Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos) /* COM/2012/011 final - 2012/0011 (COD) */





EXPOSICIÓN DE MOTIVOS 1. CONTEXTO DE LA PROPUESTA La presente exposición de motivos presenta en detalle el nuevo marco jurídico propuesto para la protección de los datos personales en la UE, como se establece en la Comunicación COM (2012) 9 final[1]. El nuevo marco jurídico propuesto consta de dos propuestas legislativas: – una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), y – una propuesta de Directiva del Parlamento Europeo y del Consejo relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las autoridades competentes a efectos de la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, y a la libre circulación de estos datos[2]; La presente exposición de motivos se refiere a la propuesta legislativa de Reglamento general de protección de datos. La piedra angular de la legislación vigente de la UE en materia de protección de datos, la Directiva 95/46/CE[3], fue adoptada en 1995 con un doble objetivo: defender el derecho fundamental a la protección de datos y garantizar la libre circulación de estos datos entre los Estados miembros. Se complementó mediante la Decisión Marco 2008/977/JAI, en su calidad de instrumento general a escala de la Unión para la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal[4]. La rápida evolución tecnológica ha supuesto nuevos retos para la protección de los datos personales. Se ha incrementado enormemente la magnitud del intercambio y la recogida de datos. La tecnología permite que tanto las empresas privadas como las autoridades públicas utilicen datos personales en una escala sin precedentes a la hora de desarrollar sus actividades. Las personas físicas difunden un volumen cada vez mayor de información personal a escala mundial. La tecnología ha transformado tanto la economía como la vida social. Generar confianza en el entorno en línea es esencial para el desarrollo económico. La falta de confianza hace que los consumidores vacilen a la hora de adquirir productos en línea y adoptar nuevos servicios, con lo que se corre el riesgo de que se ralentice el desarrollo de usos innovadores de las nuevas tecnologías. La protección de datos personales desempeña, por tanto, una función esencial en la Agenda Digital para Europa[5] y más concretamente en la Estrategia Europa 2020[6]. El artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea (TFUE), introducido por el Tratado de Lisboa, establece el principio según el cual toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. Además, con el artículo 16, apartado 2, del TFUE, el Tratado de Lisboa introdujo una base jurídica específica para la adopción de normas relativas a la protección de datos de carácter personal. El artículo 8 de la Carta de los Derechos Fundamentales de la UE consagra como derecho fundamental la protección de los datos de carácter personal. El Consejo Europeo invitó a la Comisión a evaluar el funcionamiento de los instrumentos de la UE en materia de protección de datos y a presentar, en caso necesario, nuevas iniciativas legislativas y no legislativas[7]. En su resolución sobre el Programa de Estocolmo, el Parlamento Europeo[8] acogió favorablemente un régimen general de protección de datos en la UE y, entre otras cosas, abogó por la revisión de la Decisión Marco. En su Plan de acción por el que se aplica el Programa de Estocolmo[9], la Comisión subrayó la necesidad de garantizar que el derecho fundamental a la protección de datos de carácter personal se aplique de forma coherente en el contexto de todas las políticas de la UE. En su Comunicación titulada «Un enfoque global de la protección de los datos personales en la Unión Europea»[10], la Comisión concluyó que la UE necesita una política más integradora y coherente en materia del derecho fundamental a la protección de los datos de carácter personal. Si bien el marco jurídico actual sigue siendo adecuado por lo que respecta a sus objetivos y principios, no ha evitado, sin embargo, la fragmentación en cómo se aplica en la Unión la protección de datos de carácter personal, la inseguridad jurídica y la percepción generalizada de la opinión pública de que existen riesgos significativos, especialmente por lo que se refiere a la actividad en línea[11]. Ha llegado por ello el momento de establecer un marco más sólido y coherente en materia de protección de datos en la UE, con una aplicación estricta que permita el desarrollo de la economía digital en el mercado interior, otorgue a los ciudadanos el control de sus propios datos y refuerce la seguridad jurídica y práctica de los operadores económicos y las autoridades públicas. 2. RESULTADOS DE LA CONSULTA DE LAS PARTES INTERESADAS Y EVALUACIÓN DE IMPACTO Esta iniciativa es el resultado de una amplia consulta de todas las partes interesadas sobre la revisión del actual marco jurídico para la protección de datos de carácter personal, que se prolongó durante más de dos años e incluyó una conferencia de alto nivel celebrada en mayo de 2009[12] y dos fases de consulta pública: – Del 9 de julio al 31 de diciembre de 2009, la Consulta sobre el marco jurídico para el derecho fundamental a la protección de datos de carácter personal. La Comisión recibió 168 respuestas, 127 de personas físicas, organizaciones y asociaciones empresariales, y 12 de autoridades públicas[13]. – Del 4 de noviembre de 2010 al 15 de enero de 2011, la Consulta sobre el enfoque global de la Comisión sobre la protección de datos de carácter personal en la Unión Europea. La Comisión recibió 305 respuestas, de las cuales 54 procedían de ciudadanos, 31 de autoridades públicas y 220 de organizaciones privadas, especialmente de asociaciones empresariales y organizaciones no gubernamentales[14]. Asimismo se llevaron a cabo consultas selectivas con actores clave; en junio y julio de 2010 se organizaron actos específicos con las autoridades de los Estados miembros y operadores del sector privado, así como con organizaciones de consumidores y entidades dedicadas a la protección de datos y la intimidad[15]. En noviembre de 2010, la Vicepresidenta de la Comisión Europea Viviane Reding organizó una mesa redonda sobre la reforma de la protección de datos. El 28 de enero de 2011 (Día de la protección de datos), la Comisión Europea y el Consejo de Europa organizaron una conferencia de alto nivel con el fin de debatir cuestiones relacionadas con la reforma del marco jurídico de la UE y con la necesidad de establecer unas normas de protección de datos comunes a escala mundial[16]. Las presidencias húngara y polaca del Consejo acogieron sendas conferencias sobre protección de datos los días 16 y 17 de junio de 2011 y el 21 de septiembre de 2011, respectivamente. A lo largo de 2011 se celebraron talleres y seminarios consagrados específicamente a temas concretos. En enero, ENISA[17] organizó un taller sobre las notificaciones de la violación de datos en Europa[18]. En febrero, la Comisión organizó un taller con las autoridades de los Estados miembros para debatir sobre cuestiones de protección de datos en el ámbito de la cooperación policial y judicial en materia penal, incluida la ejecución de la Decisión Marco, y la Agencia de los Derechos Fundamentales celebró una reunión consultiva con los distintos actores sobre la «Protección de Datos y la Intimidad». El 13 de julio de 2011 tuvo lugar un debate sobre cuestiones clave de la reforma con las autoridades nacionales de protección de datos. Se consultó a los ciudadanos de la UE mediante un Eurobarómetro realizado en noviembre-diciembre de 2010[19]. Asimismo se pusieron en marcha algunos estudios[20]. El «Grupo de Trabajo del Artículo 29»[21] emitió diversos dictámenes y realizó aportaciones útiles a la Comisión[22]. El Supervisor Europeo de Protección de Datos también emitió un dictamen general sobre los temas planteados en la Comunicación de la Comisión de noviembre de 2010[23]. Mediante su Resolución de 6 de julio de 2011 el Parlamento Europeo aprobó un informe que respaldaba el enfoque adoptado por la Comisión de cara a reformar el marco de la protección de datos[24]. En sus conclusiones adoptadas el 24 de febrero de 2011, el Consejo de la Unión Europea manifestó su apoyo en general a la intención de la Comisión de reformar el marco de protección de datos y mostró su acuerdo con muchos elementos de la posición de la Comisión. También el Comité Económico y Social Europeo se mostró a favor del objetivo de la Comisión de garantizar una aplicación más coherente de las normas de la UE en materia de protección de datos[25] en todos los Estados miembros y una revisión adecuada de la Directiva 95/46/CE[26]. Durante las consultas sobre el enfoque global, una gran mayoría de los participantes se mostró de acuerdo en que los principios generales siguen siendo válidos, si bien es necesario adaptar el marco vigente para responder mejor a los retos que plantea el rápido desarrollo de las tecnologías (especialmente en línea) y la globalización creciente, al tiempo que se mantiene la neutralidad tecnológica del marco jurídico. La actual fragmentación de la protección de datos personales en la Unión ha sido blanco de duras críticas, especialmente por parte de los operadores económicos, que solicitaron una mayor seguridad jurídica y la armonización de las normas relativas a la protección de los datos de carácter personal. Se considera que la complejidad de las normas en materia de transferencias internacionales de datos personales constituye un impedimento sustancial a su funcionamiento, ya que se necesita transferir con regularidad datos personales de la UE a otras partes del mundo. De conformidad con su política «legislar mejor», la Comisión realizó una evaluación de impacto de distintas posibilidades de actuación. La evaluación de impacto se basó en tres objetivos estratégicos: mejorar la dimensión de mercado interior de la protección de datos, hacer más efectivo el ejercicio de los derechos de protección de datos por los ciudadanos, y crear un marco general y coherente que abarque todos los ámbitos de competencia de la Unión, incluida la cooperación policial y judicial en materia penal. Se evaluaron tres opciones de actuación con diferentes grados de intervención: la primera opción consistía en la introducción de mínimas enmiendas legislativas y el uso de comunicaciones interpretativas y medidas de apoyo estratégico, como programas de financiación y herramientas técnicas; la segunda opción abarcaba un paquete de disposiciones legislativas que abordaban cada una de las cuestiones identificadas en el análisis, y la tercera opción era la centralización de la protección de datos a nivel de la UE mediante normas precisas y detalladas para todos los sectores y la creación de una agencia de la UE destinada a la supervisión y ejecución de las disposiciones. Con arreglo a la metodología consolidada de la Comisión, cada opción fue evaluada, con ayuda de un grupo director interservicios, en función de su efectividad a la hora de alcanzar los objetivos estratégicos, su impacto económico en los interesados (también sobre el presupuesto de las instituciones de la UE), su impacto social y su incidencia en los derechos fundamentales. No se observaron impactos en el medio ambiente. El análisis del impacto global condujo al desarrollo de la opción estratégica preferida, que se basa en la segunda opción con algunos elementos de las otras dos y se incorpora en la presente propuesta. Según la evaluación de impacto, su ejecución conllevará, entre otras cosas, mejoras considerables en materia de seguridad jurídica para los responsables del tratamiento de datos y los ciudadanos, la reducción de la carga administrativa, la coherencia en la aplicación de la protección de datos en la Unión, la posibilidad efectiva para las personas físicas de ejercer sus derechos de protección de los datos de carácter personal y la eficiencia de la supervisión y la aplicación de la protección de datos. Por otra parte, se espera que la aplicación de la opción estratégica preferida contribuya al objetivo de la Comisión de simplificar y reducir la carga administrativa y a lograr los objetivos de la Agenda Digital para Europa, el Plan de Acción de Estocolmo y la Estrategia Europa 2020. El 9 de septiembre de 2011, el Comité de Evaluación de Impacto emitió su dictamen sobre el proyecto de evaluación de impacto. A raíz del dictamen del CEI, se introdujeron los cambios siguientes en la evaluación de impacto: – se aclararon los objetivos del marco jurídico en vigor (en qué medida se alcanzaron y en qué medida no se lograron), y los objetivos de la reforma prevista; – en la sección consagrada a la definición de problemas se añadieron más elementos de prueba y explicaciones/aclaraciones adicionales; – se añadió una sección sobre la proporcionalidad; – se verificaron y revisaron en su integridad todos los cálculos y estimaciones relativos a la carga administrativa de la hipótesis de base y de la opción preferida, y se aclaró la relación entre los costes de las notificaciones y los costes totales de fragmentación (incluido el anexo 10); – se especificó mejor la incidencia en las microempresas, las pequeñas y medianas empresas, especialmente de los delegados de protección de datos y las evaluaciones de impacto de la protección de datos. Con las propuestas se publica un informe de evaluación de impacto y un resumen. 3. ELEMENTOS JURÍDICOS DE LA PROPUESTA 3.1. Base jurídica La presente propuesta se basa en el artículo 16 del TFUE, que constituye la nueva base jurídica para la adopción de las normas de protección de datos introducida por el Tratado de Lisboa. Esta disposición permite la adopción de normas relativas a la protección de las personas físicas con respecto al tratamiento de datos de carácter personal por parte de los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación del Derecho de la Unión. También permite la adopción de normas relativas a la libre circulación de datos de carácter personal, incluidos los datos personales tratados por los Estados miembros u operadores privados. Se considera que un Reglamento es el instrumento jurídico más apropiado para definir el marco de la protección de datos personales en la Unión. La aplicabilidad directa de un reglamento, de conformidad con el artículo 288 del TFUE, reducirá la fragmentación jurídica y ofrecerá una mayor seguridad jurídica merced a la introducción de un conjunto armonizado de normas básicas, la mejora de la protección de los derechos fundamentales de las personas y la contribución al funcionamiento del mercado interior. La referencia al artículo 114, apartado 1, del TFUE solo es necesaria para modificar la Directiva 2002/58/CE en la medida en que dicha Directiva también establece la protección de los intereses legítimos de los abonados que sean personas jurídicas. 3.2. Subsidiariedad y proporcionalidad Con arreglo al principio de subsidiariedad (artículo 5, apartado 3, del TUE), la Unión solo debe intervenir en caso de que los objetivos perseguidos no puedan ser alcanzados de manera suficiente por los Estados miembros por sí solos, sino que puedan alcanzarse mejor, debido a la dimensión o a los efectos de la acción pretendida, a escala de la Unión. A la luz de los problemas esbozados anteriormente, el análisis de subsidiariedad indica la necesidad de adoptar iniciativas a escala de la UE por las razones siguientes: – El derecho a la protección de datos de carácter personal, consagrado en el artículo 8 de la Carta de los Derechos Fundamentales, requiere el mismo nivel de protección de datos en toda la Unión. La ausencia de normas comunes de la UE provocaría el riesgo de que hubiera diferentes niveles de protección en los Estados miembros y restricciones en los flujos transfronterizos de datos personales entre los Estados miembros con distintas normas. – Los datos personales se transfieren a través de las fronteras nacionales, tanto internas como externas, a ritmos cada vez más rápidos. Además, existen retos prácticos a la ejecución de la legislación de protección de datos y la necesidad de cooperación entre los Estados miembros y sus autoridades, que tiene que organizarse a escala de la UE para garantizar la unidad de aplicación del Derecho de la Unión. Por otra parte, la UE es la que está en mejores condiciones para garantizar de forma efectiva y coherente el mismo nivel de protección de los ciudadanos cuando sus datos personales se transfieren a terceros países. – Por sí solos, los Estados miembros no pueden mitigar los problemas que se plantean en la situación actual, especialmente los debidos a la fragmentación de las legislaciones nacionales. Por tanto, existe una necesidad específica de establecer un marco armonizado y coherente que permita una adecuada transferencia de datos personales a través de las fronteras interiores de la UE, al tiempo que se garantiza una protección efectiva a todas las personas físicas en la UE. – Las iniciativas legislativas de la UE propuestas serán más efectivas que acciones similares adoptadas a nivel de los Estados miembros debido a la naturaleza y magnitud de los problemas, que no se circunscriben al ámbito de uno o varios Estados miembros. El principio de proporcionalidad requiere que cualquier intervención tenga una finalidad específica y no vaya más allá de lo necesario para alcanzar sus objetivos. Este principio ha servido de guía en la elaboración de la presente propuesta, desde la identificación y evaluación de las opciones políticas alternativas a la redacción de la propuesta legislativa. 3.3. Resumen de las cuestiones relativas a los derechos fundamentales El derecho a la protección de los datos de carácter personal se establece en el artículo 8 de la Carta de los Derechos Fundamentales, en el artículo 16 del TFUE y en el artículo 8 del CEDH. Como subrayó el Tribunal de Justicia de la UE[27], el derecho a la protección de datos de carácter personal no es un derecho absoluto, sino que se ha de considerar en relación con su función en la sociedad[28]. La protección de datos está estrechamente ligada al respeto de la vida privada y familiar establecido en el artículo 7 de la Carta. Ello se refleja en el artículo 1, apartado 1, de la Directiva 95/46/CE, que establece que los Estados miembros garantizarán la protección de las libertades y de los derechos fundamentales de las personas físicas, y en particular del derecho a la intimidad, en lo que respecta al tratamiento de datos personales. Otros derechos fundamentales potencialmente afectados y consagrados en la Carta son los siguientes: la libertad de expresión (artículo 11 de la Carta); la libertad de empresa (artículo 16); el derecho a la propiedad y especialmente a la protección de la propiedad intelectual (artículo 17, apartado 2); la prohibición de toda discriminación, y en particular la ejercida por razón de raza, orígenes étnicos, características genéticas, religión o convicciones, opiniones políticas o de cualquier otro tipo, discapacidad u orientación sexual (artículo 21); los derechos del menor (artículo 24); el derecho a un alto nivel de protección de la salud humana (artículo 35); el derecho de acceso a los documentos (artículo 42); el derecho a la tutela judicial efectiva y a un juez imparcial (artículo 47). 3.4. Exposición detallada de la propuesta 3.4.1. CAPÍTULO I - DISPOSICIONES GENERALES El artículo 1 define el objeto del Reglamento y, como el artículo 1 de la Directiva 95/46/CE, establece los dos objetivos del mismo. El artículo 2 define el ámbito de aplicación material del Reglamento. El artículo 3 define el ámbito de aplicación territorial del Reglamento. El artículo 4 contiene definiciones de los términos utilizados en el Reglamento. Si bien algunas definiciones proceden de la Directiva 95/46/CE, otras se modifican, complementadas con elementos adicionales, o se introducen por vez primera («violación de los datos personales» basada en el artículo 2, letra h), de la Directiva sobre la privacidad y las comunicaciones electrónicas 2002/58/CE[29], modificada por la Directiva 2009/136/CE[30]; «datos genéticos»; «datos biométricos»; «datos relativos a la salud»; «establecimiento principal»; «representante»; «empresa»; «grupo de empresas»; «normas corporativas vinculantes»; «niño», que se basa en la Convención de las Naciones Unidas sobre los Derechos del Niño[31], y «autoridad de control»). En la definición de consentimiento se añade el criterio «explícito» para evitar un paralelismo con consentimiento «inequívoco» que se preste a confusión y con el fin de dotarse de una definición única y coherente que garantice que el interesado es consciente de que da su consentimiento y a qué lo da. 3.4.2. CAPÍTULO II - PRINCIPIOS El artículo 5 establece los principios relativos al tratamiento de los datos personales, que corresponden a los establecidos en el artículo 6 de la Directiva 95/46/CE. Se introducen nuevos elementos adicionales como el principio de transparencia, la aclaración del principio de minimización de datos y el establecimiento de una responsabilidad general del responsable del tratamiento de datos. Basado en el artículo 7 de la Directiva 95/46/CE, el artículo 6 establece los criterios que ha de seguir el tratamiento lícito, que se especifican más en profundidad por lo que respecta al criterio del interés, y la observancia de las obligaciones jurídicas y el interés público. El artículo 7 aclara las condiciones para que el consentimiento sea válido como fundamento jurídico para el tratamiento lícito. El artículo 8 establece nuevas condiciones para la licitud del tratamiento de los datos personales de los niños en relación con los servicios de la sociedad de la información que se les ofrecen directamente. El artículo 9 establece la prohibición general del tratamiento de categorías especiales de datos personales y las excepciones a esta norma general, inspirándose en el artículo 8 de la Directiva 95/46/CE. El artículo 10 aclara que el responsable del tratamiento no está obligado a obtener información adicional para identificar al interesado con el único fin de cumplir las disposiciones del presente Reglamento. 3.4.3. CAPÍTULO III - DERECHOS DEL INTERESADO 3.4.3.1. Sección 1 – Transparencia y modalidades El artículo 11 introduce la obligación para los responsables del tratamiento de ofrecer información transparente y de fácil acceso y comprensión, inspirada especialmente en la Resolución de Madrid relativa a estándares internacionales sobre protección de datos personales y privacidad[32]. El artículo 12 obliga al responsable del tratamiento a arbitrar procedimientos y mecanismos para que puedan ejercerse los derechos de los interesados, incluidos los medios para presentar solicitudes electrónicas, con la obligación de responder a la solicitud del interesado en un plazo determinado, y de motivar las denegaciones. El artículo 13 establece derechos a favor de los destinatarios, basados en el artículo 12, letra c), de la Directiva 95/46/CE, y ampliados a todos los destinatarios, incluidos los corresponsables y coencargados del tratamiento. 3.4.3.2. Sección 2—Información y acceso a los datos El artículo 14 profundiza en las obligaciones de información del responsable del tratamiento en relación con el interesado, sobre la base de los artículos 10 y 11 de la Directiva 95/46/CE, y dispone el suministro de información adicional al interesado, incluso sobre el periodo de conservación de los datos, el derecho a presentar una reclamación, en relación con las transferencias internacionales y con la fuente de la que proceden los datos. Asimismo mantiene las posibles excepciones de la Directiva 95/46/CE, es decir, no habrá tal obligación si el registro o la comunicación están expresamente previstos por ley. Ello podría aplicarse, por ejemplo, a los procedimientos tramitados por las autoridades de competencia, las administraciones fiscal o aduanera o los servicios competentes en materia de seguridad social. Basándose en el artículo 12, letra a), de la Directiva 95/46/CE, el artículo 15 dispone el derecho de acceso del interesado a sus datos personales y añade nuevos elementos, como la obligación de informar a los interesados sobre el periodo de conservación, los derechos de rectificación y supresión y a interponer una reclamación. 3.4.3.3. Sección 3 – Rectificación y supresión Basándose en el artículo 12, letra b), de la Directiva 95/46/CE, el artículo 16 establece el derecho del interesado a la rectificación. El artículo 17 establece el derecho del interesado al olvido y de supresión. Asimismo elabora y especifica el derecho de supresión que se establece en el artículo 12, letra b), de la Directiva 95/46/CE y establece las condiciones del derecho al olvido, incluida la obligación del responsable del tratamiento que haya difundido los datos personales de informar a los terceros sobre la solicitud del interesado de suprimir todos los enlaces a los datos personales, copias o réplicas de los mismos. También integra el derecho a que se restrinja el tratamiento en determinados casos, evitando la ambigüedad del término «bloqueo». El artículo 18 introduce el derecho del interesado a la portabilidad de los datos, es decir, a transferir datos de un sistema de tratamiento electrónico a otro, sin que se lo impida el responsable del tratamiento. A modo de condición previa y con el fin de seguir mejorando el acceso de las personas físicas a sus datos personales, establece el derecho de obtener del responsable esos datos en un formato electrónico estructurado y de uso habitual. 3.4.3.4. Sección 4 – Derecho de oposición y elaboración de perfiles El artículo 19 establece el derecho de oposición del interesado. Se basa en el artículo 14 de la Directiva 95/46/CE, con algunas modificaciones, especialmente por lo que respecta a la carga de la prueba y su aplicación a la mercadotecnia directa. El artículo 20 se refiere al derecho del interesado a no ser objeto de una medida basada en la elaboración de perfiles. Con modificaciones y salvaguardias adicionales, se basa en el artículo 15, apartado 1, de la Directiva 95/46/CE en materia de decisiones individuales automatizadas, y toma en consideración la Recomendación del Consejo de Europa sobre la elaboración de perfiles[33]. 3.4.3.5. Sección 5 – Restricciones El artículo 21 aclara la facultad otorgada a la Unión o a los Estados miembros de mantener o introducir restricciones a los principios establecidos en el artículo 5 y a los derechos de los interesados establecidos en los artículos 11 a 20 y en el artículo 32. Esta disposición se basa en el artículo 13 de la Directiva 95/46/CE y en las obligaciones que emanan de la Carta de los Derechos Fundamentales y el Convenio Europeo para la Protección de los Derechos Humanos y las Libertades Fundamentales, interpretados por el Tribunal de Justicia de la Unión Europea y el Tribunal Europeo de Derechos Humanos. 3.4.4. CAPÍTULO IV – RESPONSABLE Y ENCARGADO DEL TRATAMIENTO 3.4.4.1. Sección 1 - Obligaciones generales El artículo 22 toma en consideración el debate sobre un «principio de responsabilidad» y describe pormenorizadamente la obligación de responsabilidad del responsable del tratamiento a la hora de cumplir el presente Reglamento y de demostrar su observancia, incluso mediante la adopción de políticas y mecanismos internos que garanticen dicha conformidad. El artículo 23 establece las obligaciones del responsable del tratamiento que emanan de los principios de la protección de datos desde el diseño y por defecto. El artículo 24 relativo a los corresponsables aclara sus responsabilidades por lo que se refiere a su relación interna y en relación con el interesado. El artículo 25 obliga, en determinadas condiciones, a los responsables no establecidos en la Unión, cuando el Reglamento se aplique a sus actividades de tratamiento, a designar un representante en la Unión. El artículo 26 aclara la posición y la obligación de los encargados del tratamiento, basándose parcialmente en el artículo 17, apartado 2, de la Directiva 95/46/CE y añadiendo nuevos elementos, incluido que todo encargado que trate datos más allá de las instrucciones del responsable del tratamiento ha de ser considerado corresponsable. El artículo 27 sobre el tratamiento bajo la autoridad del responsable y el encargado se basa en el artículo 16 de la Directiva 95/46/CE. Para los responsables y encargados del tratamiento, el artículo 28 introduce la obligación de conservar la documentación relativa a las operaciones de tratamiento que estén bajo su responsabilidad, en lugar de una notificación general a la autoridad de control exigida por el artículo 18, apartado 1, y el artículo 19, de la Directiva 95/46/CE. El artículo 29 aclara las obligaciones del responsable y el encargado del tratamiento de cooperar con la autoridad de control. 3.4.4.2. Sección 2 – Seguridad de los datos El artículo 30 obliga al responsable y al encargado del tratamiento a adoptar las medidas oportunas para garantizar la seguridad del tratamiento, basándose en el artículo 17, apartado 1, de la Directiva 95/46/CE, extiende la obligación a los encargados, independientemente del contrato suscrito con el responsable del tratamiento. Los artículos 31 y 32 introducen la obligación de notificar las violaciones de los datos personales, basándose en la notificación de la violación de los datos personales que figura en el artículo 4, apartado 3, de la Directiva 2002/58/CE sobre la privacidad y las comunicaciones electrónicas. 3.4.4.3. Sección 3 – Evaluación de impacto de la protección de datos y autorización previa El artículo 33 introduce la obligación de que los responsables y encargados del tratamiento lleven a cabo una evaluación de impacto de la protección de datos antes de efectuar operaciones de tratamiento arriesgadas. El artículo 34 se refiere a los casos en que es obligatoria la autorización y consulta de la autoridad de control con anterioridad al tratamiento, sobre la base del concepto de control previo establecido en el artículo 20 de la Directiva 95/46/CE. 3.4.4.4. Sección 4 – Delegado de protección de datos El artículo 35 introduce la obligatoriedad de contar con un delegado de protección de datos en el sector público y en el sector privado, cuando se trate de grandes empresas o en caso de que las actividades principales del responsable o del encargado del tratamiento consistan en operaciones de tratamiento que exijan un seguimiento periódico y sistemático. Esta disposición se fundamenta en el artículo 18, apartado 2, de la Directiva 95/46/CE, que establecía la posibilidad de que los Estados miembros introdujesen este requisito en lugar de una obligación general de notificación. El artículo 36 crea la figura del delegado de protección de datos. El artículo 37 establece las tareas esenciales del delegado de protección de datos. 3.4.4.5. Sección 5 – Códigos de conducta y certificación El artículo 38 se refiere a los códigos de conducta. A tal efecto, inspirado en el concepto del artículo 27, apartado 1, de la Directiva 95/46/CE, aclara el contenido de los códigos y procedimientos, y faculta a la Comisión para decidir sobre la validez general de los códigos de conducta. El artículo 39 introduce la posibilidad de establecer mecanismos de certificación y sellos y marcados de protección de datos. 3.4.5. CAPÍTULO V – TRANSFERENCIA DE DATOS PERSONALES A TERCEROS PAÍSES U ORGANIZACIONES INTERNACIONALES El artículo 40 establece, como principio general, que la observancia de las obligaciones que figuran en dicho capítulo es de obligado cumplimiento para toda transferencia de datos de carácter personal a terceros países u organizaciones internacionales, incluidas las transferencias ulteriores. El artículo 41 fija los criterios, condiciones y procedimientos para la adopción de una decisión relativa a la adecuación del nivel de protección de datos por parte de la Comisión, basada en el artículo 25 de la Directiva 95/46/CE. Entre los criterios que deberán tenerse en cuenta para que la Comisión evalúe si existe o no un nivel adecuado de protección se incluyen expresamente el Estado de Derecho, el recurso jurisdiccional y la supervisión independiente. El artículo confirma ahora explícitamente la posibilidad de que la Comisión evalúe el nivel de protección que ofrece un territorio o un sector de tratamiento en un tercer país. Para las transferencias a terceros países en relación con las cuales la Comisión no haya adoptado ninguna decisión de adecuación, el artículo 42 requiere que se aporten las garantías apropiadas, especialmente cláusulas tipo de protección de datos, normas corporativas vinculantes y cláusulas contractuales. La posibilidad de hacer uso de cláusulas tipo de protección de datos de la Comisión se basa en el artículo 26, apartado 4, de la Directiva 95/46/CE. Como novedad, estas cláusulas tipo de protección de datos también pueden ser adoptadas ahora por una autoridad de control y ser declaradas generalmente válidas por la Comisión. Las normas corporativas vinculantes se mencionan ahora específicamente en el texto jurídico. La opción de las cláusulas contractuales ofrece cierta flexibilidad al responsable o al encargado del tratamiento, aunque está sujeta a la autorización previa por parte de las autoridades de control. El artículo 43 describe con mayor detalle las condiciones aplicables a las transferencias realizadas en el marco de normas corporativas vinculantes, sobre la base de las prácticas y requisitos actuales de las autoridades de control. El artículo 44 define y aclara las excepciones a una transferencia de datos sobre la base de las disposiciones en vigor del artículo 26 de la Directiva 95/46/CE. Ello se aplica en particular a las transferencias de datos requeridas y necesarias para la protección de intereses públicos importantes, por ejemplo en caso de transferencias internacionales de datos entre autoridades de competencia, administraciones fiscales o aduaneras, o entre servicios competentes en materia de seguridad social o de gestión de la pesca. Por otra parte, en determinadas circunstancias una transferencia de datos puede estar justificada por un interés legítimo del responsable o del encargado del tratamiento, aunque únicamente después de haber evaluado y documentado las circunstancias de dicha operación de transferencia. El artículo 45 establece explícitamente mecanismos de cooperación internacional para la protección de los datos de carácter personal entre la Comisión y las autoridades de control de terceros países, especialmente aquellas que se considera que ofrecen un nivel de protección adecuado, teniendo en cuenta la Recomendación de la Organización para la Cooperación y el Desarrollo Económicos (OCDE) para la cooperación transfronteriza en la ejecución de leyes que protegen la privacidad, de 12 de junio de 2007. 3.4.6. CAPÍTULO V - AUTORIDADES DE CONTROL INDEPENDIENTES 3.4.6.1. Sección 1 - Independencia El artículo 46 obliga a los Estados miembros a crear autoridades de control, sobre la base del artículo 28, apartado 1, de la Directiva 95/46/CE, y a ampliar su misión para que cooperen entre sí y con la Comisión. Inspirado también en el artículo 44 del Reglamento (CE) nº 45/2001[34], el artículo 47 aclara las condiciones para la independencia de las autoridades de control, aplicando la jurisprudencia del Tribunal de Justicia de la Unión Europea[35]. El artículo 48 establece las condiciones generales de los miembros de la autoridad de control, en aplicación de la jurisprudencia pertinente[36] e inspirándose también en el artículo 42, apartados 2 a 6, del Reglamento (CE) nº 45/2001. El artículo 49 establece las normas relativas a la creación de la autoridad de control, que han de establecer por ley los Estados miembros. El artículo 50 dispone el deber de secreto profesional de los miembros y el personal de la autoridad de control, con base en el artículo 28, apartado 7, de la Directiva 95/46/CE. 3.4.6.2. Sección 2 – Funciones y poderes El artículo 51 establece la competencia de las autoridades de control. La norma general, basada en el artículo 28, apartado 6, de la Directiva 95/46/CE (competencia en el territorio de su propio Estado miembro), se complementa con la nueva competencia de autoridad principal en caso de que un responsable o encargado del tratamiento esté establecido en varios Estados miembros, con el fin de velar por una aplicación uniforme («principio de ventanilla única»). Cuando ejercen su función jurisdiccional, los órganos jurisdiccionales están exentos de la supervisión por parte de la autoridad de control, aunque no de la aplicación de las normas sustantivas en materia de protección de datos. El artículo 52 establece las funciones que ha de desempeñar la autoridad de control, entre las que se incluye conocer e investigar las reclamaciones y fomentar el conocimiento de los ciudadanos en materia de riesgos, normas, garantías y derechos. El artículo 53 dispone los poderes de la autoridad de control, basado en parte en el artículo 28, apartado 3, de la Directiva 95/46/CE y en el artículo 47 del Reglamento (CE) nº 45/2001, y añadiendo algunos elementos nuevos, incluido el poder de sancionar infracciones administrativas. Inspirado en el artículo 28, apartado 5, de la Directiva 95/46/CE, el artículo 54 obliga a las autoridades de control a elaborar informes anuales de actividad. 3.4.7. CAPÍTULO VII - COOPERACIÓN Y COHERENCIA 3.4.7.1. Sección 1 - Cooperación Basado en el artículo 28, apartado 6, segundo párrafo, de la Directiva 95/46/CE, el artículo 55 introduce normas explícitas sobre asistencia recíproca obligatoria, incluidas las consecuencias del incumplimiento de la solicitud de otra autoridad de control. El artículo 56 introduce normas en materia de operaciones conjuntas, inspirado en el artículo 17 de la Decisión 2008/615/JAI[37] del Consejo, incluido el derecho de las autoridades de control a participar en tales operaciones. 3.4.7.2. Sección 2 – Coherencia El artículo 57 introduce un mecanismo de coherencia para garantizar la uniforme aplicación en las operaciones de tratamiento de datos que pueden afectar a interesados de varios Estados miembros. El artículo 58 establece los procedimientos y condiciones para un dictamen del Consejo Europeo de Protección de Datos. El artículo 59 se refiere a los dictámenes de la Comisión sobre los asuntos tratados en el marco del mecanismo de coherencia, que pueden reforzar el dictamen del Consejo Europeo de Protección de datos o expresar una divergencia con dicho dictamen, y al proyecto de medida de la autoridad de control. Cuando la cuestión haya sido planteada por el Consejo Europeo de Protección de Datos en aplicación del artículo 58, apartado 3, es de esperar que la Comisión ejerza su poder discrecional y emita un dictamen, en caso necesario. El artículo 60 se refiere a las decisiones de la Comisión que obligan a la autoridad competente a suspender su proyecto de medida cuando sea necesario para garantizar la correcta aplicación del presente Reglamento. El artículo 61 dispone la posibilidad de adoptar medidas provisionales por un procedimiento de urgencia. El artículo 62 establece los requisitos para los actos de ejecución de la Comisión en el marco del mecanismo de coherencia. El artículo 63 establece la obligación de que se ejecuten las medidas de una autoridad de control en todos los Estados miembros interesados, y establece que la aplicación del mecanismo de coherencia es condición previa para la validez jurídica y la ejecución de las respectivas medidas. 3.4.7.3. Sección 3 – Consejo Europeo de Protección de Datos El artículo 64 instituye el Consejo Europeo de Protección de Datos, compuesto por los directores de las autoridades de control de cada Estado miembro y el Supervisor Europeo de Protección de Datos. El Consejo Europeo de Protección de Datos sustituye al Grupo de protección de las personas en lo que respecta al tratamiento de datos personales creado con arreglo al artículo 29 de la Directiva 95/46/CE. Se aclara que la Comisión no es miembro del Consejo Europeo de Protección de Datos, aunque tiene derecho a participar en sus actividades y a estar representada en el mismo. El artículo 65 subraya y aclara la independencia del Consejo Europeo de Protección de Datos. El artículo 66 describe las tareas del Consejo Europeo de Protección de datos, basado en el artículo 30, apartado 1, de la Directiva 95/46/CE, e incluye elementos adicionales, reflejando el creciente abanico de actividades del Consejo Europeo de Protección de Datos, dentro y fuera de la Unión. Con el fin de poder reaccionar en situaciones urgentes, ofrece a la Comisión la posibilidad de solicitar un dictamen en un determinado plazo. El artículo 67 obliga al Consejo de Europeo de Protección de Datos a presentar informes anuales de actividad, basándose en el artículo 30, apartado 6, de la Directiva 95/46/CE. El artículo 68 establece los procedimientos de toma de decisiones del Consejo Europeo de Protección de Datos, incluida la obligación de adoptar su reglamento interno, que debe fijar también las disposiciones de funcionamiento. El artículo 69 incluye disposiciones sobre el presidente y los vicepresidentes del Consejo Europeo de Protección de Datos. El artículo 70 establece las tareas del presidente. El artículo 71 establece que el Supervisor Europeo de Protección de Datos llevará a cabo las tareas de secretaría del Consejo Europeo de Protección de Datos y especifica dichas tareas. El artículo 72 establece normas en materia de confidencialidad. 3.4.8. CAPÍTULO VIII – RECURSOS JUDICIALES, RESPONSABILIDAD Y SANCIONES Inspirado en el artículo 28, apartado 4, de la Directiva 95/46/CE, el artículo 73 establece el derecho de cualquier interesado a presentar una reclamación ante una autoridad de control. Asimismo especifica los organismos, organizaciones o asociaciones que pueden presentar una reclamación en nombre del interesado o, en caso de violación de los datos personales, con independencia de la reclamación de un interesado. El artículo 74 se refiere al derecho de recurso judicial contra una autoridad de control. Se basa en la disposición general del artículo 28, apartado 3, de la Directiva 95/46/CE. Establece específicamente un recurso judicial por el que se obliga a la autoridad de control a actuar a raíz de una reclamación y aclara la competencia de los órganos jurisdiccionales del Estado miembro en que esté establecida la autoridad de control. Asimismo ofrece la posibilidad de que la autoridad de control del Estado miembro en el que resida el interesado, ejercite, en nombre del interesado, una acción ante los órganos jurisdiccionales de otro Estado miembro en el que esté establecida la autoridad de control competente. El artículo 75 se refiere al derecho a un recurso judicial contra un responsable o encargado del tratamiento, basándose en el artículo 22 de la Directiva 95/46/CE, y ofrece la opción de someterse a la jurisdicción del Estado miembro en el que tenga su residencia el demandado o de aquel en el que resida el interesado. Si un procedimiento sobre el mismo asunto estuviera pendiente en el marco del mecanismo de coherencia, el órgano jurisdiccional podrá suspender su procedimiento, salvo en caso de urgencia. El artículo 76 establece normas comunes para los procedimientos judiciales, incluidos los derechos de los organismos, organizaciones o asociaciones de representar a los interesados ante los tribunales, el derecho de las autoridades de control a ejercitar acciones legales y de los órganos jurisdiccionales a ser informados sobre los procedimientos paralelos en otro Estado miembro, y pudiendo suspender en tal caso el procedimiento[38]. Los Estados miembros están obligados a garantizar la celeridad de las actuaciones judiciales[39]. El artículo 77 establece el derecho a indemnización y responsabilidad. Se basa en el artículo 23 de la Directiva 95/46/CE, amplía este derecho a los daños y perjuicios causados por los encargados del tratamiento y aclara la responsabilidad de los corresponsables y coencargados del tratamiento. El artículo 78 obliga a los Estados miembros a establecer normas en materia de sanciones, a sancionar las infracciones del Reglamento, y a garantizar su aplicación. El artículo 79 obliga a las autoridades de control a sancionar las infracciones administrativas enumeradas en esta disposición, e imponiendo multas hasta un importe máximo, atendiendo a las circunstancias específicas de cada caso. 3.4.9. CAPÍTULO IX – DISPOSICIONES RELATIVAS A SITUACIONES DE TRATAMIENTO DE DATOS ESPECÍFICAS El artículo 80 obliga a los Estados miembros a adoptar exenciones y excepciones a las disposiciones específicas del Reglamento cuando resulte necesario para conciliar el derecho a la protección de los datos de carácter personal con el derecho a la libertad de expresión. Se basa en el artículo 9 de la Directiva 95/46/CE, tal como ha sido interpretado por el Tribunal de Justicia de la UE[40]. El artículo 81 obliga a los Estados miembros a establecer salvaguardias específicas para el tratamiento con fines sanitarios, además de las condiciones para categorías especiales de datos. El artículo 82 faculta a los Estados miembros para adoptar leyes específicas para el tratamiento de datos personales en el contexto del empleo. El artículo 83 establece condiciones específicas para el tratamiento de datos personales con fines históricos, estadísticos y de investigación científica. El artículo 84 faculta a los Estados miembros para adoptar normas específicas sobre el acceso de las autoridades de control a los datos de carácter personal y a los locales, en caso de que los responsables del tratamiento estén sujetos a obligaciones de confidencialidad. Inspirado en el artículo 17 del Tratado de Funcionamiento de la Unión Europea, el artículo 85 autoriza la aplicación permanente de las normas generales vigentes en materia de protección de datos de las iglesias, si se ajustan a lo dispuesto en el presente Reglamento. 3.4.10. CAPÍTULO X – ACTOS DELEGADOS Y ACTOS DE EJECUCIÓN El artículo 86 contiene las disposiciones tipo para el ejercicio de las delegaciones en consonancia con el artículo 290 del TFUE. Ello permite al legislador delegar en la Comisión el poder de adoptar actos no legislativos de alcance general que completen o modifiquen determinados elementos no esenciales de un acto legislativo (actos cuasi legislativos). El artículo 87 recoge la disposición relativa al procedimiento del comité necesario para la atribución de competencias de ejecución a la Comisión en los casos en que, de conformidad con el artículo 291 del TFUE, se requieran condiciones uniformes de ejecución de los actos jurídicamente vinculantes de la Unión. Es de aplicación el procedimiento de examen. 3.4.11. CAPÍTULO XI - DISPOSICIONES FINALES El artículo 88 deroga la Directiva 95/46/CEE. El artículo 89 aclara la relación con la Directiva 2002/58/CE, sobre la privacidad y las comunicaciones electrónicas, y la modifica. El artículo 90 obliga a la Comisión a evaluar el Reglamento y presentar los oportunos informes. El artículo 91 establece la fecha de entrada en vigor del Reglamento y una fase transitoria en lo que respecta a la fecha de su aplicación. 4. REPERCUSIONES PRESUPUESTARIAS La incidencia presupuestaria específica de la propuesta atañe a las tareas confiadas al Supervisor Europeo de Protección de Datos, tal y como se especifica en la ficha financiera legislativa que acompaña a la presente propuesta. Estas repercusiones requieren una reprogramación de la rúbrica 5 de las Perspectivas Financieras. La propuesta no tiene incidencia en los gastos operativos. La ficha financiera legislativa que acompaña a la presente propuesta de Reglamento abarca la incidencia presupuestaria del propio Reglamento y de la Directiva relativa a la protección de datos policiales y judiciales. 2012/0011 (COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos) (Texto pertinente a efectos del EEE) EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA, Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 16, apartado 2, y su artículo 114, apartado 1, Vista la propuesta de la Comisión Europea, Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales, Visto el dictamen del Comité Económico y Social Europeo[41], Previa consulta al Supervisor Europeo de Protección de Datos[42], De conformidad con el procedimiento legislativo ordinario, Considerando lo siguiente: (1) La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y el artículo 16, apartado 1, del Tratado establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. (2) El tratamiento de datos personales está al servicio del hombre; los principios y normas relativos a la protección de las personas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea la nacionalidad o residencia de las personas físicas, respetar las libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal. Debe contribuir a la plena realización de un espacio de libertad, seguridad y justicia y de una unión económica, al progreso económico y social, al refuerzo y la convergencia de las economías dentro del mercado interior, así como al bienestar de los individuos. (3) La Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos[43] pretende armonizar la protección de los derechos y las libertades fundamentales de las personas físicas en relación con las actividades de tratamiento de datos de carácter personal y garantizar la libre circulación de estos datos entre los Estados miembros. (4) La integración económica y social resultante del funcionamiento del mercado interior ha llevado a un aumento sustancial de los flujos transfronterizos. Se ha incrementado en toda la Unión el intercambio de datos entre los operadores económicos y sociales, públicos y privados. El Derecho de la Unión exige a las autoridades nacionales de los Estados miembros que cooperen e intercambien datos personales a fin de poder desempeñar sus funciones o llevar a cabo tareas en nombre de una autoridad de otro Estado miembro. (5) La rápida evolución tecnológica y la globalización han supuesto nuevos retos para la protección de los datos personales. Se ha incrementado de manera espectacular la magnitud del intercambio y la recogida de datos. La tecnología permite que tanto las empresas privadas como las autoridades públicas utilicen datos personales en una escala sin precedentes a la hora de desarrollar sus actividades. Los individuos difunden un volumen cada vez mayor de información personal a escala mundial. La tecnología ha transformado tanto la economía como la vida social, y requiere que se facilite aún más la libre circulación de datos dentro de la Unión y la transferencia a terceros países y organizaciones internacionales, garantizando al mismo tiempo un elevado nivel de protección de los datos personales. (6) Estos avances requieren el establecimiento de un marco más sólido y coherente para la protección de datos en la Unión Europea, respaldado por una ejecución estricta, dada la importancia de generar la confianza que permita a la economía digital desarrollarse en todo el mercado interior. Los individuos deben tener el control de sus propios datos personales y se debe reforzar la seguridad jurídica y práctica para las personas físicas, los operadores económicos y las autoridades públicas. (7) Aunque los objetivos y principios de la Directiva 95/46/CE siguen siendo válidos, ello no ha impedido la fragmentación en la manera en que se aplica la protección de los datos en el territorio de la Unión, la inseguridad jurídica y una percepción generalizada entre la opinión pública de que existen riesgos significativos para la protección de las personas relacionados especialmente con las actividades en línea. Las diferencias en el nivel de protección de los derechos y libertades de las personas, en particular, del derecho a la protección de los datos de carácter personal, en lo que respecta al tratamiento que se da a dichos datos en los Estados miembros, pueden impedir la libre circulación de los datos de carácter personal en la Unión. Estas diferencias pueden constituir, por lo tanto, un obstáculo al ejercicio de las actividades económicas a nivel de la Unión, falsear la competencia e impedir que las autoridades cumplan los cometidos que les incumben en virtud del Derecho de la Unión. Esta diferencia en los niveles de protección se debe a la existencia de divergencias en la ejecución y aplicación de la Directiva 95/46/CE. (8) Para garantizar un nivel uniforme y elevado de protección de las personas y eliminar los obstáculos a la circulación de datos personales, el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión la aplicación coherente y homogénea de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal. (9) La protección efectiva de los datos personales en la Unión no solo requiere que se refuercen y detallen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal, sino también que se otorguen poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos de carácter personal y se impongan sanciones equivalentes a los infractores en los Estados miembros. (10) El artículo 16, apartado 2, del Tratado encarga al Parlamento Europeo y al Consejo que establezcan las normas sobre protección de las personas físicas respecto del tratamiento de datos de carácter personal y las normas relativas a la libre circulación de dichos datos. (11) Para garantizar un nivel coherente de protección de las personas en toda la Unión y evitar divergencias que dificulten la libre circulación de datos dentro del mercado interior, es necesario un Reglamento que proporcione seguridad jurídica y transparencia a los operadores económicos, incluidas las micro, pequeñas y medianas empresas, y ofrezca a las personas físicas de todos los Estados miembros el mismo nivel de derechos y obligaciones protegidos jurídicamente y de responsabilidades para los responsables y encargados del tratamiento, con el fin de garantizar una supervisión coherente del tratamiento de datos personales y sanciones equivalentes en todos los Estados miembros, así como la cooperación efectiva de las autoridades de control de los diferentes Estados miembros. Con objeto de tener en cuenta la situación específica de las micro, pequeñas y medianas empresas, el presente Reglamento incluye una serie de excepciones. Además, se anima a las instituciones y órganos de la Unión, los Estados miembros y sus autoridades de control a tomar en consideración las necesidades específicas de las microempresas, pequeñas y medianas empresas en la aplicación del presente Reglamento. El concepto de microempresas, pequeñas y medianas empresas debe tomarse de la Recomendación 2003/361/CE, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas. (12) La protección otorgada por el presente Reglamento se refiere a las personas físicas, independientemente de su nacionalidad o de su lugar de residencia, en relación con el tratamiento de datos personales. Por lo que respecta al tratamiento de datos relativos a personas jurídicas y en particular a empresas constituidas como personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto, nadie puede invocar la protección del presente Reglamento. Ello también es de aplicación cuando el nombre de la persona jurídica incluya los nombres de una o más personas físicas. (13) La protección de las personas físicas debe ser tecnológicamente neutra y no debe depender de las técnicas utilizadas, pues de lo contrario daría lugar a graves riesgos de elusión. La protección de las personas debe aplicarse al tratamiento automatizado de datos personales, así como a su tratamiento manual, si los datos están contenidos o destinados a ser incluidos en un fichero. Los ficheros o conjuntos de ficheros y sus carpetas que no estén estructurados con arreglo a criterios específicos no están comprendidos en el ámbito de aplicación del presente Reglamento. (14) El presente Reglamento no aborda cuestiones en materia de protección de los derechos y las libertades fundamentales o la libre circulación de los datos relativos a las actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión, ni tampoco se refiere al tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión, que están sujetos al Reglamento (CE) nº 45/2001[44], o por los Estados miembros en el ejercicio de las actividades relacionadas con la política exterior y de seguridad común de la Unión. (15) El presente Reglamento no debe aplicarse al tratamiento por una persona física de datos de carácter personal que sean exclusivamente personales o domésticos, como la correspondencia y la llevanza de un repertorio de direcciones, sin ningún interés lucrativo y, por tanto, sin conexión alguna con una actividad profesional o comercial. La exención tampoco debe aplicarse a los responsables o encargados del tratamiento que proporcionen los medios para tratar los datos personales relacionados con tales actividades personales o domésticas. (16) La protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal por parte de las autoridades competentes a efectos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, y la libre circulación de estos datos, son objeto de un instrumento jurídico específico a nivel de la Unión. Por lo tanto, el presente Reglamento no debe aplicarse a las actividades de tratamiento destinadas a esos fines. No obstante, los datos sometidos a tratamiento por las autoridades públicas en aplicación del presente Reglamento a efectos de la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, deben regirse por el instrumento jurídico más específico a nivel de la Unión (Directiva XX/YYY). (17) El presente Reglamento debe entenderse sin perjuicio de la aplicación de la Directiva 2000/31/CE, en particular de las normas en materia de responsabilidad de los prestadores de servicios intermediarios dispuestas en los artículos 12 a 15 de la Directiva citada. (18) El presente Reglamento permite tener en cuenta el principio de acceso público a los documentos oficiales al aplicar sus disposiciones. (19) Todo tratamiento de datos personales en el contexto de las actividades de un establecimiento de un responsable o un encargado del tratamiento en la Unión debe llevarse a cabo de conformidad con el presente Reglamento, independientemente de si el tratamiento tiene lugar en la Unión o no. Por establecimiento se entiende el ejercicio efectivo y real de una actividad mediante una instalación estable. Su forma jurídica, ya sea a través de una sucursal o una filial con personalidad jurídica, no es el factor determinante al respecto. (20) Con el fin de garantizar que las personas físicas no se vean privadas de la protección a la que tienen derecho en virtud del presente Reglamento, el tratamiento de datos personales de los interesados que residen en la Unión por un responsable del tratamiento no establecido en la Unión debe someterse a lo dispuesto en el presente Reglamento en caso de que las actividades de tratamiento se refieran a la oferta de bienes o servicios a dichos interesados, o al control de la conducta de dichos interesados. (21) Para determinar si se puede considerar que una actividad de tratamiento «controla la conducta» de los interesados, debe evaluarse si las personas físicas son objeto de un seguimiento en internet con técnicas de tratamiento de datos que consistan en la aplicación de un «perfil» a un individuo con el fin, en particular, de adoptar decisiones sobre él o de analizar o predecir sus preferencias personales, comportamientos y actitudes. (22) Cuando sea de aplicación la legislación nacional de un Estado miembro en virtud del Derecho internacional público, el presente Reglamento debe aplicarse también a todo responsable del tratamiento no establecido en la Unión, como los que se encuentren en una misión diplomática u oficina consular. (23) Los principios de protección deben aplicarse a toda información relativa a una persona identificada o identificable. Para determinar si una persona es identificable deben tenerse en cuenta todos los medios que razonablemente pudiera utilizar el responsable del tratamiento o cualquier otro individuo para identificar a dicha persona. Los principios de protección de datos no deben aplicarse a los datos convertidos en anónimos de forma que el interesado a quien se refieren ya no resulte identificable. (24) Cuando utilizan servicios en línea, las personas físicas pueden ser asociadas a identificadores en línea facilitados por sus dispositivos, aplicaciones, herramientas y protocolos, como las direcciones de los protocolos de internet o los identificadores de sesión almacenados en cookies. Ello puede dejar huellas que, combinadas con identificadores únicos y otros datos recibidos por los servidores, pueden ser utilizadas para elaborar perfiles de las personas e identificarlas. De ello se deduce que los números de identificación, los datos de localización, los identificadores en línea u otros factores específicos no necesariamente tienen que ser considerados datos de carácter personal en toda circunstancia. (25) Se debe dar el consentimiento de forma explícita por cualquier medio apropiado que permita la manifestación libre, específica e informada de la voluntad del interesado, ya sea mediante una declaración o una clara acción afirmativa del interesado, que garantice que la persona es consciente de que está dando su consentimiento al tratamiento de datos personales, incluso mediante la selección de una casilla de un sitio web en internet o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo fin o fines. Si el consentimiento del interesado se ha de dar a raíz de una solicitud electrónica, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta. (26) Los datos personales relacionados con la salud deben incluir en particular todos los datos relativos a la salud del interesado; información sobre el registro de la persona para la prestación de servicios sanitarios; información acerca de los pagos o de la admisibilidad para la atención sanitaria con respecto a la persona; un número, símbolo u otro dato asignado a una persona que la identifique de manera unívoca a efectos sanitarios; cualquier información acerca de la persona recogida durante la prestación de servicios sanitarios a esta; información derivada de las pruebas o los exámenes de una parte del cuerpo o sustancia corporal, incluidas muestras biológicas; identificación de una persona como prestador de asistencia sanitaria a la persona; o cualquier información sobre, por ejemplo, toda enfermedad, discapacidad, riesgo de enfermedades, historia médica, tratamiento clínico, o estado fisiológico o biomédico real del interesado, independientemente de su fuente, como, por ejemplo, cualquier médico u otro profesional de la sanidad, hospital, dispositivo médico, o prueba diagnóstica in vitro. (27) El establecimiento principal de un responsable del tratamiento en la Unión debe determinarse en función de criterios objetivos y debe implicar el ejercicio efectivo y real de actividades de gestión que determinen las principales decisiones en cuanto a los fines, condiciones y medios del tratamiento mediante instalaciones estables. Este criterio no debe depender de si el tratamiento de los datos personales se realiza realmente en dicho lugar. La presencia y utilización de medios técnicos y tecnologías para el tratamiento de datos personales o las actividades de tratamiento no constituyen, en sí mismas, dicho establecimiento principal y no son, por lo tanto, criterios definitorios de un establecimiento principal. El establecimiento principal del encargado del tratamiento debe ser el lugar en que tenga su administración central en la Unión. (28) Un grupo de empresas debe estar constituido por una empresa que ejerce el control y las empresas controladas, en virtud de lo cual la empresa que ejerce el control debe ser la empresa que pueda ejercer una influencia dominante en las otras empresas, por razones, por ejemplo, de propiedad, participación financiera, las normas que la rigen o el poder de hacer que se cumplan las normas de protección de datos personales. (29) Los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos en relación con el tratamiento de datos personales. Con el fin de determinar cuándo se considera que una persona es un niño, el presente Reglamento debe asumir la definición establecida en la Convención de las Naciones Unidas sobre los derechos del niño. (30) Todo tratamiento de datos de carácter personal debe efectuarse de forma lícita, justa y transparente en relación con las personas interesadas. En particular, los fines específicos para los que se hayan tratado los datos deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos deben ser adecuados, pertinentes y limitarse al mínimo necesario para los fines para los que se traten. Ello requiere, en particular, garantizar que los datos recogidos no sean excesivos y que se limite a un mínimo estricto el periodo en el que se almacenan. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse por otros medios. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Para garantizar que los datos no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. (31) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento de la persona interesada o sobre alguna otra base legítima establecida por ley, ya sea en el presente Reglamento ya sea en otros actos legislativos del Estado miembro o de la Unión referidos en el presente Reglamento. (32) Cuando el tratamiento se lleve a cabo con el consentimiento del interesado, la carga de demostrar que este ha dado su consentimiento a la operación de tratamiento debe recaer en el responsable del tratamiento. En particular, en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente de que da su consentimiento y en qué medida lo hace. (33) Con el fin de garantizar el consentimiento libre, debe aclararse que este no constituye un fundamento jurídico válido cuando la persona no goza de verdadera libertad de elección y por tanto no está en condiciones de denegar o retirar su consentimiento sin sufrir perjuicio alguno. (34) El consentimiento no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal cuando exista un desequilibro claro entre el interesado y el responsable del tratamiento. Así sucede especialmente cuando el primero se encuentra en una situación de dependencia respecto del segundo, por ejemplo, cuando los datos personales de los trabajadores son tratados por el empresario en el contexto laboral. Cuando el responsable del tratamiento sea una autoridad pública, solo habría desequilibrio en las operaciones específicas de tratamiento de datos en las que la autoridad pública puede imponer una obligación en virtud de sus poderes públicos correspondientes, sin que pueda considerarse el consentimiento libremente dado, teniendo en cuenta el interés del interesado. (35) El tratamiento debe ser lícito cuando sea necesario en el contexto de un contrato o de la intención de celebrar un contrato. (36) Cuando se lleve a cabo en cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o si es necesario para el cumplimiento de una misión llevada a cabo por interés público o en el ejercicio de la autoridad pública, el tratamiento debe tener una base jurídica en el Derecho de la Unión o en la legislación de un Estado miembro que cumpla con los requisitos establecidos en la Carta de los Derechos Fundamentales de la Unión Europea en relación con cualquier limitación de los derechos y libertades. Corresponde también al Derecho de la Unión o a las legislaciones nacionales determinar si el responsable del tratamiento que tiene conferida una misión de interés público o inherente al ejercicio del poder público debe ser una administración pública u otra persona de derecho público o privado, como por ejemplo una asociación profesional. (37) El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado. (38) El interés legítimo de un responsable puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado. Ello necesitaría una evaluación meticulosa, especialmente si el interesado fuera un niño, pues los niños merecen una protección específica. Al interesado le debe asistir el derecho a oponerse de forma gratuita al tratamiento de datos, alegando motivos que tengan que ver con su situación particular. Para garantizar la transparencia, el responsable del tratamiento debe estar obligado a informar explícitamente al interesado del interés legítimo perseguido y del derecho a oponerse, así como a documentar dicho interés legítimo. Dado que corresponde al legislador establecer por ley la base jurídica para que las autoridades públicas traten datos, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. (39) Constituye un interés legítimo del responsable el tratamiento de datos en la medida estrictamente necesaria a efectos de garantizar la seguridad de red e información, a saber, la capacidad de un sistema de red o de información de resistir, en un nivel determinado de confianza, acontecimientos accidentales o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos, y la seguridad de los servicios afines ofrecidos por, o accesibles a través de, estos sistemas y redes, por parte de las autoridades públicas, los equipos de respuesta a emergencias informáticas (CERT), los equipos de respuesta a incidentes de seguridad informática (CSIRT), los proveedores de redes y servicios de comunicaciones electrónicas y los proveedores de tecnologías y servicios de seguridad. Se trataría, por ejemplo, de impedir el acceso no autorizado a las redes de comunicaciones electrónicas y la distribución malintencionada de códigos, así como detener ataques de «denegación de servicio» y daños a los sistemas informáticos y de comunicaciones electrónicas. (40) El tratamiento de datos personales para otros fines solo debe autorizarse cuando sea compatible con aquellos fines para los que los datos hayan sido inicialmente recogidos, en particular cuando el tratamiento sea necesario para fines de investigación histórica, estadística o científica. Cuando esos otros fines no sean compatibles con el propósito inicial para el que se recopilan los datos, el responsable del tratamiento debe obtener el consentimiento del interesado para estos otros fines o debe basarlo en otro motivo legítimo para el tratamiento lícito, especialmente si así lo establece el Derecho de la Unión o la legislación del Estado miembro que sea de aplicación al responsable del tratamiento. En todo caso, se debe garantizar la aplicación de los principios establecidos por el presente Reglamento y, en particular, la información del interesado sobre esos otros fines. (41) Los datos de carácter personal que, por su naturaleza, sean especialmente sensibles y vulnerables en relación con los derechos fundamentales o la intimidad merecen una protección específica. Tales datos no deben ser tratados, a menos que el interesado dé su consentimiento expreso. No obstante, se deben establecer de forma explícita excepciones a esta prohibición en relación con necesidades específicas, en particular cuando el tratamiento sea realizado en el marco de actividades legítimas por determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las libertades fundamentales. (42) Asimismo deben autorizarse excepciones a la prohibición de tratar categorías sensibles de datos, siempre que se haga mediante un acto legislativo y se den las garantías apropiadas, a fin de proteger los datos personales y otros derechos fundamentales, cuando así lo justifiquen razones de interés público, incluidas la sanidad pública, la protección social y la gestión de los servicios de asistencia sanitaria, especialmente con el fin de garantizar la calidad y la rentabilidad de los procedimientos utilizados para resolver las reclamaciones de prestaciones y de servicios en el régimen del seguro de enfermedad, o para fines de investigación histórica, estadística y científica. (43) Por otra parte, el tratamiento de datos personales por parte de las autoridades públicas para alcanzar los objetivos, establecidos en el Derecho constitucional o en el Derecho internacional público, de asociaciones religiosas reconocidas oficialmente, se realiza por motivos de interés público. (44) Si, en el marco de actividades electorales, el funcionamiento del sistema democrático exige en algunos Estados miembros que los partidos políticos recaben datos sobre la ideología política de los ciudadanos, puede autorizarse el tratamiento de estos datos por motivos importantes de interés público, siempre que se establezcan las garantías apropiadas. (45) Si los datos sometidos a tratamiento no le permiten identificar a una persona física, el responsable no debe estar obligado a recabar información adicional para identificar al interesado con la única finalidad de cumplir lo dispuesto en el presente Reglamento. En caso de que se solicite el acceso, el responsable del tratamiento debe estar facultado para solicitar al interesado información adicional que le permita localizar los datos de carácter personal que esa persona busca. (46) El principio de transparencia exige que toda información dirigida al público o al interesado sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Ello es especialmente pertinente cuando, en determinadas situaciones, como la publicidad en línea, la proliferación de agentes y la complejidad tecnológica de la práctica, resulte difícil para el interesado saber y comprender si se están recogiendo, por quién y con qué finalidad, los datos personales que le conciernen. Dado que los niños merecen una protección específica, cualquier información y comunicación cuyo tratamiento les afecte específicamente debe facilitarse en un lenguaje claro y llano que puedan comprender con facilidad. (47) Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar de forma gratuita, entre otras cosas, el acceso a los datos, su rectificación y supresión, y para ejercer el derecho de oposición. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado en un plazo determinado y, en el supuesto de que no las atienda, a explicar sus motivos. (48) Los principios de tratamiento leal y transparente exigen que el interesado sea informado, entre otras cosas, de la existencia de la operación de tratamiento y sus fines, del plazo de conservación de los datos, de la existencia del derecho de acceso, rectificación o supresión y del derecho a presentar una reclamación. Cuando los datos se obtengan de los interesados, estos también deben ser informados de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran. (49) La información sobre el tratamiento de los datos de carácter personal relativos a los interesados debe ser facilitada a estos últimos en el momento de su recogida, o, si los datos no se recogieran de los interesados, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado cuando se desvelan por primera vez. (50) Sin embargo, no es necesario imponer dicha obligación cuando el interesado ya disponga de esa información, cuando el registro o la comunicación de los datos estén expresamente establecidos por ley, o cuando facilitar los datos al interesado resulte imposible o exija esfuerzos desproporcionados. Tal podría ser particularmente el caso cuando el tratamiento se realice con fines de investigación histórica, estadística o científica; a este respecto, pueden tomarse en consideración el número de interesados, la antigüedad de los datos, y las posibles medidas compensatorias. (51) Toda persona debe tener el derecho de acceder a los datos recogidos que le conciernan y a ejercer este derecho con facilidad, con el fin de conocer y verificar la licitud del tratamiento. Todo interesado debe, por tanto, tener el derecho de conocer y de que se le comuniquen, en particular, los fines para los que se tratan los datos, el plazo de su conservación, los destinatarios que los reciben, la lógica de los datos que se someten a tratamiento y las consecuencias de dicho tratamiento, al menos cuando se basen en la elaboración de perfiles. Este derecho no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen los programas informáticos. No obstante, estas consideraciones no deben tener como resultado la denegación de toda la información al interesado. (52) El responsable del tratamiento debe utilizar todas las medidas razonables para verificar la identidad de los interesados que soliciten acceso, en particular en el contexto de los servicios en línea y los identificadores en línea. Los responsables del tratamiento no deben conservar datos personales con el único propósito de poder responder a posibles solicitudes. (53) Toda persona debe tener derecho a que se rectifiquen los datos personales que le conciernen y «derecho al olvido», cuando la conservación de tales datos no se ajuste a lo dispuesto en el presente Reglamento. En particular, a los interesados les debe asistir el derecho a que se supriman y no se traten sus datos personales, en caso de que ya no sean necesarios para los fines para los que fueron recogidos o tratados de otro modo, de que los interesados hayan retirado su consentimiento para el tratamiento, de que se opongan al tratamiento de datos personales que les conciernan o de que el tratamiento de sus datos personales no se ajuste de otro modo a lo dispuesto en el presente Reglamento. Este derecho es particularmente pertinente si los interesados hubieran dado su consentimiento siendo niños, cuando no se es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quisieran suprimir tales datos personales especialmente en Internet. Sin embargo, la posterior conservación de los datos debe autorizarse cuando sea necesario para fines de investigación histórica, estadística y científica, por razones de interés publico en el ámbito de la salud pública, para el ejercicio del derecho a la libertad de expresión, cuando la legislación lo exija, o en caso de que existan motivos para restringir el tratamiento de los datos en vez de proceder a su supresión. (54) Con el fin de reforzar el «derecho al olvido» en el entorno en línea, el derecho de supresión también debe ampliarse de tal forma que los responsables del tratamiento que hayan hecho públicos los datos personales deben estar obligados a informar a los terceros que estén tratando tales datos de que un interesado les solicita que supriman todo enlace a tales datos personales, o las copias o réplicas de los mismos. Para garantizar esta información, el responsable del tratamiento debe tomar todas las medidas razonables, incluidas las de carácter técnico, en relación con los datos cuya publicación sea de su competencia. En relación con la publicación de datos personales por un tercero, el responsable del tratamiento debe ser considerado responsable de la publicación, en caso de que haya autorizado la publicación por parte de dicho tercero. (55) Para reforzar aún más el control sobre sus propios datos y su derecho de acceso, a los interesados les debe asistir el derecho, cuando los datos personales se sometan a tratamiento por medios electrónicos, en un formato estructurado y de uso habitual, a obtener una copia de los datos que les conciernan, también en formato electrónico de uso habitual. Asimismo se debe autorizar a los interesados a transmitir de una aplicación automatizada, como una red social, a otra aquellos datos que hayan facilitado. Tal debe ser el caso cuando el interesado haya facilitado los datos al sistema automatizado de tratamiento, dando su consentimiento o en cumplimiento de un contrato. (56) En los casos en que los datos personales puedan ser sometidos a tratamiento de forma lícita para proteger intereses vitales del interesado, o por motivos de interés público, de ejercicio del poder público o de los intereses legítimos del responsable del tratamiento, a cualquier interesado le debe asistir el derecho, sin embargo, de oponerse al tratamiento de cualquier dato que le concierna. En el responsable del tratamiento debe recaer la carga de demostrar que sus intereses legítimos pueden prevalecer sobre los intereses o los derechos y libertades fundamentales del interesado. (57) Cuando los datos personales se sometan a tratamiento con fines de mercadotecnia directa, al interesado le debe asistir el derecho de oponerse a dicho tratamiento de forma gratuita y de una manera que pueda ser invocada con facilidad y efectividad. (58) Toda persona física debe tener derecho a no ser objeto de medidas que se basen en la elaboración de perfiles por medio de tratamiento automatizado. Sin embargo, se deben permitir tales medidas cuando se autoricen expresamente por actos legislativos, se lleven a cabo en el marco de la celebración o ejecución de un contrato, o el interesado haya dado su consentimiento. En cualquier caso, dicho tratamiento debe estar sujeto a las garantías apropiadas, incluida la información específica del interesado y el derecho a obtener la intervención humana, y dicha medida no debe referirse a un niño. (59) En la medida en que en una sociedad democrática sea necesario y proporcionado para salvaguardar la seguridad pública, incluida la protección de la vida humana especialmente en respuesta a catástrofes naturales u ocasionadas por el hombre, la prevención, investigación, y el enjuiciamiento de infracciones penales o de violaciones de normas deontológicas en las profesiones reguladas, otros intereses públicos de la Unión o de un Estado miembro, especialmente un importante interés económico o financiero de la Unión o de un Estado miembro, o la protección del interesado o de los derechos y libertades de otros, el Derecho de la Unión o la legislación de los Estados miembros pueden imponer restricciones a determinados principios y a los derechos de información, acceso, rectificación y supresión o al derecho a la portabilidad de los datos, al derecho a oponerse, a las medidas basadas en la elaboración de perfiles, así como a la comunicación de una violación de datos personales a un interesado y a determinadas obligaciones afines de los responsables del tratamiento. Estas restricciones deben ajustarse a lo dispuesto en la Carta de los Derechos Fundamentales de la Unión Europea y en el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales. (60) Se debe establecer la responsabilidad general del responsable por cualquier tratamiento de datos personales realizado por él mismo o en su nombre. En particular, el responsable del tratamiento debe garantizar y está obligado a demostrar que cada operación de tratamiento cumple lo dispuesto en el presente Reglamento. (61) La protección de los derechos y libertades de los interesados con respecto al tratamiento de datos personales exige la adopción de las oportunas medidas de carácter técnico y organizativo, tanto en el momento del diseño del tratamiento como del tratamiento propiamente dicho, con el fin de garantizar que se cumpla lo dispuesto en el presente Reglamento. Con objeto de garantizar y demostrar el cumplimiento de lo dispuesto en el presente Reglamento, el responsable debe adoptar las políticas internas y aplicar las medidas adecuadas que cumplan especialmente los principios de protección de datos desde el diseño y por defecto. (62) La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y del encargado del tratamiento, también en relación con la supervisión de las autoridades de control y las medidas adoptadas por ellas, requiere una atribución clara de las responsabilidades con arreglo al presente Reglamento, incluidos los casos en que un responsable determine los fines, condiciones y medios del tratamiento de forma conjunta con otros responsables del tratamiento o cuando el tratamiento se efectúe por cuenta de un responsable. (63) Cuando un responsable no establecido en la Unión esté sometiendo a tratamiento datos personales de interesados que residan en la Unión y sus actividades de tratamiento estén relacionadas con la oferta de bienes o servicios a dichos interesados, o con el control de su conducta, el responsable del tratamiento debe designar a un representante, salvo que el primero esté establecido en un tercer país que garantice un nivel de protección adecuado, o sea una pequeña o mediana empresa o una autoridad u organismo público, o en el caso de que el responsable del tratamiento solo ofrezca bienes o servicios ocasionalmente a tales interesados. El representante debe actuar por cuenta del responsable del tratamiento y a él se puede dirigir cualquier autoridad de control. (64) Para determinar si un responsable del tratamiento solo ofrece ocasionalmente bienes y servicios a interesados residentes en la Unión, debe comprobarse si de las actividades generales del responsable se desprende que la oferta de bienes y servicios a dichos interesados es accesoria a esas actividades principales. (65) Para demostrar la conformidad con el presente Reglamento, el responsable o el encargado del tratamiento deben documentar cada operación de tratamiento. Todos los responsables y encargados del tratamiento están obligados a cooperar con la autoridad de control y a poner a su disposición, previa solicitud, dicha documentación, de modo que pueda servir para supervisar las operaciones de tratamiento. (66) Con objeto de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos. Estas medidas deben garantizar un nivel de seguridad adecuado, teniendo en cuenta el estado de la técnica y el coste de su aplicación en relación con los riesgos y la naturaleza de los datos que deban protegerse. A la hora de establecer normas técnicas y medidas organizativas destinadas a garantizar la seguridad del tratamiento, la Comisión debe fomentar la neutralidad tecnológica, la interoperabilidad y la innovación, y, en su caso, cooperar con terceros países. (67) Una violación de los datos personales puede causar, si no se toman medidas de manera rápida y adecuada, pérdidas económicas sustanciales y perjuicios sociales al interesado, incluida la usurpación de su identidad. Por consiguiente, tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación, debe notificarla a la autoridad de control sin retraso injustificado y, cuando sea posible, en el plazo de 24 horas. Si no fuera factible en el plazo de 24 horas, la notificación debe ir acompañada de una explicación de las razones de la demora. Las personas cuyos datos personales puedan verse afectados negativamente por dicha violación deben ser informadas de ello sin demora injustificada para que puedan adoptar las cautelas necesarias. Se debe considerar que una violación afecta negativamente a los datos personales o la intimidad de los interesados cuando conlleva, por ejemplo, fraude o usurpación de identidad, daños físicos, humillación grave o perjuicio para su reputación. La notificación debe describir la naturaleza de la violación de los datos personales y las recomendaciones para que la persona afectada mitigue sus potenciales efectos adversos. Las notificaciones a los interesados deben realizarse tan pronto como sea razonablemente posible, en estrecha cooperación con la autoridad de control y siguiendo sus orientaciones o las ofrecidas por otras autoridades competentes (por ejemplo, los servicios con funciones coercitivas). Así, por ejemplo, para que los interesados tengan la oportunidad de mitigar un riesgo inminente de perjuicio se les tendría que notificar de forma inmediata, mientras que la necesidad de aplicar medidas adecuadas para impedir que se sigan violando datos o se produzcan violaciones similares puede justificar un plazo mayor. (68) Con el fin de determinar si una violación de datos personales se notifica a la autoridad de control y al interesado sin retraso injustificado, se debe evaluar si el responsable del tratamiento ha aplicado las medidas tecnológicas de protección y organización adecuadas con el fin de saber de forma inmediata si se ha producido una violación de datos personales y de informar sin demora a la autoridad de control y al interesado antes de que se produzca un perjuicio a sus intereses económicos y personales, habida cuenta en particular de la naturaleza y gravedad de la violación de los datos personales y sus consecuencias y efectos adversos para el interesado. (69) Al establecer disposiciones de aplicación sobre el formato y los procedimientos aplicables a la notificación de las violaciones de datos personales, conviene tener debidamente en cuenta las circunstancias de la violación, incluyendo si los datos personales habían sido protegidos mediante las medidas técnicas de protección adecuadas, limitando eficazmente la probabilidad de usurpación de identidad u otras formas de uso indebido. Asimismo, estas normas y procedimientos deben tener en cuenta los intereses legítimos de los servicios con funciones coercitivas, en los casos en que una comunicación prematura pudiera obstaculizar innecesariamente la investigación de las circunstancias de la violación. (70) La Directiva 95/46/CE establecía la obligación general de notificar el tratamiento de datos personales a las autoridades de control. A pesar de que esta obligación implica cargas administrativas y financieras, no contribuyó, sin embargo, en todos los casos a mejorar la protección de los datos personales. Por tanto, se debe eliminar esta obligación de notificación tan indiscriminada y debe ser sustituida por procedimientos y mecanismos eficaces que se centren, en su lugar, en las operaciones de tratamiento que, por su naturaleza, alcance o fines, puedan presentar riesgos específicos a los derechos y libertades de los interesados. En tales casos, antes del tratamiento el responsable o el encargado del mismo deben llevar a cabo una evaluación de impacto de la protección de datos, que debe incluir, en particular, las medidas, las garantías y los mecanismos previstos para garantizar la protección de los datos personales y demostrar la conformidad con el presente Reglamento. (71) Ello debe aplicarse, en particular, a los sistemas de archivo a gran escala de reciente creación, que aspiran a tratar una cantidad considerable de datos personales a nivel regional, nacional o supranacional y que podrían afectar a un gran número de interesados. (72) Hay circunstancias en las que puede resultar sensato y económico que una evaluación de impacto de la protección de datos abarque a más de un único proyecto, por ejemplo, en caso de que las autoridades u organismos públicos tengan la intención de crear una aplicación o plataforma común de tratamiento o de que varios responsables se planteen introducir una aplicación o un entorno de tratamiento común en un sector o segmento de la industria o para una actividad horizontal de uso generalizado. (73) Las evaluaciones de impacto de la protección de datos deben ser llevadas a cabo por una autoridad o un organismo públicos si tales evaluaciones aún no se han realizado en el contexto de la adopción de la legislación nacional en la que se basa la realización de las tareas de la autoridad o el organismo públicos y que regula la operación o el conjunto de operaciones de tratamiento en cuestión. (74) Cuando una evaluación de impacto de la protección de datos indique que las operaciones de tratamiento presentan un alto grado de riesgos específicos para los derechos y libertades de los interesados, como el de privar a dichas personas de un derecho, o por la utilización de nuevas tecnologías específicas, la autoridad de control debe ser consultada antes del comienzo de las operaciones en relación con el tratamiento de un riesgo que podría no estar en conformidad con el presente Reglamento, y formular propuestas para corregir esta situación. Dicha consulta también debe realizarse en el curso de la elaboración de una medida por el Parlamento nacional o de una iniciativa basada en dicha medida legislativa que defina la naturaleza del tratamiento y precise las garantías apropiadas. (75) Si el tratamiento se efectúa en el sector público o en el caso de que, en el sector privado, el tratamiento lo realice una gran empresa, o si sus actividades esenciales, con independencia del tamaño de la empresa, implican operaciones de tratamiento que exijan un seguimiento periódico y sistemático, una persona debe ayudar al responsable o encargado del tratamiento a supervisar la observancia interna del presente Reglamento. Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento, deben estar en condiciones de desempeñar sus funciones y tareas con independencia. (76) Se debe incitar a las asociaciones u otros organismos que representen a categorías de responsables del tratamiento a que elaboren códigos de conducta, dentro de los límites fijados por el presente Reglamento, con el fin de facilitar su aplicación efectiva, teniendo en cuenta las características específicas del tratamiento llevado a cabo en determinados sectores. (77) A fin de aumentar la transparencia y el cumplimiento del presente Reglamento, debe fomentarse el establecimiento de mecanismos de certificación, sellos y marcas de protección de datos, que permitan a los interesados evaluar más rápidamente el nivel de protección de datos de los productos y servicios correspondientes. (78) Los flujos transfronterizos de datos personales son necesarios para la expansión del comercio y la cooperación internacionales. El aumento de estos flujos plantea nuevos retos e inquietudes con respecto a la protección de los datos de carácter personal. Sin embargo, cuando los datos personales se transfieran de la Unión a terceros países o a organizaciones internacionales, no debe verse menoscabado el nivel de protección de las personas garantizado en la Unión por el presente Reglamento. En cualquier caso, las transferencias hacia terceros países solo pueden llevarse a cabo en conformidad plena con el presente Reglamento. (79) El presente Reglamento se entiende sin perjuicio de los acuerdos internacionales celebrados entre la Unión y terceros países que regulen la transferencia de datos personales, incluidas las oportunas garantías para los interesados. (80) La Comisión puede determinar, con efectos para toda la Unión, que algunos terceros países, un territorio o un sector del tratamiento en un tercer país, o una organización internacional ofrecen un nivel adecuado de protección de datos, proporcionando así seguridad jurídica y uniformidad en toda la Unión en lo que se refiere a los terceros países u organizaciones internacionales que se considera aportan tal nivel de protección. En estos casos, se pueden realizar transferencias de datos personales a estos países sin tener que obtener ninguna otra autorización. (81) En consonancia con los valores fundamentales en los que se basa la Unión, en particular la protección de los derechos humanos, la Comisión, en su evaluación del tercer país, tiene en cuenta en qué medida este último respeta el Estado de Derecho, el acceso a la justicia, así como las normas y principios relativos a los derechos humanos. (82) La Comisión también puede reconocer que un tercer país, un territorio o sector del tratamiento en un tercer país, o una organización internacional no ofrece un nivel de protección de datos adecuado. En consecuencia, debe prohibirse la transferencia de datos personales a dicho tercer país. En ese caso, se debe disponer que se celebren consultas entre la Comisión y dichos terceros países u organizaciones internacionales. (83) En ausencia de una decisión por la que se constata el carácter adecuado de la protección de los datos, el responsable o el encargado del tratamiento deben tomar medidas para compensar la falta de protección de datos en un tercer país mediante las garantías apropiadas para el interesado. Tales garantías apropiadas pueden consistir en hacer uso de normas corporativas vinculantes, cláusulas tipo de protección de datos adoptadas por la Comisión, cláusulas tipo de protección de datos adoptadas por una autoridad de control o cláusulas contractuales autorizadas por una autoridad de control u otras medidas adecuadas y proporcionadas que se justifiquen a la luz de todas las circunstancias que rodea