LLEI 5/2002, de 19 d'abril, de l'Agència Catalana de Protecció de Dades.

Creació de l'Agència Catalana de Protecció de Dades

Es crea l'autoritat Agència Catalana de Protecció de Dades amb l'objecte de vetllar pel respecte dels drets fonamentals i les llibertats públiques dels ciutadans en tot allò que concerneix les operacions fetes mitjançant processos automatitzats o manuals de dades personals, dins l'àmbit d'actuació que aquesta Llei li reconeix, i d'acord amb les competències i funcions que se li encomanen.

Naturalesa jurídica

1. L'Agència Catalana de Protecció de Dades és una institució de dret públic, amb personalitat jurídica pròpia i plena capacitat d'obrar per al compliment dels seus fins, que actua amb objectivitat i plena independència de les administracions públiques en l'exercici de les seves funcions.

2. L'Agència Catalana de Protecció de Dades es relaciona amb el Govern per mitjà del departament que es determini per reglament.

Àmbit d'actuació

1. L'Agència Catalana de Protecció de Dades exerceix la seva autoritat de control sobre els tractaments de dades personals duts a terme per la Generalitat de Catalunya, pels ens que integren l'Administració local, i per les universitats en l'àmbit territorial de Catalunya, pels organismes i les entitats autònomes que depenen de l'Administració de la Generalitat o dels ens locals i pels consorcis dels quals formen part, de conformitat amb el que estableixen la Llei orgànica 15/1999, del 13 de desembre, de protecció de dades de caràcter personal, i les disposicions que la desenvolupen.

2. L'Agència Catalana de Protecció de Dades també exerceix les seves competències en relació amb els fitxers creats per les administracions, els organismes i les entitats a què es refereix l'apartat 1 quan siguin gestionats per entitats públiques o privades en la prestació de serveis públics, siguin o no concessionàries d'aquests, o per associacions o fundacions, o per les societats civils o mercantils en les quals la Generalitat o els ens locals tinguin la participació majoritària del capital, quan porten a terme activitats per compte d'una administració pública

Capítol II

Competències i funcions

Competències

1. Per al compliment de les finalitats que aquesta Llei li assigna i dins del seu àmbit d'actuació, corresponen a l'Agència Catalana de Protecció de Dades les competències de registre, control, inspecció, sanció i resolució, i també l'adopció de propostes i instruccions.

2. Per a exercir les seves competències, l'Agència Catalana de Protecció de Dades pot subscriure convenis de col·laboració amb altres organismes similars d'àmbit autonòmic o estatal o amb els òrgans de les administracions públiques que tinguin encomanades competències en matèria estadística i de tractament de dades personals.

Funcions

1. Corresponen a l'Agència Catalana de Protecció de Dades les funcions següents:

   1. Vetllar pel compliment de la legislació vigent sobre protecció de dades de caràcter personal i controlar-ne l'aplicació, especialment en allò que fa referència als drets d'informació, accés, rectificació, cancel·lació i oposició.

   2. Vetllar pel compliment de les disposicions que la Llei d'estadística de Catalunya estableix respecte a la recollida de dades estadístiques i al secret estadístic, i adoptar les mesures corresponents per a garantir les condicions de seguretat dels fitxers constituïts amb finalitats exclusivament estadístiques, llevat d'allò que fa referència a les transferències internacionals de dades. A aquests efectes, l'Agència, dins del seu àmbit de competències, pot adoptar instruccions i resolucions adreçades als òrgans administratius i pot sol·licitar la col·laboració de l'Institut d'Estadística de Catalunya, quan s'escaigui.

   3. Dictar, si escau i sens perjudici de les competències d'altres òrgans, les instruccions necessàries per a adequar els tractaments de dades personals als principis de la legislació vigent en matèria de protecció de dades de caràcter personal.

   4. Requerir als responsables i als encarregats del tractament l'adopció de les mesures necessàries per a l'adequació del tractament de dades personals objecte d'investigació a la legislació vigent en matèria de protecció de dades de caràcter personal i, si s'escau, ordenar el cessament dels tractaments i la cancel·lació dels fitxers, excepte el que fa referència a les transferències internacionals de dades.

   5. Proporcionar informació sobre els drets de les persones en matèria de tractament de dades personals.

   6. Atendre les peticions i les reclamacions formulades per les persones afectades.

   7. Obtenir dels responsables dels fitxers l'ajuda i la informació que consideri necessàries per a l'exercici de les seves funcions

   8. Exercir la potestat d'inspecció en els termes establerts per l'article 8, excepte el que fa referència a les transferències internacionals de dades.

   9. Exercir la potestat sancionadora en els termes establerts pel capítol V.

   10. Informar, amb caràcter preceptiu, sobre els projectes de disposicions de caràcter general de la Generalitat de Catalunya en matèria de protecció de dades de caràcter personal.

   11. Respondre les consultes que l'Administració de la Generalitat, els ens locals i les universitats de Catalunya li formulin sobre l'aplicació de la legislació de protecció de dades de caràcter personal i col·laborar amb aquestes administracions públiques en la difusió de les obligacions derivades de la dita legislació.

   12. Totes les altres que li siguin atribuïdes d'acord amb les lleis.

2. L'Agència ha de col·laborar amb el Síndic de Greuges i també amb l'Agència de Protecció de Dades de l'Estat i la resta d'institucions i organismes de defensa dels drets de les persones.

3. Les Administracions, els organismes, les entitats autònomes, els consorcis i les societats compresos dins l'àmbit d'aplicació d'aquesta Llei tenen l'obligació d'auxiliar, amb caràcter preferent i urgent, l'Agència Catalana de Protecció de Dades en les seves investigacions, si aquesta els ho demana.

Memòria anual

1. L'Agència Catalana de Protecció de Dades ha d'elaborar una memòria anual que reflecteixi les seves activitats, i també les conclusions dels seus treballs i dels expedients que hagi tramitat.

2. La memòria anual s'ha de presentar davant el Parlament. La memòria també s'ha de remetre al Govern, al Síndic de Greuges i al director o directora de l'Agència de Protecció de Dades de l'Estat.

Tutela dels drets

1. Qualsevol persona pot conèixer l'existència dels tractaments de dades personals inclosos dins l'àmbit d'aplicació d'aquesta Llei, i també les finalitats i la identitat dels responsables dels dits tractaments, mitjançant la corresponent consulta gratuïta al Registre de Protecció de Dades de Catalunya.

2. Les persones interessades a les quals es denegui, en part o totalment, l'exercici dels drets d'oposició, d'accés, de rectificació o de cancel·lació, ho poden posar en coneixement de l'Agència Catalana de Protecció de Dades, que ha de resoldre expressament sobre la procedència o improcedència de la denegació en el termini de tres mesos.

3. L'Agència Catalana de Protecció de Dades resta obligada a garantir el secret de les consultes i reclamacions de les quals tingui coneixement.

Potestat d'inspecció

1. L'Agència Catalana de Protecció de Dades pot inspeccionar els fitxers de dades personals als quals fa referència aquesta Llei, a fi d'obtenir totes les informacions necessàries per a l'exercici de les seves funcions. Amb aquesta finalitat, pot sol·licitar la presentació o la tramesa de documents i de dades o examinar-los en el lloc on estiguin dipositats, i també inspeccionar els equips físics i lògics utilitzats, per a la qual cosa pot accedir als locals on estiguin instal·lats.

2. Els funcionaris que exerceixen aquesta funció inspectora tenen la consideració d'autoritat pública en el desenvolupament de la llur activitat i resten obligats a mantenir el secret sobre les informacions que coneguin en l'exercici de les funcions inspectores, fins i tot després d'haver cessat en aquestes.

Capítol III

Règim jurídic, econòmic i de personal

Règim jurídic

1. En l'exercici de les seves funcions, l'Agència Catalana de Protecció de Dades actua de conformitat amb el que disposa aquesta Llei, les disposicions que la desenvolupen i la legislació que regula el règim jurídic de les administracions públiques i el procediment administratiu aplicable a la Generalitat.

2. Les resolucions del director o directora de l'Agència Catalana de Protecció de Dades posen fi a la via administrativa i són susceptibles de recurs contenciós administratiu.

3. El personal de l'Agència Catalana de Protecció de Dades té el deure de secret sobre les informacions que conegui en l'exercici de les seves funcions, fins i tot després d'haver cessat d'exercir-les.

Règim de personal

1. Els llocs de treball dels òrgans i els serveis que integren l'Agència Catalana de Protecció de Dades han d'ésser ocupats per personal subjecte a dret administratiu o laboral.

2. Els llocs de treball que comporten l'exercici de potestats públiques es reserven a personal funcionari.

3. Els llocs de treball que comporten l'exercici de la funció d'assessorament en dret, representació i defensa judicial al si de l'Agència es reserven a funcionaris del Cos d'Advocats de la Generalitat de Catalunya.

Règim econòmic i de contractació

1. Per al compliment de les seves finalitats, l'Agència Catalana de Protecció de Dades compta amb els béns i els recursos econòmics següents:

   1. Les assignacions anuals dels pressupostos de la Generalitat.

   2. Els béns i els drets que constitueixen el seu patrimoni, i llurs productes i rendes.

   3. Qualssevol altres que legalment se li puguin atribuir.

2. L'Agència ha d'elaborar i aprovar anualment el seu avantprojecte de pressupost, que ha d'ésser tramès al Govern per a la seva integració, en una secció específica, en els pressupostos de la Generalitat.

3. L'Agència està sotmesa al control financer de la Intervenció General de la Generalitat i al règim de comptabilitat pública.

4. El règim jurídic de contractació de l'Agència és el que estableix la legislació sobre contractes de les administracions públiques.

5. El règim patrimonial de l'Agència és l'establert per al patrimoni de l'Administració de la Generalitat.

   Capítol IV

   Els òrgans de l'Agència Catalana de Protecció de Dades

Els òrgans de govern

Els òrgans de govern de l'Agència Catalana de Protecció de Dades són el director o directora i el Consell Assessor sobre Protecció de Dades de Catalunya. L'estructura de l'Agència s'ha de determinar per reglament.

El director o directora

1. El director o directora de l'Agència Catalana de Protecció de Dades dirigeix l'Agència, n'exerceix la representació i té atribuïdes les funcions que per reglament es determinin. És nomenat pel Govern, a proposta dels membres del Consell Assessor sobre Protecció de Dades de Catalunya, per un període de quatre anys, i pot ésser renovat.

2. El director o directora de l'Agència exerceix les seves funcions amb plena independència i objectivitat sense subjecció a cap mandat imperatiu ni a instrucció. Tanmateix, ha d'escoltar les propostes que li faci el Consell Assessor relatives a l'exercici de les seves funcions i en el supòsit que no les tingui en compte ho ha de motivar.

3. El director o directora cessa per les causes següents:

   1. Per expiració del termini del mandat.

   2. A petició pròpia.

   3. Per separació acordada pel Govern, amb la instrucció prèvia del corresponent expedient, a proposta de les tres quartes parts dels membres del Consell Assessor, per incompliment de les seves obligacions, incompatibilitat, incapacitat sobrevinguda per a l'exercici de les seves funcions o condemna per delicte dolós.

4. El director o directora de l'Agència té la consideració d'alt càrrec, assimilat al de secretari general, i està sotmès al règim d'incompatibilitats dels alts càrrecs de la Generalitat de Catalunya.

5. Anualment, el director o directora de l'Agència ha de comparèixer davant la comissió pertinent per a informar el Parlament de la seva actuació.

El Consell Assessor de Protecció de Dades de Catalunya

1. El director o directora de l'Agència és assessorat pel Consell Assessor de Protecció de Dades de Catalunya, el qual té les funcions d'assessorament, consulta, fixació de criteris i estudi, d'acord amb el que es determini per via reglamentària.

2. El Consell Assessor de Protecció de Dades és constituït pels membres següents:

   1. Tres vocals designats pel Parlament, per una majoria de dos terços a l'inici de cada legislatura.

   2. Tres representants de l'Administració de la Generalitat, designats pel Govern.

   3. Dos representants de l'Administració local de Catalunya, proposats per les entitats associatives d'ens locals.

   4. Una persona experta en l'àmbit dels drets fonamentals, proposada pel Consell Interuniversitari de Catalunya.

   5. Una persona experta en informàtica, proposada pel Consell Interuniversitari de Catalunya.

   6. Un vocal en representació de l'Institut d'Estudis Catalans.

   7. Un vocal en representació dels consumidors i usuaris, proposat per les organitzacions de consumidors més representatives.

   8. El director o directora de l'Institut d'Estadística de Catalunya.

3. El president o presidenta del Consell és nomenat pel president o presidenta de la Generalitat, a proposta del titular del departament amb el qual es relaciona l'Agència, d'entre una terna presentada pel Consell Assessor entre els seus membres. Actua de secretari un funcionari de l'Agència Catalana de Protecció de Dades.

4. El director o directora de l'Agència assisteix a les reunions del Consell Assessor, amb veu i sense vot.

5. El Consell Assessor es regeix per les normes que s'estableixin per reglament i, supletòriament, per les disposicions vigents sobre funcionament d'òrgans col·legiats.

El Registre de Protecció de Dades de Catalunya

1. El Registre de Protecció de Dades de Catalunya és un òrgan integrat a l'Agència Catalana de Protecció de Dades.

2. Són objecte d'inscripció al Registre de Protecció de Dades de Catalunya:

   1. Els fitxers de dades personals inclosos en l'àmbit d'aplicació de la Llei orgànica 15/1999, del 13 de desembre, de protecció de dades de caràcter personal, que siguin de titularitat de la Generalitat de Catalunya, dels ens que integren l'Administració local en l'àmbit territorial de Catalunya i de la resta d'organismes i entitats a què es refereix l'article 3, i també les dades relatives a aquests fitxers que siguin necessàries per a l'exercici dels drets d'informació, d'accés, de rectificació, de cancel·lació i d'oposició.

   2. Els codis tipus definits per l'article 32 de la Llei orgànica 15/1999, del 13 de desembre, de protecció de dades de caràcter personal, formulats per la Generalitat de Catalunya o pels ens que integren l'Administració local en l'àmbit territorial de Catalunya.

3. S'ha d'establir per reglament el procediment d'inscripció en el Registre de Protecció de Dades de Catalunya, el seu contingut, la modificació, la cancel·lació, les reclamacions, els recursos i els altres aspectes pertinents.

4. El Registre de Protecció de Dades de Catalunya ha d'establir els acords de cooperació necessaris amb el Registre General de Protecció de Dades de l'Estat als efectes d'integrar la informació registral i de mantenir-la actualitzada.

   Capítol V

   Infraccions i sancions

Responsabilitats

1. Els responsables dels fitxers de dades personals inclosos dins l'àmbit d'aplicació d'aquesta Llei i els encarregats dels tractaments corresponents estan subjectes al règim sancionador que estableix el Títol VII de la Llei orgànica 15/1999, del 13 de desembre, de protecció de dades de caràcter personal.

2. En cas de comissió d'alguna de les infraccions que estableix l'article 44 de la Llei orgànica 15/1999, del 13 de desembre, de protecció de dades de caràcter personal, el director o directora de l'Agència Catalana de Protecció de Dades ha de dictar una resolució per a establir les mesures a adoptar a fi de corregir els efectes de la infracció. Aquesta resolució s'ha de notificar al responsable i a l'encarregat del fitxer de dades personals, a l'òrgan del qual depenguin i a les persones afectades, si n'hi ha. A més, el director o directora de l'Agència, a iniciativa pròpia o a proposta del Consell Assessor de Protecció de Dades, pot proposar, si escau, la iniciació d'actuacions disciplinàries d'acord amb el que estableix la legislació vigent sobre règim disciplinari de les administracions públiques.

3. Els responsables i els encarregats dels fitxers de dades personals han de comunicar a l'Agència les resolucions adoptades consegüents a les mesures i les actuacions a què es refereix l'apartat 2.

4. El director o directora de l'Agència ha de comunicar al Síndic de Greuges les actuacions que faci i les resolucions que dicti a l'empara del que disposen els apartats anteriors.

Procediment sancionador

1. El procediment per a la determinació de les infraccions i la imposició de sancions és l'establert pel Decret 278/1993, del 9 de novembre, sobre procediment sancionador d'aplicació als àmbits de competència de la Generalitat.

2. Les resolucions del director o directora de l'Agència Catalana de Protecció de Dades en matèria sancionadora exhaureixen la via administrativa.

Potestat d'immobilització

En els supòsits, constitutius d'infracció molt greu, d'utilització o de comunicació il·lícita de dades personals amb què s'atempti greument contra els drets fonamentals i les llibertats públiques dels ciutadans o se n'impedeixi l'exercici, el director o directora de l'Agència Catalana de Protecció de Dades pot, a més d'exercir la potestat sancionadora, exigir als responsables dels fitxers de dades personals el cessament de la utilització o la comunicació il·lícita de dades personals. Si aquest requeriment no és atès també pot, mitjançant una resolució motivada, immobilitzar els fitxers de dades personals, amb l'única finalitat de restaurar els drets de les persones afectades.

Disposicions addicionals

Primera

Fitxers automatitzats de dades personals

En el termini de tres mesos a partir de la constitució del Consell Assessor de Protecció de Dades de Catalunya, s'ha de formalitzar la inscripció en el Registre de Protecció de Dades de Catalunya dels fitxers automatitzats de dades personals de titularitat de la Generalitat de Catalunya i de titularitat dels ens que integren l'Administració local dins l'àmbit territorial de Catalunya que existien abans de la promulgació d'aquesta Llei.

Segona

Fitxers i tractaments de dades personals no automatitzats

Els fitxers i els tractaments de dades personals no automatitzats de titularitat de la Generalitat de Catalunya i dels ens que integren l'Administració local dins l'àmbit territorial de Catalunya han de formalitzar llur inscripció en el Registre de Protecció de Dades de Catalunya en el termini de dos anys a comptar de l'entrada en vigor d'aquesta Llei, sens perjudici que les persones interessades puguin exercir-hi dels drets d'accés, rectificació i cancel·lació.

Tercera

Creació, modificació i supressió de fitxers

Els consellers de la Generalitat, dins l'àmbit de les competències respectives, resten habilitats per a la creació, la modificació i la supressió, mitjançant ordre, dels fitxers que siguin pertinents.

Quarta

Competències del Síndic de Greuges

L'exercici de les funcions de l'Agència Catalana de Protecció de Dades s'entén que és sens perjudici de les competències del Síndic de Greuges.

Cinquena

Fitxers inscrits al Registre de l'Estat

En el termini de tres mesos a partir de la constitució del Consell Assessor, l'Agència Catalana de Protecció de Dades ha de sol·licitar a l'Agència de Protecció de Dades de l'Estat tota la informació respecte els fitxers inscrits en el seu Registre General que siguin de titularitat de les entitats que integren l'Administració local de Catalunya.

Disposicions finals

Primera

Estatut de l'Agència

En el termini de tres mesos a comptar des de l'entrada en vigor d'aquesta Llei, el Govern ha de dictar les disposicions necessàries per a l'aprovació d'un estatut de l'Agència Catalana de Protecció de Dades.

Segona

Constitució del Consell Assessor de Protecció de Dades

El Consell Assessor de Protecció de Dades s'ha de constituir en el termini de quatre mesos, a comptar des de l'entrada en vigor d'aquesta Llei.

Tercera

Entrada en vigor

Aquesta Llei entra en vigor l'endemà d'haver estat publicada al Diari Oficial de la Generalitat de Catalunya.

Per tant, ordeno que tots els ciutadans als quals sigui d'aplicació aquesta Llei cooperin al seu compliment i que els tribunals i les autoritats als quals pertoqui la facin complir.

Palau de la Generalitat, 19 d'abril de 2002

Jordi Pujol

President de la Generalitat de Catalunya

Núria de Gispert i Català

Consellera de Governació i

Relacions Institucionals