Agencia Estatal Boletín Oficial del Estado

JUAN CARLOS I

REY DE ESPAÑA

Por cuanto el día 24 de septiembre de 2009, el Plenipotenciario de España, nombrado en buena y debida forma al efecto, firmó en Estrasburgo (Francia) el Protocolo Adicional al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, a las Autoridades de control y a los flujos transfronterizos de datos, hecho en Estrasburgo el 8 de noviembre de 2001,

Vistos y examinados el preámbulo y los tres artículos de dicho Protocolo.

Concedida por las Cortes Generales la autorización prevista en el Artículo 94.1 de la Constitución,

Vengo en aprobar y ratificar cuanto en el mismo se dispone, como en virtud del presente lo apruebo y ratifico, prometiendo cumplirlo, observarlo y hacer que se cumpla y observe en todas sus partes, a cuyo fin, para su mayor validación y firmeza, mando expedir este Instrumento de Ratificación firmado por Mí, debidamente sellado y refrendado por el infrascrito Ministro de Asuntos Exteriores y de Cooperación, junto con la siguiente Declaración:

«Para el caso de que el presente Protocolo Adicional al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, a las Autoridades de control y a los flujos transfronterizos de datos, sea extendido por el Reino Unido a Gibraltar, el Reino de España desea formular la siguiente declaración:

1. Gibraltar es un territorio no autónomo de cuyas relaciones exteriores es responsable el Reino Unido y que está sometido a un proceso de descolonización de acuerdo con las decisiones y resoluciones pertinentes de la Asamblea General de las Naciones Unidas.

2. Las autoridades de Gibraltar tienen un carácter local y ejercen competencias exclusivamente internas que tienen su origen y fundamento en la distribución y atribución de competencias efectuadas por el Reino Unido, de conformidad con lo previsto en su legislación interna, en su condición de Estado soberano del que depende el citado territorio no autónomo.

3. En consecuencia, la eventual participación de las autoridades gibraltareñas en la aplicación del presente Protocolo se entenderá realizada exclusivamente en el marco de las competencias internas de Gibraltar y no podrá considerarse que produce cambio alguno respecto de lo previsto en los dos párrafos precedentes.»

Dado en Madrid a 20 de mayo de 2010.

JUAN CARLOS R.

El Ministro de Asuntos Exteriores y de Cooperación,

MIGUEL ÁNGEL MORATINOS CUYAUBÉ

PROTOCOLO ADICIONAL AL CONVENIO PARA LA PROTECCIÓN DE LAS PERSONAS CON RESPECTO AL TRATAMIENTO AUTOMATIZADO DE DATOS DE CARÁCTER PERSONAL, A LAS AUTORIDADES DE CONTROL Y A LOS FLUJOS TRANSFRONTERIZOS DE DATOS

PREÁMBULO

Las Partes en el presente Protocolo Adicional al Convenio para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal, abierto a la firma en Estrasburgo, el 28 de enero de 1981 (en lo sucesivo denominado «el Convenio»);

Convencidas de que las autoridades de control que ejercen sus funciones con total independencia son un elemento de la protección efectiva de las personas con respecto al tratamiento de datos de carácter personal;

Considerando la importancia del flujo de información entre los pueblos;

Considerando que, con la intensificación de los intercambios de datos de carácter personal a través de las fronteras nacionales, es necesario garantizar la protección efectiva de los derechos humanos y de las libertades fundamentales y, en particular, del derecho al respeto de la vida privada, en relación con tales intercambios,

Han convenido en lo siguiente:

Artículo 1. Autoridades de control.

1. Cada Parte dispondrá que una o más autoridades sean responsables de garantizar el cumplimiento de las medidas previstas por su derecho interno que hacen efectivos los principios enunciados en los Capítulos II y III del Convenio, así como en el presente Protocolo.

2. a A este efecto, las autoridades mencionadas dispondrán, en particular, de competencias para la investigación y la intervención, así como de la competencia para implicarse en las actuaciones judiciales o para llamar la atención de las autoridades judiciales competentes respecto de las violaciones de las disposiciones del derecho interno que dan efecto a los principios mencionados en el apartado 1 del artículo 1 del presente Protocolo.

b. Cada autoridad de control atenderá las reclamaciones formuladas por cualquier persona en relación con la protección de sus derechos y libertades fundamentales respecto de los tratamientos de datos de carácter personal dentro de su competencia.

3. Las autoridades de control ejercerán sus funciones con total independencia.

4. Las decisiones de las autoridades de control que den lugar a reclamaciones podrán ser objeto de recurso ante los tribunales.

5. De conformidad con lo dispuesto en el Capítulo IV, y sin perjuicio de lo dispuesto en el artículo 13 del Convenio, las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus obligaciones, en particular mediante el intercambio de toda la información útil.

Artículo 2. Flujos transfronterizos de datos de carácter personal hacia un destinatario que no está sujeto a la jurisdicción de una Parte en el Convenio.

1. Cada Parte dispondrá que la transferencia de datos de carácter personal hacia un destinatario sometido a la jurisdicción de un Estado u organización que no sea Parte en el Convenio sólo podrá efectuarse si dicho Estado u organización garantiza un nivel de protección adecuado a la transferencia de datos prevista.

2. No obstante lo dispuesto en el apartado 1 del artículo 2 del presente Protocolo, cada Parte podrá permitir la transferencia de datos de carácter personal:

a. si está prevista en su legislación interna a causa de:

intereses específicos de la persona interesada, o de

intereses legítimos prevalecientes, en particular, intereses públicos importantes, o

b. si la persona responsable de la transferencia ofrece garantías, que, en particular, pueden resultar de cláusulas contractuales, y éstas son juzgadas suficientes por la autoridad competente de conformidad con el derecho interno.

Artículo 3. Disposiciones finales.

1. Las disposiciones del artículo 1 y 2 del presente Protocolo serán consideradas por las Partes artículos adicionales al Convenio y todas las disposiciones del Convenio se aplicarán en consecuencia.

2. El presente Protocolo estará abierto a la firma de los Estados signatarios del Convenio. Después de adherirse al Convenio en las condiciones previstas en el mismo, las Comunidades Europeas podrán firmar el presente Protocolo. El presente Protocolo está sujeto a ratificación, aceptación o aprobación. Cualquier signatario del presente Protocolo no podrá ratificar, aceptar o aprobar el mismo a menos que haya ratificado, aceptado o aprobado, con anterioridad o simultáneamente, el Convenio o se haya adherido al mismo. Los instrumentos de ratificación, aceptación o aprobación del presente Protocolo se depositarán en poder del Secretario General del Consejo de Europa.

3. a El presente Protocolo entrará en vigor el primer día del mes siguiente a la expiración de un período de tres meses después de la fecha en que cinco de sus signatarios hayan expresado su consentimiento para quedar vinculados por el Protocolo, de conformidad con lo dispuesto en el apartado 2 del artículo 3.

b. Respecto de cualquier Estado signatario del presente Protocolo que posteriormente exprese su consentimiento para quedar vinculado por el mismo, el Protocolo entrará en vigor el primer día del mes siguiente a la expiración de un período de tres meses después de la fecha de depósito del instrumento de ratificación, aceptación o aprobación.

4. a Después de la entrada en vigor del presente Protocolo, cualquier Estado que se haya adherido al Convenio podrá adherirse asimismo al Protocolo.

b. La adhesión se hará efectiva mediante el depósito en poder del Secretario General del Consejo de Europa de un instrumento de adhesión, que entrará en vigor el primer día del mes siguiente a la expiración de un período de tres meses después de la fecha de su depósito.

5. a Cualquier Parte podrá en cualquier momento denunciar el presente Protocolo mediante notificación dirigida al Secretario General del Consejo de Europa.

b. Dicha denuncia entrará en vigor el primer día del mes siguiente a la expiración de un período de tres meses después de la fecha de recepción de dicha notificación por el Secretario General.

6. El Secretario General del Consejo de Europa notificará a los Estados miembros del Consejo de Europa, a las Comunidades Europeas y a cualquier otro Estado que se haya adherido al presente Protocolo:

a. cualquier firma;

b. el depósito de cualquier instrumento de ratificación, aceptación o aprobación;

c. cualquier fecha de entrada en vigor del presente Protocolo de conformidad con el artículo 3;

d. cualquier otra acción, notificación o comunicación relativa al presente Protocolo

En fe de lo cual, los abajo firmantes, debidamente autorizados para ello, firman el presente Protocolo.

Hecho en Estrasburgo, el 8 de noviembre de 2001, en francés e inglés, siendo ambos textos igualmente auténticos, en un único ejemplar, que se depositará en los archivos del Consejo de Europa. El Secretario General del Consejo de Europa remitirá copias certificadas a cada Estado miembro del Consejo de Europa, a las Comunidades Europeas y a cualquier Estado invitado a adherirse al Convenio.

Estados Parte

Estados	Firma	Manifestación del consentimiento	Entrada en vigor	Declaraciones y reservas
Albania	09-06-2004	14-02-2005 R	01-06-2005
Alemania	08-11-2001	12-03-2003 R	01-07-2004	S
Andorra	31-05-2007	06-05-2008 R	01-09-2008	S
Austria	08-11-2001	04-04-2008 R	01-08-2008
Bosnia y Herzegovina	02-03-2004	31-03-2006 R	01-07-2006
Bulgaria	02-06-2010	08-07-2010 R	01-11-2010	S
Chipre	03-10-2002	17-03-2004 R	01-07-2004
Croacia	05-06-2003	21-06-2005 R	01-10-2005
España	24-09-2009	03-06-2010 R	01-10-2010	S
Estonia	15-12-2008	28-07-2009 R	01-11-2009
Eslovaquia	08-11-2001	24-07-2002 R	01-07-2004
Francia	08-11-2001	22-05-2007 R	01-09-2007
Hungría	30-03-2004	04-05-2005 R	01-09-2005
Irlanda	08-11-2001	05-05-2009 R	01-09-2009
Letonia	22-05-2007	21-11-2007 R	01-03-2008
Macedonia, Antigua República Yugoslava de	04-01-2008	26-09-2008 R	01-01-2009
Liechtenstein	28-01-2010	28-01-2010 R	01-05-2010
Lituania	08-11-2001	02-03-2004-R	01-07-2004
Luxemburgo	24-02-2004	23-01-2007 R	01-05-2007
Mónaco	01-10-2008	24-12-2008 R	01-04-2009
Montenegro	24-02-2009	03-03-2010 R	01-07-2010
Países Bajos	12-05-2003	08-09-2004 R	01-01-2005	S
Polonia	21-11-2002	12-07-2005 R	01-11-2005
Portugal	08-11-2001	11-01-2007 R	01-05-2007
República Checa	10-04-2002	24-09-2003 R	01-07-2004
Rumania	13-07-2004	15-02-2006 R	01-06-2006
Serbia	02-07-2008	08-12-2008 R	01-04-2009
Suecia	08-11-2001	08-11-2001 R	01-07-2004
Suiza	17-10-2002	20-12-2007 R	01-04-2008

R: Ratificación; S: Formula declaraciones o reservas.

Declaraciones y reservas

Alemania:

Declaración consignada en una Nota Verbal de la Representación Permanente de Alemania, con fecha 26 de febrero de 2003, por la que se confirma la declaración hecha en el momento de la firma el 8 de noviembre de 2001, entregada al Secretario General del Consejo de Europa en el momento del depósito del instrumento de ratificación, el 12 de marzo de 2003 – Original inglés/alemán.

El apartado 3 del artículo 1 del Protocolo adicional (así como el segundo párrafo de su Preámbulo) dispone que las autoridades de control ejercerán sus funciones con total independencia.

La República Federal de Alemania recuerda su declaración hecha durante la reunión del 6 al 8 de junio de 2000 del Comité Consultivo, constituido en virtud del artículo 18 del Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, con arreglo a la cual la práctica actual de control de protección de datos en Alemania es conforme a lo dispuesto en el apartado 3 del artículo 1 del Protocolo adicional, pues las autoridades de control responsable de la protección de datos –aunque estén integrados en una estructura administrativa de tipo jerárquico– ejercen sus funciones con total independencia.

Periodo de efecto: 1/7/2004.

La anterior declaración se refiere al artículo 1.

Andorra:

Declaración consignada en el instrumento de ratificación depositado el 6 de mayo de 2008 – Original francés.

De conformidad con el apartado 1 del artículo 1 del Protocolo adicional, Andorra designa a la «Agència Andorrana de Protecció de Dades» como autoridad competente para controlar y velar por el respeto de las medidas de derecho interno que dan efecto a los Capítulos II y III del Convenio.

Periodo de efecto: 1/9/2008.

La anterior declaración se refiere al artículo 1.

Bulgaria:

Declaración consignada en una Nota Verbal de la Representación Permanente de Bulgaria, de fecha 5 de julio de 2010, depositada junto con el instrumento de ratificación el 8 de julio de 2010 – Original inglés.

Conforme al apartado 1 del artículo 1 del Protocolo Adicional, Bulgaria declara lo siguiente:

a. La autoridad de control en virtud del apartado 1 del artículo 1 del Protocolo adicional será la Comisión para la Protección de Datos de Carácter Personal;

b. La Comisión para la Protección de Datos de Carácter Personal es una autoridad independiente que ejerce la protección de personas en el tratamiento de sus datos de carácter personal y que proporciona el acceso a dichos datos;

c. La Comisión para la Protección de Datos de Carácter Personal adopta decisiones relativas a las quejas presentadas por particulares relativas a la violación de sus derechos respecto del tratamiento de sus datos de carácter personal;

d. las decisiones de la Comisión para la Protección de Datos de Carácter Personal pueden ser objeto de recurso ante el Tribunal Administrativo Supremo;

e. la transferencia de datos de carácter personal a otro Estado sólo se admite si se garantiza un nivel de protección adecuado de datos personales en su territorio.

Periodo de efecto: 1/11/2010.

La declaración anterior se refiere al artículo 1.

España:

Declaración consignada en el instrumento de ratificación depositado el 3 de junio de 2010 – Original inglés.

«Para el caso de que el presente Protocolo Adicional al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, a las Autoridades de control y a los flujos transfronterizos de datos, sea extendido por el Reino Unido a Gibraltar, el Reino de España desea formular la siguiente declaración:

1. Gibraltar es un territorio no autónomo de cuyas relaciones exteriores es responsable el Reino Unido y que está sometido a un proceso de descolonización de acuerdo con las decisiones y resoluciones pertinentes de la Asamblea General de las Naciones Unidas.

2. Las autoridades de Gibraltar tienen un carácter local y ejercen competencias exclusivamente internas que tienen su origen y fundamento en la distribución y atribución de competencias efectuadas por el Reino Unido, de conformidad con lo previsto en su legislación interna, en su condición de Estado soberano del que depende el citado territorio no autónomo.

3. En consecuencia, la eventual participación de las autoridades gibraltareñas en la aplicación del presente Protocolo se entenderá realizada exclusivamente en el marco de las competencias internas de Gibraltar y no podrá considerarse que produce cambio alguno respecto de lo previsto en los dos párrafos precedentes.»

Periodo de efecto: 1/10/2010.

Países Bajos:

Declaración consignada en el instrumento de aceptación depositado el 8 de septiembre de 2004 – Original inglés.

El Reino de los Países Bajos acepta el Protocolo para el Reino en Europa.

Periodo de efecto: 1/1/2005.

La declaración anterior se refiere a los artículos.

El presente Protocolo entró en vigor de forma general el 1 de julio de 2004 y entrará en vigor para España el 1 de octubre de 2010, de conformidad con lo establecido en su artículo 3.3.

Lo que se hace público para conocimiento general.

Madrid, 15 de septiembre de 2010.–El Secretario General Técnico del Ministerio de Asuntos Exteriores y de Cooperación, Antonio Cosano Pérez.