El Consejo de Ministros ha aprobado la remisión a las Cortes Generales del Proyecto de Ley Orgánica de Protección de Datos que adaptará la legislación española a las disposiciones del Reglamento comunitario en vigor desde el 24/05/2016, introduciendo novedades y mejoras en la regulación de este derecho fundamental en nuestro país.

La adaptación al Reglamento (UE) 2016/679 de 27 de Abr DOUE (Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y derogación de la Directiva 95/46/CE (Reglamento general de protección de datos)), que será aplicable a partir del 25 de mayo de 2018, según establece su artículo 99, requiere la elaboración de una nueva ley orgánica que sustituya a la actual. Por lo que se ha presentado el Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal, para la adaptación del ordenamiento español a la citada disposición europea.

El texto planteado recoge novedades tanto en el régimen de consentimiento como en los tratamientos y en la introducción de nuevas figuras y procedimientos. Las principales novedades  las encontramos en aspectos como:

• Consentimiento de menores para el tratamiento de datos. Adelanta a los 13 años la edad de consentimiento para el tratamiento de datos en consonancia con la normativa de otros países de nuestro entorno.
• Datos de las personas fallecidas. Los herederos de una persona fallecida que acrediten tal condición mediante cualquier medio válido conforme a Derecho, podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión. 
• Inexactitud en los datos obtenidos de forma directa. No serán imputables al responsable del tratamiento, siempre que éste haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, los datos personales que sean inexactos obtenidos directamente del afectado, cuando hubiera recibido los datos de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad, o cuando el responsable obtuviese del mediador o intermediario cuando las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establezcan la posibilidad de intervención de un intermediario o mediador.
• Deber de confidencialidad. Se recoge expresamente el deber de confidencialidad, se regulan garantías específicas y se aplica el principio de minimización de datos para entender desproporcionado el tratamiento de los datos por quien carezca de competencia.
• Principio de transparencia. Se hace referencia al principio de transparencia tratado en el reglamento europeo, que regula el derecho de los afectados a ser informados acerca del tratamiento. Recogienod la denominada "información por capas" ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masivo de datos (tales como las "cookies"), facilitando al afectado la información básica, si bien, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.
• Evitar situaciones discriminatorias. Se mantiene la prohibición de consentir tratamientos con la finalidad principal de almacenar información identificativa de determinadas categorías de datos especialmente protegidos, lo que no impide que los mismos puedan ser objeto de tratamiento en los demás supuestos previstos en el Reglamento (UE) 2016/679. Así, por ejemplo, la prestación del consentimiento no dará cobertura a la creación de "listas negras" de sindicalistas, si bien los datos de afiliación sindical podrán ser tratados por el empresario para hacer posible el ejercicio de los derechos de los trabajadores al amparo del artículo 9.2 b) del Reglamento (UE) 2016/679 o por los propios sindicatos en los términos del artículo 9.2 d) de la misma norma europea. 
• Presunciones. Se incorporan una serie de supuestos - en ningún caso exhaustiva de todos los tratamientos lícitos- respecto de los que el legislador establece una presunción "iuris tantum" de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo. Junto a estos supuestos, se recogen otros, tales como la videovigilancia, los ficheros de exclusión publicitaria o los sistemas de denuncias internas en el sector privado en que la licitud del tratamiento proviene de la existencia de un interés público, en los términos establecidos en el artículo 6.1 e) del Reglamento (UE) 2016/679 de 27 de Abr DOUE (Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y derogación de la Directiva 95/46/CE (Reglamento general de protección de datos)). Finalmente, se hace referencia en este título a la licitud de otros tratamientos regulados en el Capítulo IX del reglamento, como los relacionados con la función estadística o con fines de archivo de interés general. En todo caso, el hecho de que el legislador se refiera a la licitud de los tratamientos no enerva la obligación de los responsables de adoptar todas las medidas de responsabilidad activa establecidas en el Capítulo IV del reglamento europeo y el Título V de esta ley orgánica. 
• Figura del delegado de protección de datos. La figura del delegado de protección de datos adquiere una destacada importancia en el Reglamento (UE) 2016/679 de 27 de Abr DOUE (Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y derogación de la Directiva 95/46/CE (Reglamento general de protección de datos)) y así lo recoge la ley orgánica, que parte del principio de que puede tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una persona física como una persona jurídica. La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente. La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona. Los conocimientos en la materia se podrán acreditar mediante esquemas de certificación. Asimismo, no podrán removerle, salvo en los supuestos de dolo o negligencia grave. Es de destacar que el delegado de protección de datos permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento. 
• Procedimientos en caso de posible vulneración de la normativa de protección de datos.  En este punto se promueve la existencia de mecanismos de autorregulación tanto en el sector público como en el privado e introduce la obligación de bloqueo que garantiza que los datos queden a disposición exclusiva de los jueces y tribunales, el Ministerio Fiscal u otras autoridades competentes (como la AEPD) para la exigencia de posibles responsabilidades derivadas de su tratamiento, evitando así que se puedan borrar para encubrir el incumplimiento.

Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal.

Nuevo Reglamento Europeo de Protección de datos. Cuenta atrás para su aplicación en mayo de 2018.