La llei orgànica 15/1999 de protecció de dades de caràcter personal (LOPD) va ser una llei orgànica que va tenir l'objecte de protegir la intimitat i la privadesa personal i familiar. Fou aprovada a les Corts espanyoles el 13 de desembre del 1999. Aquesta llei es desenvolupa fonamentada en l'article 18 de la Constitució espanyola de 1978, sobre el dret a la intimitat familiar i personal i el secret de les comunicacions.

Aquesta llei afecta a totes les dades que fan referència a persones físiques registrades sobre qualsevol suport, informàtic, o no. Queden exempts del compliment d'aquesta normativa aquelles dades recollides per a ús domèstic, les matèries classificades de l'estat i aquells fitxers que recullen dades sobre terrorisme i altres formes de delinqüència organitzada (no s'hi inclou la delinqüència simple).

A partir d'aquesta llei es varen crear l'Agència Espanyola de Protecció de Dades, d'àmbit estatal, i l'Agència Catalana de Protecció de Dades, en l'àmbit de Catalunya, que vetllen pel compliment d'aquesta normativa.

Aquesta llei ha estat derogada per la Llei Orgànica 3/2018, de 6 de desembre, de protecció de dades de caràcter personal i garanties dels drets digitals.Llei Orgànica 3/2018, de 6 de desembre, de protecció de dades de caràcter personal i garanties dels drets digitals

Nivells de la LOPD Les dades de caràcter personal s'estructuren en diferents nivells que classifiquen els registres en tres nivells de seguretat. Ho són: noms i cognoms de persones físiques vives números de DNI, NIF i passaport adreces físiques que s'hi associïn o s'hi puguin associar a través del tractament informàtic telèfons i adreces de correu electrònic que s'hi associïn o s'hi puguin associar a través del tractament informàtic fotografies on es pugui reconèixer clarament algú veu a través de la qual es pugui reconèixer algú dades genètiques i mèdiques associades a persones concretes dades biomètriques dades referides a creences, filiació política o sindical dades referides a la raça qualsevol dada que permeti identificar algú (la llei no opta per una enumeració tancada, sinó per la definició anteriorment exposada; per tant, la intenció és atorgar el màxim de protecció possible atesos els continus avenços de la ciència i la tècnica)

Nivell bàsic Identificatiu. Personal. Circumstàncies socials. Acadèmics i professionals. Detall d'empleats. Informació comercial Econòmic-financer i d'assegurances Transacció

Nivell mitjà Infraccions administratives o penals. Hisenda pública. Serveis Financers. Solvència patrimonial i crèdits. Avaluació de la personalitat.

Nivell alt Ideologia. Creences. Origen racial.

Principals elements derivats de la legislació espanyola Conceptes legals previs La Constitució Espanyola de 1978 fa referència en 3 articles al tractament de les dades,Constitución Española tot i que la jurisprudència reconeix que no es pronuncia clarament:

Article 18.4: El legislador va deixar clar que la llei ha de limitar l'ús de la informàtica per tal de garantir l'honor i la intimitat personal i familiar dels ciutadans i el ple exercici dels seus drets.

Article 20.1: Dret a comunicar o rebre lliurement informació.

Article 105.b: La llei regularà l'accés dels ciutadans als arxius i registres (Llei 30/1992).

S'ha de tenir en compte, que al regular un dret fonamental segons la Constitució la seva aprovació ha de ser per llei orgànica, el que suposa tenir la majoria absoluta al Congrés dels Diputats

Àmbit d'Aplicació La LOPD estableix, en línies generals, que la llei és aplicable a totes aquelles empreses i administracions que donin servei a ciutadans dins del territori espanyol (Per exemple afectaria a una empresa que donés servei a ciutadans espanyols des de qualsevol lloc del món).

Per contra la llei no afecta a:

Fitxers mantinguts per persones físiques en exercici exclusivament personal o domèstic. Fitxers de matèries classificades. Fitxers establerts per a la investigació de terrorisme i de delictes greus relacionats amb la delinqüència organitzada. Persones ja mortes.

Objecte L'article 1 de la Llei Orgànica 15/99 de Protecció de dades estableix: "La present Llei Orgànica té per objecte garantir i protegir, pel que fa al tractament de les dades personals, les llibertats públiques i els drets fonamentals de les persones físiques, i especialment del seu honor i intimitat personal i familiar".

En l'article 2 de la citada Llei se n'estableix la competència i àmbit d'aplicació. La manca de concreció de la mateixa llei ha fet que es generin molts dubtes al voltant de determinades definicions i aspectes normatius d'aquesta. En tot cas resulta evident la necessitat que té el legislador de protegir les dades personals, en el sentit de desenvolupar i garantir el dret fonamental a la intimitat així com establir una legislació de control sobre el tràfic i gestió de les dades personals dels ciutadans.

Conceptes bàsics Dada Personal: qualsevol informació del tipus que sigui que permeti identificar o faci identificable la persona física (no la persona jurídica). Afectat: persona identificada o identificable a qui corresponen les dades personals. Fitxer: Tot conjunt organitzat de dades de caràcter personal, que permeti accés a les dades amb criteris determinats, qualsevol que sigui la forma o modalitat de creació, enregistrament, organització, tractament i accés. Responsable del fitxer: persona física o jurídica de naturalesa pública o privada a qui pertany el fitxer, amb independència que executi o no materialment el tractament. Sistema de Tractament: qualsevol forma o modalitat que permeti l'ús i gestió de les dades, des que es registren fins que s'eliminen. Encarregat de Tractament: pot ser el responsable del fitxer o qualsevol altra persona física o jurídica de naturalesa privada o pública que tracti per encàrrec del responsable les dades de caràcter personal dels fitxers. Alhora, aquest encarregat de tractament pot fer-ho sol o conjuntament i en cada cas estan tots els agents implicats obligats a la normativa de confidencialitat desenvolupada. Usuari: qualsevol persona que tingui accés a les dades personals que componen el o els fitxer/s del responsable. Responsable de Seguretat: persona o persones físiques o jurídiques que tenen la funció de vetllar pel compliment, aplicació i manteniment del document de seguretat. Document de seguretat: recull de normativa i processos per a l'aplicació dels aspectes regulats en matèria de protecció de dades que tot Responsable de Fitxer ha de tenir obligatòriament. Comunicació de dades: qualsevol cessió de les dades personals del responsable del fitxer a tercers. Tota comunicació o cessió de dades entre parts s'ha de donar en un marc regulat entre les parts de confidencialitat estricta i s'han de garantir l'aplicació de les mesures de seguretat corresponents així com que les dades seran tractades per a la finalitat amb què van ser registrades, amb l'excepció dels requeriments de determinades administracions públiques relacionades amb les funcions policials, de justícia i sanitat.

Fitxer de dades personals És el punt de partida de la normativa. Un fitxer serà qualsevol conjunt organitzat de dades personals, de propietat pública o privada, qualsevol que sigui la seva forma d'enregistrament i tractament amb una finalitat determinada. No ha estat fins al RDLOPD que s'ha concretat que el sistema de tractament en paper constitueix també un fitxer. Per tant, tota entitat de dret públic o privat té fitxers que contenen dades personals registrades per a diferents finalitats. Cal identificar-los i classificar-los per funcionalitat i naturalesa i registrar-los públicament.

Totes les mesures de seguretat que es desenvolupen s'han d'aplicar sobre els fitxers en funció del seu sistema de tractament. Són així l'element central en matèria de protecció de dades personals, ja que són el conjunt de dades registrades i tractades per a una o diverses finalitats concretes. En qualsevol suport. I és propietat del responsable del fitxer, que és qui ha d'assumir l'aplicació de la normativa corresponent sobre els fitxers.

Qualitat de la dada i nivells de seguretat L'article 4.1 de la LOPD estableix que: les dades de caràcter personal només es podran recollir pel seu tractament, així com sotmetre'ls al citat tractament, quan siguin adequades, pertinents i no excessives en relació amb l'àmbit i les finalitats determinades, explícites i legítimes per les que s'hagin obtingut.

La LOPD defineix quina és la qualitat de la dada, basant-se en la qual s'estableixen els nivells de seguretat que sobre el seu tractament cal aplicar i que desenvolupa el RDLOPD. Això tindrà implicacions respecte al sistema de tractament i també respecte als usuaris (control d'accessos, registre, identificació, autenticació, compromís de confidencialitat del personal, etc.). En tot cas, els nivells es defineixen en tres nivells: Nivell Bàsic: qualsevol fitxer que contingui dades personals de qualsevol tipus que facin identificable la persona: nom, imatge, adreça, etc. Nivell Mitjà: fitxers que continguin, a més de les anteriors, dades relatives a la comissió d'infraccions administratives o penals, hisenda pública, serveis financers i aquells corresponents a la prestació de serveis de solvència i crèdit. Generalment, però s'entén que estarem davant dades de nivell mitjà quan aquestes permetin fer una valoració d'entorn social i psicològic de la persona, més enllà de la seva simple identificació. Nivell Alt: fitxer que contingui dades personals sobre ideologia, religió, creences, origen racial, salut o vida sexual o els registrats per a fins policials sense consentiment. Aquestes són les dades que han de ser especialment protegides.

En funció del nivell de dades registrades en el fitxer amb un o altre sistema de tractament, caldrà aplicar unes mesures de seguretat concretes que es desenvolupen al RDLOPD per a cada un dels nivells. Igualment, el règim sancionador és diferent en funció de la qualitat de la dada implicada en la infracció. De manera que la normativa protegeix especialment les dades qualificades com a nivell alt, que tenen una especial relació amb els drets fonamentals de les persones.

Registre de fitxers Tot responsable de fitxer haurà de registrar a L'Agència Espanyola de Protecció de Dades tants fitxers com tingui identificats. No tenir els fitxers registrats és una primera infracció. Això té nombroses implicacions i obligacions concretes per als responsables de fitxer i alhora suposa una garantia mínima de qualitat per la persona respecte de les seves dades personals. El registre de fitxers és d'accés públic https://www.agpd.es/portalweb/ficheros_inscritos/index-ides-idphp.php i el que es comunica a l'agència és la identificació del fitxer, el contingut de les dades (la seva qualitat) així com la finalitat i cessions que se'n facin i la identificació de tercers implicats en la gestió i/o tractament de les dades. No es comuniquen les dades concretes, sinó la seva composició per a cada un dels fitxers. I es fa a través de l'aplicació informàtica única que l'agencia disposa públicament.

Consentiment informat i drets Aquest és un altre element cabdal de la legislació, regulat en l'article 6 de la LOPD. En el moment que es recull la dada de caràcter personal el responsable del fitxer ha de fer-ho obtenint el consentiment informat de l'afectat. Alhora, ha d'informar la persona afectada, com a mínim, dels següents aspectes:

Identitat del Responsable del Fitxer i advertència de l'existència de fitxer on seran registrades les dades. Dels drets que assisteixen l'afectat respecte de les seves dades personals: accés, rectificació, cancel·lació i oposició. De la finalitat amb què són recollides i de l'ús que se'n donarà, així com de possibles cessions a tercers.