COMISIÓN EUROPEA Bruselas, 6.11.2015 COM(2015) 566 final COMUNICACIÓN DE LA COMISIÓN AL PARLAMENTO EUROPEO Y AL CONSEJO Sobre la transferencia de datos personales de la UE a los Estados Unidos de América con arreglo a la Directiva 95/46/CE de forma consiguiente a la sentencia del Tribunal de Justicia en el asunto C-362/14 (Schrems)



COMUNICACIÓN DE LA COMISIÓN AL PARLAMENTO EUROPEO Y AL CONSEJO Sobre la transferencia de datos personales de la UE a los Estados Unidos de América con arreglo a la Directiva 95/46/CE de forma consiguiente a la sentencia del Tribunal de Justicia en el asunto C-362/14 (Schrems) 1. Introducción: La anulación de la Decisión sobre puerto seguro La sentencia del Tribunal de Justicia de la Unión Europea (en lo sucesivo «el Tribunal de Justicia» o «el Tribunal») de 6 de octubre de 2015 en el asunto C-362/14 (Schrems) reafirma la importancia del derecho fundamental a la protección de los datos personales consagrado en la Carta de los Derechos Fundamentales de la UE, incluso cuando esos datos son transferidos fuera de la UE. Las transferencias de datos personales constituyen un elemento esencial de la relación transatlántica. La UE es el principal socio comercial de los Estados Unidos, y viceversa, y las transferencias de datos forman, cada vez en mayor medida, parte integrante de sus intercambios comerciales. Para facilitar esos flujos de datos, asegurando al mismo tiempo un alto nivel de protección de los datos personales, la Comisión reconoció la adecuación del régimen de puerto seguro mediante la adopción de la Decisión 2000/520/CE de 20 de julio de 2000 (en lo sucesivo la «Directiva sobre puerto seguro»). En esa Decisión, basada en el artículo 25, apartado 6, de la Directiva 95/46/CE, la Comisión otorgaba su reconocimiento a los principios de puerto seguro para la protección de la vida privada y a las preguntas más frecuentes correspondientes publicadas por el Departamento de Comercio de los Estados Unidos, como sistema capaz de garantizar una protección adecuada para los fines de transferencias de datos personales desde la UE. Consiguientemente, los datos personales podían transferirse libremente de los Estados miembros de la UE a las empresas de los Estados Unidos que suscribieran dichos principios, a pesar de la inexistencia de una ley general de protección de datos en los Estados Unidos. El funcionamiento del régimen de puerto seguro se basaba en el compromiso y la autocertificación de las empresas que se adhiriesen a dichos principios. Si bien la adhesión a los principios de puerto seguro para la protección de la vida privada y a las preguntas más frecuentes correspondientes es voluntaria, esas normas son vinculantes, de conformidad con el Derecho de los Estados Unidos, para quienes las hayan suscrito, siendo responsable del control de su cumplimiento la Comisión Federal de Comercio de los Estados Unidos. En su sentencia de 6 de octubre de 2015, el Tribunal ha declarado inválida la Decisión sobre el puerto seguro. Ante esta circunstancia, el objetivo de la presente Comunicación es ofrecer una presentación general de los instrumentos alternativos para las transferencias transatlánticas de datos de conformidad con la Directiva 95/46/CE, a falta de una decisión de adecuación. La Comunicación también describe brevemente las consecuencias de la sentencia para otras decisiones de adecuación de la Comisión. En la sentencia, el Tribunal de Justicia aclara que toda decisión de adecuación adoptada de conformidad con el artículo 25, apartado 6, de la Directiva 95/46/CE está supeditada a la apreciación, por parte de la Comisión, de que existe en el tercer país correspondiente un nivel de protección de datos personales que, aunque no necesariamente idéntico, sea «sustancialmente equivalente» al que se garantiza en la UE en virtud de la Directiva, interpretada a la luz de la Carta de los Derechos Fundamentales. Por lo que respecta específicamente a la Decisión de puerto seguro, el Tribunal sostuvo que la Comisión no presentaba en ella suficientes datos sobre las limitaciones de acceso de las autoridades públicas de los Estados Unidos a los datos transferidos en virtud de dicha Decisión y a la existencia de una protección jurídica eficaz contra esa interferencia. En particular, el Tribunal explicitó que debía considerarse que toda legislación que permita a las autoridades públicas tener un acceso generalizado al contenido de las comunicaciones electrónicas compromete la esencia del derecho fundamental al respeto de la vida privada. Además, el Tribunal de Justicia confirmó que, incluso cuando exista una decisión de adecuación de conformidad con el artículo 25, apartado 6, de la Directiva 95/46/CE, las autoridades de protección de datos de los Estados miembros siguen estando facultadas y obligadas a examinar, con absoluta independencia, si las transferencias de datos a un tercer país se ajustan a los requisitos establecidos por la Directiva 95/46/CE, interpretado a la luz de los artículos 7, 8 y 47 de la Carta de los Derechos Fundamentales. Sin embargo, también afirmó que solo el Tribunal de Justicia podía declarar inválido un acto de la UE, como una decisión de adecuación de la Comisión. La sentencia del Tribunal de Justicia se inspira en la Comunicación de la Comisión de 2013 sobre el funcionamiento del puerto seguro desde la perspectiva de los ciudadanos de la UE y las empresas establecidas en la UE, en el que la Comisión señalaba una serie de deficiencias y efectuaba 13 recomendaciones. Partiendo de estas recomendaciones, la Comisión ha venido manteniendo con las autoridades estadounidenses, desde enero de 2014, conversaciones dirigidas a implantar un régimen renovado e intensificado de intercambio transatlántico de datos. Tras la sentencia, la Comisión mantiene su compromiso con el objetivo de establecer un régimen renovado y sólido de transferencias transatlánticas de datos personales. Con tal fin, ha reanudado inmediatamente e intensificado su diálogo con el Gobierno de los EE.UU. para asegurarse de que todo nuevo régimen de transferencias transatlánticas de datos personales se ajuste plenamente a los parámetros establecidos por el Tribunal. Toda estructura creada con esos fines debe por consiguiente disponer de límites, salvaguardias y mecanismos de control judicial suficientes para asegurar una protección continuada de los datos personales de los ciudadanos de la UE, protegiéndolos también de un posible acceso a los mismos por parte de las autoridades públicas a efectos de la aplicación de la ley y de la seguridad nacional. Entretanto, las empresas del sector han expresado ciertas preocupaciones relacionadas con las posibilidades de continuidad de las transferencias de datos. Es preciso, por lo tanto, aclarar las condiciones en las que pueden proseguir esas transferencias. Esa necesidad ha llevado al Grupo de Trabajo del artículo 29 (órgano consultivo independiente que reúne a representantes de todas las autoridades de protección de datos de los Estados miembros, así como al Supervisor Europeo de Protección de Datos) a emitir, el pasado 16 de octubre, una Declaración sobre las primeras conclusiones que deben extraerse de la sentencia. Entre otros puntos, esa Declaración contenía las orientaciones siguientes sobre las transferencias de datos: las transferencias de datos no pueden ya basarse en la Decisión de puerto seguro de la Comisión, que ha sido invalidada; las cláusulas contractuales tipo (en lo sucesivo también «CCT» y las normas corporativas vinculantes (en lo sucesivo también «NCV») pueden utilizarse entre tanto como base para las transferencias de datos, aunque el Grupo de Trabajo del artículo 29 indicó también que seguiría analizando la repercusión de la sentencia en esos instrumentos alternativos. En la Declaración se instaba también a los Estados miembros y a las instituciones de la UE a entablar conversaciones con las autoridades de los EE.UU. con vistas a encontrar soluciones jurídicas y técnicas para las transferencias de datos; las negociaciones sobre un nuevo régimen de puerto seguro podrían, en opinión del Grupo de Trabajo del artículo 29, formar parte de la solución.

El Grupo de Trabajo del artículo 29 anunció que si, a finales de enero de 2016 no se había encontrado una solución satisfactoria con las autoridades de los EE.UU. y en función de la evaluación de los instrumentos alternativos para las transferencias de datos, las autoridades de protección de datos tomarían todas las medidas necesarias y pertinentes, incluida una acción de ejecución coordinada. Por último, el Grupo de Trabajo del artículo 29 insistió en la responsabilidad conjunta de las autoridades de protección de datos, las instituciones de la UE, los Estados miembros y las empresas para encontrar soluciones sostenibles que permitan aplicar la sentencia del Tribunal. Concretamente, el Grupo de Trabajo instó a las empresas a que se plantearan la posibilidad de poner en marcha cualquier solución jurídica y técnica capaz de mitigar los posibles riesgos a los que se enfrentan con las transferencias de datos. La presente Comunicación se entiende sin perjuicio de las competencias y el deber de las autoridades de protección de datos de examinar la legalidad de esas transferencias con total independencia. No establece normas vinculantes y respeta plenamente las competencias de los órganos jurisdiccionales nacionales para interpretar el Derecho vigente y, en su caso, plantear al Tribunal de Justicia una cuestión prejudicial. Tampoco puede constituir la base de ningún derecho o pretensión jurídica individuales o colectivos. 2. Bases alternativas para las transferencias de datos personales a los Estados Unidos. Las normas sobre transferencias internacionales de datos que establece la Directiva 95/46/CE se basan en una clara distinción entre, por una parte, las transferencias a terceros países que garanticen un nivel de protección adecuado (artículo 25 de la Directiva) y, por otra parte, las transferencias a terceros países respecto de los cuales no se haya confirmado que garanticen un nivel de protección adecuado (artículo 26 de la Directiva). La sentencia Schrems aborda las condiciones en las que, de conformidad con el artículo 25, apartado 6, de la Directiva 95/46/CE, puede determinar la Comisión que un tercer país ofrece un nivel de protección adecuado. Si se considera que el tercer país al que van a exportarse los datos personales desde la UE no garantiza ese nivel de protección adecuado, el artículo 26 de la Directiva 95/46/CE establece una serie de criterios alternativos sobre cuya base pueden efectuarse a pesar de todo las transferencias. Concretamente, las transferencias pueden realizarse cuando la entidad responsable de determinar los fines y medios del tratamiento de los datos personales (el «responsable del tratamiento»): ofrezca garantías suficientes, conforme a lo dispuesto en el artículo 26, apartado 2, de la Directiva 95/46/CE, respecto de la protección de la vida privada, los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de tales derechos. Esas garantías pueden consistir, en particular, en cláusulas contractuales vinculantes entre el exportador y el importador de los datos (véanse las secciones 2.1 y 2.2). Dichas cláusulas incluyen las CCT fijadas por la Comisión y, en el caso de las transferencias entre las diferentes entidades de un grupo multinacional de empresas, las NCV autorizadas por los las autoridades de protección de datos; o se acoja a una de las excepciones expresamente recogidas en las letras a) a f) del artículo 26, apartado 1, de la Directiva 95/46/CE (véase la sección 2.3). En comparación con las decisiones de adecuación que se derivan de la evaluación global del sistema de un tercer país determinado y pueden, en principio, cubrir todas las transferencias a ese sistema, estos criterios alternativos para las transferencias tienen a la vez un alcance más limitado (dado que solo se aplican a flujos de datos específicos) y una cobertura más amplia (puesto que no se circunscriben a ningún país en particular). Se aplican a los flujos de datos efectuados por determinadas entidades que han decidido hacer uso de alguna de las posibilidades ofrecidas por el artículo 26 de la Directiva 95/46/CE. Por otra parte, al realizar sus transferencias sobre esos criterios y dado que estas no pueden basarse en una constatación de la adecuación del tercer país recogida en una decisión de la Comisión, los exportadores y los importadores de datos asumen la responsabilidad de asegurar que las transferencias se ajustan a los requisitos de la Directiva. 2.1. Soluciones contractuales Como destaca el Grupo de Trabajo del artículo 29, a fin de ofrecer garantías suficientes a efectos del artículo 26, apartado 2, de la Directiva 95/46/CE, las cláusulas contractuales deben compensar de manera satisfactoria la ausencia de una protección general adecuada, incluyendo los elementos esenciales de protección que no se den en una determinada situación concreta. Para facilitar la utilización de esos instrumentos en las transferencias internacionales, la Comisión aprobó, de conformidad con el artículo 26, apartado 4, de la Directiva, cuatro conjuntos de CCT que considera cumplen los requisitos del artículo 26, apartado 2, de la Directiva. Dos de esos conjuntos de cláusulas tipo corresponden a las transferencias entre responsables del tratamiento, mientras que los otros dos se refieren a las transferencias entre un responsable y un encargado del tratamiento que actúe siguiendo las instrucciones del primero. Cada uno de esos conjuntos de cláusulas tipo establece las obligaciones respectivas de los exportadores y los importadores. Las cláusulas incluyen obligaciones relativas, entre otros aspectos, a las medidas de seguridad, la información al interesado en caso de transferencia de datos sensibles, la notificación al exportador de datos de las solicitudes de acceso de las autoridades policiales y judiciales de terceros países o de todo acceso accidental o no autorizado, los derechos de acceso de los interesados al acceso, la rectificación y supresión de sus datos personales, así como las normas en materia de indemnización al interesado por los daños derivados de una vulneración de las CCT por cualquiera de las partes. Las cláusulas tipo exigen también que los interesados de la UE tengan la posibilidad de invocar ante una autoridad de protección de datos y/o un órgano jurisdiccional del Estado miembro en el que esté establecido el exportador de datos los derechos que para ellos dimanen de las cláusulas contractuales como terceros beneficiarios. Las cláusulas contractuales deben necesariamente contener esos derechos y obligaciones, ya que, a diferencia de lo que sucede cuando la Comisión ha adoptado una decisión de adecuación, no puede presumirse que el importador de datos del tercer país esté sujeto a un sistema adecuado de supervisión y garantía de la aplicación de las normas de protección de datos. Comoquiera que las decisiones de la Comisión son obligatorias en todos sus elementos en los Estados miembros, la incorporación de las CCT en un contrato significa que las autoridades nacionales están en principio obligadas a aceptarlas. Por consiguiente, no pueden denegar la transferencia de datos a un tercer país basándose únicamente en el argumento de que esas CCT no aportan las garantías suficientes. Esa imposibilidad se entiende sin perjuicio de la facultad de dichas autoridades para examinar las cláusulas con arreglo a los requisitos establecidos por el Tribunal de Justicia en la sentencia Schrems. En caso de duda, deberán someter el asunto a los órganos jurisdiccionales nacionales, los cuales podrán a su vez formular una petición de decisión prejudicial al Tribunal de Justicia. Si bien las leyes que incorporan la Directiva 95/45/CE en el ordenamiento jurídico de la mayor parte de los Estados miembros no incluyen el requisito de autorización nacional previa, algunos Estados miembros mantienen un sistema de notificación y/o autorización previa para el uso de CCT. En tales casos, la autoridad nacional de protección de datos ha de comparar las cláusulas efectivamente contenidas en el contrato en cuestión y comprobar que no se haya introducido en ellas ningún cambio. Si las cláusulas se han utilizado sin modificación alguna, la autorización se concede, en principio, automáticamente. Conforme se explica más adelante (véase la sección 2.4), todas estas disposiciones se entienden sin perjuicio de las medidas adicionales que el exportador de datos pueda tener que adoptar, sobre todo en caso de que el importador de datos le proporcione información que indique la introducción de cambios en el sistema jurídico del tercer país que puedan impedirle cumplir las obligaciones derivadas del contrato. Para la aplicación de las CCT, tanto los exportadores de datos como, tras su adhesión al contrato, los importadores de datos están sujetos a la supervisión de las autoridades de protección de datos. La adopción de CCT no impide a las empresas recurrir a otros instrumentos, como disposiciones contractuales ad hoc, para demostrar que sus transferencias se efectúan con las garantías suficientes conforme exige el artículo 26, apartado 2, de la Directiva 95/46/CE. De conformidad con el artículo 26, apartado 2, de la Directiva, cada uno de estos instrumentos debe ser aprobados por las autoridades nacionales. Algunas autoridades de protección de datos han elaborado directrices este ámbito, en forma incluso de contratos tipo o normas detalladas que deben seguirse para redactar las cláusulas de transferencia de datos. La mayor parte de los contratos actualmente utilizados por las empresas para llevar a cabo sus transferencias internacionales de datos se basan, no obstante, en las CCT aprobadas por la Comisión. 2.2. Transferencias dentro de un mismo grupo

Una empresa multinacional puede adoptar NCV para transferir datos personales desde la UE a sus filiales situadas fuera de la UE con arreglo a los requisitos establecidos en el artículo 26, apartado 2, de la Directiva 95/46/CE. Este tipo de código de prácticas sienta únicamente las bases para las transferencias efectuadas dentro de un mismo grupo de empresas. El uso de NCV posibilita por lo tanto la libre circulación de datos personales entre las diversas entidades de un grupo de empresas en todo el mundo, lo que evita la necesidad de establecer disposiciones contractuales entre todas y cada una de esas entidades, ofreciendo al mismo tiempo un idéntico y elevado nivel de protección de los datos personales a todos los miembros del grupo mediante un único conjunto de normas de carácter vinculante y ejecutivo. El conjunto único de normas supone un régimen más sencillo y más eficaz, más fácil de aplicar para el personal responsable y más fácil de comprender para los interesados. Para ayudar a las empresas a redactar las NCV, el Grupo de Trabajo del artículo 29 ha definido sus requisitos sustantivos (por ejemplo, limitación de los fines, seguridad del tratamiento, transparencia de la información a los interesados, restricciones de las transferencias posteriores fuera del grupo, derechos de acceso, rectificación y oposición, etc.) y procedimentales (por ejemplo, auditorías, control del cumplimiento, tramitación de las reclamaciones, cooperación con las autoridades de protección de datos, responsabilidad y jurisdicción) basándose en las normas de protección de datos de la UE. Además de ser vinculantes para los miembros del grupo de empresas, esas normas, al igual que las CCT, tienen carácter ejecutivo en la UE: las personas cuyos datos estén siendo tratados por una entidad del grupo podrán, como terceros beneficiarios, exigir el cumplimiento de las NCV mediante la presentación de una reclamación ante una autoridad de protección de datos y la interposición de la correspondiente acción ante un tribunal de un Estado miembro. Además, las NCV deben designar una entidad dentro de la UE que asuma la responsabilidad por el incumplimiento de las normas por parte de cualquier miembro del grupo situado fuera de la UE que esté vinculado por dichas normas. Conforme a las leyes por las que la mayor parte de los Estados miembros incorporan la Directiva, las transferencias de datos efectuadas con arreglo a NCV han de ser autorizadas por la autoridad de protección de datos de cada Estado miembro desde el que la empresa multinacional tenga la intención de transferir los datos. Para facilitar y acelerar el proceso, reduciendo además las cargas para los solicitantes, el Grupo de Trabajo del artículo 29 ha elaborado un formulario de solicitud normalizado y un procedimiento específico de cooperación entre autoridades de protección de datos afectadas que incluye la designación de una «autoridad principal» responsable de tramitar el procedimiento de aprobación. 2.3. Excepciones A falta de una decisión de adecuación con arreglo al artículo 25, apartado 6, de la Directiva 95/46/CE y con independencia de la utilización de CCT y/o NCV, los datos personales podrán transferirse a entidades establecidas en un tercer país siempre que sea aplicable alguna de las excepciones alternativas establecidas en el artículo 26, apartado 1, de la Directiva 95/46/CE: el interesado ha dado su consentimiento inequívoco a la transmisión propuesta; la transmisión es necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la aplicación de medidas precontractuales a petición del interesado; la transmisión es necesaria para la conclusión o ejecución de un contrato celebrado en beneficio del interesado entre el responsable del tratamiento y un tercero; la transmisión es necesaria o legalmente obligatoria por razones importantes de interés público o para el establecimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial; la transmisión es necesaria para proteger intereses vitales del interesado; la transferencia tiene lugar desde un registro que, en virtud de disposiciones legales o reglamentarias, esté concebido para facilitar información al público y esté abierto a la consulta por el público en general o por cualquier persona que pueda demostrar un interés legítimo, siempre que se cumplan, en cada caso particular, las condiciones que establece la ley para la consulta.

Estos motivos justifican la excepción a la prohibición general de transferir datos personales a entidades establecidas en un tercer país sin un nivel de protección adecuado. De hecho, el exportador de datos no tiene que garantizar que el importador de datos vaya a dispensar la protección adecuada, y en principio no necesitará obtener de las autoridades nacionales competentes autorización previa para la transferencia. No obstante, debido a su carácter excepcional, el Grupo de Trabajo del artículo 29 considera que dichos supuestos de inaplicación deben ser objeto de una interpretación estricta. El Grupo de Trabajo del artículo 29 ha publicado diversos documentos de orientación no vinculantes sobre la aplicación del artículo 26, apartado 1, de la Directiva 95/46/CE. Entre ellos se incluye una serie de reglas de «mejores prácticas» dirigidas a encauzar la actividad de ejecución de las autoridades de protección de datos. En particular, el Grupo de Trabajo recomienda que las transferencias de datos personales que puedan calificarse de repetidas, masivas o estructurales se lleven a cabo con las garantías suficientes y, en la medida de lo posible, dentro de un marco jurídico específico como las CCT o las NCV. En la presente Comunicación, la Comisión hará solo referencia a las excepciones que resultan especialmente pertinentes para las transferencias en el contexto comercial tras la declaración de invalidez de la Decisión sobre el puerto seguro. 2.3.1. Transferencias necesarias para la ejecución de un contrato o la aplicación de medidas precontractuales adoptadas en respuesta a la solicitud del interesado [artículo 26, apartado 1, letra b)] Esta excepción podría ser aplicable, por ejemplo, en relación con una reserva de hotel o cuando se transfiera a un tercer país información sobre pagos para efectuar una transferencia bancaria. Sin embargo, en cada uno de estos casos, el Grupo de Trabajo del artículo 29 considera que debe existir un «vínculo estrecho y sustancial», «una relación directa y objetiva» entre el interesado y el objeto del contrato o de las medidas precontractuales (prueba de necesidad). Además, la excepción no puede aplicarse a las transferencias de información adicional que no sea necesaria para la transferencia, o a las transferencias destinadas a un fin distinto de la ejecución del contrato (por ejemplo, comercialización de seguimiento). Por lo que se refiere a las medidas precontractuales, el Grupo de Trabajo del artículo 29 consideró que solo estarían cubiertos los contactos iniciados por el interesado (por ejemplo, una solicitud de información sobre un determinado servicio), pero no los resultantes de las estrategias de comercialización adoptadas por el responsable del tratamiento de los datos. 2.3.2. Transferencias necesarias para la celebración o ejecución de un contrato celebrado en interés del interesado entre el responsable del tratamiento o un tercero [artículo 26, apartado 1, letra c)] Esta excepción podría ser aplicable, por ejemplo, cuando el interesado sea beneficiario de una transferencia bancaria internacional, o cuando una agencia de viajes envíe los pormenores de una reserva de vuelo a una compañía aérea. Una vez más, debe aplicarse la prueba de necesidad para demostrar, en este caso, la existencia de un vínculo estrecho y sustancial entre el interés del interesado y el fin perseguido con el contrato. 2.3.3. Transferencias necesarias u obligatorias desde un punto de vista legal para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial [artículo 26, apartado 1, letra d)] Esta excepción podría ser aplicable, por ejemplo, cuando una empresa necesite transferir datos para defenderse frente a una reclamación legal, o para presentar una reclamación ante un órgano jurisdiccional o una autoridad pública. Como las dos excepciones anteriores, está sujeta a la prueba de necesidad: debe darse una estrecha relación con procedimientos contenciosos o judiciales (incluidos los de orden administrativo). Según el Grupo de Trabajo del artículo 29, la excepción solo puede aplicarse si se han cumplido normas internacionales en materia de cooperación en procesos penales o civiles que regulen ese tipo de transferencia, en particular las que se deriven de las disposiciones del Convenio de La Haya de 18 de marzo de 1970 (Convenio sobre «obtención de pruebas»). 2.3.4. Consentimiento previo inequívoco del interesado a la transferencia propuesta [artículo 26, apartado 1, letra a),] Si bien es cierto que el consentimiento puede tomarse como base de las transferencias de datos, es preciso tener en cuenta una serie de consideraciones. El hecho de que el consentimiento deba otorgarse a la transferencia «propuesta» exige el consentimiento previo para cada transferencia concreta (o para cada categoría específica de transferencias). Si este consentimiento se solicita en línea, el Grupo de Trabajo del artículo 29 recomienda la utilización de casillas que deban marcarse (en lugar de casillas previamente marcadas). Dado que el consentimiento ha de ser inequívoco, cualquier duda sobre su otorgamiento efectivo haría inaplicable esta excepción. Esto significará, probablemente, que muchas situaciones en las que el consentimiento se da por supuesto (por ejemplo, porque la persona ha sido informada de una transferencia y no se ha opuesto a ella), no pueden ser objeto de la excepción. A la inversa, la excepción podría aplicarse en aquellos casos en que la entidad cedente tenga contacto directo con el interesado y pueda proporcionarse fácilmente la información necesaria y obtenerse un consentimiento inequívoco. Por otra parte, según el artículo 2, letra h), de la Directiva 95/46/CE, el consentimiento debe ser libre, específico e informado. Según el Grupo de Trabajo del artículo 29, el primer requisito implica que cualquier «presión» puede invalidar el consentimiento. Esta circunstancia resulta especialmente pertinente en el contexto laboral, donde la relación de subordinación e inherente dependencia de los empleados suscitará por lo general dudas sobre la idoneidad del consentimiento. En términos más generales, el consentimiento otorgado por un interesado que no haya tenido la oportunidad de hacer una auténtica elección o que haya sido puesto frente a un hecho consumado no puede considerarse válido. Tiene gran importancia que se notifique con antelación a los interesados que los datos pueden transferirse fuera de la UE, a qué terceros países y en qué condiciones (finalidad, identidad y datos pormenorizados de los destinatarios, etc.). Esta información deberá cubrir el riesgo específico de que dichos datos vayan a transferirse a un tercer país carente de la protección adecuada. Además, como ha señalado el Grupo de Trabajo del artículo 29, la retirada del consentimiento del interesado, si bien no tiene carácter retroactivo, debe por principio, descartar cualquier tratamiento posterior de datos personales. Habida cuenta de estas limitaciones, el Grupo de Trabajo del artículo 29 considera improbable que el consentimiento ofrezca a los responsables del tratamiento un marco adecuado a largo plazo en casos de transferencias estructurales.