Loi n° 1/2016 du 22 juillet 2016 relative à la protection des données personnelles (Ley n° 1/2016, de fecha 22 de julio, de protección de datos personales)

Tous les citoyens disposent, dans le cadre du traitement de leurs données à caractère personnel, des droits suivants :

• a) Droit d’accès aux informations relatives à leurs données à caractère personnel. Dans un délai de douze mois, la personne concernée a le droit de demander et d’obtenir gratuitement, par simple demande orale ou par écrit, une copie ou une photocopie, certifiée ou non, des informations relatives à ses données à caractère personnel faisant l’objet d’un traitement, à l’origine de ces données et aux communications effectuées ou prévues concernant celles-ci.
• b) Contestation des évaluations. La personne concernée a le droit d’obtenir du responsable du fichier des informations sur les critères d’évaluation de ses données à caractère personnel et de son comportement, ainsi que sur le programme utilisé pour leur traitement ; elle peut contester tout acte administratif ou toute décision impliquant une évaluation de sa conduite ou de son comportement et une définition de ses caractéristiques ou de sa personnalité.
• c) Droit de consultation du Registre général de la protection des données. Toute personne peut consulter, recueillir et prendre connaissance des informations nécessaires et souhaitées figurant dans le Registre général de la protection des données, notamment l’existence de traitements portant sur ses données à caractère personnel, leur finalité et l’identité du responsable du traitement, ce service étant public.
• d) Droit de rectification et d’effacement. La personne concernée a le droit de rectifier et de demander l’effacement de ses données à caractère personnel lorsqu’elles s’avèrent inexactes ou incomplètes, le responsable du traitement étant tenu de donner suite à cette demande dans un délai de quinze jours à compter de la date de celle-ci.
• e) Droit à indemnisation. Les personnes concernées auront droit à une indemnisation pour les dommages ou préjudices causés par le responsable du traitement ou le sous-traitant. Dans le cas de fichiers privés, l’action sera intentée devant la juridiction ordinaire ; dans le cas de fichiers publics, la responsabilité sera engagée conformément à la législation déterminant le régime de responsabilité de l’administration générale de l’État.

1. Les responsables des fichiers contenant des données à caractère personnel à des fins policières ou fiscales peuvent refuser au citoyen le droit d’accès, de rectification, d’opposition ou de suppression de ces données, compte tenu de la gravité et du danger que cela pourrait représenter pour la défense de l’État ou la sécurité publique, la protection des droits et libertés de tiers ou les besoins des enquêtes en cours, ou encore pour les mesures administratives visant à garantir le respect des obligations fiscales.

2. Les personnes n’ont pas non plus le droit d’accéder à leurs données à caractère personnel lorsque ces informations sont susceptibles de porter atteinte à la défense nationale, à la sécurité nationale ou à la prévention et à la recherche des infractions pénales et administratives ainsi qu’à la criminalité en général ; les responsables des fichiers sont alors tenus de rejeter la demande formulée à cet effet.

3. La personne concernée à qui l’exercice des droits visés aux deux alinéas précédents est refusé, en tout ou en partie, peut introduire la réclamation ou le recours correspondant auprès du responsable du fichier qui a décidé du traitement des données à caractère personnel en question ; ce n’est qu’après avoir épuisé cette voie de recours que la personne concernée pourra introduire la réclamation correspondante auprès de l’Autorité de contrôle de la protection des données à caractère personnel, qui statuera en motivant sa décision.

L’Autorité de contrôle de la protection des données à caractère personnel, qui sera créée par décret, est l’organe chargé de la protection des droits découlant de la protection des données à caractère personnel, auprès duquel toute personne concernée à qui l’exercice total ou partiel de ses droits d’opposition, d’accès, de rectification ou de suppression de ses données est refusé pourra formuler tout type de réclamation ou de plainte ; le Registre général de la protection des données à caractère personnel dépendra de cet organisme sur le plan organisationnel et fonctionnel.

1. En vertu de la présente loi, toute personne a le droit d’intenter une action devant les juridictions de droit commun contre ceux qui enfreignent les dispositions de la présente loi ou lui refusent un droit quelconque.

2. L’action visée au point précédent ne pourra être intentée qu’après le dépôt d’une réclamation ou d’une plainte, le cas échéant, auprès de l’Autorité de contrôle de la protection des données à caractère personnel ou auprès de l’organe compétent de l’administration générale de l’État, selon le cas, dont la décision sera rendue dans un délai de trois mois à compter de la date à laquelle les faits ont été portés à sa connaissance.