der Betroffenen automatisiert austauschen können, dürfen nur eingesetzt werden, soweit dies eine Rechtsvorschrift, ein Tarifvertrag oder eine Dienstvereinbarung zulässt oder der Betroffene eingewilligt hat.

(2) Für den Betroffenen muss erkennbar sein,

(3) Der Betroffene ist bei der Ausgabe des mobilen Datenverarbeitungsmediums über die ihm nach den §§ 18 bis 22 zustehenden Rechte und über die bei Verlust oder Zerstörung des mobilen Datenverarbeitungsmediums zu treffenden Maßnahmen aufzuklären.

§　36　Verarbeitung personenbezogener Daten zu Zwecken der wissenschaftlichen Forschung

(1) Personenbezogene Daten einschließlich solcher nach § 4 Abs. 2 dürfen verarbeitet werden, soweit dies für die Durchführung der wissenschaftlichen Forschung erforderlich ist, insbesondere der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann, und wenn das öffentliche, insbesondere das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen am Unterbleiben der Verarbeitung überwiegt.

(2) Soweit es der Forschungszweck erlaubt, sind die Merkmale, mit deren Hilfe ein Personenbezug hergestellt werden kann, getrennt zu speichern; die Merkmale sind zu löschen, sobald der Forschungszweck dies zulässt.

(3) Für Zwecke der wissenschaftlichen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für Zwecke der wissenschaftlichen Forschung verarbeitet werden.

(4) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, soweit

(5) Soweit die Vorschriften dieses Gesetzes auf den Empfänger der Daten keine Anwendung finden, dürfen personenbezogene Daten nur übermittelt werden, wenn sich der Empfänger verpflichtet, die Vorschriften der Absätze 1 bis 4 einzuhalten.

(6) Soweit Forschung betreibende Stellen personenbezogene Daten zum Zweck der Durchführung wissenschaftlicher Forschung verarbeiten, haben diese einen Datenschutzbeauftragten gemäß § 11 zu bestellen. § 11 Abs. 4 Satz 2 Nr. 4 findet keine Anwendung. Bei der Mitteilung nach § 11 Abs. 4 Satz 2 Nr. 5 darf die Beschreibung der Aufgabe, zu deren Erfüllung personenbezogene Daten verarbeitet werden, auf die Angabe “Forschungsvorhaben” beschränkt werden.

§　37　Schutz von Beschäftigtendaten im öffentlichen Dienst

(1) Öffentliche Stellen dürfen Daten von Bewerbern oder Beschäftigten nur verarbeiten, soweit dies zur Eingebung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Arbeitsverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder ein Gesetz, ein Tarifvertrag oder eine Dienstvereinbarung dies vorsieht. Dies gilt auch für Daten Dritter, deren Verarbeitung für die in Satz 1 genannten Zwecke erforderlich ist. Die Verarbeitung der in § 4 Abs. 2 genannten Daten ist nur zulässig, wenn dies zur Erreichung der in Satz 1 genannten Zwecke zwingend erforderlich ist.

(2) Eine Veröffentlichung der Daten von Beschäftigten ist nur zulässig, wenn

(3) Abweichend von § 16 ist eine Übermittlung der Daten von Beschäftigten an natürliche Personen oder andere nicht öffentliche Stellen nur zulässig, wenn

Für die Datenübermittlung an einen künftigen Dienstherrn oder Arbeitgeber gilt nur Satz 1 Nr. 1 und 2.

(4) Das Auskunftsrecht nach § 18 umfasst auch die Art der automatisierten Auswertung der Daten des Beschäftigten. § 18 Abs. 5 Nr. 3 findet keine Anwendung.

(5) Daten, die vor Beginn eines Dienst- oder Arbeitsverhältnisses erhoben wurden, sind unverzüglich zu löschen, sobald feststeht, dass ein Dienst- oder Arbeitsverhältnis nicht zu Stande kommt. Dies gilt nicht, wenn Grund zu der Annahme besteht, dass durch die Löschung schutzwürdige Belange des Betroffenen beeinträchtigt werden. Der Betroffene ist hiervon zu verständigen.

(6) Daten von Beschäftigten, die zur Verhaltens- oder Leistungskontrolle erhoben werden, dürfen nur zu diesem Zweck verarbeitet werden.

(7) Die Ergebnisse medizinischer oder psychologischer Untersuchungen und Tests der Beschäftigten dürfen automatisiert nur verarbeitet werden, wenn dies dem Schutz der Beschäftigten dient.

§　38　Ordnungswidrigkeiten

(1) Ordnungswidrig handelt, wer

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu 25.000,00 EUR geahndet werden.

(3) Der Sächsische Datenschutzbeauftragte ist Verwaltungsbehörde im Sinne von § 36 Abs. 1 Nr. 1 des Gesetzes über Ordnungswidrigkeiten (OWiG) in der Fassung der Bekanntmachung vom 19. Februar 1987 (BGBl. I S. 602), das zuletzt durch Artikel 3 Abs. 6 des Gesetzes vom 12. Juli 2006 (BGBl. I S. 1466, 1470), geändert worden ist, in der jeweils geltenden Fassung. Die Staatsregierung wird ermächtigt, dem Sächsischen Datenschutzbeauftragten durch Rechtsverordnung die Zuständigkeit für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach anderen datenschutzrechtlichen Bestimmungen zuzuweisen. Die Zuweisung bedarf der Zustimmung des Sächsischen Datenschutzbeauftragten.

§　39　Straftaten

Wer eine der in § 38 Abs. 1 Nr. 1 bis 8 bezeichneten Handlungen gegen Entgelt oder in der Absicht begeht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu zwei　Jahren oder mit Geldstrafe bestraft. Der Versuch ist strafbar.

§　40　 (weggefallen)

§　41　Einschränkung eines Grundrechts

Das Grundrecht auf informationelle Selbstbestimmung nach Artikel 33 der Verfassung des Freistaates Sachsen wird durch dieses Gesetz eingeschränkt.

—————————————————————————————-

(1) Dieses Gesetz dient der Umsetzung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31).

—————————————————————————————-

Zweites Gesetz zur Änderung des Sächsischen Datenschutzgesetzes Vom 14. Juli 2011, SächsGVBl. S. 270

Der Sächsische Landtag hat am 29. Juni 2011 das folgende Gesetz beschlossen:

Artikel 1

Das Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz – SächsDSG) vom 25. August 2003 (SächsGVBl. S. 330), zuletzt geändert durch Artikel 6 des Gesetzes vom 8. Dezember 2008 (SächsGVBl. S. 940, 941), wird wie folgt geändert:

1. In § 11 Abs. 4 Satz 2 Nr. 4 wird die Angabe “§ 10 Abs. 5” durch die Angabe “§ 10 Abs. 4” ersetzt.

2. § 25 Abs. 3 wird wie folgt gefasst:

“(3) Vor Ablauf seiner Amtszeit kann der Sächsische Datenschutzbeauftragte ohne seine Zustimmung nur mit einer Mehrheit von zwei Dritteln der Mitglieder des Sächsischen Landtages abberufen werden, wenn Gründe vorliegen, die bei einem Richter auf Lebenszeit die Entlassung aus dem Dienst rechtfertigen.”

3. § 30 Abs. 1 Satz 1 wird wie folgt gefasst:

“Der Sächsische Datenschutzbeauftragte erstattet dem Sächsischen Landtag alle zwei Jahre jeweils zum 31. März einen Bericht über seine Tätigkeit als Kontrollbehörde nach § 27 und einen Bericht über seine Tätigkeit als Aufsichtsbehörde nach § 30a; er veröffentlicht diese Berichte.”

4. § 30a Satz 2 wird gestrichen.

Artikel 2

Das Staatsministerium des Innern kann den Wortlaut des Sächsischen Datenschutzgesetzes in der vom Inkrafttreten dieses Gesetzes an geltenden Fassung im Sächsischen Gesetz- und Verordnungsblatt bekannt machen.

Artikel 3

Dieses Gesetz tritt am Tage nach seiner Verkündung in Kraft.

Dresden, den 14. Juli 2011

Der Landtagspräsident

Dr. Matthias Rößler

Der Ministerpräsident

Stanislaw Tillich

Der Staatsminister des Innern

In Vertretung

Prof. Dr. Georg Unland

Staatsminister 

WP 55 Documento de trabajo relativo a la vigilancia de las comunicaciones electrónicas en el lugar de trabajo

Aprobado el 29 de mayo de 2002

Comentarios:

* los capítulos nacionales podrán modificarse posteriormente de acuerdo con las delegaciones nacionales

EL GRUPO DE PROTECCIÓN DE LAS PERSONAS EN LO QUE RESPECTA AL TRATAMIENTO DE DATOS PERSONALES

creado en virtud de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995(1),

Vistos el artículo 29 y los apartados 1, letra a), y 3 del artículo 30 de dicha Directiva,

Visto su Reglamento interno y, en particular, sus artículos 12 y 14,

Ha aprobado el siguiente documento de trabajo:

(1) Diario Oficial L 281 de 23.11.1995, p. 31, que puede consultarse en: http://europa.eu.int/comm/internal_market/en/dataprot/index.htm.

Documento de trabajo del Grupo de Trabajo “Artículo 29”(2) relativo a la vigilancia y el control de las comunicaciones electrónicas en el lugar de trabajo Proyecto de resumen

El presente documento de trabajo completa el dictamen 8/2001 sobre el tratamiento de datos personales en el contexto laboral(3) y contribuye a la aplicación uniforme de las medidas nacionales adoptadas en el marco de la Directiva 95/46/CE relativa a la protección de datos(4). No afecta a la aplicación de la legislación nacional en ámbitos vinculados a la protección de los datos.

El Grupo de Trabajo “Artículo 29” ha creado un subgrupo para examinar esta cuestión(5) y ha aprobado un extenso documento, disponible en Internet en la siguiente dirección(6): http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/index.htm

En el presente documento de trabajo, el Grupo de Trabajo “Artículo 29” examina la cuestión de la vigilancia y el control de las comunicaciones electrónicas en el lugar de trabajo, o, dicho de otro modo, la vigilancia por el empleador de la utilización del correo electrónico e Internet por los trabajadores. A la luz de la jurisprudencia del Tribunal Europeo de Derechos Humanos sobre el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, otros textos internacionales pertinentes y la Directiva 95/46/CE, el presente documento de trabajo ofrece una orientación y ejemplos concretos sobre lo que constituyen actividades de control legítimas y límites aceptables de la vigilancia de los trabajadores por el empleador. Téngase en cuenta que en algunos Estados miembros la legislación puede prever un nivel de protección más elevado que el que contempla el presente documento de trabajo.

Los trabajadores no dejan su derecho a la vida privada y a la protección de datos cada mañana a la puerta de su lugar de trabajo. Esperan legítimamente encontrar allí un grado de privacidad, ya que en él desarrollan una parte importante de sus relaciones con los demás. Este derecho debe, no obstante, conciliarse con otros derechos e intereses legítimos del empleador, en particular, su derecho a administrar con cierta eficacia la empresa, y sobre todo, su derecho a protegerse de la responsabilidad o el perjuicio que pudiera derivarse de las acciones de los trabajadores. Estos derechos e intereses constituyen motivos legítimos que pueden justificar la adopción de medidas adecuadas destinadas a limitar el derecho a la vida privada de los trabajadores. Los casos en que el empleador es víctima de un delito imputable a un trabajador constituyen el ejemplo más claro.

No obstante, para equilibrar los distintos derechos e intereses es preciso tener en cuenta varios principios, en particular, el principio de proporcionalidad. Debe quedar claro que el mero hecho de que una actividad de control o vigilancia se considere útil para proteger el interés del empleador no justifica la intromisión en la vida privada del trabajador. Antes de aplicar en el lugar de trabajo cualquier medida de vigilancia, deben sopesarse una serie de aspectos que se detallan en el presente documento.

En las siguientes preguntas puede resumirse la naturaleza de esta evaluación:

a) ¿Es la actividad de vigilancia transparente para los trabajadores?

b) ¿Es necesaria? ¿No podría el empleador obtener el mismo resultado con métodos tradicionales de supervisión?

c) ¿Garantiza el tratamiento leal de los datos personales de los trabajadores?

d) ¿Es proporcional respecto a las preocupaciones que intenta solventar?

Al centrarse en la aplicación práctica de estos principios, el documento de trabajo proporciona orientación sobre el contenido mínimo de las directrices de las empresas en relación con la utilización del correo electrónico e Internet, que los empleadores y trabajadores pueden tomar como base para una adaptación posterior (habida cuenta de las especificidades de cada empresa, su tamaño y la legislación nacional en ámbitos vinculados a la protección de datos).

Al plantearse la utilización de Internet con fines privados, el Grupo de Trabajo “Artículo 29” considera que la prevención debería prevalecer sobre la detección; es decir, que es mejor para el empleador prevenir la utilización abusiva de Internet que detectarla. En este contexto las soluciones tecnológicas pueden resultar especialmente útiles. Prohibir terminantemente que los trabajadores utilicen Internet con fines privados no parece razonable y no tiene en cuenta la ayuda que Internet puede aportarles en su vida diaria.

El Grupo de Trabajo desearía destacar que es esencial que el empleador informe al trabajador (i) de la presencia, utilización y objetivo de todo equipo y/o aparato de detección activado en su puesto de trabajo, así como (ii) de cualquier abuso de las comunicaciones electrónicas detectado (correo electrónico o Internet), salvo si existen razones imperiosas que justifiquen la continuación de la vigilancia encubierta(7), lo que normalmente no sucede. Puede transmitirse información rápida fácilmente mediante un programa informático, por ej. ventanas de advertencia que avisen al trabajador de que el sistema ha detectado y/o tomado medidas para evitar una utilización ilícita de la red.

Como recomendación práctica, los empleadores pueden considerar la posibilidad de proporcionar a los trabajadores dos cuentas de correo electrónico:

a) una de uso profesional exclusivo, en la que se permitiría un control dentro de los límites del presente documento de trabajo,

b) otra de uso estrictamente privado (o con autorización de utilizar el correo web), que sólo sería objeto de medidas de seguridad y que se controlaría para prevenir abusos en casos excepcionales.

El Grupo de Trabajo “Artículo 29” ha observado divergencias entre las legislaciones nacionales en ámbitos vinculados a la protección de datos, que se refieren principalmente a las excepciones previstas al derecho fundamental al secreto de correspondencia y al alcance y repercusión de la representación y la codecisión colectivas de los trabajadores. No obstante, no ha detectado divergencias entre las legislaciones nacionales en el ámbito de la protección de datos que puedan constituir obstáculos importantes para un enfoque común, por lo que ha redactado el presente documento de trabajo, que se revisará en 2002-2003 a la luz de la experiencia y la evolución en este ámbito.

(2) El Grupo de Trabajo “Artículo 29” es un grupo consultivo independiente compuesto por representantes de las autoridades de los Estados miembros encargadas de la protección de datos, cuya misión es, en particular, examinar todas las cuestiones relativas a la aplicación de las medidas nacionales adoptadas en virtud de la Directiva sobre protección de datos con el fin de contribuir a su aplicación uniforme.

(3) Dictamen adoptado el 13 de septiembre de 2001 y accesible en la siguiente dirección: http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp48en.pdf .

Este dictamen incluye un análisis detallado de la aplicación de la Directiva relativa a la protección de datos (en particular, sus artículos 6, 7 y 8) al tratamiento de datos personales en el marco de las actividades profesionales.

(4) Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. DO L 281 de 23.11.95, p. 31.

(5) Al trabajo de este subgrupo han contribuido las siguientes autoridades de supervisión: AT, BE, DE, ES, FR, IR, IT, NL, UK.

(6) Este documento incluye un anexo en el que figura la legislación sobre protección de datos más pertinente de los Estados miembros con alguna repercusión en las actividades de vigilancia y control de las comunicaciones electrónicas en el lugar de trabajo.

(7) Los casos de vigilancia encubierta justificada constituyen un buen ejemplo.

1. LA VIGILANCIA EN EL LUGAR DE TRABAJO. UN RETO PARA LA SOCIEDAD.

Últimamente, la cuestión de la vigilancia de los trabajadores ha sido abordada en numerosas ocasiones por los medios de comunicación y es en la actualidad objeto de un debate público en la Comunidad. En efecto, la introducción progresiva en toda la Comunidad del correo electrónico en el lugar de trabajo ha sensibilizado tanto a los empleadores como a sus trabajadores de los riesgos de intromisión en su vida privada en el lugar de trabajo.

Al examinar la cuestión de la vigilancia, conviene tener siempre presente que, si bien los trabajadores tienen derecho a un cierto grado de respeto de la vida privada en el trabajo, este derecho no debe lesionar el derecho del empleador de controlar el funcionamiento de su empresa y de protegerse contra una actuación de los trabajadores susceptible de perjudicar sus intereses legítimos, por ejemplo la responsabilidad del empleador por acciones de sus trabajadores.

Aunque las nuevas tecnologías constituyen un desarrollo positivo de los recursos a disposición de los empleadores, las herramientas de vigilancia electrónica pueden utilizarse para atentar contra los derechos y libertades fundamentales de los trabajadores. Conviene no olvidar que, con la llegada de las tecnologías de la información, es vital que éstos se beneficien de los mismos derechos, ya trabajen en línea o fuera de línea.

Es necesario destacar también que las condiciones laborales han evolucionado, en el sentido de que en la actualidad cada vez es más difícil separar claramente el trabajo de la vida privada. En particular, a medida que se desarrolla la “oficina a domicilio”, numerosos trabajadores continúan su trabajo en casa, utilizando la infraestructura informática puesta a su disposición por el empleador para estos u otros fines.

La dignidad humana de un trabajador prima sobre cualquier otra consideración. Al examinar esta cuestión, es importante tenerlo en cuenta, al igual que las consecuencias negativas que este tipo de acciones puede tener en la calidad de la relación de un trabajador con su empleador y en el trabajo propiamente dicho.

Habida cuenta de todos estos factores, no es de extrañar que esta problemática sea objeto de un intenso debate público; por ello es urgente contribuir a una interpretación uniforme de las disposiciones de la Directiva 95/46/CE y de las legislaciones nacionales que la aplican, a la luz de la reciente jurisprudencia del Tribunal Europeo de Derechos Humanos.

El Grupo de Trabajo consideró por tanto que sería útil transmitir la información y las recomendaciones siguientes a los sectores público y privado. Es preciso señalar que el documento de trabajo cubre toda actividad vinculada a la vigilancia de las comunicaciones electrónicas en el lugar de trabajo, tanto la vigilancia en tiempo real como el acceso a datos almacenados.

2. INSTRUMENTOS JURÍDICOS INTERNACIONALES

2.1 ARTÍCULOS 8 Y 10 DEL CONVENIO EUROPEO PARA LA PROTECCIÓN DE LOS DERECHOS HUMANOS Y DE LAS LIBERTADES FUNDAMENTALES.

Artículo 8

1. Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de su correspondencia.

2. No podrá haber injerencia de la autoridad pública en el ejercicio de este derecho sino en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención de las infracciones penales, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.

Artículo 10

1. Toda persona tiene derecho a la libertad de expresión. Este derecho comprende la libertad de opinión y la libertad de recibir o de comunicar informaciones o ideas sin que pueda haber injerencia de autoridades públicas y sin consideración de fronteras.

El presente artículo no impide que los Estados sometan las empresas de radiodifusión, de cinematografía o de televisión a un régimen de autorización previa.

2. El ejercicio de estas libertades, que entrañan deberes y responsabilidades, podrá ser sometido a ciertas formalidades, condiciones, restricciones o sanciones, previstas por la ley, que constituyan medidas necesarias, en una sociedad democrática, para la seguridad nacional, la integridad territorial o la seguridad pública, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, la protección de la reputación o de los derechos ajenos, para impedir la divulgación de informaciones confidenciales o e para garantizar la autoridad y la imparcialidad del poder judicial.

Todos los Estados miembros y la Unión Europea deben cumplir las disposiciones del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales. Estos derechos se han ejercido tradicionalmente de forma vertical (es decir, el individuo frente al Estado) y actualmente se discute hasta qué punto pueden ejercerse horizontalmente (es decir, entre los individuos). No obstante, queda claro que en general estos derechos están presentes.

El Grupo de Trabajo considera por lo tanto que, a la hora de examinar las disposiciones nacionales adoptadas de conformidad con la Directiva 95/46/CE con el fin de contribuir a su aplicación uniforme, es preciso recordar los grandes principios consagrados por la jurisprudencia del Tribunal Europeo de Derechos Humanos en relación con esta disposición y, en particular, en lo que respecta al secreto de correspondencia.

En las sentencias dictadas hasta ahora, el Tribunal ha precisado que la protección de la “vida privada” consagrada por el artículo 8 no se limita al hogar, sino que se aplica también al lugar de trabajo.

El asunto Niemitz contra Alemania se refería al registro, por una autoridad pública, de la oficina del demandante. El Gobierno alemán alegó que el artículo 8 no ofrecía protección alguna contra el registro de una oficina, ya que el Convenio establece una clara distinción entre vida privada y domicilio, por una parte, y vida profesional y lugar de trabajo, por otra.

El Tribunal desestimó esta alegación y resolvió del siguiente modo: “El respeto de la vida privada debe también englobar, hasta cierto punto, el derecho a entablar y desarrollar relaciones con los semejantes. Además, ninguna razón de principio permite excluir las actividades profesionales o comerciales del concepto de “vida privada”, puesto que es en el trabajo donde la mayoría de las personas disponen de muchas, o incluso las máximas, oportunidades de relacionarse con el mundo exterior.

Un hecho, destacado por la Comisión, lo confirma: no siempre se puede distinguir con claridad entre las actividades que pertenecen al ámbito profesional o laboral de las personas y las que no(8)“.

Más concretamente, en el asunto Halford contra el Reino Unido, el Tribunal estableció que la interceptación de las llamadas telefónicas efectuadas por los trabajadores desde su puesto de trabajo constituye una violación del artículo 8 del Convenio. Curiosamente, la Sra. Halford tenía a su disposición dos aparatos telefónicos, uno de los cuales estaba reservado para sus comunicaciones privadas. La utilización de estos teléfonos no estaba sometida a restricción alguna ni se le transmitió ninguna orientación a este respecto.

Para la Sra. Halford, la interceptación de sus llamadas telefónicas constituyó una violación del artículo 8 del Convenio. Su empleador, una autoridad pública, consideró en cambio que las llamadas telefónicas realizadas por la Sra. Halford desde su puesto de trabajo no estaban sujetas a la protección del artículo 8, ya que la demandante no podía confiar razonablemente en que se les reconociera carácter privado. En la vista ante el Tribunal, la defensa de la Administración declaró que el empleador debe en principio poder supervisar, sin que los interesados lo sepan de antemano, las llamadas que éstos realizan desde los aparatos que pone a su disposición.

Para el Tribunal, sin embargo, “se desprende claramente de su jurisprudencia que las llamadas telefónicas que proceden de locales profesionales, al igual que las procedentes del domicilio, pueden incluirse en los conceptos de 'vida privada' y de 'correspondencia' citados en el apartado 1 del artículo 8 [… ].

No hay pruebas de que a la Sra. Halford se le hubiera avisado, en calidad de usuaria de la red interna de telecomunicaciones, de que las llamadas efectuadas mediante la misma podían ser interceptadas. El Tribunal considera que ella podía razonablemente esperar que se reconociera el carácter privado de este tipo de llamadas [… ]”(9).

El concepto de “correspondencia” engloba no sólo las cartas redactadas en papel, sino también otras formas de comunicación electrónica recibidas o enviadas en el lugar de trabajo, como las llamadas telefónicas efectuadas o recibidas en locales profesionales o los mensajes electrónicos recibidos o enviados en ordenadores puestos a disposición en el lugar de trabajo.

Algunos interpretan la sentencia en el sentido de que parece implicar (aunque no se declare explícitamente) que si el empleador informa previamente al trabajador de que sus comunicaciones pueden interceptarse, el trabajador ya no podrá esperar que se reconozca carácter privado a sus llamadas, con lo que la interceptación no constituirá una violación del artículo 8 del Convenio. El Grupo de Trabajo opina que una advertencia previa al trabajador no basta para justificar una violación de sus derechos en cuanto a protección de datos.

De manera más general, de la jurisprudencia relativa al artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales pueden deducirse los tres principios siguientes:

a) Los trabajadores tienen confianza legítima en que se respetará su vida privada en el lugar de trabajo, confianza que no queda anulada por el hecho de utilizar herramientas de comunicación u otros medios profesionales del empleador.

Sin embargo, el suministro de información adecuada por el empleador al trabajador puede disminuir esta confianza legítima.

b) El principio general del secreto de correspondencia se aplica a las comunicaciones en el lugar de trabajo, lo que incluye muy probablemente el correo electrónico y los ficheros anexos.

c) El respeto de la vida privada cubre también, hasta cierto punto, el derecho del individuo a entablar y desarrollar relaciones con sus semejantes. El hecho de que estas relaciones se produzcan en gran parte en el lugar de trabajo limita la necesidad legítima del empleador de aplicar medidas de vigilancia.

El artículo 10 es también pertinente, aunque en menor medida, puesto que regula las libertades de expresión e información y destaca el derecho del individuo a recibir y comunicar información e ideas sin injerencia de una autoridad pública. La pertinencia del artículo 10 parece reflejarse en las consideraciones del Tribunal en el asunto Niemitz contra Alemania previamente mencionado. Como afirmó el Tribunal, en el lugar de trabajo las personas desarrollan una parte importante de su relación con el mundo exterior y su derecho a la libertad de expresión desempeña indudablemente un papel en este contexto.

(8) 23 de noviembre de 1992, serie A nº 251/B, apartado 29

(9) 27 de mayo de 1997.

2.2 CONVENIO PARA LA PROTECCIÓN DE LAS PERSONAS CON RESPECTO AL TRATAMIENTO AUTOMATIZADO DE DATOS DE CARÁCTER PERSONAL (STE Nº 18)

Abierto a la firma el 28 de enero de 1981, el Convenio fue el primer instrumento internacional legalmente vinculante en el ámbito de la protección de datos. Este Convenio obliga a las partes a adoptar las medidas necesarias en su legislación nacional para aplicar los principios que enuncia con el fin de garantizar el respeto, en su territorio, de los derechos humanos fundamentales de todos los individuos con respecto al tratamiento de los datos de carácter personal(10).

Otros documentos importantes vinculados al Convenio 108, también pertinentes en este contexto, son los siguientes:

Recomendación (89) 2 del Consejo de Europa sobre la protección de los datos de carácter personal utilizados con fines de empleo(11).

Recomendación (97) 5 del Consejo de Europa sobre la protección de los datos médicos(12).

Recomendación (86) 1 del Consejo de Europa sobre la protección de los datos de carácter personal con fines de seguridad social(13).

Recomendación (95) 4 del Consejo de Europa sobre la protección de los datos personales en el ámbito de los servicios de telecomunicaciones, especialmente en lo que respecta a los servicios telefónicos.

(10) Véase también la Recomendación (89) 2 del Consejo de Europa sobre la protección de los datos de carácter personal utilizados con fines de empleo: http://cm.coe.int/ta/rec/1989/89r2.htm

(11) http://cm.coe.int/ta/rec/1989/89r2.htm

(12) http://cm.coe.int/ta/rec/1997/97r5.html

(13) http://www.legal.coe.int/dataprotection/Default.asp?fd=recñfn=R(86)1E.htm

2.3. LA CARTA DE LOS DERECHOS FUNDAMENTALES DE LA UNIÓN EUROPEA

Artículo 7. Respeto de la vida privada y familiar

Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de sus comunicaciones.

Artículo 8. Protección de datos de carácter personal

1. Toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación.

3. El respeto de estas normas quedará sujeto al control de una autoridad independiente.

La Carta de los Derechos Fundamentales de la Unión Europea parece ir en el mismo sentido que el Tribunal Europeo de Derechos Humanos. El concepto de secreto de correspondencia se ha ampliado para convertirse en un concepto de nueva generación: el “secreto de las comunicaciones”, con el fin de reconocer a las comunicaciones electrónicas el mismo nivel de protección del que se beneficia el correo tradicional.

Además, al conferir a la protección de datos una naturaleza claramente diferenciada, el artículo 8 completa la protección prevista por el artículo 7. Ello reviste una importancia singular en el contexto de la vigilancia del correo electrónico.

2.4. OFICINA INTERNACIONAL DEL TRABAJO (OIT)

Repertorio de recomendaciones prácticas de la Oficina Internacional del Trabajo sobre la protección de los datos personales de los trabajadores (1997).

“5. Principios generales

5.1. El tratamiento de datos personales de los trabajadores debería efectuarse de manera ecuánime y lícita y limitarse exclusivamente a asuntos directamente pertinentes para la relación de empleo del trabajador.

5.2. En principio, los datos personales deberían utilizarse únicamente con el fin para el cual hayan sido acopiados.

5.3. Cuando los datos personales se exploten con fines distintos de aquéllos para los que fueron recabados, el empleador debería cerciorarse de que no se utilizan de un modo que sea incompatible con esa finalidad inicial y adoptar las medidas necesarias para evitar toda interpretación errada por causa de su aplicación en otro contexto.

5.4. Los datos personales reunidos en función de disposiciones técnicas o de organización que tengan por objeto garantizar la seguridad y el buen funcionamiento de los sistemas automatizados de información no deberían servir para controlar el comportamiento de los trabajadores.

5.5. Las decisiones relativas a un trabajador no deberían basarse exclusivamente en un tratamiento informático de los datos personales que a él se refieran.

5.6. Los datos personales obtenidos por medios de vigilancia electrónica no deberían ser los únicos factores de evaluación profesional del trabajador. (…).

6.1)(14) Cuando los trabajadores sean objeto de medidas de vigilancia, éstos deberían ser informados de antemano de las razones que las motivan, de las horas en que se aplican, de los métodos y técnicas utilizados y de los datos que serán acopiados, y el empleador deberá reducir al mínimo su injerencia en la vida privada de aquéllos.

2) El secreto en materia de vigilancia sólo debería permitirse cuando

a) se realice de conformidad con la legislación nacional; o

b) existan sospechas suficientes de actividad delictiva u otras infracciones graves.

3) La vigilancia continua debería permitirse solamente si lo requieren la salud, la seguridad y la protección de los bienes. (…)

12.2. Los representantes de los trabajadores, cuando los haya, y de conformidad con la legislación y la práctica nacionales, deberían ser informados y consultados:

a) acerca de la instalación o modificación de sistemas automatizados de tratamiento de los datos personales de los trabajadores;

b) antes de la instalación de sistemas de vigilancia electrónica del comportamiento de los trabajadores en el lugar de trabajo; y

c) sobre la finalidad, el contenido, la aplicación y la interpretación de cuestionarios y pruebas relativos a los datos personales de los trabajadores.”

(14) http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp48fr.pdf

3. VIGILANCIA Y CONTROL DE LAS COMUNICACIONES ELECTRÓNICAS EN EL LUGAR DE TRABAJO EN EL MARCO DE LA DIRECTIVA 95/46/CE

El presente documento de trabajo se basa en una aplicación de los principios enunciados en la Directiva 95/46/CE a la cuestión que nos ocupa, teniendo en cuenta el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, que exige el respeto de la correspondencia y de la vida privada.

El empleador dispone de múltiples formas de vigilancia en el lugar de trabajo, cada una de las cuales con su propia problemática. El presente documento examinará dos formas de vigilancia, a las cuales se aplican principios similares: el control del correo electrónico y la vigilancia del acceso a Internet.

El punto de partida es la confirmación de la tesis defendida en el dictamen 8/2001 según el cual la Directiva 95/46/CE se aplica al tratamiento de los datos personales en el contexto profesional como en cualquier otro contexto14. Además de la Directiva general 95/46/CE, la Directiva 97/66/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones puede también resultar pertinente. Esta Directiva especifica y completa la Directiva 95/46/CE respecto al tratamiento de los datos personales en el sector de las telecomunicaciones. Además de estar prevista en la Directiva 95/46/CE, la vigilancia por el empleador de las comunicaciones electrónicas, incluidos el correo electrónico y el acceso a Internet, podría también entrar en el ámbito de aplicación de la Directiva 97/66/CE, que actualmente se está examinando en el contexto de la revisión del marco jurídico comunitario en materia de telecomunicaciones.

Cuando esta Directiva es aplicable, sus artículos 5 (Confidencialidad de las telecomunicaciones) y 6 (Tráfico y facturación) pueden desempeñar un papel especialmente importante.

3.1 PRINCIPIOS GENERALES APLICABLES A LA VIGILANCIA DEL CORREO ELECTRÓNICO Y LA UTILIZACIÓN DE INTERNET

Los siguientes principios de protección de datos se derivan de la Directiva 95/46/CE y deben respetarse en el tratamiento de los datos personales que implica este tipo de vigilancia. Para que una actividad de control sea legal y se justifique, deben respetarse todos los principios siguientes.

3.1.1. NECESIDAD

Según este principio, el empleador, antes de proceder a este tipo de actividad, debe comprobar si una forma cualquiera de vigilancia es absolutamente necesaria para un objetivo específico. Debería plantearse la posibilidad de utilizar métodos tradicionales de supervisión, que implican una intromisión menor en la vida privada de los trabajadores, y, cuando proceda, aplicarlos antes de recurrir a una forma de vigilancia de las comunicaciones electrónicas.

Sólo en circunstancias excepcionales se considerará necesaria la vigilancia del correo electrónico o de la utilización de Internet de un trabajador. Podría resultar necesario controlar el correo electrónico de un trabajador para obtener una confirmación o una prueba de determinados actos del mismo. En este tipo de actos se incluiría la actividad delictiva de un trabajador que obligara al empleador a defender sus intereses, por ejemplo, cuando es responsable subsidiario de los actos del trabajador. Estas actividades de vigilancia incluirían también la detección de virus y, en general, cualquier actividad realizada por el empleador para garantizar la seguridad del sistema.

Cabe mencionar que la apertura del correo electrónico de un trabajador puede también resultar necesaria por razones distintas del control o la vigilancia, por ejemplo para mantener la correspondencia cuando el trabajador está ausente (por ej. enfermedad o vacaciones) o cuando la correspondencia no puede garantizarse de otra forma (por ej. mediante las funciones de respuesta o desviación automática).

El principio de necesidad significa también que un empleador sólo debe conservar los datos durante el tiempo necesario para el objetivo específico de la actividad de vigilancia.

3.1.2. FINALIDAD

Este principio significa que los datos deben recogerse con fines determinados, explícitos y legítimos, y no ser tratados posteriormente de manera incompatible con dichos fines. En el presente contexto, el principio de “compatibilidad” significa, por ejemplo, que si el tratamiento de los datos se justifica a efectos de seguridad del sistema, estos datos no podrán tratarse posteriormente con otro objetivo, por ejemplo, para supervisar el comportamiento del trabajador.

3.1.3. TRANSPARENCIA

Este principio significa que un empleador debe indicar de forma clara y abierta sus actividades. Dicho de otro modo, el control secreto del correo electrónico por el empleador está prohibido, excepto en los casos en que exista en el Estado miembro una ley que lo autorice en virtud del artículo 13 de la Directiva(15). Ello puede ocurrir cuando se detecte una actividad delictiva particular (que haga necesaria la obtención de pruebas, y siempre que se cumplan las normas jurídicas y procesales de los Estados miembros) o cuando existan leyes nacionales que autoricen al empleador, previendo las garantías necesarias, a adoptar algunas medidas para detectar infracciones en el lugar de trabajo.

Por otra parte, este principio puede subdividirse en tres aspectos:

(15) El artículo 13 de la Directiva permite a los Estados miembros adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos en algunos artículos de dicha Directiva, cuando tal limitación constituya una medida necesaria para la salvaguardia de intereses públicos importantes, como la seguridad del Estado, o la prevención, la investigación, la detección y la represión de infracciones penales, o también la protección del interesado o de los derechos y libertades de otras personas.

3.1.3.1. LA OBLIGACIÓN DE PROPORCIONAR INFORMACIÓN AL INTERESADO

Se trata probablemente del ejemplo más pertinente del principio de transparencia aplicado a la cuestión que nos ocupa. Significa que el empleador debe transmitir a  su personal una declaración clara, precisa y fácilmente accesible de su política relativa a la vigilancia del correo electrónico y la utilización de Internet.

Los trabajadores deben ser informados de manera completa sobre las circunstancias particulares que pueden justificar esta medida excepcional; así como del alcance y el ámbito de aplicación de este control. Esta información debería incluir:

1. La política de la empresa en cuanto a utilización del correo electrónico e Internet, describiendo de forma pormenorizada en qué medida los trabajadores pueden utilizar los sistemas de comunicación de la empresa con fines privados o personales (por ejemplo, períodos y duración de utilización).

2. Los motivos y finalidad de la vigilancia, en su caso. Cuando el empleador autorice a los trabajadores a utilizar los sistemas de comunicación de la empresa con fines personales, las comunicaciones privadas podrán supervisarse en circunstancias muy limitadas, p. ej. para garantizar la seguridad del sistema informático (detección de virus).

3. Información detallada sobre las medidas de vigilancia adoptadas, p. ej. ¿quién? ¿qué? ¿cómo? ¿cuándo?

4. Información detallada sobre los procedimientos de aplicación, precisando cómo y cuándo se informará a los trabajadores en caso de infracción de las directrices internas y de los medios de que disponen para reaccionar en estos casos.

El Grupo de Trabajo desearía destacar aquí que es aconsejable desde un punto de vista práctico que el empleador informe inmediatamente al trabajador de cualquier abuso de las comunicaciones electrónicas detectado, salvo si razones imperiosas justifican la continuación de la vigilancia(16), lo que normalmente no es el caso.

Puede transmitirse información rápida fácilmente mediante un programa informático, por ej. ventanas de advertencia que avisen al trabajador de que el sistema ha detectado una utilización ilícita de la red. Un gran número de malentendidos podrían también evitarse de esta manera.

Otro ejemplo del principio de transparencia es la práctica de los empleadores consistente en informar y/o consultar a los representantes de los trabajadores antes de introducir políticas que les conciernan. Cabe destacar que las decisiones relativas a la vigilancia de los trabajadores, en particular, el control de sus comunicaciones electrónicas, están cubiertas por la reciente Directiva 2002/14/CE, siempre que la empresa en cuestión figure en su ámbito de aplicación. En particular, esta Directiva establece la necesidad de informar y consultar a los trabajadores sobre decisiones que puedan implicar cambios importantes en la organización del trabajo o en las relaciones contractuales. La legislación nacional o los convenios colectivos pueden introducir disposiciones más favorables incluso para los trabajadores.

Es posible que los convenios colectivos no sólo obliguen al empleador a informar y consultar a los representantes de los trabajadores antes de instalar sistemas de vigilancia, sino que también supediten esta instalación a su consentimiento previo. Asimismo, en los convenios colectivos pueden establecerse los límites de la utilización de Internet y del correo electrónico por los trabajadores, así como proporcionarse información detallada sobre el control de esta utilización.

(16) En tales casos, por ejemplo, estaría justificada la vigilancia encubierta.

3.1.3.2. LA OBLIGACIÓN DE NOTIFICAR A LAS AUTORIDADES DE SUPERVISIÓN ANTES DE LA APLICACIÓN DE UN TRATAMIENTO TOTAL O PARCIALMENTE AUTOMATIZADO O DE UN CONJUNTO DE TRATAMIENTOS DE ESTE TIPO

Se trata de otro medio de garantizar la transparencia, ya que los trabajadores pueden siempre comprobar en los registros de protección de datos, por ejemplo, qué categorías de datos personales de los trabajadores puede procesar el empleador, con qué finalidad y para qué destinatarios.

3.1.3.3. EL DERECHO DE ACCESO

Un trabajador, así como cualquier otra persona de conformidad con la Directiva17, tiene derecho a acceder a los datos personales que le conciernen tratados por su empleador y, cuando proceda, a pedir la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la Directiva, en particular, debido a su carácter incompleto o inexacto.

El acceso de los trabajadores a los archivos del empleador sin restricciones y con una periodicidad razonable y sin retrasos ni gastos excesivos es una herramienta poderosa que los trabajadores pueden utilizar individualmente para garantizar la lealtad y legitimidad de las actividades de vigilancia en el lugar de trabajo. El acceso a los archivos del empleador puede no obstante resultar problemático en circunstancias excepcionales, por ejemplo, el acceso a los datos considerados de evaluación.

El Grupo de Trabajo ya abordó de forma somera esta cuestión(18) y podría proporcionar más orientaciones al respecto a la luz de la experiencia.

(17) Artículo 12: Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:

a) libremente, sin restricciones y con una periodicidad razonable y sin retrasos ni gastos excesivos:

– la confirmación de la existencia o inexistencia del tratamiento de datos que le conciernen, así como información por lo menos de los fines de dichos tratamientos, las categorías de datos a que se refieran y los destinatarios o las categorías de destinatarios a quienes se comuniquen dichos datos;

– la comunicación, en forma inteligible, de los datos objeto de los tratamientos, así como toda la información disponible sobre el origen de los datos;

– el conocimiento de la lógica utilizada en los tratamientos automatizados de los datos referidos al interesado, al menos en los casos de las decisiones automatizadas a que se refiere el apartado 1 del artículo 15;

b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos;

c) la notificación a los terceros a quienes se hayan comunicado los datos de toda rectificación, supresión o bloqueo efectuado de conformidad con la letra b), si no resulta imposible o supone un esfuerzo desproporcionado.

(18) Véase la recomendación 1/2001 sobre los datos de evaluación de los trabajadores.

3.1.4. LEGITIMIDAD

Este principio significa que una operación de tratamiento de datos sólo puede efectuarse si su finalidad es legítima según lo dispuesto en el artículo 7 de la Directiva y la legislación nacional de transposición. La letra f) del artículo 7 de la Directiva se aplica especialmente a este principio, dado que, para autorizarse en virtud de la Directiva 95/46/CE, el tratamiento de los datos de un trabajador debe ser necesario para la satisfacción del interés legítimo perseguido por el empleador y no perjudicar los derechos fundamentales de los trabajadores.

La necesidad del empleador de proteger su empresa de amenazas importantes, por ejemplo para evitar la transmisión de información confidencial a un competidor, puede considerarse un interés legítimo.

El tratamiento de datos delicados en este contexto es especialmente problemático, ya que el artículo 8 de la Directiva no prevé un equilibrio de intereses según lo dispuesto en la letra f) del artículo 7 de la Directiva. Sin embargo, la letra b) del apartado 2 del artículo 8 hace referencia al tratamiento “necesario para respetar las obligaciones y derechos específicos del responsable del tratamiento en materia de Derecho laboral en la medida en que esté autorizado por la legislación y ésta prevea garantías adecuadas”.

El tratamiento de datos delicados en relación con las actividades de control y vigilancia es una cuestión espinosa que no sólo es pertinente en un contexto profesional. Se trata en efecto de una cuestión de carácter general sobre la cual el Grupo podría proporcionar orientación en el futuro.

En realidad, a menos que la legislación nacional las autorice específicamente previendo garantías adecuadas, las actividades de vigilancia destinadas directamente al tratamiento de datos delicados relativos a los trabajadores no son legítimas de conformidad con la Directiva 95/46/CE ni tampoco aceptables. No obstante, tampoco parece aceptable impedir o complicar en exceso las actividades de vigilancia (que, en muchos casos no sólo son legales, sino también deseables, como las que tienen por objeto directamente garantizar la seguridad del sistema) por el mero hecho de que sea inevitable el tratamiento de información delicada.

3.1.5. PROPORCIONALIDAD

Según este principio, los datos personales, incluidos los que se utilicen en las actividades de control, deberán ser adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben. La política de la empresa en este ámbito deberá adaptarse al tipo y grado de riesgo al que se enfrente dicha empresa.

El principio de proporcionalidad excluye por lo tanto el control general de los mensajes electrónicos y de la utilización de Internet de todo el personal, salvo si resulta necesario para garantizar la seguridad del sistema. Si existe una solución que implique una intromisión menor en la vida privada de los trabajadores y que permita lograr el objetivo perseguido, el empleador debería considerar su aplicación (por ejemplo, debería evitar los sistemas que efectúan una vigilancia automática y continua).

Si es posible, el control del correo electrónico debería limitarse a los datos sobre tráfico de los participantes y a la hora de una comunicación más que al contenido, si ello es suficiente para satisfacer las necesidades del empleador. Si el acceso al contenido de los mensajes es indispensable, convendría tener en cuenta el respeto de la vida privada de los destinatarios externos e internos de la organización. Por ejemplo, el empleador no puede obtener el consentimiento de las personas ajenas a la organización que envían mensajes a los miembros de su personal. Del mismo modo, el empleador debería aplicar todos los medios razonables para informar a las personas ajenas a la organización de la existencia de actividades de vigilancia que pudieran afectarlas. Se podría, por ejemplo, insertar avisos de la existencia de sistemas de vigilancia en todos los mensajes salientes de la organización. La tecnología ofrece al empleador importantes posibilidades de evaluar la utilización del correo electrónico por sus trabajadores, comprobando, por ejemplo, el número de mensajes enviados y recibidos o el formato de los documentos adjuntos; por ello la apertura efectiva de los mensajes electrónicos es desproporcionada. La tecnología puede también utilizarse para garantizar que sean proporcionadas las medidas adoptadas por el empleador para proteger de todo abuso el acceso a Internet autorizado a su personal, utilizando mecanismos de bloqueo más que de vigilancia(19).

Deberían crearse sistemas de tratamiento de las comunicaciones electrónicas para limitar al mínimo estricto la cantidad de datos personales tratados(20).

Por lo que se refiere a la cuestión de la proporcionalidad, debe destacarse que el mecanismo de negociación colectiva puede resultar muy útil para decidir qué acciones son proporcionadas al riesgo que corre el empleador. Es posible alcanzar un acuerdo entre el empleador y los trabajadores sobre la forma de conciliar los intereses de ambas partes.

(19) Ya existen numerosos ejemplos prácticos de la utilización de estos medios tecnológicos:

– Internet: algunas empresas utilizan un programa informático que puede configurarse para impedir la conexión a categorías predeterminadas de sitios web. Tras consultar la lista global de los sitios web visitados por su personal, el empleador puede decidir añadir algunos sitios a la lista de los bloqueados (eventualmente después de haber informado a los trabajadores de que se bloqueará la conexión con este sitio, salvo si un trabajador le demuestra la necesidad de conectarse).

– Correo electrónico: otras empresas utilizan una función de desviación automática hacia un servidor aislado para todos los mensajes que superan un determinado volumen. Se informa automáticamente al destinatario de que se ha desviado un mensaje sospechoso hacia este servidor, donde puede consultarlo.

(20) Proyecto de Directiva 97/66, considerando 30.

3.1.6. EXACTITUD Y CONSERVACIÓN DE LOS DATOS

Este principio requiere que todos los datos legítimamente almacenados por un empleador (después de tener en cuenta todos los demás principios enunciados en este capítulo) que incluyan datos procedentes de una cuenta de correo electrónico de un trabajador, de su utilización de Internet o relativos a las mismas deberán ser precisos y actualizarse y no podrán conservarse más tiempo del necesario. Los empleadores deberían especificar un período de conservación de los mensajes electrónicos en sus servidores centrales en función de las necesidades profesionales. Normalmente, es difícil imaginar que pueda justificarse un período de conservación superior a tres meses.

3.1.7. SEGURIDAD

Este principio obliga al empleador a aplicar las medidas técnicas y organizativas adecuadas para proteger todos los datos personales en su poder de toda intromisión exterior. Incluye también el derecho del empleador a proteger su sistema contra los virus y puede implicar el análisis automatizado de los mensajes electrónicos y de los datos relativos al tráfico en la red.

El Grupo de Trabajo opina que, dada la importancia de garantizar la seguridad del sistema, la apertura automatizada de los mensajes electrónicos no debe considerarse una violación del derecho del trabajador a la vida privada, siempre y cuando existan garantías adecuadas. Por ejemplo, los empleadores pueden ahora utilizar tecnologías que responden a sus intereses en términos de seguridad, pero que no violan el derecho de los trabajadores a la vida privada.

El Grupo de Trabajo “Artículo 29” llama la atención sobre el papel del administrador del sistema, un trabajador cuyas responsabilidades en materia de protección de datos son importantes. Es fundamental que el administrador del sistema, así como cualquier persona que tenga acceso a datos personales de los trabajadores durante las operaciones de control, esté sometido a una obligación estricta de secreto profesional respecto a la información confidencial a la que pueda acceder.

4. CONTROL DEL CORREO ELECTRÓNICO

4.1. EL SECRETO DE CORRESPONDENCIA

Tal como se ha explicado anteriormente en el presente documento de trabajo, el Grupo de Trabajo considera que las situaciones en línea y fuera de línea no deben tratarse de manera diferente sin motivo y que, por lo tanto, los mensajes electrónicos deben beneficiarse de la misma protección de los derechos fundamentales que el correo tradicional(21). La jurisprudencia del Tribunal Europeo de Derechos Humanos ha proporcionado orientación sobre la aplicación del principio del secreto de correspondencia en una sociedad democrática. No obstante, los ordenamientos jurídicos de los Estados miembros interpretan este principio de manera ligeramente diferente, en particular, desde el punto de vista de su ámbito de aplicación a las comunicaciones profesionales, tanto por lo que se refiere a su contenido como a los datos relativos al tráfico. Desde el punto de vista de la protección de datos, este principio tiene consecuencias importantes al considerar el grado de intromisión tolerable en el correo electrónico de los trabajadores.

El Grupo de Trabajo “Artículo 29” opina que las comunicaciones electrónicas que proceden de locales profesionales pueden estar cubiertas por los conceptos de “vida privada” y de “correspondencia” según lo dispuesto en el apartado 1 del artículo 8 del Convenio europeo. Hay poco margen de interpretación a este respecto, puesto que el Tribunal ya reguló claramente la cuestión en el asunto Halford contra el Reino Unido mencionado más arriba.

Lo que queda por examinar, y se presta de hecho a cierto margen de interpretación, es en qué medida pueden permitirse excepciones o restricciones a este principio, sobre todo cuando entra en conflicto con derechos y libertades de otros que también son protegidos por el Convenio (por ej. los intereses legítimos del empleador). En cualquier caso, el secreto de las comunicaciones y de la correspondencia no depende de la ubicación y la propiedad de los medios electrónicos utilizados, según se establece en constituciones y principios jurídicos fundamentales.

El Grupo de Trabajo “Artículo 29” desearía, sin embargo, recordar que no se trata de un problema específico del tratamiento de los datos de carácter personal en el contexto profesional, sino de un problema general que se deriva del hecho de que las legislaciones y reglamentos sobre protección de datos no se aplican en abstracto. Se supone que los derechos relativos a la protección de datos se aplican a distintos sistemas jurídicos, con otras leyes vigentes que prevén otros derechos y obligaciones para los individuos (por ej. el Derecho laboral). No obstante, el Grupo de Trabajo “Artículo 29” está convencido de que las soluciones propuestas en el presente documento pueden ser útiles para alcanzar este difícil equilibrio de intereses.

(21) Una de las primeras recomendaciones formuladas por el Grupo de Trabajo, la Recomendación 3/97 “Anonimato en Internet”, ya precisaba que las situaciones en línea y fuera de línea debían tratarse de manera idéntica.

Véase http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp6es.pdf

El documento del Grupo de Trabajo sobre Internet, que es el más importante adoptado por el Grupo de Trabajo sobre la privacidad en Internet, hacía hincapié en esta idea en su capítulo 3, página 23:

Véase http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp37es.pdf

4.2. LEGITIMACIÓN DE CONFORMIDAD CON LA DIRECTIVA 95/46/CE

Los mensajes electrónicos contienen datos personales que son protegidos por la Directiva 95/46/CE, por lo que los empleadores deben tener un motivo legítimo para proceder al tratamiento de estos datos. Como se explicó de manera detallada en el dictamen 8/2001, los trabajadores deben dar su consentimiento libremente y con conocimiento de causa; y los empleadores no deben recurrir al consentimiento como medio general de legitimar tratamientos de este tipo.

La legitimación más idónea de la vigilancia del correo electrónico puede encontrarse en la letra f) del artículo 7 de la Directiva, que prevé que el tratamiento sólo pueda efectuarse si es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos. Antes de analizar la aplicación de esta disposición al ámbito que nos ocupa, conviene indicar que tal legitimación no puede anular derechos y libertades fundamentales de los trabajadores. Ello incluye, en su caso, el derecho fundamental al secreto de la correspondencia.

El Grupo de Trabajo ya ha opinado lo siguiente(22):

“Si un empresario debe tratar datos personales como consecuencia inevitable y necesaria de la relación laboral, actuará de forma engañosa si intenta legitimar este tratamiento a través del consentimiento. El recurso al consentimiento deberá limitarse a los casos en los que el trabajador pueda expresarse de forma totalmente libre y tenga la posibilidad de rectificar posteriormente sin verse perjudicado por ello.”

Dado que los mensajes electrónicos contienen datos personales que se refieren tanto al emisor como al destinatario y que los empleadores pueden en general obtener el consentimiento de una de estas partes sin demasiadas dificultades (a menos que el correo electrónico incluya también la correspondencia entre trabajadores de la empresa), la posibilidad de legitimar el control del correo electrónico sobre la base del consentimiento es muy limitada. Estas consideraciones se aplican también a la letra b) del artículo 7 de la Directiva, ya que una de las partes de la correspondencia nunca tendría contrato con el responsable del tratamiento con arreglo a dicha disposición, es decir, para el control de la correspondencia.

En esta fase, debe señalarse que cuando el trabajador recibe una cuenta de correo electrónico para uso estrictamente personal o puede acceder a una cuenta de correo web, la apertura por el empleador de los mensajes electrónicos de esta cuenta (excepto para detectar virus) sólo podrá justificarse en circunstancias muy limitadas(23) y no podrá justificarse en circunstancias normales con arreglo a la letra f) del artículo 7, ya que acceder a este tipo de datos no es necesario para satisfacer un interés legítimo del  empleador. En este caso, prevalece por el contrario el derecho fundamental al secreto de correspondencia.

En consecuencia, la cuestión de en qué medida la letra f) del artículo 7 autoriza el control del correo electrónico depende de la aplicación caso por caso de los principios fundamentales explicados en el capítulo 3.2. Como ya se menciona en el apartado 3.1.4 (Legitimidad), al sopesar los intereses de las partes, conviene tener en cuenta el respeto de la vida privada de las personas ajenas a la organización afectadas por la actividad de vigilancia.

(22) Véase el recuadro de la página 23 del dictamen 8/2001.

(23) Por ejemplo, actividades delictivas del trabajador que obliguen al empleador a defender sus intereses, cuando sea responsable de los actos del trabajador o cuando él mismo sea víctima del delito.

4.3 INFORMACIÓN MÍNIMA RECOMENDADA QUE UNA EMPRESA DEBERÍA FACILITAR A SU PERSONAL

Al elaborar su política, los empleadores deben respetar los principios enunciados en el apartado 3.1.3 relativo al principio general de transparencia(24), habida cuenta de las necesidades y el tamaño de la organización.

Además, en el ámbito más específico del correo electrónico, deberán abordarse los puntos siguientes:

a) Determinar si un trabajador está autorizado a disponer de una cuenta de correo electrónico de uso estrictamente personal, si está permitida la utilización de cuentas de correo web en el lugar de trabajo y si el empleador recomienda a su personal la utilización de una cuenta privada de correo web para utilizar el correo electrónico con fines exclusivamente personales (véase el capítulo 4.4).

b) Los acuerdos con los trabajadores sobre el acceso al contenido del correo electrónico, por ej. cuando el trabajador se ausenta repentinamente, y las finalidades específicas de este acceso.

c) Indicar el periodo de conservación de las posibles copias de protección de los mensajes.

d) Precisar cuándo se borran definitivamente los mensajes electrónicos del servidor.

e) Cuestiones de seguridad.

f) Participación de los representantes de los trabajadores en la formulación de la política.

Conviene señalar que el empleador debe garantizar permanentemente la actualización de su política de acuerdo con la evolución tecnológica y la opinión de su personal.

(24)

1. La política de la empresa en cuanto a utilización del correo electrónico e Internet, describiendo de forma pormenorizada en qué medida los trabajadores pueden utilizar los sistemas de comunicación de la empresa con fines privados o personales (por ejemplo, períodos y duración de utilización).

2. Los motivos y finalidad de la vigilancia, en su caso. Cuando el empleador autorice a los trabajadores a utilizar los sistemas de comunicación de la empresa con fines personales, las comunicaciones privadas podrán supervisarse en circunstancias muy limitadas, p. ej. para garantizar la seguridad del sistema informático (detección de virus).

3. Información detallada sobre las medidas de vigilancia adoptadas, p. ej. ¿quién? ¿qué? ¿cómo? ¿cuándo?

4. Información detallada sobre los procedimientos de aplicación, precisando cómo y cuándo se informará a los trabajadores en caso de infracción de las directrices internas y de los medios de que disponen para reaccionar en estos casos.

4.4 CORREO WEB(25)

El Grupo de Trabajo considera que la posibilidad de que los trabajadores utilicen una cuenta privada de correo electrónico o un correo web podría suponer una solución pragmática del problema. Una recomendación en este sentido por parte del empleador facilitaría la distinción entre el correo electrónico de uso profesional y el de uso privado y reduciría el riesgo de intromisión de los empleadores en la vida privada de sus trabajadores. Además, los costes suplementarios para el empleador serían nulos o mínimos.

Si se adopta esta política, el empleador podrá controlar, en casos específicos en que existan sospechas graves sobre el comportamiento de un trabajador, en qué medida éste utiliza su ordenador con fines personales, contabilizando el tiempo que emplea en las cuentas del correo web. Esta solución satisface los intereses del empleador y evita el riesgo de revelación de datos personales de los trabajadores, y, en particular, de datos delicados.

Además esta política favorecería también a los trabajadores, porque les permitiría saber con seguridad el nivel de confidencialidad que pueden esperar, lo que no quizá no sería el caso con códigos de conducta más complejos y confusos. Dicho esto, conviene también indicar lo siguiente:

a) El hecho de autorizar la utilización del correo web o de cuentas privadas no es óbice para la plena aplicación de los puntos anteriores del presente capítulo a otras cuentas de correo electrónico en el lugar de trabajo.

b) Al autorizar el correo web, las empresas deben saber que su uso puede comprometer la seguridad de sus redes, en particular, por lo que se refiere a la proliferación de virus.

c) Los trabajadores deberían saber que, a veces, los servidores del correo web están situados en terceros países que quizá no cuenten con un sistema adecuado de protección de los datos de carácter personal.

Debe tenerse en cuenta que estas consideraciones se aplican a las relaciones normales entre empleadores y trabajadores. Podría resultar necesario aplicar normas especiales a la comunicación de los trabajadores obligados a guardar secreto profesional.

(25) El correo web es un sistema de correo electrónico en la red que ofrece funciones de correo electrónico a partir de cualquier distribuidor POP o IMAP y que está protegido generalmente por un nombre de usuario y una contraseña.

5. CONTROL DEL ACCESO A INTERNET

5.1 UTILIZACIÓN DE INTERNET CON FINES PRIVADOS EN EL LUGAR DE TRABAJO

En primer lugar, conviene destacar que incumbe a la empresa decidir si autoriza a su personal a navegar en Internet con fines privados y, en caso afirmativo, en qué medida se tolera esta utilización privada.

El Grupo considera no obstante que una prohibición absoluta de la utilización de Internet con fines privados por los trabajadores podría considerarse inaplicable y un tanto irrealista, ya que no se tendría en cuenta el apoyo que Internet puede brindar a los trabajadores en su vida diaria.

5.2. PRINCIPIOS RELATIVOS AL CONTROL DE LA UTILIZACIÓN DE INTERNET

Al considerar la cuestión del control de la utilización de Internet por los trabajadores pueden aplicarse algunos principios.

En la medida de lo posible, la prevención debería primar sobre la detección. En otras palabras, al empleador le es más beneficioso prevenir la utilización abusiva de Internet por medios técnicos que destinar recursos a su detección. Dentro del límite de lo que es razonablemente posible, la política de la empresa respecto a Internet debería basarse en herramientas técnicas para limitar el acceso, más que en dispositivos de control de los comportamientos, por ejemplo, bloqueando el acceso a algunos sitios o instalando advertencias automáticas.

El suministro al trabajador de información rápida sobre la detección de una utilización sospechosa de Internet es importante para minimizar los problemas. Aunque sea necesaria, toda medida de control debe ser proporcionada al riesgo que corre el empleador. En la mayoría de los casos, la utilización abusiva de Internet puede detectarse sin tener que analizar el contenido de los sitios visitados. Por ejemplo, la comprobación del tiempo empleado o la elaboración de una lista de los sitios más visitados por un servicio podría bastar para confirmar al empleador que sus sistemas se emplean correctamente. Si estas comprobaciones generales revelaran una posible utilización abusiva de Internet, el empleador podría entonces considerar la posibilidad de proceder a nuevos controles en la zona de riesgo.

Al analizar la utilización de Internet por los trabajadores, los empleadores deberían evitar sacar conclusiones precipitadas, dada la facilidad con que pueden visitarse involuntariamente algunos sitios a través de respuestas de motores de búsqueda, vínculos hipertextuales ambiguos, pancartas publicitarias engañosas o errores al pulsar las teclas.

En todos los casos, deberán presentarse al trabajador en cuestión todos los hechos de que se le acusa y ofrecerle la posibilidad de refutar la utilización abusiva alegada por el empleador.

5.3 CONTENIDO MÍNIMO RECOMENDADO DE LA POLÍTICA DE LA EMPRESA SOBRE LA UTILIZACIÓN DE INTERNET

1. La información que se especifica en el apartado 3.1.3., relativo al principio de transparencia(26).

Además, en el ámbito más específico del correo electrónico, deberán abordarse los puntos siguientes.

2. El empleador deberá precisar claramente a los trabajadores en qué condiciones se autoriza la utilización de Internet con fines privados e indicarles los elementos que no pueden visualizar o copiar. Estas condiciones y restricciones deberán explicarse al personal.

3. Deberá informarse a los trabajadores de los sistemas instalados para impedir el acceso a algunos sitios o para detectar una posible utilización abusiva. Deberán precisarse el alcance del control, por ejemplo si este control se efectúa de manera individualizada o por departamentos de la empresa, o si el contenido de los sitios consultados será visualizado o registrado por el empleador en determinados casos.

Además, la política de la empresa deberá especificar, cuando proceda, el uso que se hará de los datos recogidos sobre las personas que visitaron sitios específicos.

4. Deberá informarse a los trabajadores del papel de sus representantes, tanto en la aplicación de la política como en la investigación de las presuntas infracciones.

(26)

1. La política de la empresa en cuanto a utilización del correo electrónico e Internet, describiendo de forma pormenorizada en qué medida los trabajadores pueden utilizar los sistemas de comunicación de la empresa con fines privados o personales (por ejemplo, períodos y duración de utilización).

2. Los motivos y finalidad de la vigilancia, en su caso. Cuando el empleador autorice a los trabajadores a utilizar los sistemas de comunicación de la empresa con fines personales, las comunicaciones privadas podrán supervisarse en circunstancias muy limitadas, p. ej. para garantizar la seguridad del sistema informático (detección de virus).

3. Información detallada sobre las medidas de vigilancia adoptadas, p. ej. ¿quién? ¿qué? ¿cómo?¿cuándo?

4. Información detallada sobre los procedimientos de aplicación, precisando cómo y cuándo se informará a los trabajadores en caso de infracción de las directrices internas y de los medios de que disponen para reaccionar en estos casos.

26 aplican la Directiva 95/46/CE constituye un obstáculo fundamental para la adopción del enfoque común previsto en los principios y buenas prácticas señaladas en el presente documento de trabajo.

CONCLUSIÓN

El Grupo de Trabajo ha redactado el presente documento de trabajo con el fin de contribuir a la aplicación uniforme de las medidas nacionales adoptadas de conformidad con la Directiva 95/46/CE en el ámbito de la vigilancia y el control de las comunicaciones electrónicas en el lugar de trabajo. (Sírvanse consultar los resúmenes de las legislaciones nacionales que se adjuntan al presente documento).

El Grupo de Trabajo ha observado algunas divergencias entre las legislaciones nacionales, principalmente en ámbitos vinculados a la protección de datos que tratan de las excepciones al derecho fundamental al secreto de correspondencia y al alcance y repercusiones de la representación y la codecisión colectivas. Desearía, sin embargo, destacar que ninguna divergencia entre las legislaciones de los Estados miembros que

El Subgrupo de Empleo seguirá revisando el presente documento de trabajo a la luz de la experiencia y de futuros avances en este ámbito durante 2002- 2003.

Hecho en Bruselas, el 29 de mayo de 2002

Por el Grupo de Trabajo

El Presidente

Stefano RODOTA

Spam Act 2003

Act nº 129 of 2003 as amended.

Amendments: Act nº 45 of 2004, Acts nº 8, 103 of 2010. Act nº 46 of 2011.

Amendments up to Act nº 169 of 2012.

An Act about spam, and for related purposes

Part 1.-Introduction

1.- Short title

This Act may be cited as the Spam Act 2003.

2.- Commencement

(1) Each provision of this Act specified in column 1 of the table commences, or is taken to have commenced, in accordance with column 2 of the table. Any other statement in column 2 has effect according to its terms.

(2) Column 3 of the table contains additional information that is not part of this Act. Information in this column may be added to or edited in any published version of this Act.

3.- Simplified outline

The following is a simplified outline of this Act:

* This Act sets up a scheme for regulating commercial e-mail and other types of commercial electronic messages.

* Unsolicited commercial electronic messages must not be sent.

* Commercial electronic messages must include information about the individual or organisation who authorised the sending of the message.

* Commercial electronic messages must contain a functional unsubscribe facility.

* Address-harvesting software must not be supplied, acquired or used.

* An electronic address list produced using address-harvesting software must not be supplied, acquired or used.

* The main remedies for breaches of this Act are civil penalties and injunctions.

4.- Definitions

In this Act, unless the contrary intention appears:

account includes:

(a) a free account; and

(b) a pre-paid account; and

(c) anything that may reasonably be regarded as the equivalent of an account.

ACMA means the Australian Communications and Media Authority.

acquire, when used in relation to goods or services, has the same meaning as in the Competition and Consumer Act 2010.

address-harvesting software means software that is specifically designed or marketed for use for:

(a) searching the internet for electronic addresses; and

(b) collecting, compiling, capturing or otherwise harvesting those electronic addresses.

agency includes:

(a) an armed force; and

(b) a police force.

Australia, when used in a geographical sense, includes the external Territories.

Australian link has the meaning given by section 7.

authorise, when used in relation to the sending of an electronic message, has a meaning affected by section 8.

business includes a venture or concern in trade or commerce, whether or not conducted on a regular, repetitive or continuous basis.

carriage service has the same meaning as in the Telecommunications Act 1997.

civil penalty provision means any of the following provisions:

(a) subsections 16(1), (6) and (9);

(b) subsections 17(1) and (5);

(c) subsections 18(1) and (6);

(d) subsections 20(1) and (5);

(e) subsections 21(1) and (3);

(f) subsections 22(1) and (3);

(g) a provision of the regulations that is declared to be a civil penalty provision in accordance with paragraph 45(2)(c).

commercial electronic message has the meaning given by section 6.

consent, when used in relation to the sending of an electronic message, has the meaning given by Schedule 2.

data processing device has the same meaning as in the Telecommunications Act 1997.

dealing with, when used in relation to a commercial electronic message, includes:

(a) accessing the message; and

(b) responding to the message; and

(c) filtering the message.

designated commercial electronic message has the meaning given by Schedule 1.

director includes a member of the governing body of an organisation.

educational institution includes:

(a) a pre-school; and

(b) a school; and

(c) a college; and

(d) a university.

electronic message has the meaning given by section 5.

employee includes an individual who is in the service of an armed force, a police force or a religious organisation.

evidential burden, in relation to a matter, means the burden of adducing or pointing to evidence that suggests a reasonable possibility that the matter exists or does not exist.

Federal Court means the Federal Court of Australia.

goods has the same meaning as in the Competition and Consumer Act 2010.

government body means:

(a) a department of the Commonwealth, a State or a Territory; or

(b) an agency, authority or instrumentality of the Commonwealth, a State or a Territory; or

(c) a department of the government of a foreign country; or

(d) an agency, authority or instrumentality of the government of a foreign country; or

(e) a department of the government of a part of a foreign country; or

(f) an agency, authority or instrumentality of the government of a part of a foreign country.

harvested-address list means:

(a) a list of electronic addresses; or

(b) a collection of electronic addresses; or

(c) a compilation of electronic addresses;

where the production of the list, collection or compilation is, to any extent, directly or indirectly attributable to the use of address-harvesting software.

international convention means:

(a) a convention to which Australia is a party; or

(b) an agreement between Australia and a foreign country.

internet carriage service means a listed carriage service that enables end-users to access the internet.

investment means any mode of application of money or other property for the purpose of gaining a return (whether by way of income, capital gain or any other form of return).

listed carriage service has the same meaning as in the Telecommunications Act 1997.

logo includes a trade mark.

message means information:

(a) whether in the form of text; or

(b) whether in the form of data; or

(c) whether in the form of speech, music or other sounds; or

(d) whether in the form of visual images (animated or otherwise); or

(e) whether in any other form; or

(f) whether in any combination of forms.

mistake means reasonable mistake of fact.

organisation includes:

(a) a body corporate; and

(b) a partnership; and

(c) a government body; and

(d) a court or tribunal; and

(e) an unincorporated body or association.

Express references in this Act to organisations do not imply that references in this Act to persons do not include bodies politic or corporate.

penalty unit has the meaning given by section 4AA of the Crimes Act 1914.

person includes a partnership.

publish includes:

(a) publish on the internet; and

(b) publish to the public or a section of the public.

registered charity means an entity that is registered under the Australian Charities and Not-for-profits Commission Act 2012 as the type of entity mentioned in column 1 of item 1 of the table in subsection 25-5(5) of that Act.

registered political party means a political party, or a branch or division of a political party, that is registered under:

(a) the Commonwealth Electoral Act 1918; or

(b) a law of a State or Territory that deals with electoral matters.

relevant electronic account-holder, in relation to the sending of an electronic message to an electronic address, means:

(a) if the electronic address is an e-mail address-the individual or organisation who is responsible for the relevant e-mail account; or

(b) if the message is sent to an electronic address in connection with an instant messaging service-the individual or organisation who is responsible for the relevant instant messaging account; or

(c) if the electronic address is a telephone number-the individual or organisation who is responsible for the relevant telephone account; or

(d) in any other case-the individual or organisation who is responsible for the relevant account.

send includes attempt to send.

services has the same meaning as in the Competition and Consumer Act 2010.

software includes a combination of software and associated data.

standard telephone service has the same meaning as in the Telecommunications (Consumer Protection and Service Standards) Act 1999.

supply:

(a) when used in relation to goods or services-has the same meaning as in the Competition and Consumer Act 2010; or

(b) when used in relation to land-includes transfer; or

(c) when used in relation to an interest in land-includes transfer or create.

use has a meaning affected by section 11.

voice call means:

(a) a voice call within the ordinary meaning of that expression; or

(b) a call that involves a recorded or synthetic voice; or

(c) if a call covered by paragraph (a) or (b) is not practical for a particular customer with a disability (for example, because the customer has a hearing impairment)-a call that is equivalent to a call covered by either of those paragraphs;

whether or not the customer responds by way of pressing buttons on a telephone handset or similar thing.

5.- Electronic messages

Basic definition

(1) For the purposes of this Act, an electronic message is a message sent:

(a) using:

(i) an internet carriage service; or

(ii) any other listed carriage service; and

(b) to an electronic address in connection with:

(i) an e-mail account; or

(ii) an instant messaging account; or

(iii) a telephone account; or

(iv) a similar account.

(2) For the purposes of subsection (1), it is immaterial whether the electronic address exists.

(3) For the purposes of subsection (1), it is immaterial whether the message reaches its intended destination.

(4) Subsection (1) has effect subject to subsection (5).

Excluded messages-voice calls

(5) If a message is sent by way of a voice call made using a standard telephone service, the message is not an electronic message for the purposes of this Act.

6.- Commercial electronic messages

Basic definition

(1) For the purposes of this Act, a commercial electronic message is an electronic message, where, having regard to:

(a) the content of the message; and

(b) the way in which the message is presented; and

(c) the content that can be located using the links, telephone numbers or contact information (if any) set out in the message;

it would be concluded that the purpose, or one of the purposes, of the message is:

(d) to offer to supply goods or services; or

(e) to advertise or promote goods or services; or

(f) to advertise or promote a supplier, or prospective supplier, of goods or services; or

(g) to offer to supply land or an interest in land; or

(h) to advertise or promote land or an interest in land; or

(i) to advertise or promote a supplier, or prospective supplier, of land or an interest in land; or

(j) to offer to provide a business opportunity or investment opportunity; or

(k) to advertise or promote a business opportunity or investment opportunity; or

(l) to advertise or promote a provider, or prospective provider, of a business opportunity or investment opportunity; or

(m) to assist or enable a person, by a deception, to dishonestly obtain property belonging to another person; or

(n) to assist or enable a person, by a deception, to dishonestly obtain a financial advantage from another person; or

(o) to assist or enable a person to dishonestly obtain a gain from another person; or

(p) a purpose specified in the regulations.

(2) For the purposes of paragraphs (1)(d) to (l), it is immaterial whether the goods, services, land, interest or opportunity exists.

(3) For the purposes of paragraphs (1)(d) to (l), it is immaterial whether it is lawful to acquire the goods, services, land or interest or take up the opportunity.

(4) Any of the following:

(a) the supplier or prospective supplier mentioned in paragraph (1)(f) or (i);

(b) the provider or prospective provider mentioned in paragraph (1)(l);

(c) the person first mentioned in paragraph (1)(m), (n) or (o);

may be the individual or organisation who sent the message or authorised the sending of the message.

(5) Paragraphs (1)(d) to (p) are to be read independently of each other.

(6) Subsection (1) has effect subject to subsection (7).

Excluded messages-regulations

(7) The regulations may provide that a specified kind of electronic message is not a commercial electronic message for the purposes of this Act.

Interpretation

(8) An expression used in paragraph (1)(m) of this section and in section 134.1 of the Criminal Code has the same meaning in that paragraph as it has in that section.

(9) An expression used in paragraph (1)(n) of this section and in section 134.2 of the Criminal Code has the same meaning in that paragraph as it has in that section.

(10) An expression used in paragraph (1)(o) of this section and in section 135.1 of the Criminal Code has the same meaning in that paragraph as it has in that section.

7.- Australian link

For the purposes of this Act, a commercial electronic message has an Australian link if, and only if:

(a) the message originates in Australia; or

(b) the individual or organisation who sent the message, or authorised the sending of the message, is:

(i) an individual who is physically present in Australia when the message is sent; or

(ii) an organisation whose central management and control is in Australia when the message is sent; or

(c) the computer, server or device that is used to access the message is located in Australia; or

(d) the relevant electronic account-holder is:

(i) an individual who is physically present in Australia when the message is accessed; or

(ii) an organisation that carries on business or activities in Australia when the message is accessed; or

(e) if the message cannot be delivered because the relevant electronic address does not exist-assuming that the electronic address existed, it is reasonably likely that the message would have been accessed using a computer, server or device located in Australia.

8.- Authorising the sending of electronic messages

Attribution of authorisation to organisation

(1) For the purposes of this Act (including subsection (2)), if:

(a) an individual authorises the sending of an electronic message; and

(b) the individual does so on behalf of an organisation; then:

(c) the organisation is taken to authorise the sending of the electronic message; and

(d) the individual is taken not to authorise the sending of the electronic message.

Self-authorisation

(2) For the purposes of this Act, if:

(a) an electronic message is sent by an individual or organisation; and

(b) the sending of the message is not authorised by any other individual or organisation;

the first mentioned individual or organisation is taken to authorise the sending of the message.

9.- Sending of electronic messages-carriage service providers

(1) For the purposes of this Act, a person does not send an electronic message, or cause an electronic message to be sent, merely because the person supplies a carriage service that enables the message to be sent.

(2) Subsection (1) is enacted for the avoidance of doubt.

10.- Continuity of partnerships

For the purposes of this Act, a change in the composition of a partnership does not affect the continuity of the partnership.

11.- Extended meaning of use

Unless the contrary intention appears, a reference in this Act to the use of a thing is a reference to the use of the thing either:

(a) in isolation; or

(b) in conjunction with one or more other things.

12. Crown to be bound

(1) This Act binds the Crown in each of its capacities.

(2) This Act does not make the Crown liable to a pecuniary penalty or to be prosecuted for an offence.

(3) The protection in subsection (2) does not apply to an authority of the Crown.

13.- Extension to external Territories

This Act extends to every external Territory.

14.- Extra-territorial application

Unless the contrary intention appears, this Act extends to acts, omissions, matters and things outside Australia.

Part 2.-Rules about sending commercial electronic messages

15.- Simplified outline

The following is a simplified outline of this Part:

* Unsolicited commercial electronic messages must not be sent.

* Commercial electronic messages must include information about the individual or organisation who authorised the sending of the message.

* Commercial electronic messages must contain a functional unsubscribe facility.

16.- Unsolicited commercial electronic messages must not be sent

(1) A person must not send, or cause to be sent, a commercial electronic message that:

(a) has an Australian link; and

(b) is not a designated commercial electronic message.

(2) Subsection (1) does not apply if the relevant electronic account-holder consented to the sending of the message.

(3) Subsection (1) does not apply if the person:

(a) did not know; and

(b) could not, with reasonable diligence, have ascertained;

that the message had an Australian link.

(4) Subsection (1) does not apply if the person sent the message, or caused the message to be sent, by mistake.

(5) A person who wishes to rely on subsection (2), (3) or (4) bears an evidential burden in relation to that matter.

Message must not be sent to a non existent electronic address

(6) A person must not send, or cause to be sent, a commercial electronic message to a non existent electronic address if:

(a) the person did not have reason to believe that the electronic address existed; and

(b) the electronic message:

(i) has an Australian link; and

(ii) is not a designated commercial electronic message.

(7) Subsection (6) does not apply if the person:

(a) did not know; and

(b) could not, with reasonable diligence, have ascertained;

that the message had an Australian link.

(8) A person who wishes to rely on subsection (7) bears an evidential burden in relation to that matter.

Ancillary contraventions

(9) A person must not:

(a) aid, abet, counsel or procure a contravention of subsection (1) or (6); or

(b) induce, whether by threats or promises or otherwise, a contravention of subsection (1) or (6); or

(c) be in any way, directly or indirectly, knowingly concerned in, or party to, a contravention of subsection (1) or (6); or

(d) conspire with others to effect a contravention of subsection (1) or (6).

(10) A person does not contravene subsection (9) merely because the person supplies a carriage service that enables an electronic message to be sent.

Civil penalty provisions

(11) Subsections (1), (6) and (9) are civil penalty provisions.

17.- Commercial electronic messages must include accurate sender information

(1) A person must not send, or cause to be sent, a commercial electronic message that has an Australian link unless:

(a) the message clearly and accurately identifies the individual or organisation who authorised the sending of the message; and

(b) the message includes accurate information about how the recipient can readily contact that individual or organisation; and

(c) that information complies with the condition or conditions (if any) specified in the regulations; and

(d) that information is reasonably likely to be valid for at least 30 days after the message is sent.

(2) Subsection (1) does not apply if the person:

(a) did not know; and

(b) could not, with reasonable diligence, have ascertained;

that the message had an Australian link.

(3) Subsection (1) does not apply if the person sent the message, or caused the message to be sent, by mistake.

(4) A person who wishes to rely on subsection (2) or (3) bears an evidential burden in relation to that matter.

Ancillary contraventions

(5) A person must not:

(a) aid, abet, counsel or procure a contravention of subsection (1); or

(b) induce, whether by threats or promises or otherwise, a contravention of subsection (1); or

(c) be in any way, directly or indirectly, knowingly concerned in, or party to, a contravention of subsection (1); or

(d) conspire with others to effect a contravention of subsection (1).

(6) A person does not contravene subsection (5) merely because the person supplies a carriage service that enables an electronic message to be sent.

Civil penalty provisions

(7) Subsections (1) and (5) are civil penalty provisions.

18.- Commercial electronic messages must contain a functional unsubscribe facility

(1) A person must not send, or cause to be sent, a commercial electronic message that:

(a) has an Australian link; and

(b) is not a designated commercial electronic message;

unless:

(c) the message includes:

(i) a statement to the effect that the recipient may use an electronic address set out in the message to send an unsubscribe message to the individual or organisation who authorised the sending of the first mentioned message; or

(ii) a statement to similar effect; and

(d) the statement is presented in a clear and conspicuous manner; and

(e) the electronic address is reasonably likely to be capable of receiving:

(i) the recipient's unsubscribe message (if any); and

(ii) a reasonable number of similar unsubscribe messages sent by other recipients (if any) of the same message;

at all times during a period of at least 30 days after the message is sent; and

(f) the electronic address is legitimately obtained; and

(g) the electronic address complies with the condition or conditions (if any) specified in the regulations.

(2) Subsection (1) does not apply if the person:

(a) did not know; and

(b) could not, with reasonable diligence, have ascertained;

that the message had an Australian link.

(3) Subsection (1) does not apply to the extent (if any) to which it is inconsistent with the terms of a contract or other agreement between:

(a) the individual or organisation who authorised the sending of the first mentioned message; and

(b) the relevant electronic account-holder.

(4) Subsection (1) does not apply if the person sent the message, or caused the message to be sent, by mistake.

(5) A person who wishes to rely on subsection (2), (3) or (4) bears an evidential burden in relation to that matter.

Ancillary contraventions

(6) A person must not:

(a) aid, abet, counsel or procure a contravention of subsection (1); or

(b) induce, whether by threats or promises or otherwise, a contravention of subsection (1); or

(c) be in any way, directly or indirectly, knowingly concerned in, or party to, a contravention of subsection (1); or

(d) conspire with others to effect a contravention of subsection (1).

(7) A person does not contravene subsection (6) merely because the person supplies a carriage service that enables an electronic message to be sent.

Civil penalty provisions

(8) Subsections (1) and (6) are civil penalty provisions.

Unsubscribe message

(9) For the purposes of the application of this section to a commercial electronic message, where the sending of the message is authorised by an individual or organisation, an unsubscribe message is:

(a) an electronic message to the effect that the relevant electronic account-holder does not want to receive any further commercial electronic messages from or authorised by that individual or organisation; or

(b) an electronic message to similar effect.

Part 3.-Rules about address-harvesting software and harvested-address lists

19.- Simplified outline

The following is a simplified outline of this Part:

* Address-harvesting software must not be supplied, acquired or used.

* An electronic address list produced using address-harvesting software must not be supplied, acquired or used.

20 Address-harvesting software and harvested-address lists must not be supplied

(1) A person (the supplier) must not supply or offer to supply:

(a) address-harvesting software; or

(b) a right to use address-harvesting software; or

(c) a harvested-address list; or

(d) a right to use a harvested-address list;

to another person (the customer) if:

(e) the supplier is:

(i) an individual who is physically present in Australia at the time of the supply or offer; or

(ii) a body corporate or partnership that carries on business or activities in Australia at the time of the supply or offer; or

(f) the customer is:

(i) an individual who is physically present in Australia at the time of the supply or offer; or

(ii) a body corporate or partnership that carries on business or activities in Australia at the time of the supply or offer.

(2) Subsection (1) does not apply if the supplier had no reason to suspect that the customer, or another person, intended to use the address-harvesting software or the harvested-address list, as the case may be, in connection with sending commercial electronic messages in contravention of section 16.

(3) Subsection (1) does not apply if the supplier:

(a) did not know; and

(b) could not, with reasonable diligence, have ascertained;

that the customer was:

(c) an individual who was physically present in Australia at the time of the supply or offer; or

(d) a body corporate or partnership that carried on business or activities in Australia at the time of the supply or offer.

(4) A person who wishes to rely on subsection (3) bears an evidential burden in relation to that matter.

Ancillary contraventions

(5) A person must not:

(a) aid, abet, counsel or procure a contravention of subsection (1); or

(b) induce, whether by threats or promises or otherwise, a contravention of subsection (1); or

(c) be in any way, directly or indirectly, knowingly concerned in, or party to, a contravention of subsection (1); or

(d) conspire with others to effect a contravention of subsection (1).

Civil penalty provisions

(6) Subsections (1) and (5) are civil penalty provisions.

21.- Address-harvesting software and harvested-address lists must not be acquired

(1) A person must not acquire:

(a) address-harvesting software; or

(b) a right to use address-harvesting software; or

(c) a harvested-address list; or

(d) a right to use a harvested-address list;

if the person is:

(e) an individual who is physically present in Australia at the time of the acquisition; or

(f) a body corporate or partnership that carries on business or activities in Australia at the time of the acquisition.

(2) Subsection (1) does not apply if the person did not intend to use the address-harvesting software or the harvested-address list, as the case may be, in connection with sending commercial electronic messages in contravention of section 16.

Ancillary contraventions

(3) A person must not:

(a) aid, abet, counsel or procure a contravention of subsection (1); or

(b) induce, whether by threats or promises or otherwise, a contravention of subsection (1); or

(c) be in any way, directly or indirectly, knowingly concerned in, or party to, a contravention of subsection (1); or

(d) conspire with others to effect a contravention of subsection (1).

Civil penalty provisions

(4) Subsections (1) and (3) are civil penalty provisions.

22.- Address-harvesting software and harvested-address lists must not be used

(1) A person must not use:

(a) address-harvesting software; or

(b) a harvested-address list;

if the person is:

(c) an individual who is physically present in Australia at the time of the use; or

(d) a body corporate or partnership that carries on business or activities in Australia at the time of the use.

(2) Subsection (1) does not apply in relation to the use of address-harvesting software or a harvested-address list, if the use was not in connection with sending commercial electronic messages in contravention of section 16.

Ancillary contraventions

(3) A person must not:

(a) aid, abet, counsel or procure a contravention of subsection (1); or

(b) induce, whether by threats or promises or otherwise, a contravention of subsection (1); or

(c) be in any way, directly or indirectly, knowingly concerned in, or party to, a contravention of subsection (1); or

(d) conspire with others to effect a contravention of subsection (1).

Civil penalty provisions

(4) Subsections (1) and (3) are civil penalty provisions.

Part 4.-Civil penalties

23.- Simplified outline

The following is a simplified outline of this Part:

* Pecuniary penalties are payable for contraventions of civil penalty provisions.

* Proceedings for the recovery of penalties are to be instituted in the Federal Court.

* The Federal Court may make ancillary orders:

(a) directing the payment of compensation to a victim of a contravention of a civil penalty provision; and

(b) directing the payment to the Commonwealth of an amount up to the amount of any financial benefit that is attributable to a contravention of a civil penalty provision.

24.- Pecuniary penalties for contravention of civil penalty provisions

(1) If the Federal Court is satisfied that a person has contravened a civil penalty provision, the Court may order the person to pay to the Commonwealth such pecuniary penalty, in respect of each contravention, as the Court determines to be appropriate.

(2) In determining the pecuniary penalty, the Court must have regard to all relevant matters, including:

(a) the nature and extent of the contravention; and

(b) the nature and extent of any loss or damage suffered as a result of the contravention; and

(c) the circumstances in which the contravention took place; and

(d) whether the person has previously been found by the Court in proceedings under this Act to have engaged in any similar conduct; and

(e) if the Court considers that it is appropriate to do so-whether the person has previously been found by a court in a foreign country to have engaged in any similar conduct.

25.- Maximum penalties for contravention of civil penalty provisions

(1) The maximum penalty payable under subsection 24(1) by a person in respect of a contravention of a civil penalty provision depends on:

(a) whether the person has a prior record in relation to the civil penalty provision (see subsection (2)); and

(b) whether the person is a body corporate; and

(c) whether the civil penalty provision is subsection 16(1), (6) or (9).

Prior record

(2) If:

(a) on a particular day (the first day), the Federal Court makes an order under subsection 24(1) against a person in respect of a contravention of a particular civil penalty provision; and

(b) that is the first occasion on which the Federal Court makes an order under subsection 24(1) against the person in respect of a contravention of the civil penalty provision;

then, for the purposes of determining the penalty payable under subsection 24(1) by the person in respect of a contravention of the civil penalty provision that occurs after the first day, the person has a prior record in relation to the civil penalty provision.

Maximum penalty payable by body corporate-no prior record

(3) If a body corporate does not have a prior record in relation to a particular civil penalty provision:

(a) the penalty payable under subsection 24(1) by the body corporate in respect of a contravention of the civil penalty provision must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-100 penalty units; or

(ii) in any other case-50 penalty units; and

(b) if the Federal Court finds that the body corporate has, on a particular day, committed 2 or more contraventions of the civil penalty provision-the total of the penalties payable under subsection 24(1) by the body corporate in respect of those contraventions must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-2,000 penalty units; or

(ii) in any other case-1,000 penalty units.

Maximum penalty payable by a person other than a body corporate-no prior record

(4) If a person other than a body corporate does not have a prior record in relation to a particular civil penalty provision:

(a) the penalty payable under subsection 24(1) by the person in respect of a contravention of the civil penalty provision must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-20 penalty units; or

(ii) in any other case-10 penalty units; and

(b) if the Federal Court finds that the person has, on a particular day, committed 2 or more contraventions of the civil penalty provision-the total of the penalties payable under subsection 24(1) by the person in respect of those contraventions must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-400 penalty units; or

(ii) in any other case-200 penalty units.

Maximum penalty payable by body corporate-prior record

(5) If a body corporate has a prior record in relation to a particular civil penalty provision:

(a) the penalty payable under subsection 24(1) by the body corporate in respect of a contravention of the civil penalty provision must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-500 penalty units; or

(ii) in any other case-250 penalty units; and

(b) if the Federal Court finds that the body corporate has, on a particular day, committed 2 or more contraventions of the civil penalty provision-the total of the penalties payable under subsection 24(1) by the body corporate in respect of those contraventions must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-10,000 penalty units; or

(ii) in any other case-5,000 penalty units.

Maximum penalty payable by a person other than a body corporate-prior record

(6) If a person other than a body corporate has a prior record in relation to a particular civil penalty provision:

(a) the penalty payable under subsection 24(1) by the person in respect of a contravention of the civil penalty provision must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-100 penalty units; or

(ii) in any other case-50 penalty units; and

(b) if the Federal Court finds that the person has, on a particular day, committed 2 or more contraventions of the civil penalty provision-the total of the penalties payable under subsection 24(1) by the person in respect of those contraventions must not exceed:

(i) if the civil penalty provision is subsection 16(1), (6) or (9)-2,000 penalty units; or

(ii) in any other case-1,000 penalty units.

26.- Civil action for recovery of pecuniary penalties

(1) The ACMA may institute a proceeding in the Federal Court for the recovery on behalf of the Commonwealth of a pecuniary penalty referred to in section 24.

(2) A proceeding under subsection (1) may be commenced within 6 years after the contravention.

(3) The Federal Court may direct that 2 or more proceedings under subsection (1) are to be heard together.

27.- Criminal proceedings not to be brought for contravention of civil penalty provisions

Criminal proceedings do not lie against a person only because the person has contravened a civil penalty provision.

28.- Ancillary orders-compensation

(1) If:

(a) in one or more proceedings under section 26, the Federal Court finds that a person (the perpetrator) has contravened one or more civil penalty provisions; and

(b) the Court is satisfied that another person (the victim) has suffered loss or damage as a result of any or all of those contraventions;

the Court may, on the application of the ACMA or the victim, make an order that the Court considers appropriate directing the perpetrator to compensate the victim.

(2) In determining whether a person (the victim) has suffered loss or damage as a result of one or more contraventions by another person of section 16 in relation to the sending of one or more commercial electronic messages, and in assessing the amount of compensation payable, the Court may have regard to the following:

(a) the extent to which any expenses incurred by the victim are attributable to dealing with the messages;

(b) the effect of dealing with the messages on the victim's ability to carry on business or other activities;

(c) any damage to the reputation of the victim's business that is attributable to dealing with the messages;

(d) any loss of business opportunities suffered by the victim as a result of dealing with the messages;

(e) any other matters that the Court considers relevant.

(3) The Federal Court may make an order under subsection (1), whether or not it makes an order under section 24.

(4) An application under subsection (1) may be made at any time within 6 years after the contravention concerned.

29.- Ancillary orders-recovery of financial benefit

(1) If:

(a) in one or more proceedings under section 26, the Federal Court finds that a person has contravened one or more civil penalty provisions; and

(b) the Court is satisfied that the person has obtained (whether directly or indirectly) a financial benefit that is reasonably attributable to any or all of those contraventions;

the Court may, on the application of the ACMA, make an order directing the person to pay to the Commonwealth an amount up to the amount of the financial benefit.

(2) The Federal Court may make an order under subsection (1), whether or not it makes an order under section 24.

(3) An application under subsection (1) may be made at any time within 6 years after the contravention concerned.

30.- Schedule 3 (infringement notices)

Schedule 3 has effect.

Part 5.-Injunctions

31.- Simplified outline

The following is a simplified outline of this Part:

* The Federal Court may grant injunctions in relation to contraventions of civil penalty provisions.

32 Injunctions

Restraining injunctions

(1) If a person has engaged, is engaging or is proposing to engage, in any conduct in contravention of a civil penalty provision, the Federal Court may, on the application of the ACMA, grant an injunction:

(a) restraining the person from engaging in the conduct; and

(b) if, in the Court's opinion, it is desirable to do so-requiring the person to do something.

Performance injunctions

(2) If:

(a) a person has refused or failed, or is refusing or failing, or is proposing to refuse or fail, to do an act or thing; and

(b) the refusal or failure was, is or would be a contravention of a civil penalty provision;

the Federal Court may, on the application of the ACMA, grant an injunction requiring the person to do that act or thing.

33.- Interim injunctions

Grant of interim injunction

(1) If an application is made to the Federal Court for an injunction under section 32, the Court may, before considering the application, grant an interim injunction restraining a person from engaging in conduct of a kind referred to in that section.

No undertakings as to damages

(2) The Federal Court is not to require an applicant for an injunction under section 32, as a condition of granting an interim injunction, to give any undertakings as to damages.

34.- Discharge etc. of injunctions

The Federal Court may discharge or vary an injunction granted under this Part.

35.- Certain limits on granting injunctions not to apply

Restraining injunctions

(1) The power of the Federal Court under this Part to grant an injunction restraining a person from engaging in conduct of a particular kind may be exercised:

(a) if the Court is satisfied that the person has engaged in conduct of that kind-whether or not it appears to the Court that the person intends to engage again, or to continue to engage, in conduct of that kind; or

(b) if it appears to the Court that, if an injunction is not granted, it is likely that the person will engage in conduct of that kind-whether or not the person has previously engaged in conduct of that kind and whether or not there is an imminent danger of substantial damage to any person if the person engages in conduct of that kind.

Performance injunctions

(2) The power of the Federal Court to grant an injunction requiring a person to do an act or thing may be exercised:

(a) if the Court is satisfied that the person has refused or failed to do that act or thing-whether or not it appears to the Court that the person intends to refuse or fail again, or to continue to refuse or fail, to do that act or thing; or

(b) if it appears to the Court that, if an injunction is not granted, it is likely that the person will refuse or fail to do that act or thing-whether or not the person has previously refused or failed to do that act or thing and whether or not there is an imminent danger of substantial damage to any person if the person refuses or fails to do that act or thing.

36.- Other powers of the Federal Court unaffected

The powers conferred on the Federal Court under this Part are in addition to, and not instead of, any other powers of the Court, whether conferred by this Act or otherwise.

Part 6.-Enforceable undertakings

37.- Simplified outline

The following is a simplified outline of this Part:

* A person may give the ACMA an enforceable undertaking in connection with a matter relating to:

(a) commercial electronic messages; or

(b) address-harvesting software.

38.- Acceptance of undertakings

(1) The ACMA may accept a written undertaking given by a person for the purposes of this section in connection with a matter relating to:

(a) commercial electronic messages; or

(b) address-harvesting software.

(2) The person may withdraw or vary the undertaking at any time, but only with the consent of the ACMA.

39.- Enforcement of undertakings

(1) If the ACMA considers that a person who gave an undertaking under section 38 has breached any of its terms, the ACMA may apply to the Federal Court for an order under subsection (2).

(2) If the Federal Court is satisfied that the person has breached a term of the undertaking, the Court may make any or all of the following orders:

(a) an order directing the person to comply with that term of the undertaking;

(b) an order directing the person to pay to the Commonwealth an amount up to the amount of any financial benefit that the person has obtained directly or indirectly and that is reasonably attributable to the breach;

(c) any order that the Court considers appropriate directing the person to compensate any other person who has suffered loss or damage as a result of the breach;

(d) any other order that the Court considers appropriate.

40.- Assessment of compensation for breach of undertaking

(1) This section applies if, in a proceeding under section 39, the Federal Court finds that a person has breached a term of an undertaking relating to the sending of commercial electronic messages.

(2) In determining whether another person (the victim) has suffered loss or damage as a result of the breach, and in assessing the amount of compensation payable, the Court may have regard to the following:

(a) the extent to which any expenses incurred by the victim are attributable to dealing with the messages;

(b) the effect of dealing with the messages on the victim's ability to carry on business or other activities;

(c) any damage to the reputation of the victim's business that is attributable to dealing with the messages;

(d) any loss of business opportunities suffered by the victim as a result of dealing with the messages;

(e) any other matters that the Court considers relevant.

Part 7.-Miscellaneous

41.- Formal warnings-breach of civil penalty provision

The ACMA may issue a formal warning if a person contravenes a civil penalty provision.

42.- Additional ACMA functions

The ACMA has the following functions:

(a) to conduct and/or co-ordinate community education programs about either or both of the following:

(i) unsolicited commercial electronic messages;

(ii) address-harvesting software;

in consultation with relevant industry and consumer groups and government agencies;

(b) to conduct and/or commission research into issues relating to either or both of the following:

(i) unsolicited commercial electronic messages;

(ii) address-harvesting software;

(c) to liaise with regulatory and other relevant bodies overseas about co-operative arrangements for the prohibition or regulation of either or both of the following:

(i) unsolicited commercial electronic messages;

(ii) address-harvesting software.

43.- Operation of State and Territory laws

This Act is not intended to exclude or limit the operation of a law of a State or Territory to the extent that the law is capable of operating concurrently with this Act.

44.- Implied freedom of political communication

This Act does not apply to the extent (if any) that it would infringe any constitutional doctrine of implied freedom of political communication.

45.- Giving effect to international conventions

(1) The regulations may make provision for and in relation to giving effect to an international convention that deals with either or both of the following:

(a) commercial electronic messages;

(b) address-harvesting software.

(2) Regulations made for the purposes of subsection (1) may:

(a) vest the Federal Court with jurisdiction in a matter or matters arising under the regulations; and

(b) prescribe penalties, not exceeding a fine of 50 penalty units, for offences against the regulations; and

(c) declare that a specified provision of the regulations is a civil penalty provision for the purposes of this Act.

46.- Review of operation of Act

(1) Before the end of the period of 2 years after the commencement of this section, the Minister must cause to be conducted a review of the operation of:

(a) this Act; and

(b) the Telecommunications Act 1997 to the extent to which that Act relates to this Act; and

(c) Part 6 of the Telecommunications Act 1997 to the extent to which that Part:

(i) relates to e-marketing activities (within the meaning of that Part); and

(ii) relates to activities that consist of carrying on business as an electronic messaging service provider (within the meaning of that Part); and

(iii) deals with industry codes, and industry standards, relating to matters covered by paragraphs 113(3)(q) to (v) of that Act.

(2) The Minister must cause to be prepared a report of a review under subsection (1).

(3) The Minister must cause copies of a report to be tabled in each House of the Parliament within 15 sittings days of that House after the completion of the preparation of the report.

47.- Regulations

The Governor General may make regulations prescribing matters:

(a) required or permitted to be prescribed by this Act; or

(b) necessary or convenient to be prescribed for carrying out or giving effect to this Act.

Schedule 1.-Designated commercial electronic messages

1.- Object

The object of this Schedule is to define the expression designated commercial electronic message.

2.- Factual information

(1) For the purposes of this Act, an electronic message is a designated commercial electronic message if:

(a) the message consists of no more than factual information (with or without directly-related comment) and any or all of the following additional information:

(i) the name, logo and contact details of the individual or organisation who authorised the sending of the message;

(ii) the name and contact details of the author;

(iii) if the author is an employee-the name, logo and contact details of the author's employer;

(iv) if the author is a partner in a partnership-the name, logo and contact details of the partnership;

(v) if the author is a director or officer of an organisation-the name, logo and contact details of the organisation;

(vi) if the message is sponsored-the name, logo and contact details of the sponsor;

(vii) information required to be included by section 17;

(viii) information that would have been required to be included by section 18 if that section had applied to the message; and

(b) assuming that none of that additional information had been included in the message, the message would not have been a commercial electronic message; and

(c) the message complies with such other condition or conditions (if any) as are specified in the regulations.

3.- Government bodies, political parties and charities

For the purposes of this Act, an electronic message is a designated commercial electronic message if:

(a) the sending of the message is authorised by any of the following bodies:

(i) a government body;

(ii) a registered political party;

(iii) a registered charity; and

(b) the message relates to goods or services; and

(c) the body is the supplier, or prospective supplier, of the goods or services concerned.

4.- Educational institutions

For the purposes of this Act, an electronic message is a designated commercial electronic message if:

(a) the sending of the message is authorised by an educational institution; and

(b) either or both of the following subparagraphs applies:

(i) the relevant electronic account-holder is, or has been, enrolled as a student in that institution;

(ii) a member or former member of the household of the relevant electronic account-holder is, or has been, enrolled as a student in that institution; and

(c) the message relates to goods or services; and

(d) the institution is the supplier, or prospective supplier, of the goods or services concerned.

5.- Regulations

The regulations may provide that a specified kind of electronic message is a designated commercial electronic message for the purposes of this Act.

Schedule 2.-Consent

1.- Object

The object of this Schedule is to define the expression consent, when used in relation to the sending of an electronic message.

2.- Basic definition

For the purposes of this Act, consent means:

(a) express consent; or

(b) consent that can reasonably be inferred from:

(i) the conduct; and

(ii) the business and other relationships;

of the individual or organisation concerned.

3.- Users of account authorised to consent on behalf of relevant electronic account-holder

(1) For the purposes of this Act, if a person other than the relevant electronic account-holder uses the relevant account to send an electronic message about:

(a) consent; or

(b) withdrawal of consent; or

(c) refusal of consent;

that person is taken to have been authorised to send that message on behalf of the relevant electronic account-holder.

(2) Subclause (1) does not, by implication, limit the circumstances in which a person other than the relevant electronic account-holder may:

(a) consent; or

(b) withdraw consent; or

(c) refuse consent;

on behalf of the relevant electronic account-holder.

4.- When consent may be inferred from publication of an electronic address

(1) For the purposes of this Act, the consent of the relevant electronic account-holder may not be inferred from the mere fact that the relevant electronic address has been published.

Exception-conspicuous publication

(2) However, if:

(a) a particular electronic address enables the public, or a section of the public, to send electronic messages to:

(i) a particular employee; or

(ii) a particular director or officer of an organisation; or

(iii) a particular partner in a partnership; or

(iv) a particular holder of a statutory or other office; or

(v) a particular self-employed individual; or

(vi) an individual from time to time holding, occupying or performing the duties of, a particular office or position within the operations of an organisation; or

(vii) an individual, or a group of individuals, from time to time performing a particular function, or fulfilling a particular role, within the operations of an organisation; and

(b) the electronic address has been conspicuously published; and

(c) it would be reasonable to assume that the publication occurred with the agreement of:

(i) if subparagraph (a)(i), (ii), (iii), (iv) or (v) applies-the employee, director, officer, partner, office-holder or self-employed individual concerned; or

(ii) if subparagraph (a)(vi) or (vii) applies-the organisation concerned; and

(d) the publication is not accompanied by:

(i) a statement to the effect that the relevant electronic account-holder does not want to receive unsolicited commercial electronic messages at that electronic address; or

(ii) a statement to similar effect;

the relevant electronic account-holder is taken, for the purposes of this Act, to have consented to the sending of commercial electronic messages to that address, so long as the messages are relevant to:

(e) if subparagraph (a)(i), (ii), (iii), (iv) or (v) applies-the work-related business, functions or duties of the employee, director, officer, partner, office-holder or self-employed individual concerned; or

(f) if subparagraph (a)(vi) applies-the office or position concerned; or

(g) if subparagraph (a)(vii) applies-the function or role concerned.

5.- Regulations about consent

(1) The regulations may provide that, for the purposes of this Act, the consent of a relevant electronic account-holder may not be inferred in the circumstances specified in the regulations.

(2) The regulations may provide that, for the purposes of this Act, the consent of a relevant electronic account-holder may be inferred in the circumstances specified in the regulations.

6.- When withdrawal of consent takes effect

(1) For the purposes of this Act, if:

(a) one or more electronic messages have been sent to the relevant electronic account-holder's electronic address; and

(b) the relevant electronic account-holder has consented to the sending of those commercial electronic messages to that electronic address; and

(c) an individual or organisation authorised the sending of those commercial electronic messages to that electronic address; and

(d) the relevant electronic account-holder, or a user of the relevant account, sends the individual or organisation:

(i) a message to the effect that the account-holder does not want to receive any further commercial electronic messages at that electronic address from or authorised by that individual or organisation; or

(ii) a message to similar effect;

the withdrawal of consent takes effect at the end of the period of 5 business days beginning on:

(e) if the message referred to in paragraph (d) is an electronic message-the day on which the message was sent; or

(f) if the message referred to in paragraph (d) was sent by post-the day on which service of the message was effected (see section 29 of the Acts Interpretation Act 1901); or

(g) in any other case-the day on which the message was delivered.

(2) For the purposes of subclause (1), a business day is a day that is not a Saturday, a Sunday or a public holiday in:

(a) if the message referred to in paragraph (1)(d) is an electronic message-the place to which the message was sent; or

(b) if the message referred to in paragraph (1)(d) was sent by post-the place to which the message was sent; or

(c) in any other case-the place where the message was delivered.

Schedule 3.-Infringement notices

1.- Object

The object of this Schedule is to set up a system of infringement notices for contraventions of civil penalty provisions as an alternative to the institution of proceedings in the Federal Court.

2.- Definitions

In this Schedule:

authorised person means:

(a) the Chair of the ACMA; or

(b) a member of the staff of the ACMA appointed under clause 9.

civil contravention means a contravention of a civil penalty provision.

infringement notice means an infringement notice under clause 3.

3.- When an infringement notice can be given

(1) If an authorised person has reasonable grounds to believe that a person has, on a particular day, committed one or more contraventions of a particular civil penalty provision, the authorised person may give to the person an infringement notice relating to those contraventions.

(2) An infringement notice must be given within 12 months after the day on which the civil contraventions are alleged to have taken place.

(3) This clause does not authorise the giving of 2 or more infringement notices to a person in relation to contraventions of a particular civil penalty provision that allegedly occurred on the same day.

4.- Matters to be included in an infringement notice

(1) An infringement notice must:

(a) set out the name of the person to whom the notice is given; and

(b) set out the name of the authorised person who gave the notice; and

(c) either:

(i) set out brief details of each of the alleged civil contraventions; or

(ii) be accompanied by one or more data processing devices that contain, in electronic form, brief details of each of the alleged civil contraventions; and

(d) contain a statement to the effect that the matter or matters will not be dealt with by the Federal Court if the penalty specified in the notice is paid to the ACMA, on behalf of the Commonwealth, within:

(i) 28 days after the notice is given; or

(ii) if the ACMA allows a longer period-that longer period; and

(e) give an explanation of how payment of the penalty is to be made; and

(f) set out such other matters (if any) as are specified by the regulations.

(2) For the purposes of paragraph (1)(c), the brief details must include the following information in relation to each alleged civil contravention:

(a) the date of the alleged contravention;

(b) the civil penalty provision that was allegedly contravened.

(3) Subparagraph (1)(c)(ii) does not authorise the inclusion of information in a data processing device unless, at the time the infringement notice was given, it was reasonable to expect that the information would be readily accessible so as to be useable for subsequent reference.

(4) This clause does not limit the operation of the Electronic Transactions Act 1999.

5.- Amount of penalty

Infringement notice given to a body corporate

(1) The penalty to be specified in an infringement notice given to a body corporate must be a pecuniary penalty equal to the number of penalty units worked out using the table:

Infringement notice given to a person other than a body corporate

(2) The penalty to be specified in an infringement notice given to a person other than a body corporate must be a pecuniary penalty equal to the number of penalty units worked out using the table:

6.- Withdrawal of an infringement notice

(1) This clause applies if an infringement notice is given to a person.

(2) An authorised person may, by written notice (the withdrawal notice) given to the person, withdraw the infringement notice.

(3) To be effective, the withdrawal notice must be given to the person within 28 days after the infringement notice was given.

Refund of penalty if infringement notice withdrawn

(4) If:

(a) the penalty specified in the infringement notice is paid; and

(b) the infringement notice is withdrawn after the penalty is paid;

the Commonwealth is liable to refund the penalty.

7.- What happens if the penalty is paid

(1) This clause applies if:

(a) an infringement notice relating to one or more alleged civil contraventions is given to a person; and

(b) the penalty is paid in accordance with the infringement notice; and

(c) the infringement notice is not withdrawn.

(2) Any liability of the person for the alleged civil contraventions is discharged.

(3) Proceedings under Part 4 may not be brought against the person for the alleged civil contraventions.

8.- Effect of this Schedule on civil proceedings

This Schedule does not:

(a) require an infringement notice to be given in relation to an alleged civil contravention; or

(b) affect the liability of a person to have proceedings under Part 4 brought against the person for an alleged civil contravention if:

(i) the person does not comply with an infringement notice relating to the contravention; or

(ii) an infringement notice relating to the contravention is not given to the person; or

(iii) an infringement notice relating to the contravention is given to the person and subsequently withdrawn; or

(c) limit the Federal Court's discretion to determine the amount of a penalty to be imposed on a person who is found in proceedings under Part 4 to have committed a civil contravention.

9.- Appointment of authorised person

The ACMA may, by writing, appoint a member of the staff of the ACMA as an authorised person for the purposes of this Schedule.

10.- Regulations

The regulations may make further provision in relation to infringement notices.

Table A.- Application, saving or transitional provisions

Acts Interpretation Amendment Act 2011 (nº 46, 2011)

Schedule 3

10.- Saving-appointments

The amendments made by Schedule 2 do not affect the validity of an appointment that was made under an Act before the commencement of this item and that was in force immediately before that commencement.

11.- Transitional regulations

The Governor General may make regulations prescribing matters of a transitional nature (including prescribing any saving or application provisions) relating to the amendments and repeals made by Schedules 1 and 2.