• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 1 犃mbito objetivo
• Art韈ulo 2 燬ujetos legitimados para realizar el tratamiento
• Art韈ulo 3 燘ase jur韉ica del tratamiento
• Art韈ulo 4 燤arco en el que se habilita el tratamiento
• Art韈ulo 5 燚atos personales que pueden ser objeto de tratamiento
• Art韈ulo 6 燗ctividades de tratamiento
• Art韈ulo 7 燝arant韆s adecuadas
• Art韈ulo 8 燚eber de informaci髇
• Art韈ulo 9 燤omento en el que deber醤 adoptarse las garant韆s adecuadas
• Art韈ulo 10 燰iolaci髇 de la seguridad de los datos personales que se refieran a opiniones pol韙icas
• Art韈ulo 11 燛nv韔 de propaganda electoral por medios electr髇icos o sistemas de mensajer韆 y contrataci髇 de propaganda electoral en redes sociales o medios equivalentes
• DISPOSICIONES TRANSITORIAS
  • Disposici髇 transitoria 鷑ica 燙onsulta previa a la AEPD o remisi髇 de la documentaci髇 prevista en el art韈ulo 7.1. 5.� en los procesos electorales previstos para el 28 de abril y el 26 de mayo de 2019
• DISPOSICIONES FINALES
  • Disposici髇 final 燛ntrada en vigor

Art韈ulo 1 羗bito objetivo

La presente Circular se aplica al tratamiento de datos personales relativos a opiniones pol韙icas por los partidos pol韙icos al amparo del art韈ulo 58 bis de la Ley Org醤ica 5/1985, de 19 de junio, del R間imen Electoral General.

Art韈ulo 2 Sujetos legitimados para realizar el tratamiento

1. Se encuentran legitimados para el tratamiento de los datos objeto de la presente circular, en el 醡bito de la circunscripci髇 que se corresponda con el proceso electoral al que se presenten, los partidos pol韙icos, federaciones, coaliciones y agrupaciones de electores que presenten las correspondientes candidaturas y resulten proclamadas conforme a los art韈ulos 43 y siguientes de la LOREG.

2. Dichos sujetos ostentar醤 la condici髇 de responsables del tratamiento conforme al art韈ulo 4.7) del RGPD.

3. El tratamiento de los datos podr� encomendarse a otro sujeto en calidad de encargado del tratamiento quien deber� ajustarse estrictamente a las instrucciones del responsable y previa suscripci髇 del contrato previsto en el art韈ulo 28 del RGPD.

4. Dichos datos no podr醤 ser comunicados ni transferidos a terceros.

Art韈ulo 3 Base jur韉ica del tratamiento

Solo ser� posible el tratamiento de datos personales que se refieran a opiniones pol韙icas por los partidos pol韙icos conforme al art韈ulo 58 bis de la LOREG cuando concurra un inter閟 p鷅lico esencial conforme al art韈ulo 9.2.b) del RGPD y se adopten las garant韆s adecuadas previstas en el art韈ulo 7 de esta circular.

Los partidos pol韙icos podr醤 tratar otro tipo de datos personales siempre que concurra alguna de las bases jur韉icas del art韈ulo 6 del RGPD y trat醤dose de categor韆s especiales, otra de las excepciones del art韈ulo 9.2 RGPD, salvo el consentimiento del interesado conforme al art韈ulo 9.1 de la Ley Org醤ica 3/2018.

Art韈ulo 4 Marco en el que se habilita el tratamiento

1. El tratamiento de los datos al amparo del art韈ulo 58 bis de la LOREG solo ser� l韈ito durante el periodo electoral y respecto de las actividades de propaganda y actos de campa馻 electoral reguladas en la secci髇 5.� del cap韙ulo VI del t韙ulo I de la LOREG.

2. El responsable deber� determinar la finalidad o finalidades que se persiguen con el tratamiento, que en todo caso deber醤 guardar relaci髇 con su actividad electoral conforme a lo se馻lado en el apartado anterior.

Art韈ulo 5 Datos personales que pueden ser objeto de tratamiento

1. Solo podr醤 ser objeto de recopilaci髇 las opiniones pol韙icas de las personas libremente expresadas por 閟tas en el ejercicio de sus derechos a la libertad ideol骻ica y a la libertad de expresi髇 reconocidos en los art韈ulos 16 y 20 de la Constituci髇 espa駉la.

2. En ning鷑 caso podr醤 ser objeto de tratamiento otro tipo de datos personales a partir de los que, aplicando tecnolog韆s como las de tratamiento masivo de datos o las de inteligencia artificial, se puede llegar a inferir la ideolog韆 pol韙ica de una persona.

3. Las 鷑icas fuentes de las que se pueden obtener los datos personales sobre opiniones pol韙icas son las p醙inas web y aquellas otras fuentes que sean de acceso p鷅lico.

Se entiende por fuentes de acceso p鷅lico aquellas cuya consulta puede ser realizada por cualquier persona, quedando excluidas otro tipo de fuentes en las que el acceso est� restringido a un c韗culo determinado de personas.

4. El tratamiento de cualquier otro tipo de datos personales u obtenidos de otras fuentes por los sujetos legitimados deber� ampararse en alguna de las bases legitimadoras del art韈ulo 6 del RGPD y encontrarse en alguna de las excepciones del art韈ulo 9.2 RGPD si se trata de categor韆s especiales de datos.

Art韈ulo 6 Actividades de tratamiento

1. Corresponder� al responsable determinar las actividades de tratamiento a realizar conforme al art韈ulo 4.2) del RGPD que, en todo caso, deber醤 ser proporcionales al objetivo perseguido consistente en garantizar el adecuado funcionamiento de un sistema democr醫ico, sin que sean admisibles tratamientos no proporcionales como el microtargeting ni los que tengan por finalidad forzar o desviar la voluntad de los electores. Trat醤dose de datos personales relativos a opiniones pol韙icas, estos solo podr醤 ser objeto de recopilaci髇 conforme a lo previsto en el art韈ulo 58 bis de la LOREG y el art韈ulo 1 de esta Circular.

2. Si se pretende la elaboraci髇 de perfiles se deber� ser especialmente riguroso con el nivel de detalle y la exhaustividad del mismo, siendo admisible 鷑icamente la elaboraci髇 de perfiles generales y por categor韆s gen閞icas, pero no la realizaci髇 de perfiles individuales o realizados atendiendo a categor韆s muy espec韋icas, de tal manera que s髄o se puedan deducir patrones de conducta generales de la poblaci髇 de forma agregada, pero no de titulares de datos personales concretos.

3. En todo caso, resultar醤 de aplicaci髇 al tratamiento todos los principios recogidos en el art韈ulo 5 del RGPD.

Art韈ulo 7 Garant韆s adecuadas

1. Conforme a lo previsto en el art韈ulo 9.2.g) del RGPD tendr醤 la consideraci髇 de medidas adecuadas y espec韋icas para proteger los intereses y derechos fundamentales de los afectados, en todo caso, las siguientes, sin perjuicio de cualquier otra que estime el responsable del tratamiento y las que puedan exigir otros 髍ganos en el 醡bito de sus competencias:

• 1.� Atendiendo al principio de responsabilidad desde el dise駉 y por defecto previsto en el art韈ulo 25 del RGPD, deber醤 adoptarse, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas t閏nicas y organizativas apropiadas, como la seudonimizaci髇, e incluso la agregaci髇 y anonimizaci髇. Adem醩, deber� garantizarse que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines espec韋icos del tratamiento y que no ser醤 accesibles, sin intervenci髇 de la persona, a un n鷐ero indeterminado de personas.
• 2.� Ser� obligatorio designar a un delegado de protecci髇 de datos conforme a lo previsto en el art韈ulo 37.1.c) del RGPD, al realizarse un tratamiento a gran escala de categor韆s especiales de datos personales. El delegado de protecci髇 de datos desempe馻r� las funciones que le atribuyen el art韈ulo 39 del RGPD y los art韈ulos 36 y 37 de la LOPDPGDD con especial diligencia atendiendo al alto riesgo asociado a estos tratamientos.
• 3.� Deber� llevarse un registro de las actividades de tratamiento con el contenido se馻lado en el art韈ulo 30 del RGPD, debiendo ser precisos y claros, conforme a los principios de lealtad y transparencia, en la descripci髇 de los fines del tratamiento, y de las categor韆s de interesados y de datos personales objeto de tratamiento. La llevanza de dicho registro resultar� en todo caso obligatoria al incluir categor韆s especiales de datos personales del art韈ulo 9.
• 4.� Se deber� realizar una evaluaci髇 de impacto relativa a la protecci髇 de datos al realizarse un tratamiento a gran escala de las categor韆s especiales de datos conforme a lo dispuesto en el art韈ulo 35.3 del RGPD.
• 5.� Deber� consultarse a la AEPD antes de proceder al tratamiento conforme al art韈ulo 36.1 del RGPD al tratarse de tratamientos que entra馻n un alto riesgo, a no ser que el responsable justifique la adopci髇 de medidas para mitigarlo. En este 鷏timo caso deber� remitirse a la AEPD el an醠isis de riesgos y la evaluaci髇 de impacto junto a la justificaci髇 de las medidas adoptadas, al amparo de lo previsto en el art韈ulo 58.1. a) y e) del RGPD. La solicitud de consulta a la AEPD o, en su defecto, la remisi髇 de la documentaci髇 anteriormente indicada, deber� realizarse al menos 14 semanas antes del inicio del periodo electoral.
• 6.� Deber醤 adoptarse las medidas de seguridad necesarias conforme a lo previsto en el art韈ulo 32 del RGPD, que deber醤 ser lo m醩 rigurosas que permita el estado de la t閏nica teniendo en cuenta que se est醤 tratando datos referentes a las opiniones pol韙icas cuyo tratamiento es excepcional y que suponen un alto riesgo para los derechos y libertades de las personas f韘icas.
• 7.� Cuando el tratamiento se vaya a realizar por un encargado del tratamiento, deber� seleccionarse uno que ofrezca garant韆s suficientes y haberse suscrito un contrato con el contenido del art韈ulo 28 del RGPD, en el que deber� quedar plenamente garantizado que el encargado actuar� solo siguiendo instrucciones del responsable, debiendo dichas instrucciones contemplar todas las garant韆s adecuadas a las que se hace referencia en la presente circular.
• 8.� Deber� facilitarse, de un modo sencillo y gratuito, el ejercicio de los derechos de acceso, rectificaci髇, supresi髇, limitaci髇 del tratamiento y oposici髇, conforme a lo previsto en el art韈ulo 12 del RGPD y, en cuanto al derecho de oposici髇, conforme a lo previsto en el apartado 5 del art韈ulo 58 bis de la LOREG.
• 9.� En el caso de que se pretenda obtener los datos de terceros que no act鷈n como encargados del tratamiento, el responsable deber� comprobar que dichos datos fueron obtenidos de manera l韈ita y cumpliendo con todos los requisitos del RGPD, especialmente que el tercero tiene una legitimaci髇 espec韋ica para obtener y tratar dichos datos y que ha informado expresamente a los afectados de la finalidad de cesi髇 a los partidos pol韙icos, cumpliendo de este modo con el principio general de responsabilidad proactiva consagrado en el art韈ulo 5.2 del RGPD, y singularmente para actuar conforme a lo previsto en sus art韈ulos 24 y 25.
• 10.� El responsable deber� cumplir con lo dispuesto en el art韈ulo 22 del RGPD si los afectados van a ser objeto de decisiones automatizadas, incluida la elaboraci髇 de perfiles, siempre que el tipo de tratamiento que prevea, por sus caracter韘ticas y teniendo en cuenta de nuevo la naturaleza de los datos tratados, pueda afectar significativamente a los ciudadanos.

2. El responsable del tratamiento y, en su caso, el encargado, deber醤 ser capaces de acreditar documentalmente la adopci髇 de las anteriores garant韆s.

Art韈ulo 8 Deber de informaci髇

1. En todo caso deber� cumplirse con el deber de informaci髇 previsto en los art韈ulos 13 y 14 del RGPD, que deber� realizarse en forma concisa, transparente, inteligible y de f醕il acceso, con un lenguaje claro y sencillo de acuerdo con el art韈ulo 12 del RGPD, siendo de aplicaci髇 lo previsto en el art韈ulo 11 de la Ley Org醤ica 3/2018.

2. Cuando se considere que la comunicaci髇 individual de dicha informaci髇 a los afectados resulta imposible o suponga un esfuerzo desproporcionado, deber� facilitarse en forma electr髇ica en el sitio web del responsable, as� como en las cuentas que tenga en redes sociales y servicios equivalentes.

3. Del mismo modo, cuando el responsable pretenda obtener los datos de un tercero, deber� comprobar que dicho tercero ha cumplido con su obligaci髇 de informar sobre los mismos extremos a los afectados, al menos de forma electr髇ica seg鷑 lo indicado en al apartado anterior.

Art韈ulo 9 Momento en el que deber醤 adoptarse las garant韆s adecuadas

1. Antes del comienzo del periodo electoral los responsables que vayan a presentar las correspondientes candidaturas podr醤 realizar las actuaciones necesarias para preparar los tratamientos que vayan a desarrollar en el periodo electoral, conforme a las obligaciones se馻ladas en los art韈ulos anteriores, pero sin poder iniciar los tratamientos. En especial, las relativas al registro de actividades, evaluaci髇 de impacto, consulta previa, designaci髇 del delegado de protecci髇 de datos si no lo hubieran designado con anterioridad y la celebraci髇, en su caso, del contrato de encargado del tratamiento.

2. Durante el periodo electoral podr� iniciarse el tratamiento, debiendo en primer lugar cumplir con la obligaci髇 de informaci髇 conforme al art韈ulo 8 y velar por el cumplimiento de la normativa de protecci髇 de datos. En el caso de que los sujetos que hayan presentado candidaturas no resulten proclamados, deber� interrumpirse inmediatamente el tratamiento y procederse a la supresi髇 de los datos conforme al apartado siguiente.

3. Terminado el periodo electoral deber� garantizarse la supresi髇 de los datos personales conforme a lo establecido en la ISO 27001:2013 玈eguridad de la informaci髇� y la Norma UNE- EN15713:2010 獶estrucci髇 del Material Confidencial. C骴igo de Buenas Pr醕ticas�, o cualquier otra metodolog韆 de reconocido prestigio para la destrucci髇 de la informaci髇 debidamente documentada, procedi閚dose al bloqueo de los mismos cuando proceda de conformidad con el art韈ulo 32 de la Ley Org醤ica 3/2018.

Art韈ulo 10 Violaci髇 de la seguridad de los datos personales que se refieran a opiniones pol韙icas

1. En caso de violaci髇 de la seguridad de los datos personales que se refieran a opiniones pol韙icas, el responsable del tratamiento deber� notificarlo, en todo caso, a la Agencia Espa駉la de Protecci髇 de datos conforme al art韈ulo 33 del RGPD al constituir un riesgo para los derechos y libertades de las personas f韘icas.

2. Asimismo, deber� comunicarlo a los afectados salvo que se cumpla alguna de las condiciones del art韈ulo 34.3 del RGPD.

Art韈ulo 11 Env韔 de propaganda electoral por medios electr髇icos o sistemas de mensajer韆 y contrataci髇 de propaganda electoral en redes sociales o medios equivalentes

1. Conforme al apartado 3 del art韈ulo 58 bis el env韔 de propaganda electoral por medios electr髇icos o sistemas de mensajer韆 y la contrataci髇 de propaganda electoral en redes sociales o medios equivalentes no tendr醤 la consideraci髇 de actividad o comunicaci髇 comercial.

2. Los datos personales que vayan a ser utilizados por los partidos pol韙icos, federaciones, coaliciones o agrupaciones de electores para el env韔 de propaganda electoral tales como n鷐eros de tel閒ono, correo electr髇ico u otros similares deber醤 haber sido obtenidos l韈itamente, amparados en alguna de las bases jur韉icas del art韈ulo 6 del RGPD y deber醤 corresponder a personas que puedan ejercer su derecho al voto en el 醡bito de la circunscripci髇 que se corresponda con el proceso electoral al que se presenten

3. En todo caso, en los env韔s que se realicen deber� constar su car醕ter electoral y la identidad del remitente. Asimismo, deber� facilitarse de un modo sencillo y gratuito el ejercicio de los derechos de acceso, rectificaci髇, supresi髇, limitaci髇 del tratamiento y oposici髇, con especial atenci髇 en el caso de este 鷏timo, conforme al apartado 5 del art韈ulo 58 bis de la LOREG.

En caso de ejercicio del derecho de oposici髇, los datos personales dejar醤 de ser tratados para el env韔 de propaganda electoral mientras el afectado no preste su consentimiento expreso.

Disposici髇 transitoria 鷑ica Consulta previa a la AEPD o remisi髇 de la documentaci髇 prevista en el art韈ulo 7.1. 5.� en los procesos electorales previstos para el 28 de abril y el 26 de mayo de 2019

En los procesos electorales previstos para el 28 de abril y el 26 de mayo de 2019 la consulta previa o la remisi髇 de la documentaci髇 a la que se refiere el art韈ulo 7. 1. 5.� de la presente Circular deber� realizarse, en su caso, con una antelaci髇 m韓ima de tres semanas al inicio de la campa馻 electoral, debiendo emitirse el correspondiente informe o adoptarse las medidas oportunas con anterioridad al inicio de la misma.

Disposici髇 final Entrada en vigor

La presente Circular entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.