La loi organique 15/1999 du sur la protection des données à caractère personnel (LOPD), fut une loi organique espagnole qui avait pour objectif de garantir et de protéger, le traitement des données personnelles, les libertés publiques et les droits fondamentaux des personnes physiques et notamment leur honneur, vie privée et confidentialité personnels et familiaux. Elle a été approuvée par les Cortes Generales (le parlement espagnol) le . Cette loi s'appuie sur l'article 18 de la constitution espagnole de 1978, sur le droit à la vie privée familiale et personnelle et le secret de la correspondance.

Son objectif principal consistait à contrôler le traitement des données et des fichiers personnels, quel que soit le support sur lequel ils sont traités, les droits des citoyens sur ceux-ci et les obligations qui en découlent pour ceux qui les créent ou les traitent. Cette loi concernait toutes les données relatives à des personnes physiques, enregistrées sur tout support, informatique ou non. Les données collectées à des fins domestiques, les sujets classés de l'État et les fichiers qui collectent des données sur le terrorisme et tout autre forme de crime organisé (pas la simple criminalité) sont exclus de cette réglementation.

Cette loi a permis de créer l'Agence espagnole de protection des données au niveau national qui veille au respect de cette loi.

Cette loi a été abrogrée par la loi organique du Loi Organique 3/2018 du 6 décembre, de protection des données à caractère personnel (2018).

Développement des réglementions Décret royal 994/1999 de Mesures de sécurité des fichiers automatisés qui contiennent des données personnelles, du (RMS) : il s'agit d'une réglementation qui développe la Loi organique 5/1992 du , de Réglementation du Traitement Automatisé des Données à caractère Personnel (LORTAD), qui réglemente les mesures techniques et organisationnelles qui doivent être appliquées aux systèmes d'information qui traitent les données à caractère personnel de manière automatisée (abrogée depuis le ). Décret royal 1720/2007 du 21 décembre de développement de la Loi organique sur la protection des données : Il s'agit d'un développement de la Loi organique 15/1999 sur la protection des données du , il établit les principes de la loi ainsi que les mesures de sécurité à appliquer aux systèmes d'information. Ce décret s'applique aussi bien à des fichiers sur support automatisé qu'à tout autre type de support.

Organes de contrôle et sanctions possibles L'organe de contrôle du respect de la réglementation sur la protection des données sur le territoire espagnol est, à titre général, l'Agence espagnole de protection des données (AEPD)Agence Espagnole de Protection des Données ; il existe d'autres Agences de Protection des données à caractère autonome, dans les communautés autonomes de Catalogne et du Pays basque.

Les sanctions se divisent en trois groupes selon la gravité de l'acte commis, sachant que l'Espagne est le pays de l'Union européenne qui possède les sanctions les plus sévères en matière de protection des données. Lesdites sanctions dépendent de l'infraction commise. La dernière entreprise sanctionnée est l'entreprise Grupon. Elle a été sanctionnée par l'agence nationale de protection des données avec une amende de 20 000 euros car elle enregistrait les codes CVV des cartes de crédit de ses clients sans les en informer.

Elles se divisent en trois groupes :

Malgré le montant des sanctions, de nombreuses entreprises en Espagne ne sont pas encore conformes à ces mesures, ou le sont de manière partielle ou ne vérifient pas régulièrement leur conformité, c'est pourquoi il est essentiel de maintenir et de vérifier le respect de la conformité. Dans le secteur public, la Loi mentionnée précédemment réglemente également l'utilisation et la gestion de l'information et des fichiers contenant des données à caractère personnel, utilisés par toutes les administrations publiques.

L'Agence Espagnole de Protection des Données (AEPD) a été créée en 1994 conformément à ce qui est établi dans la loi abrogé LORTAD. Son siège est sis à Madrid, même si les Communautés Autonomes de Madrid, du pays basque et de Catalogne ont créé leurs propres Agences autonomes.

Procédures de contrôle et de protection des droits

Agence Espagnole de la Protection des Données (AEPD)

2012 En 2012, les plaintes déposées auprès de l'AEPD ont augmenté de 12 %. L'activité de l'Agence a augmenté considérablement en 2012, avec une hausse de 15 % dans les fichiers inscrits et de près de 40 % dans les décisions citées. Les plaintes pour usurpation d'identité notamment dans l'approvisionnement en et la commercialisation de l'énergie et de l'eau (222 %) et en télécommunication (92 %) ont subi une hausse importante. Parmi les 863 décisions d'infractions déclarées à des responsables privés, plus de 34 % ont abouti sur un avertissement, sans qu'une sanction ne soit imposée. Par ailleurs, la majorité des sanctions touche le secteur des télécommunications, soit 73 % du total des sanctions. Trois des principaux opérateurs comptabilisent 70,94 % du montant total des amendes.

2011

En 2011, les plaintes enregistrées étaient 51,6 % plus importantes que celles présentées en 2010. Cette hausse se reflète également dans l'augmentation de 37,7 % des décisions déclaratives d'infraction. Cependant, l'application de l'avertissement a entraîné une diminution de 14,5 % dans les sanctions économiques déclarées. Le secteur dans lequel les sanctions ont le plus augmenté (64 %) et dans lequel elles ont été majoritairement déclarées (25,5 %) et en quantité (63 %) est celui des télécommunications. Le nombre de sanctions a augmenté de 12 % par rapport à l'année 2010.

2009 En 2009 les plaintes reçues ont augmenté de plus de 75 %, elles ont atteint le nombre de 4 136 et le nombre de demandes de protection de droits 58 %. 709 procédures de sanctions ont été résolues, dont 621 ont abouti sur une sanction avec un montant total de 24,8 millions d'euros.

Source : Memoria de la Agencia Española de Protección de Datos (AEPD) de los años 2007, 2008, 2009. (Mémoire de l'Agence Espagnole de Protection des Données (AEPD) des années 2007, 2008, 2009)

+Nombre de plaintesLieuSecteur d'activité économiqueProcédures résolues1Télécommunications9082Secteur financier7683Vidéosurveillance721

+Nombre de sanctions par secteur LieuSecteur d'activité économiqueProcédures résolues1Télécommunications1702Vidéosurveillance1173Secteur financier895Comunicac. électroniques et spam39

+Distribution de sanctions en fonction de la gravité LieuType de sanctionPourcentage1Graves74 %2Petites21,3 %3Très graves4,6 %

2008 En 2008, le nombre de faits dénoncés auprès de l'AEPD (et le nombre d'enquête ouverte d'office) a augmenté de plus de 45 % atteignant le nombre de 2 362. La même année, l'AEPD a résolu 630 procédures de sanctions au total, presque 58 % de plus qu'en 2007, dont 535 ont abouti sur une sanction. Les amendes imposées ont atteint jusqu'à 22,6 millions d'euros soit une hausse de 15 % par rapport à l'année précédente.

Le nombre de procédures résolues de déclaration d'infraction commises par les administrations publiques a augmenté en 2008 de près de 20 % par rapport à l'année précédente, passant de 66 à 79. Parmi celles-ci, 59 ont abouti sur une déclaration d'infraction.

2007 En 2007 l'Agence Espagnole de Protection des Données a résolu 399 procédures de sanctions, enregistrant une hausse de 32,5 % par rapport à l'année précédente. Les sanctions économiques imposées par l'AEPD ont atteint jusqu'à 19 600 000 euros.

Agences autonomes de la Protection des Données

2007 L'Agence de Protection des Données de la Communauté de Madrid a réalisé 196 procédures d'inspection et 32 procédures de protection des droits en 2007. L'Agence du Pays basque de la protection des données (Datuak Babesteko Euskal Bulegoa, AVDP-DBEB) a résolu 43 plaintes et 18 procédures d'infraction en 2007Mémoire de l'agence basque de 2007.

Réseau ibéro-américain de Protection des Données

Depuis sa création en 2003, le Réseau ibéro-américain de protection des données (RIPD) a développé un travail intense et fructueux tel que l'organisation de dix rencontres. En plus de faire en sorte que plus de 150 millions de citoyens latino-américains disposent désormais, à côté du traditionnel concept de habeas data, de normes qui permettent de garantir efficacement l'utilisation de leurs informations personnelles et d'autorités spécialisées avec les compétences nécessaires pour protéger lesdites garanties.

En Amérique Latine des politiques pour la protection des données personnelles sont en cours de développement. En 2012 deux nouvelles lois ont été approuvées. Au Nicaragua, la loi Nº787 de Protection des Données Personnelles du et la Loi statutaire Nº1581 du établissent les dispositions générales de la protection des données personnelles.

De même, au Chili, une partie du contenu de la loi 19.628, du sur la Protection de la Vie Privée est actuellement en cours de révision.

L'Assemblée nationale du Venezuela est en train d'élaborer un projet de loi sur la protection de données personnelles Habeas Data. Au Costa Rica il existe déjà une Agence de protection des données de la République du Costa Rica dans le cadre de la loi approuvée en 2011.

Droit d'information

Les données personnelles sont classées en fonction de leur degré de sensibilité plus ou moins élevé, pour appliquer les exigences légales et les mesures de sécurité informatique les plus strictes selon l'importance du degré de sensibilité. Par ailleurs, la déclaration des fichiers de protection des données à l'Agence Espagnole de Protection des Données est obligatoire dans tous les cas.

Les intéressés à qui les données personnelles sont demandées doivent être préalablement informés de manière express, précise et sans équivoque :

1. De l'existence d'un fichier ou du traitement de données à caractère personnel, de l'objectif de leur collecte et des destinataires de l'information.

2. Du caractère obligatoire ou facultatif de leur réponse aux questions qui leur sont posées.

3. Des conséquences de l'obtention de données ou du refus de les fournir.

4. De la possibilité d'exercer les droits d'accès, de modification, d'annulation et d'opposition.

5. De l'identité et de l'adresse du responsable du traitement ou, le cas échéant, de son représentant.

Toutefois, le traitement des données à caractère personnel qui n'ont pas été collectées directement auprès de la personne concernée ou intéressée est autorisé, même si cela n'exonère pas de l'obligation d'informer de manière expresse, précise et sans équivoque, de la part du responsable du fichier ou son représentant, dans les trois mois suivants le début du traitement des données.

Exception : Si les données ont été collectées depuis des « sources accessibles au public » et qu'elles sont utilisées à des fins de publicité ou de prospection commerciale, la communication dans les trois mois de ladite information n'est pas nécessaire. Dans ce cas, « dans chaque communication envoyée à l'intéressé, celui-ci devra être tenu informé de l'origine des données et de l'identité du responsable du traitement ainsi que des droits qui en découlent ».

Clause type

Voici un exemple de clause type d'information/consentement de droits en vertu de la LOPD :

Données dont le traitement est interdit Les données relatives aux « infractions pénales ou administratives ».. Exception : elles pourront être intégrées uniquement aux fichiers des administrations publiques compétentes.

Consentement

Types de consentement

A) Consentement sans équivoque

Le traitement des données à caractère personnel nécessite le consentement sans équivoque de la personne concernée, sauf disposition contraire prévue par la loi.

B) Consentement tacite

Il s'agit de la forme normale du consentement dans les hypothèses où un consentement exprès ou exprès et par écrit n'est pas exigé.

C) Consentement exprès