Data Protection in Spain

Data Protection in Spain

Data Protection Authority:	AEPD (Spain)
National Implementation Law (Original):	Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales
English Translation of National Implementation Law:	[n/a English Translation]
Official Language(s):	Spanish; Regional: Basque, Catalan, Galician
National Legislation Database(s):	https://www.boe.es/
English Legislation Database(s):	n/a
National Decision Database(s):	http://www.poderjudicial.es/search/index.jsp

The current Spanish Data Protection Act is the Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales' (LOPDGDD) (Organic Law 3/2018 regarding the Protection of Personal Data and guarantees of digital rights).

The AEPD (Agencia Española de Protección de Datos) is the national Data Protection Authority for Spain.

There are three other independent regional data protection authorities in Spain that for the public sector: the Catalan Data Protection Authority (Autoritat Catalana de Protecció de Dades or unofficially Autoridad Catalana de Protección de Datos), the Basque Data Protection Authority (Datuak Babesteko Euskal Bulegoa or Agencia Vasca de Protección de Datos) and the Andalusian Data Protection Authority (Consejo de Transparencia y Protección de Datos de Andalucía).

Legislation

History

The right to data protection is constitutionally enshrined in art. 18.4 of the Spanish Constitution: "The law shall limit the use of information technology to guarantee the honour and personal and family intimacy of citizens and the full exercise of their rights".

Subsequently, the Spanish Constitutional Court, in Judgments 292/2000 and 254/1993, confirmed it as an autonomous right, independent of the rights to intimacy [privacy], honour and image, conferring it a broader sphere, not only in terms of the legal object protected, but also because it attributes subjects a range of powers, since the right to data protection guarantees the power to control their data.

Spain is a party to the European Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (Convention No. 108), drawn up in Strasbourg. It was signed on 28 January 1981 and ratified by Spain on the 31 January 1984, entering into force on 1 October 1985.

The first data protection law was Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal (Organic Law 5/1992 of 29 October 1992 on the Regulation of the Automated Processing of Personal Data) (LORTAD), which defined the basic principles and recognised the legal protection of the constitutional right. Its late drafting was positive as it was able to pick up aspects from other countries, although it contemplated several exceptions.

Following Directive 95/46/EC, the Ley Orgánica de Protección de Datos de Carácter Personal (Organic Law on Data Protection) (LOPD) was enacted in 1999, which has been fully applicable until the entry into force of the GDPR. In 2018 the new Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales came into force and three years later the Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (Organic Law 7/2021 of 26 May on the protection of personal data processed for the purposes of the prevention, detection, investigation and prosecution of criminal offences and the execution of criminal penalties), that transposes Directive 2016/680.

National constitutional protections

Art. 18.4 CE "La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos". Este artículo se encuentra dentro del Capítulo II de la Sección I del Título I de la Constitución, por lo que se le confieren prerrogativas constitucionales reforzadas, como la necesidad de ser desarrollado su contenido esencial por Ley Orgánica (artículo 81 CE), pudiendo recabar los ciudadanos la tutela jurisdiccional sumaria y preferente sin necesidad de que se haya desarrollado legislativamente, además de vincular a todos los poderes públicos (Art. 53 CE).

National GDPR implementation law

In Spain the GDPR is developed by the Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).