-
La presente ley tiene por objeto regular el consentimiento informado de los pacientes así como su historia clínica, garantizando el acceso de aquéllos a la información contenida en la misma.
-
Los pacientes tendrán los derechos y obligaciones previstos en la presente ley; en la Ley 4/1986, de 25 de abril, general de sanidad; en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, y demás disposiciones que sean de aplicación.
👑 La descarga en PDF es Premium — el temario que estás leyendo en pantalla ya es el completo, igual para todos.
Tema 7: Protección de datos, consentimiento informado e historia clínica
Normativa vigente sobre protección de datos personales y garantía de los derechos digitales: disposiciones generales; principios de protección de datos; derechos de las personas. La Ley gallega 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes.
Temario de este tema actualizado el 23 de octubre de 2026. Regístrate para recibir actualizaciones cuando la legislación cambie.
Ley 3/2001 Galicia CI e Historia Clínica
Ley 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes (Galicia)
Ámbito de aplicación
La presente Ley será de aplicación a todo tipo de asistencia sanitaria que se preste en la Comunidad Autónoma de Galicia en los centros y establecimientos sanitarios públicos o privados, sean o no concertados con el Servicio Gallego de Salud.
Definición
-
A los efectos de la presente ley, se entiende por consentimiento informado el prestado libre y voluntariamente por el afectado para toda actuación en el ámbito de su salud y una vez que, recibida la información adecuada, hubiera valorado las opciones propias del caso. El consentimiento será verbal, por regla general, y se prestará por escrito en los casos de intervención quirúrgica, procedimientos diagnósticos y terapéuticos invasores, y, en general, en la aplicación de procedimientos que supongan riesgos o inconvenientes de notoria y previsible repercusión negativa sobre la salud del paciente.
-
La prestación del consentimiento informado es un derecho del paciente y su obtención un deber del médico.
-
El paciente tiene derecho a decidir libremente, tras recibir la información adecuada, entre las opciones clínicas disponibles. Asimismo, tiene derecho a negarse al tratamiento, salvo en los casos determinados en la ley. Su negativa al tratamiento constará por escrito.
Prestación del consentimiento
El consentimiento deberá recabarse por el médico designado por el centro sanitario para la atención del paciente o por el que practique la intervención diagnóstica o terapéutica del propio paciente.
El paciente tendrá también derecho a que se tome en consideración su voluntad, expresada con anticipación ante el personal facultativo del centro sanitario cuando no se encuentre en situación de manifestarla en el momento de la intervención y conste por escrito debidamente firmada.
Instrucciones previas
-
Por el documento de instrucciones previas, una persona mayor de edad, capaz y libre, manifiesta anticipadamente su voluntad, a fin de que ésta sea cumplida en el momento en que llegue a situaciones en las que por las circunstancias no sea capaz de expresarla personalmente, sobre los cuidados y el tratamiento de su salud, o, una vez llegado el fallecimiento, sobre el destino de su cuerpo o de los órganos del mismo. El otorgante del documento puede designar, además un representante para que, llegado el caso, sirva como interlocutor suyo con el médico o el equipo sanitario para procurar el cumplimiento de las instrucciones previas.
-
Tendrá que haber constancia fehaciente de que este documento está otorgado en las condiciones expuestas en el apartado anterior. A estos efectos, la declaración de instrucciones previas deberá formalizarse mediante alguno de los procedimientos siguientes:
a) Ante Notario. En este supuesto no será necesaria la presencia de testigos.
b) Ante tres testigos mayores de edad y con plena capacidad de obrar, de los cuales dos, como mínimo, no podrán tener relación de parentesco hasta el segundo grado ni estar vinculados por relación patrimonial con el otorgante.
-
No serán aplicadas las instrucciones previas contrarias al ordenamiento jurídico, a la «lex artis», ni las que no se correspondan con el supuesto de hecho que el interesado tenga previsto en el momento de manifestarlas. En la historia clínica del paciente quedará constancia razonada de las anotaciones relacionadas con estas previsiones.
-
Cuando existan voluntades anticipadas, la persona que las otorga, sus familiares o su representante harán llegar el documento que las contenga al centro sanitario donde la persona esté hospitalizada. Este documento de voluntades anticipadas será incorporado a la historia clínica del paciente.
-
Las instrucciones previas podrán revocarse libremente en cualquier momento dejando constancia por escrito.
-
A fin de garantizar la eficacia, en el ámbito de la Comunidad Autónoma, de las instrucciones previas manifestadas por los pacientes, y formalizadas documentalmente, con arreglo a lo dispuesto en este artículo, se creará un Registro Autonómico de Instrucciones Previas, adscrito a la Consellería de Sanidad, que se regirá por las normas que reglamentariamente se determinen.
Otorgamiento del consentimiento por sustitución
- Son situaciones de otorgamiento del consentimiento por sustitución las siguientes:
a) Cuando el paciente esté circunstancialmente incapacitado para tomar decisiones, por criterio del médico responsable de la asistencia, el derecho corresponderá a sus familiares o a las personas vinculadas de hecho a él.
En caso de familiares, se dará preferencia al cónyuge o, en su caso, a quien tenga la condición legal de pareja de hecho. En su defecto, a los familiares de grado más próximo y dentro del mismo grado a los que ejerzan de cuidadores o, a falta de éstos, a los de mayor edad.
b) Cuando el paciente sea un incapacitado legal, el derecho corresponde a su representante legal, que habrá de acreditar de forma clara e inequívoca, en virtud de la correspondiente sentencia de incapacitación, que está legalmente habilitado para tomar decisiones que afecten a la persona del incapaz.
Asimismo, cuando a criterio del médico responsable, el incapacitado reúne suficientes condiciones de madurez, le facilitará la información adecuada a su capacidad. La opinión de éste será tomada en consideración como un factor que será tanto más determinante en función de su capacidad.
c) Cuando el paciente menor de edad no sea capaz intelectual ni emocionalmente de comprender el alcance de la intervención, en este caso, el consentimiento lo dará el representante legal del menor después de haber escuchado su opinión si tiene doce años cumplidos. Cuando se trate menores no incapaces ni incapacitados, pero emancipados o con dieciséis años cumplidos, no cabe prestar el consentimiento por sustitución. Sin embargo, en caso de actuación de grave riesgo, según el criterio del facultativo, los padres serán informados y su opinión será tenida en cuenta para la toma de la decisión correspondiente.
d) En caso de que la decisión del representante legal sea contraria a los intereses del menor o incapacitado, habrán de ponerse los hechos en conocimiento de la autoridad competente en virtud de lo dispuesto en la legislación civil.
-
La interrupción voluntaria del embarazo, la práctica de ensayos clínicos y la práctica de técnicas de reproducción humana asistida se rigen por lo establecido con carácter general sobre la mayoría de edad y por las disposiciones especiales de aplicación.
-
La representación del consentimiento por sustitución será adecuada a las circunstancias y proporcionada a las necesidades que es preciso atender, siempre a favor del paciente y con respeto a su dignidad personal. El paciente participará en la medida de lo posible en la toma de decisiones a lo largo de su proceso sanitario.
Restricción de la información en interés del paciente
El derecho a la información sanitaria de los pacientes puede limitarse por la existencia acreditada de un estado de necesidad terapéutica. Se entiende por tal la facultad del médico para actuar profesionalmente sin informar antes al paciente, cuando por razones objetivas el conocimiento de su propia situación puede perjudicar su salud de modo grave. Llegado este caso, el médico dejará constancia razonada de las circunstancias en la historia clínica y comunicará su decisión a las personas vinculadas al paciente por razones familiares o de hecho, con arreglo a lo establecido en el apartado 1.a) del artículo 6 de la presente ley.
Características de la información previa al consentimiento
-
El titular del derecho a la información es el paciente. También serán informadas las personas vinculadas a él, por razones familiares o de hecho, en la medida en que el paciente lo permita de forma expresa o tácita.
-
La información será verdadera, comprensible, adecuada a las necesidades del paciente, continuada, razonable y suficiente.
-
La información se facilitará con la antelación suficiente para que el paciente pueda reflexionar y decidir libremente.
-
La información será objetiva, específica y adecuada al procedimiento, evitando los aspectos alarmistas que puedan incidir negativamente en el paciente.
-
La información deberá incluir:
Identificación y descripción del procedimiento.
Objetivo del mismo.
Beneficios que se esperan alcanzar.
Alternativas razonables a dicho procedimiento.
Consecuencias previsibles de su realización.
Consecuencias de la no realización del procedimiento.
Riesgos frecuentes.
Riesgos poco frecuentes, cuando sean de especial gravedad y estén asociados al procedimiento de acuerdo con el estado de la ciencia.
Riesgos personalizados de acuerdo con la situación clínica del paciente.
Contraindicaciones.
Responsabilidad de la información previa al consentimiento
El médico responsable del paciente le garantiza el cumplimiento de su derecho a la información. Los profesionales que lo atiendan durante el proceso asistencial o que le apliquen una técnica o un procedimiento concreto también serán responsables de informarlo.
Contenido del documento formulario
- El documento de consentimiento informado, además de la información del procedimiento diagnóstico o terapéutico a que se refiere el artículo anterior, y sin perjuicio de la posibilidad de adjuntar anexos y otros datos de carácter general, habrá de contener los siguientes datos mínimos:
Identificación del centro.
Identificación del procedimiento.
Identificación del paciente, representante legal, familiar o allegado que presta el consentimiento.
Identificación del médico que informa.
Consentimiento del paciente o del familiar, allegado o representante legal que autoriza.
Declaración del paciente de que conoce que el consentimiento puede ser revocado en cualquier momento sin expresión de la causa de la revocación.
Lugar y fecha.
Firmas del médico, paciente, familiar, representante legal o persona a él allegada.
- En el documento de consentimiento informado quedará constancia de que el paciente o la persona destinataria de la información recibe una copia de dicho documento y de que comprendió adecuadamente la información.
Excepción y límites del consentimiento informado
-
La renuncia del paciente a recibir información está limitada por el interés de la salud del propio paciente, de terceros, de la colectividad y de las exigencias terapéuticas del caso. Cuando el paciente manifieste expresamente su deseo de no ser informado, se respetará su voluntad haciendo constar su renuncia documentalmente, sin perjuicio de obtener el consentimiento previo para la intervención.
-
Los facultativos podrán llevar a cabo las intervenciones clínicas indispensables a favor de la salud del paciente, sin necesidad de contar con su consentimiento, en los siguientes casos:
a) Cuando existe riesgo para la salud pública a causa de razones sanitarias establecidas por la ley y así se declare expresamente por acuerdo del delegado provincial de la Consellería de Sanidad o del director general de Salud Pública si afectara a más de una provincia. En todo caso, una vez adoptadas las medidas pertinentes, de conformidad con lo establecido en la Ley orgánica 3/1986, de 14 de abril, de medidas especiales en materia de salud pública, se comunicarán a la autoridad judicial en el plazo máximo de veinticuatro horas siempre que dispongan el internamiento obligatorio de personas.
b) Cuando existe riesgo inmediato grave para la integridad física y psíquica del paciente y no es posible obtener la autorización, consultando, cuando las circunstancias lo permitan, a sus familiares o a las personas vinculadas de hecho a él.
Comisión de Consentimiento Informado
- A los efectos previstos en la presente Ley, se constituirá, dependiendo de la Consejería de Sanidad y Servicios Sociales, la Comisión de Consentimiento Informado, a la que corresponderán las siguientes funciones:
a) Revisión, actualización y publicación periódica de una guía de formularios de referencia recomendados de consentimiento informado.
b) Conocimiento de la implantación de los formularios de referencia de consentimiento informado.
c) Prestación del asesoramiento necesario a los órganos de la Consejería de Sanidad y Servicios Sociales y del Servicio Gallego de Salud en las materias relacionadas con sus funciones.
d) Valoración, selección y expurgación de la documentación clínica.
e) Todas aquellas que le atribuyan normas de carácter legal o reglamentario.
-
La composición de la Comisión de Consentimiento Informado será determinada por Decreto de la Junta de Galicia.
-
La Comisión de Consentimiento Informado se reunirá, al menos, dos veces al año y siempre que la convoque su Presidente.
Corresponde a la propia Comisión la elaboración y aprobación de su reglamento de funcionamiento interno, rigiéndose, en todo lo no previsto en él, por lo dispuesto en el capítulo II del título I de la Ley 30/1992, de 26 de noviembre, del Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, relativo a los órganos colegiados.
Definición
La historia clínica es el conjunto de documentos en los que se contienen los datos, las valoraciones y las informaciones de cualquier tipo sobre la situación y la evolución clínica de los pacientes a lo largo de su proceso asistencial, así como la identificación de los médicos y demás profesionales que intervinieron en éste.
Soporte
En la historia clínica podrán ser usados cualquiera de los soportes documentales adecuados para su utilización, siempre y cuando garanticen su autenticidad, integridad, seguridad y conservación.
En todo caso, el uso de dichos soportes se atendrá a lo dispuesto en la normativa sobre tratamiento automatizado de datos de carácter personal.
Ámbito territorial
La historia clínica deberá ser única por paciente, al menos en cada complejo hospitalario, hospital o centro sanitario.
Dicha historia clínica acumulará toda la información clínica generada en cada episodio asistencial e integrará los diferentes episodios del paciente.
Contenido
La historia clínica contendrá suficiente información para identificar al paciente y documentar su proceso de atención sanitaria. A tal efecto, incluirá, al menos:
a) Datos suficientes para la adecuada identificación del paciente.
b) Médico o profesional responsable.
c) Datos que identifiquen el proceso de atención sanitaria.
d) Datos relativos al proceso, que incluirán, como mínimo:
-
Anamnesis y exploración física.
-
Órdenes médicas.
-
Hoja de evolución y de planificación de cuidados de enfermería.
-
Evolución clínica.
-
Informe sobre los procedimientos diagnósticos o terapéuticos e interconsultas realizadas.
-
Informe de alta del episodio de atención u hoja de problemas en atención primaria.
-
Documento de consentimiento informado.
-
Documento firmado de alta voluntaria.
Requisitos
-
La elaboración de la historia clínica, en los aspectos relacionados con la asistencia directa al paciente, será responsabilidad de los profesionales que intervienen en la misma.
-
Las historias clínicas deberán ser claramente legibles, evitándose, en lo posible, la utilización de símbolos y abreviaturas, y estarán normalizadas en cuanto a su estructura lógica, de conformidad con lo que se disponga reglamentariamente. Cualquier información incorporada a la historia clínica habrá de ser datada y firmada de manera que se identifique claramente el personal que la realice.
Propiedad y custodia
-
Las historias clínicas son documentos confidenciales propiedad de la Administración sanitaria o entidad titular del centro sanitario cuando el médico trabaje por cuenta y bajo la dependencia de una institución sanitaria. En caso contrario, la propiedad corresponde al médico que realiza la atención sanitaria.
-
La entidad o facultativo propietario es responsable de la custodia de las historias clínicas y habrá de adoptar todas las medidas precisas para garantizar la confidencialidad de los datos o de la información contenida en las mismas.
Asimismo, toda persona que en el ejercicio de sus funciones o competencias tenga conocimiento de los datos e informaciones contenidas en la historia clínica tendrá la obligación de reserva y sigilo respecto de los mismos.
Acceso
-
El paciente tiene el derecho de acceso a la documentación de la historia clínica y a obtener copia de los datos que figuran en la misma. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. Este derecho de acceso podrá ejercitarse por representación debidamente acreditada.
-
En los supuestos de procedimientos administrativos de exigencia de responsabilidad patrimonial o en las denuncias previas a la formalización de un litigio sobre la asistencia sanitaria se permitirá que el paciente tenga acceso directo a la historia clínica, en la forma y con los requisitos que se regulen legal o reglamentariamente.
También tendrán acceso a la historia clínica los órganos competentes para tramitar y resolver los procedimientos de responsabilidad patrimonial por el funcionamiento de la Administración sanitaria, así como la inspección sanitaria en el ejercicio de sus funciones.
-
El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia se rige por lo dispuesto en la Ley orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en la Ley 14/1986, de 25 de abril, general de sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico-asistencial, de modo que como regla general quede asegurado el anonimato, salvo que el propio paciente hubiera dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínico-asistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos en cada caso.
-
El derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas.
-
El acceso por otras personas distintas al paciente a la información contenida en la historia clínica habrá de estar justificado por la atención sanitaria del mismo.
En todo caso, el personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.
- Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo hubiera prohibido expresamente y así se acredite.
En cualquier caso, el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudiquen a terceros.
Cualquier otra razón de carácter excepcional habrá de responder a un interés legítimo susceptible de protección y estar convenientemente motivada.
-
El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, del respeto de los derechos del paciente o de cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria.
-
En todos los casos quedará plenamente garantizado el derecho del paciente a su intimidad personal y familiar, por lo que el personal que acceda a esta información guardará el correspondiente secreto profesional.
Conservación
-
La historia clínica habrá de conservarse en condiciones que garanticen la preservación de la información asistencial que contiene, aunque no se mantenga en el soporte original en el cual se ha generado, con las cautelas que se establezcan reglamentariamente para evitar la manipulación de datos cuando no se mantenga dicho soporte original.
-
Se conservará indefinidamente la siguiente información:
Informes de alta.
Hojas de consentimiento informado.
Hojas de alta voluntaria.
Informes quirúrgicos y/o registro de parto.
Informes de anestesia.
Informes de exploraciones complementarias.
Informes de necropsia.
Hoja de evolución y de planificación de cuidados de enfermería.
Otros informes médicos Cualquier otra información que se considere relevante a efectos asistenciales, preventivos, epidemiológicos o de investigación.
La información de aquellas historias clínicas cuya conservación sea procedente por razones judiciales.
- El resto de la información se conservará, como mínimo, hasta que transcurran cinco años desde la última asistencia prestada al paciente o desde su fallecimiento.
Régimen sancionador
Sin perjuicio de las exigencias que se pudiesen derivar en los ámbitos de la responsabilidad civil y penal, o de la responsabilidad profesional o estatutaria, en su caso, será de aplicación a las infracciones a lo dispuesto en la presente normativa el régimen sancionador previsto en el capítulo VI del título I de la Ley 14/1986, de 25 de abril, General de Sanidad, y en el título VII de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
LO 3/2018
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (2018)
Objeto de la ley
La presente ley orgánica tiene por objeto:
a) Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, y completar sus disposiciones.
El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica.
b) Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.
Ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94
-
Lo dispuesto en los Títulos I a IX y en los artículos 89 a 94 de la presente ley orgánica se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
-
Esta ley orgánica no será de aplicación:
a) A los tratamientos excluidos del ámbito de aplicación del Reglamento general de protección de datos por su artículo 2.2, sin perjuicio de lo dispuesto en los apartados 3 y 4 de este artículo.
b) A los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3.
c) A los tratamientos sometidos a la normativa sobre protección de materias clasificadas.
-
Los tratamientos a los que no sea directamente aplicable el Reglamento (UE) 2016/679 por afectar a actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión Europea, se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado reglamento y en la presente ley orgánica. Se encuentran en esta situación, entre otros, los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, los tratamientos realizados en el ámbito de instituciones penitenciarias y los tratamientos derivados del Registro Civil, los Registros de la Propiedad y Mercantiles.
-
El tratamiento de datos llevado a cabo con ocasión de la tramitación por los órganos judiciales de los procesos de los que sean competentes, así como el realizado dentro de la gestión de la Oficina Judicial, se regirán por lo dispuesto en el Reglamento (UE) 2016/679 y la presente ley orgánica, sin perjuicio de las disposiciones de la Ley Orgánica 6/1985, de 1 julio, del Poder Judicial, que le sean aplicables.
-
El tratamiento de datos llevado a cabo con ocasión de la tramitación por el Ministerio Fiscal de los procesos de los que sea competente, así como el realizado con esos fines dentro de la gestión de la Oficina Fiscal, se regirán por lo dispuesto en el Reglamento (UE) 2016/679 y la presente Ley Orgánica, sin perjuicio de las disposiciones de la Ley 50/1981, de 30 de diciembre, reguladora del Estatuto Orgánico del Ministerio Fiscal, la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial y de las normas procesales que le sean aplicables.
Datos de las personas fallecidas
- Las personas vinculadas al fallecido por razones familiares o de hecho así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión.
Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Dicha prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante.
- Las personas o instituciones a las que el fallecido hubiese designado expresamente para ello podrán también solicitar, con arreglo a las instrucciones recibidas, el acceso a los datos personales de este y, en su caso su rectificación o supresión.
Mediante real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos.
- En caso de fallecimiento de menores, estas facultades podrán ejercerse también por sus representantes legales o, en el marco de sus competencias, por el Ministerio Fiscal, que podrá actuar de oficio o a instancia de cualquier persona física o jurídica interesada.
En caso de fallecimiento de personas con discapacidad, estas facultades también podrán ejercerse, además de por quienes señala el párrafo anterior, por quienes hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se entendieran comprendidas en las medidas de apoyo prestadas por el designado.
Exactitud de los datos
-
Conforme al artículo 5.1.d) del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.
-
A los efectos previstos en el artículo 5.1.d) del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
a) Hubiesen sido obtenidos por el responsable directamente del afectado.
b) Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador que recoja en nombre propio los datos de los afectados para su transmisión al responsable. El mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de comunicación al responsable de datos que no se correspondan con los facilitados por el afectado.
c) Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.
d) Fuesen obtenidos de un registro público por el responsable.
Deber de confidencialidad
-
Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
-
La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
-
Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.
Tratamiento basado en el consentimiento del afectado
-
De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.
-
Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.
-
No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.
Consentimiento de los menores de edad
- El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años.
Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.
- El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.
Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos
-
El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.
-
El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.
Categorías especiales de datos
- A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.
Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda.
- Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad.
En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.
Tratamiento de datos de naturaleza penal
-
El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.
-
El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia.
-
Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.
Transparencia e información al afectado
-
Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.
-
La información básica a la que se refiere el apartado anterior deberá contener, al menos:
a) La identidad del responsable del tratamiento y de su representante, en su caso.
b) La finalidad del tratamiento.
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.
Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.
- Cuando los datos personales no hubieran sido obtenidos del afectado, el responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquel la información básica señalada en el apartado anterior, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.
En estos supuestos, la información básica incluirá también:
a) Las categorías de datos objeto de tratamiento.
b) Las fuentes de las que procedieran los datos.
Disposiciones generales sobre ejercicio de los derechos
-
Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario.
-
El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.
-
El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule.
-
La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.
-
Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas.
-
En cualquier caso, los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica.
-
Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica.
Derecho de acceso
- El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679.
Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud.
- El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho.
No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.
-
A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello.
-
Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.
Derecho de rectificación
Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento.
Derecho de supresión
-
El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.
-
Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.
Derecho a la limitación del tratamiento
-
El derecho a la limitación del tratamiento se ejercerá de acuerdo con lo establecido en el artículo 18 del Reglamento (UE) 2016/679.
-
El hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.
Derecho a la portabilidad
El derecho a la portabilidad se ejercerá de acuerdo con lo establecido en el artículo 20 del Reglamento (UE) 2016/679.
Derecho de oposición
El derecho de oposición, así como los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercerán de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679.