CELEX: 52016PC0238
Language: es
Date: 2016-04-29
Title: Propuesta de DECISIÓN DEL CONSEJO sobre la firma, en nombre de la Unión Europea, de un Acuerdo entre los Estados Unidos de América y la Unión Europea sobre la protección de los datos personales en relación con la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales

COMISIÓN EUROPEA
            Bruselas, 29.4.2016
            COM(2016) 238 final
            2016/0127(NLE)
            Propuesta de
            DECISIÓN DEL CONSEJO
            sobre la firma, en nombre de la Unión Europea, de un Acuerdo entre los Estados Unidos de América y la Unión Europea sobre la protección de los datos personales en relación con la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales
            
               
         
         
            
               EXPOSICIÓN DE MOTIVOS
            
            
               1.CONTEXTO DE LA PROPUESTA
            
            
               •Razones y objetivos de la propuesta
            
            
               
                  En noviembre de 2006 se creó un Grupo de contacto de alto nivel compuesto de altos funcionarios de la Comisión, la Presidencia del Consejo y los Departamentos de Justicia, Seguridad Nacional y de Estado de EE.UU., para estudiar las posibilidades de que la UE y los EE.UU. pudieran trabajar más estrechamente y con mayor eficacia en el intercambio de información entre los servicios de seguridad, garantizando al mismo tiempo la protección de la privacidad y de los datos personales. La conclusión a que se llegó en el informe final del Grupo de contacto de octubre de 2009
                     1
                   fue que la mejor opción para aplicar los principios comunes acordados en materia de protección de datos para las transferencias transatlánticas de datos en el ámbito policial era un acuerdo internacional vinculante tanto para la UE como para los EE.UU. ya que ofrecería la ventaja de establecer los mecanismos fundamentales de una protección efectiva de la privacidad y de los datos personales que rigen cualquier intercambio de información policial y proporcionaría el mayor nivel posible de seguridad jurídica. 
               
               
                  El 3 de diciembre de 2010, el Consejo adoptó una Decisión que autorizaba a la Comisión a entablar negociaciones para la celebración de un Acuerdo entre la Unión Europea y los Estados Unidos de América sobre la protección de los datos personales cuando se transfieren y tratan con el fin de prevenir, investigar, detectar o perseguir infracciones penales, incluido el terrorismo, en el marco de la cooperación policial y judicial en materia penal (en lo sucesivo, «el Acuerdo marco»)
                     2
                  .
               
               
                  El 28 de marzo de 2011, la Comisión inició las negociaciones. El 8 de septiembre de 2015, las Partes rubricaron el texto.
               
               
                  El Acuerdo marco establece, por primera vez, un marco general de principios y salvaguardias de la protección de datos en los casos en los que los datos personales
                     3
                   se transfieren a efectos policiales o judiciales entre los Estados Unidos, por una parte, y la Unión Europea y sus Estados miembros, por otra. El doble objetivo es garantizar un alto nivel de protección de los datos y, de este modo, reforzar la cooperación entre las Partes. Aunque no constituya en sí mismo la base jurídica para todas las transferencias de datos personales a los Estados Unidos, el Acuerdo marco, en caso necesario, complementa las garantías de protección de datos en los acuerdos en materia de transferencia de datos actuales y futuros o las disposiciones nacionales que autorizan tales transferencias.
               
               
                  Esto representa una mejora sustancial en comparación con la situación actual, en la que los datos personales se transfieren a través del Atlántico sobre la base de instrumentos jurídicos (acuerdos internacionales o legislación nacional) que generalmente contienen pocas o ninguna disposición sobre protección de datos.  
               
               
                   •
                        Coherencia con las disposiciones existentes en la misma política sectorial
               
               
                  El Acuerdo marco permitirá mejorar la protección ofrecida a todos los datos personales de los interesados de la UE cuando se intercambien con los EE.UU. a efectos policiales o judiciales. Al establecer un marco global de garantías en relación con la protección de datos, el Acuerdo servirá de complemento a los acuerdos existentes (tanto los acuerdos bilaterales entre los Estados miembros y los EE.UU., como acuerdos UE-EE.UU.) sobre cuya base se envían datos personales a los Estados Unidos con fines policiales, en los casos y en la medida en que no exista el nivel necesario de protección y salvaguardias. 
               
               
                  Además, el Acuerdo preverá una «red de seguridad» para los futuros acuerdos UE/Estados miembros-EE.UU que constituirá el nivel mínimo de protección. Esto constituye una garantía importante para el futuro y un cambio radical de la situación actual, en la que las salvaguardias, la protección y los derechos tienen que negociarse en cada nuevo acuerdo. 
               
               
                  En general, el Acuerdo marco aportará un valor añadido considerable en términos de refuerzo del nivel de protección de los titulares de los datos en consonancia con los requisitos del Derecho primario y secundario de la UE. Por primera vez, se introducirá un instrumento de protección de datos que abarque de manera global y coherente todas las transferencias de datos en una zona determinada (es decir, los intercambios transatlánticos de datos en el ámbito de la cooperación policial y judicial en materia penal). Además, el Acuerdo marco fundamentará, en el contexto trasatlántico, los requisitos generales sobre trasferencia de datos internacionales previstos en la futura Directiva relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y la libre circulación de dichos datos (en lo sucesivo, «la Directiva de policía»)
                     4
                   adoptada el 14 de abril de 2016. En vista de lo anterior, el Acuerdo marco también sienta un importante precedente para acuerdos similares con otros socios internacionales.
               
            
            
               •Coherencia con otras políticas de la Unión
            
            
               
                  Se espera que el Acuerdo marco tenga un impacto significativo sobre la cooperación policial y judicial con los Estados Unidos. Al establecer un marco común y global en materia de normas de protección de datos y garantías, permitirá a las autoridades policiales y judiciales penales de la UE o de sus Estados miembros y de EE.UU. cooperar más eficazmente entre sí. Por otra parte, garantizará que los acuerdos existentes incluyan todas las medidas de protección necesarias. Con ello se contribuirá a la continuidad en la cooperación policial, garantizando al mismo tiempo una mayor seguridad jurídica en el momento de las transferencias. El Acuerdo facilitará asimismo la celebración de futuros acuerdos de transferencia de datos con los Estados Unidos en el ámbito de la cooperación policial y judicial penal en la medida en que las garantías de protección de datos habrán sido acordadas, y por lo tanto no tienen que negociarse una y otra vez. Por último, el establecimiento de normas comunes en este importante pero complejo ámbito de cooperación constituye un logro importante que puede contribuir de manera significativa a restaurar la confianza en los flujos de datos transatlánticos.
               
            
            
               2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD
            
            
               •Base jurídica
            
            
               
                  La base jurídica de la presente propuesta es el artículo 16, leído en relación con el artículo 218, apartado 5, del TFUE.    
               
            
            
               •Subsidiariedad 
            
            
               
                  El Acuerdo marco es competencia exclusiva de la UE con arreglo al artículo 3, apartado 2, del TFUE.  No es por lo tanto aplicable el principio de subsidiariedad.
               
            
         
         
            
               •Proporcionalidad
            
            
               
                  El Acuerdo marco establece las garantías de protección de los datos impuestas por el mandato de negociación del Consejo. Dichas garantías se consideran elementos necesarios para lograr el nivel exigido de protección cuando se transfieran datos personales a un tercer país, tanto en virtud de la Carta de los Derechos Fundamentales como de la evolución del acervo de la UE. Tal nivel de protección no podría alcanzarse con un conjunto mucho menor de tales garantías ni con un instrumento con menor fuerza vinculante. Por consiguiente, la propuesta no va más allá de lo necesario para alcanzar el objetivo de establecer un marco para la protección de los datos personales que se transmiten entre los Estados Unidos, por una parte, y la Unión Europea y sus Estados miembros, por otra parte, en un contexto policial y judicial. 
               
            
            
               •Elección del instrumento
            
            
               
                  El establecimiento de un marco vinculante para la protección de los datos personales, que servirá de complemento a los acuerdos existentes y constituye una base de referencia para futuros acuerdos, solo puede garantizarse a través de un acuerdo internacional celebrado entre la UE y los Estados Unidos.
               
               
                  Además, como se puso de relieve en el informe final del Grupo de contacto de alto nivel de octubre de 2009, un acuerdo internacional garantiza un mayor grado de seguridad jurídica.
               
            
            
               3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO
            
            
               •Evaluaciones ex post / control de calidad de la legislación existente
            
            
               
                  No procede.
               
            
            
               •Consultas con las partes interesadas
            
            
               
                  La Comisión ha informado de forma periódica oralmente y por escrito al Comité especial designado de los avances en las negociaciones. El Parlamento Europeo ha sido informado periódicamente, a través de su Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE), tanto oralmente como por escrito. 
               
            
            
               •Obtención y utilización de asesoramiento técnico
            
            
               
                  La Iniciativa aplica el mandato de negociación del Consejo de 3 de diciembre de 2010. 
               
            
            
               •Evaluación de impacto
            
            
               
                  No era necesario realizar una evaluación de impacto. El Acuerdo propuesto está en consonancia con el mandato de negociación del Consejo.
               
            
            
               •Adecuación y simplificación de la reglamentación
            
            
               
                  No procede.
               
            
            
               •Derechos fundamentales
            
            
               
                  Las disposiciones del Acuerdo marco tienen por objeto la protección del derecho fundamental a la protección de datos personales y el derecho a una tutela judicial efectiva y un juicio justo tal como han quedado consagrados en los artículos 8 y 47 de la Carta de los Derechos Fundamentales de la Unión Europea. 
               
            
            
               4.INCIDENCIA PRESUPUESTARIA
            
            
               
                  El Acuerdo propuesto no tiene ninguna incidencia presupuestaria.
               
            
         
         
            
               5.OTROS ELEMENTOS
            
            
               •Planes de ejecución y modalidades de seguimiento, evaluación e información
            
            
               
                  La aplicación por parte de los Estados miembros será necesaria, aunque no se espera que se produzcan importantes cambios en la legislación, ya que las disposiciones sustantivas del Acuerdo marco reflejan en gran medida las normas ya aplicables a la UE y a las autoridades nacionales con arreglo a la legislación nacional y/o de la UE. 
               
            
            
               •Explicación detallada de las disposiciones específicas de la propuesta
            
            
               
                  El Acuerdo marco, de conformidad con el mandato de negociación del Consejo, abarca cinco categorías de disposiciones: i) disposiciones horizontales; ii) principios y salvaguardias de la protección de datos; iii) derechos individuales; iv) aspectos relativos a la aplicación del Acuerdo y la supervisión;  y v) disposiciones finales.
               
               
                  i)
                        Disposiciones horizontales
               
               
                  i) Objeto del Acuerdo (artículo 1)
               
               
                  Para alcanzar la finalidad del Acuerdo (es decir, para garantizar un alto nivel de protección de los datos personales y reforzar la cooperación en el ámbito policial y judicial), el Acuerdo marco establece un marco para la protección de los datos personales cuando se transfieren entre los Estados Unidos, por una parte, y la Unión Europea y sus Estados miembros, por otra, para la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales, incluido el terrorismo. Mediante la referencia a las nociones de «prevención, detección, investigación y enjuiciamiento de infracciones penales» (en lo sucesivo, conjuntamente, «acciones policiales y judiciales») garantiza que el presente Acuerdo será compatible con la estructura del actual y futuro acervo en materia de protección de datos de la UE (en particular, la separación entre el Reglamento relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos («Reglamento general de protección de datos»
                     5
                  ) y la «Directiva de policía» en relación con sus ámbitos respectivos.
               
               
                  Al especificar que el «Acuerdo marco» en sí mismo no constituirá la base jurídica para todas las transferencias de datos personales y que una base jurídica (separada) será siempre necesaria, el artículo 1 también deja claro que el Acuerdo marco es un verdadero Acuerdo en materia de derechos fundamentales por el que se establece una serie de medidas de protección y garantías aplicables a esas transferencias. 
               
               
                  ii) Definiciones (artículo 2)
               
               
                  Los términos fundamentales del Acuerdo marco se definen en el artículo 2. Las definiciones de «datos personales», «tratamiento de datos personales», «Partes», «Estado miembro» y «autoridad competente» se ajustan sustancialmente a la manera en que esos conceptos se han definido en otros Acuerdos UE-EE.UU. y/o en el acervo de la UE sobre protección de datos.
               
               
                  iii) Ámbito de aplicación del Acuerdo (artículo 3)
               
               
                  El artículo 3 del Acuerdo marco define el ámbito de aplicación del Acuerdo marco. Garantizará que las medidas de protección y las garantías ofrecidas por el Acuerdo marco se aplican a todos los intercambios de datos en el marco de la cooperación policial y judicial transatlántica en materia penal. Esto incluye transferencias de conformidad con las leyes nacionales, los acuerdos UE-EE.UU. (por ejemplo, el Tratado de Asistencia Judicial Mutua UE-EE.UU.), los acuerdos Estados miembros - EE.UU. (por ejemplo, los acuerdos de asistencia judicial mutua, los acuerdos sobre el refuerzo de la cooperación en la prevención y la lucha contra las formas graves de delincuencia o los acuerdos o instrumentos en materia de información sobre control terrorista), así como los acuerdos que permiten la transferencia de datos personales por entidades privadas a efectos policiales y judiciales [por ejemplo, en el Acuerdo UE-EE.UU. sobre Registros de Nombres de los Pasajeros
                     6
                   (en lo sucesivo «PNR») y el Acuerdo sobre el Programa de Seguimiento de la Financiación del Terrorismo
                     7
                   (en lo sucesivo, «el TFTP») del Acuerdo]. El ámbito de aplicación se basa en una «transferencia de datos», es decir, abarca, en principio, todas las transferencias de datos a efectos policiales o judiciales entre la UE y los EE.UU., independientemente de la nacionalidad o del lugar de residencia del interesado concernido. 
               
            
            
               El Acuerdo marco no cubrirá las transferencias de datos personales (u otras formas de cooperación) entre Estados Unidos y las autoridades de los Estados miembros responsables de velar por la seguridad nacional.  
            
            
               
                  iv) No discriminación (Artículo 4)
               
               
                  El artículo 4 establece que cada Parte cumplirá el Acuerdo marco sin ninguna discriminación arbitraria o injustificable entre sus propios nacionales y los de la otra Parte.
               
               
                  Este artículo complementa y refuerza otras disposiciones del Acuerdo (en particular, los artículos que prevén salvaguardias para las personas físicas, tales como el derecho de acceso, rectificación y recurso administrativo, véase infra), ya que asegura que los nacionales europeos se beneficiarán, en principio, de una igualdad de trato con los ciudadanos de los EE.UU. en lo que se refiere a la aplicación práctica de estas disposiciones por parte de las autoridades de los Estados Unidos. 
               
               
                   v) Efecto del Acuerdo (artículo 5)
               
               
                  Por lo que respecta a los acuerdos existentes entre la UE o los Estados miembros y los Estados Unidos, el Acuerdo marco los completará según proceda, es decir, cuando y en la medida en que carezcan de las salvaguardias necesarias en materia de protección de datos
                     8
                  .
               
               
                  La aplicación efectiva del Acuerdo marco (y, en particular, de sus artículos sobre derechos individuales) da lugar a una presunción de compatibilidad con las normas sobre transferencias internacionales de datos. Esto no es ni automático ni una presunción general y, como todas las presunciones, puede ser refutada. No se trata de una presunción automática porque su aplicación depende expresamente de la aplicación efectiva del Acuerdo marco por los EE.UU. y, más concretamente, como precisa explícitamente el apartado 2 del artículo 5, para la aplicación efectiva de los artículos sobre los derechos individuales (en particular, el derecho de acceso y rectificación y los recursos administrativos y judiciales). No se trata tampoco de una presunción general. Dado que el Acuerdo marco no es un instrumento específico para las transferencias, tal presunción opera necesariamente en función de las circunstancias de cada caso, es decir, analizando si la combinación del Acuerdo marco y la base jurídica específica para la transferencia ofrecen un grado de protección en consonancia con las normas europeas de protección de datos. En otras palabras, a diferencia de una decisión que constatara que el nivel de protección era el adecuado, esta cláusula no prevé un reconocimiento «en bloque» del nivel de protección previsto en los EE.UU. como tal o una autorización general de las trasferencias. 
               
            
         
         
            
               
                  ii)
                        Principios y salvaguardias de la protección de datos
               
               
                  Los artículos descritos a continuación abarcan importantes principios que regulan el tratamiento de los datos personales, así como las garantías y limitaciones.
               
               
                  i) Limitación de los fines y de la utilización (artículo 6) 
               
               
                  En consonancia con la Carta de Derechos Fundamentales de la UE y el acervo de la UE, el artículo 6 se aplica el principio de limitación de los fines de todas las transferencias de datos personales amparados por el Acuerdo marco, tanto en el caso de las transferencias en relación con casos específicos y cuando los EE.UU. y la UE y sus Estados miembros celebren un acuerdo que autorice importantes transferencias de datos personales. El tratamiento (lo cual incluye las transferencias) no puede hacerse más que para fines precisos y legítimos en el ámbito del Acuerdo marco, es decir, la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales, incluido el terrorismo. 
               
               
                  Por otra parte, el tratamiento ulterior de los datos personales por otras autoridades (policiales, judiciales, administrativas o con funciones reguladoras) distintas de la autoridad de una de las Partes que recibe los datos en primer lugar está autorizada siempre y cuando no sea incompatible con los fines para los que fue originalmente transferida y siempre que la nueva autoridad se ajuste a todas las demás disposiciones del Acuerdo marco.
               
               
                  La autoridad competente de transferencia podrá imponer asimismo condiciones adicionales (por ejemplo, sobre el uso de los datos) en casos específicos.
               
               
                  Por último, los datos personales solo se tratarán de una manera que sea «directamente pertinente y no excesiva o demasiado amplia en relación a los fines de dicho tratamiento». 
               
               
                  El artículo 6 constituye una disposición clave del Acuerdo: garantiza la aplicación de las salvaguardias a todo el «ciclo de vida» de un determinado conjunto de datos desde la primera transferencia de la UE a su tratamiento por una autoridad competente de los EE.UU. y viceversa, así como su posible posterior intercambio con/nuevo tratamiento por otra autoridad de los EE.UU. o, en el caso de una transferencia de datos de EEUU a una autoridad competente de la UE o uno o más de sus Estados miembros, su posible posterior intercambio con/tratamiento por otra autoridad de la UE o de los Estados miembros. 
               
               
                   ii) Transferencia ulterior(artículo 7)
               
               
                  Las limitaciones fijadas en el artículo 7 para las transferencias ulteriores implica que, en caso de que una autoridad de los EE.UU. tenga la intención de volver a transferir los datos que recibió de la UE o de uno de sus Estados miembros a un tercer país u organización internacional que no esté vinculado por el Acuerdo, tendrá que obtener en primer lugar el consentimiento de la autoridad policial o judicial de la UE que ha cedido inicialmente los datos a los Estados Unidos. Esta regla se aplica igualmente en el caso de que una autoridad de la UE o de uno de sus Estados miembros tenga la intención de volver a transferir los datos que recibió de los Estados Unidos a un tercer país u organización internacional. 
               
               
                  Al decidir conceder su aprobación, la autoridad emisora inicial deberá tener debidamente en cuenta todos los factores pertinentes, incluidos el fin para el que los datos fueron inicialmente transferidos y si el tercer Estado u organización internacional ofrecen un nivel adecuado de protección de los datos personales. Además, podrá someter la transferencia a determinadas condiciones.
               
               
                  Por otra parte, por lo que se refiere a los artículos sobre limitación de los fines (art. 6), período de conservación (art. 12) y categorías especiales de datos personales (art. 13), este artículo tiene expresamente en cuenta la especial sensibilidad que lleva aparejada una importante transferencia de datos personales de personas no sospechosas (por ejemplo, los datos PNR de todos los pasajeros que efectúen un vuelo, con independencia de que exista una sospecha concreta), en la medida en que exige que cualquier transferencia ulterior de datos personales «excepto en relación con casos específicos» solo pueda producirse en condiciones particulares contempladas en el Acuerdo que establece la necesidad de justificación para la transferencia ulterior. 
               
               
                  La situación específica de las transferencias ulteriores a otro Estado dentro de la UE (por ejemplo, la policía francesa comparte con la policía alemana información recibida del FBI de los EE.UU.) también es abordada en este artículo (apartado 4), estableciendo que, si esas transferencias están sujetas, en virtud de las normas aplicables, al consentimiento previo, la autoridad que haya remitido la información (por ejemplo, el FBI de EE.UU.) no podrá denegar su consentimiento o imponer condiciones por motivos de protección de datos, ya que todas las instancias implicadas están vinculadas por el Acuerdo marco).
               
               
                   iii) Mantener la calidad de los datos y la integridad de la información (artículo 8)
               
               
                  Las Partes adoptarán todas las medidas razonables para garantizar que los datos personales transferidos se conservan con la exactitud, pertinencia, puntualidad y exhaustividad necesaria y adecuada para el tratamiento lícito de los datos. En los casos en que la autoridad de transferencia o receptora tenga conocimiento de la existencia de serias dudas en cuanto a la pertinencia, puntualidad, exhaustividad y exactitud de los datos personales recibidos o transferidos, procederá, cuando sea factible, a asesorar a la autoridad de transferencia o receptora al respecto.
               
               
                  iv) Seguridad de la información (artículo 9) y notificación de incidentes de seguridad de la información (artículo 10)
               
               
                  Estos artículos contribuyen a garantizar un alto nivel de protección de los datos personales intercambiados por las Partes en el Acuerdo marco.
               
               
                  En primer lugar, con arreglo al artículo 9, las medidas de carácter técnico, de seguridad y organizativas serán aplicadas por las Partes de cara a la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental, la difusión no autorizada y la alteración y el acceso u otros tratamientos. Estos acuerdos establecerán también que el acceso a los datos personales solo se concederá al personal autorizado. 
               
               
                  En segundo lugar, con arreglo al artículo 10, en caso de un incidente de seguridad que plantee un riesgo de perjuicio significativo, se tomarán inmediatamente las medidas adecuadas para atenuar los daños, incluida la notificación a la autoridad transmisora y, en su caso, habida cuenta de las circunstancias del incidente, a la persona afectada. Las excepciones a la obligación de notificación se enumeran de forma exhaustiva en la disposición y corresponden a limitaciones razonables (por ejemplo, la seguridad nacional). 
               
               
                  v) Llevanza de registros (artículo 11)
               
            
         
         
            
               
                  Las Partes dispondrán de métodos eficaces (tales como registros diarios) para demostrar la licitud del tratamiento y la utilización de los datos personales.
               
               
                  Este requisito constituye una salvaguardia importante para los ciudadanos, ya que supone exigir a las autoridades policiales y judiciales que demuestren que una determinada operación de tratamiento se llevó a cabo de conformidad con la ley. La obligación de documentar las operaciones de tratamiento de datos conlleva, en particular, que habrá una «traza» en caso de tratamiento ilícito. De este modo, se facilitará la tramitación de las denuncias y la introducción de las reclamaciones relativas a la legalidad de las operaciones de tratamiento.
               
               
                  vi) Período de conservación (artículo 12)
               
               
                  El tratamiento de los datos se realizará sin perjuicio de los periodos de conservación con el fin de garantizar que los datos no se conservan durante más tiempo del necesario y apropiado. Para determinar la duración de estos periodos de conservación, existe una serie de elementos que deben tenerse en cuenta, en particular, la finalidad de la transformación o utilización, la naturaleza de los datos y la repercusión sobre los derechos e intereses de los interesados.
               
               
                  Asimismo, se especifica que, cuando las Partes celebren un Acuerdo sobre importantes transferencias de datos, tal acuerdo debe contener una disposición específica sobre el período de conservación aplicable. A través de esta disposición, las Partes aceptan el principio de que tales acuerdos de transferencia global contendrán un determinado período de conservación que, por lo tanto, no tendrá que negociarse de nuevo.
               
               
                  Los períodos de conservación serán objeto de revisiones periódicas para determinar si un cambio en las circunstancias exige alguna modificación del período aplicable. 
               
               
                  Para garantizar la transparencia, los períodos de conservación se publicarán o se pondrán a disposición del público de cualquier otro modo.
               
               
                   vii)
                        Categorías especiales de datos personales (artículo 13)
               
               
                  El tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas o religiosas u otras creencias, la pertenencia a sindicatos o datos personales relativos a la salud o la vida sexual solo puede tener lugar cuando se establezcan las garantías adecuadas de conformidad con la ley (por ejemplo, ocultando la información una vez cumplida la finalidad para la cual fueron tratados los datos personales o cuando se requiera la aprobación de la entidad supervisora para el acceso a la información).
               
               
                  Los acuerdos que permitan importantes transferencias de datos personales deberán especificar las normas y condiciones con arreglo a las cuales las categorías especiales de datos podrán ser objeto de tratamiento.
               
               
                  Las disposiciones relativas a las categorías especiales de datos son coherentes con la exigencia de que el tratamiento será directamente pertinente y no excesivo de conformidad con el artículo 6 «Limitación de los fines y de la utilización». 
               
               
                   viii) Decisiones automatizadas (artículo 15)
               
               
                  El tratamiento de datos que pueda desembocar en la adopción de decisiones que tengan efectos negativos para una persona (por ejemplo, en el contexto de la elaboración de perfiles) no podrán basarse exclusivamente en el tratamiento automatizado de datos personales, a menos que lo autorice la legislación nacional y siempre que existan salvaguardias adecuadas, incluida la posibilidad de obtener la intervención humana. 
               
               
                  ix) Transparencia (artículo 20)
               
               
                  Las personas tienen derecho a recibir información general o individual (mediante información de carácter general o concreta y sujeta a «restricciones razonables») relativa a la finalidad del tratamiento y el posible uso posterior de sus datos personales, las leyes o normas en virtud de las cuales se lleva a cabo el tratamiento, la identidad de los terceros a quienes podrán comunicarse los datos personales, así como el acceso, la rectificación y los mecanismos de recurso disponibles. 
               
               
                  Aumentar la sensibilización de los individuos sobre por qué y por quién son tratados sus datos contribuye a la posibilidad de que las personas físicas ejerzan sus derechos de acceso, rectificación o recurso (véanse los artículos 16 a 19).
               
               
                   iii)
                        Derechos individuales 
               
               
                  Estos derechos son de especial importancia para la protección de los interesados, que podrán, por primera vez, hacer uso de derechos de aplicación general para cualquier transferencia transatlántica de datos personales en el ámbito policial o judicial. 
               
               
                  i) Acceso y rectificación (artículos 16 y 17)
               
               
                  El derecho de acceso confiere a toda persona la posibilidad de solicitar y obtener el acceso a sus datos personales. Los motivos para restringir el acceso se enumeran de manera exhaustiva y corresponden a restricciones razonables (por ejemplo, salvaguardar la seguridad nacional, evitar el perjuicio para la investigación o enjuiciamiento de infracciones penales, y proteger los derechos y libertades de terceros). Los gastos excesivos no podrán imponerse como condición para acceder a los propios datos. 
               
            
         
         
            
               
                  El derecho de rectificación otorga derecho a cualquier persona a solicitar la corrección o rectificación de sus datos personales en caso de que sean inexactos o que hayan sido incorrectamente tratados. Esto podrán suponer completar, suprimir, bloquear o bien adoptar cualquier otra medida o método para abordar las inexactitudes o el tratamiento incorrecto de los datos.
               
               
                  Cuando la autoridad competente del país beneficiario concluya, a raíz de una solicitud de una persona física, en relación con una notificación presentada por el proveedor de los datos personales o a raíz de su propia investigación, que los datos son inexactos o han sido tratados de manera abusiva, adoptará medidas para completarlos, suprimirlos, bloquearlos, o bien otras medidas de corrección o rectificación. 
               
               
                  Cuando lo permita la legislación nacional, cualquier persona podrá autorizar a una autoridad de supervisión (es decir, una autoridad nacional de protección de datos en el caso de un interesado que sea nacional de la UE) a solicitar en su nombre el acceso o la rectificación. Esta posibilidad del ejercicio indirecto de los derechos a través de una autoridad y en un ordenamiento jurídico conocido, debe concretamente ayudar a los interesados a hacer valer sus derechos. 
               
               
                  Si se deniega o se restringe la solicitud de acceso o rectificación, la autoridad requerida ofrecerá a la persona (o a su representante debidamente autorizado) una respuesta indicando los motivos de la denegación o restricción del acceso o rectificación. Del mismo modo, la obligación de facilitar a las personas una respuesta motivada tiene por objeto permitir y facilitar el ejercicio de su derecho al recurso administrativo y judicial en caso de que la autoridad policial o judicial se deniegue o restringa el acceso o la rectificación.
               
               
                  ii) Recursos administrativos (artículo 18)
               
               
                  Si una persona está en desacuerdo con el resultado de su solicitud de acceso o rectificación de los datos personales, tendrá derecho a presentar un recurso administrativo. Por lo que se refiere al acceso y rectificación, con el fin de facilitar el ejercicio efectivo de este derecho, el interesado tendrá derecho a autorizar a una autoridad de supervisión (es decir, una autoridad nacional de protección de datos en el caso de un interesado que sea nacional de la UE) o a otro representante, cuando así lo autorice la legislación nacional aplicable.
               
               
                  La autoridad ante la que se presente el recurso proporcionará al interesado una respuesta escrita que indique, en su caso, las medidas correctoras o reparadoras adoptadas.
               
               
                   iii) Recursos judiciales (artículo 19)
               
               
                  Los ciudadanos de cada una de las Partes deberán poder plantear un recurso por vía judicial ante i) la denegación del acceso, ii) la denegación de rectificación o iii) la divulgación ilícita por las autoridades de la otra Parte. 
               
               
                  Por parte de EE.UU., esto se ha reflejado en la Judicial Redress Act (Ley sobre recursos judiciales) firmada por el Presidente Obama el 24 de febrero de 2016. Esta ley ampliará a los ciudadanos de los «países cubiertos»
                     9
                   estos tres tipos de motivos para el recurso judicial, según lo dispuesto en la Privacy Act (Ley de protección de la privacidad estadounidense) de 1974, actualmente reservados a ciudadanos estadounidenses y residentes permanentes. El cuarto considerando del preámbulo del Acuerdo marco precisa que esta ampliación cubrirá también los datos intercambiados en virtud de acuerdos como PNR y TFTP. En combinación con la adopción de la Ley sobre recursos judiciales, el artículo 19 mejorará por lo tanto significativamente la protección judicial de los ciudadanos de la UE.
               
               
                  Aunque la Ley sobre recursos judiciales contiene una serie de limitaciones (concretamente, sólo será aplicable a los datos de los ciudadanos procedentes de «países cubiertos» cuyos datos hayan sido transferidos, en particular, por las autoridades policiales y judiciales de la UE, pero no solo de ciudadanos de la UE), el artículo 19 del Acuerdo marco aborda una vieja aspiración de la UE. 
               
               
                  El artículo se corresponde asimismo con las orientaciones políticas del presidente Juncker, según el cual «los Estados Unidos deberán [...] garantizar que todos los ciudadanos de la UE pueden hacer valer sus derechos en materia de protección de datos ante los tribunales de los Estados Unidos, aunque no residan en suelo estadounidense. La supresión de esa discriminación es esencial para el restablecimiento de la confianza en las relaciones transatlánticas». Asimismo, responde a la Resolución del Parlamento Europeo, de 12 de marzo de 2014, sobre el programa de vigilancia de la ANS de los EE.UU., mediante la cual el Parlamento solicitaba que se reanudasen inmediatamente las negociaciones con los EE.UU. sobre el «Acuerdo marco» para poner «los derechos de los ciudadanos de la UE en el mismo plano que los derechos de los ciudadanos de los EE.UU (...)» y proporcionar «recursos administrativos y judiciales eficaces y aplicables a todos los ciudadanos de la UE en los Estados Unidos, sin discriminación alguna»
                     10
                  .  
               
               
                  El párrafo 3 del artículo 19 aclara que la ampliación de los tres motivos de recurso judicial antes mencionados se entenderá sin perjuicio de otras vías de recurso judicial disponibles con respecto al tratamiento de los datos (por ejemplo, en virtud de la Ley de procedimiento administrativo, la Ley sobre protección de la privacidad en las comunicaciones electrónicas o la Ley de libertad de información). Estas otras bases jurídicas para las vías de recurso judicial están abiertas a todos los interesados afectados por la transferencia de datos a efectos policiales y judiciales, con independencia de su nacionalidad o lugar de residencia. 
               
               
                  iv)
                        Aspectos relativos a la aplicación del Acuerdo y la supervisión
               
               
                  i) Rendición de cuentas (artículo 14)
               
               
                  Deberán tomarse medidas para fomentar la rendición de cuentas de las autoridades que tratan los datos personales amparados por el Acuerdo marco. Cuando los datos personales sean compartidos de nuevo por la autoridad receptora con otras autoridades, éstas deberán ser informadas de las medidas de salvaguardia aplicables en virtud del presente Acuerdo, así como las posibles condiciones adicionales (restrictivas) que se hayan adjuntado a la transferencia con arreglo a lo dispuesto en el artículo 6, apartado 3 (sobre limitación de los fines y de la utilización). Toda falta grave será castigada mediante sanciones penales, civiles o administrativas adecuadas y disuasorias.
               
               
               
                  Las medidas para fomentar la rendición de cuentas incluyen también, en su caso, la supresión de las posteriores transferencias de datos personales a las entidades de las partes no cubiertas por el Acuerdo marco, en el caso de que no garanticen una protección eficaz de los datos personales a la luz del objetivo del Acuerdo (y, en particular, las disposiciones sobre limitación de los fines y sobre transferencia ulterior). Esta disposición aborda los casos en los que los datos personales son enviados por una autoridad de la UE a una autoridad federal de los EE.UU. (es decir, un órgano cubierto por el presente Acuerdo) y, posteriormente, transferidos a las autoridades policiales o judiciales a nivel estatal. De conformidad con sus normas constitucionales, los Estados Unidos tiene una capacidad limitada para obligar a sus Estados federados a escala internacional
                     11
                  . No obstante, para garantizar la continuidad de la protección de los datos transferidos a las agencias federales de los EE.UU. y compartidos con las autoridades policiales y judiciales en el ámbito estatal, este artículo i) incluye en su ámbito de aplicación a las «otras autoridades» de las Partes (es decir, las autoridades no cubiertas por el presente Acuerdo, tales como las autoridades de los EE.UU.);  ii) estipula que se les notifiquen las salvaguardias previstas en el marco del Acuerdo marco;  y (iii) exige que, según convenga, las transferencias a dichos entes se interrumpan en caso de que no protejan eficazmente los datos personales a la luz de la finalidad del Acuerdo marco y, en particular, de sus artículos sobre la limitación en cuanto a los fines y las transferencias ulteriores. 
               
               
               
                  Al garantizar que las autoridades policiales y judiciales competentes serán responsables de conformidad con el «Acuerdo marco», este artículo constituye un componente importante de un sistema eficaz de observancia y control en el marco del Acuerdo. Contribuirá asimismo a la introducción de derechos individuales en casos de conducta indebida (y la consiguiente responsabilidad de los poderes públicos).
               
            
         
         
            
               
                  Por último, las autoridades de la UE podrán plantear sus preocupaciones y recibir información pertinente de sus homólogos estadounidenses sobre cómo cumplen sus obligaciones en virtud del artículo 14 (incluidas las medidas adoptadas al respecto). Además, en el contexto de las revisiones conjuntas (véase, más abajo, el artículo 23), se prestará especial atención a la aplicación efectiva de este artículo.
               
               
               
                  ii) Supervisión efectiva (artículo 21) 
               
               
                  Las Partes contarán con una o varias autoridades públicas independientes que ejercen funciones y competencias de supervisión, incluidas la revisión, la investigación y la intervención. Dichas autoridades tendrán la facultad de aceptar e intervenir en relación con las reclamaciones presentadas por particulares relativas a las medidas de ejecución del Acuerdo marco y de denunciar las violaciones de la ley relacionadas con el presente Acuerdo para su enjuiciamiento o de cara a una acción disciplinaria. Teniendo en cuenta las particularidades del sistema estadounidense, una combinación de las autoridades de supervisión (incluido el Director encargado de la protección de la privacidad, los inspectores generales, el Consejo de Supervisión de la Privacidad y las Libertades Civiles, etc.) ejercerá de forma acumulativa las funciones de supervisión que llevan a cabo las autoridades de protección de datos de la UE.
               
               
                  Este artículo complementa las salvaguardias existentes sobre la base de las disposiciones en materia de acceso, rectificación y vías de recurso administrativo. En particular, permite a los particulares presentar denuncias ante las autoridades independientes acerca de la forma en que la otra Parte ha aplicado el Acuerdo marco. 
               
               
                  iii) Cooperación entre autoridades de supervisión (artículo 22) 
               
               
                  Las autoridades de supervisión cooperarán con vistas a la aplicación efectiva del Acuerdo y, en particular, por lo que respecta al sistema de ejercicio indirecto de los derechos individuales en relación con el acceso, la rectificación y el recurso administrativo (véanse artículos 16 a 18). 
               
               
                  Además, se crearán puntos de contacto nacionales que ayuden a la identificación de la autoridad de supervisión a la que dirigirse en un caso concreto. Teniendo en cuenta, en particular, la existencia de diversas autoridades de supervisión en los EE.UU., la creación de un «punto de entrada» central para las solicitudes de asistencia y cooperación contribuirá a una gestión eficaz de las solicitudes. 
               
               
                   iv) Revisión conjunta (artículo 23)
               
               
                  Las Partes llevarán a cabo revisiones conjuntas periódicas sobre la aplicación y eficacia del Acuerdo marco, prestando especial atención a la aplicación efectiva de los artículos relativos a los derechos individuales (acceso, rectificación, recursos administrativo y judicial), así como a la cuestión de las transferencias a entidades territoriales no cubiertas por el Acuerdo (es decir, estadounidenses). La primera revisión conjunta se realizará a más tardar tres años después de la entrada en vigor del Acuerdo y, en adelante, de forma periódica.
               
               
                  La composición de las delegaciones respectivas incluirá a representantes de las dos autoridades de protección de datos y a las autoridades policiales y judiciales. Las conclusiones de las revisiones conjuntas se harán públicas.  
               
               
                  v)
                        Disposiciones finales 
               
               
                  El Acuerdo marco contiene una serie de cláusulas finales relativas a:
               
            
            
               la notificación a la otra Parte de toda acción que afecte significativamente a la aplicación del Acuerdo; los EE.UU. notificarán específicamente a la UE cualquier medida relativa a la aplicación de las disposiciones de la Ley sobre recursos judiciales (artículo 24); 
            
            
               las consultas, en el caso de que existan diferencias en cuanto a la manera en que el Acuerdo se interpreta o aplica (artículo 25);
            
            
               la posibilidad de suspender el Acuerdo por una de las Partes en caso de incumplimiento sustancial del Acuerdo por la otra Parte (artículo 26);
            
            
               el ámbito de aplicación territorial del Acuerdo a fin de tener en cuenta la situación específica de Dinamarca, Irlanda y el Reino Unido (artículo 27);
            
            
               la duración indeterminada del Acuerdo, que está justificada por la naturaleza del Acuerdo como marco de protección y garantías, así como en relación con la posibilidad de suspender o rescindir el Acuerdo (artículo 28);
            
            
               la posibilidad de que cada una de las Partes resuelva el Acuerdo mediante notificación a la otra Parte, al tiempo que se precisa que los datos personales transferidos antes de la rescisión se seguirán tratando de acuerdo con las normas del Acuerdo marco (artículo 29, apartados 2 y 3);
            
            
               la entrada en vigor del Acuerdo el primer día del mes siguiente a la fecha en que las Partes se hayan notificado la finalización de sus procedimientos internos de aprobación (artículo 29, apartado 1);
            
         
         
            
               la cláusula sobre lenguas (que se encuentra inmediatamente antes de la firma) prevé que: i) el Acuerdo se firmará en inglés y será vertido por la UE a las otras 23 lenguas oficiales de la UE;  ii) existe la posibilidad, tras la firma, de autenticar el texto del Acuerdo en cualquiera de las otras lenguas oficiales de la Unión Europea por medio de un canje de notas diplomáticas con los Estados Unidos;  iii) en caso de discrepancia entre las diferentes versiones lingüísticas autenticadas del Acuerdo, prevalecerá la versión en inglés. 
            
            
               2016/0127 (NLE)
            
            
               Propuesta de
            
            
               DECISIÓN DEL CONSEJO
            
            
               sobre la firma, en nombre de la Unión Europea, de un Acuerdo entre los Estados Unidos de América y la Unión Europea sobre la protección de los datos personales en relación con la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales
            
            
               EL CONSEJO DE LA UNIÓN EUROPEA,
            
            
               Visto el Tratado de Funcionamiento de la Unión Europea, y, en particular, su artículo 16, leído en relación con su artículo 218, aparado 5,
            
            
               Vista la propuesta de la Comisión Europea,
            
            
               Considerando lo siguiente:
            
            
               (1)El 3 de diciembre de 2010, el Consejo autorizó a la Comisión a entablar negociaciones con el Gobierno de los Estados Unidos de América acerca de un Acuerdo sobre la protección de los datos personales cuando se transfieren y tratan dichos datos con el fin de prevenir, investigar, detectar o perseguir infracciones penales, incluido el terrorismo.
            
            
               (2)Las negociaciones con el Gobierno de los Estados Unidos de América han concluido y el texto del Acuerdo fue rubricado el 8 de septiembre de 2015.
            
            
               (3)El Acuerdo persigue establecer un marco general de principios y salvaguardias de la protección de los datos personales cuando dichos datos se transfieren a efectos policiales y judiciales en materia penal entre los Estados Unidos, por una parte, y la Unión Europea y sus Estados miembros, por otra. El objetivo es garantizar un alto nivel de protección de los datos y, de este modo, reforzar la cooperación entre las Partes. Aunque no constituya en sí mismo la base jurídica para todas las transferencias de datos personales a los Estados Unidos, el Acuerdo marco, en caso necesario, complementa las garantías de protección de datos previstas en los acuerdos en materia de transferencia de datos actuales y futuros o las disposiciones nacionales que autorizan tales transferencias.
            
            
               (4)La Unión tiene competencia sobre todas las disposiciones del Acuerdo. En particular, la Unión ha adoptado la Directiva 2016/XXX/EU
                  12
                relativa a 
                  la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de 
                  prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y la libre circulación de 
                  dichos datos.  
            
            
               (5)La Unión Europea tiene competencia exclusiva en la medida en que el Acuerdo pueda afectar a las normas comunes de la Unión o alterar su ámbito de aplicación.
            
            
               (6)De conformidad con el artículo 6 bis del Protocolo nº 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al TUE y al TFUE, el Reino Unido e Irlanda no están vinculados por las normas establecidas en el Acuerdo que se refieran al tratamiento de los datos personales en el ejercicio de las actividades comprendidas en el ámbito de aplicación del capítulo 4 (cooperación judicial en materia penal) y el capítulo 5 (cooperación policial) del título V de la Parte Tercera del TFUE en los casos en que el Reino Unido e Irlanda no estén obligados por las normas que requieran el cumplimiento del Acuerdo.    
            
            
               (7)De conformidad con los artículos 1 y 2 del Protocolo 22 sobre la posición de Dinamarca anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, Dinamarca no participa en la adopción de la presente Decisión y, por tanto, no queda vinculada por el Acuerdo ni sujeta a su aplicación. 
            
            
               (8)Debe firmarse el Acuerdo a reserva de su celebración en una fecha posterior.
            
            
            
               HA ADOPTADO LA PRESENTE DECISIÓN: 
            
            
               Artículo 1
            
         
         
            
               Se autoriza por la presente la firma del Acuerdo entre los Estados Unidos de América y la Unión Europea sobre la protección de los datos personales en relación con la prevención, investigación, detección y enjuiciamiento de infracciones penales, en nombre de la Unión, a reserva de la celebración de dicho Acuerdo. 
            
            
               El texto del Acuerdo que debe firmarse se adjunta a la presente Decisión. 
            
            
               Artículo 2
            
            
               La Secretaría General del Consejo establecerá el instrumento de plenos poderes para firmar el Acuerdo, a reserva de su celebración, para la persona indicada por la Comisión.
            
            
            
               Artículo 3
            
            
               La presente Decisión entrará en vigor el día de su adopción.
            
            
               Hecho en Bruselas, el
            
            
               
                     
                        
                        
                        Por el Consejo
               
               
                     
                        
                        
                        El Presidente
               
            
         
         
            
                  
                     (1)
                  Informes del Grupo de Contacto de Alto Nivel entre la UE y los EE. UU. sobre el intercambio de información y la protección de la vida privada y los datos personales, Bruselas, 23 de noviembre de 2009, 15851/09, JAI 822 DATAPROTECT 74 USA 102.
               
               
                  
                     (2)
                  Junto con la adopción de la reforma relativa a la protección de datos y el nuevo escudo en materia de privacidad UE-EE.UU. relativo a las transferencias de datos en el ámbito comercial, la celebración de un Acuerdo marco global y coherente constituye un elemento esencial de la estrategia establecida en la Comunicación de la Comisión sobre la regeneración de la confianza en los flujos de datos entre la UE y los EE.UU. (COM(20123) 846), de 27 de noviembre de 2013, que puede consultarse en 
                  
                     http://ec.europa.eu/justice/data-protection/files/com_2013_846_en.pdf
                  
                  , y corroboradas también en las directrices políticas del presidente Juncker y en la Comunicación de la Comisión al Parlamento Europeo y al Consejo «Los flujos transatlánticos de datos: recuperar la confianza instaurando estrictas salvaguardias», COM(2016) 117 final, de 29 de febrero de 2016, disponible en: http://ec.europa.eu/justice/data-protection/files/privacy-shield-adequacy-communication_en.pdf. 
               
               
                  
                     (3)
                  El concepto de «información de carácter personal», tal y como se utiliza en el Acuerdo marco, es sinónimo del concepto de «datos personales». 
               
               
                  
                     (4)
                  Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y la libre circulación de dichos datos [COM(2012) 010 final - 2012/0010 (COD)] disponible en: http://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52012PC0010&from=en
               
               
                  
                     (5)
                  Propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos) [COM(2012) 11 final, 2012/0011 (COD)], disponible en: http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_en.pdf
               
               
                  
                     (6)
                  Acuerdo entre los Estados Unidos de América y la Unión Europea sobre la utilización y la transferencia de los registros de nombres de los pasajeros al Departamento de Seguridad del Territorio Nacional de los Estados Unidos, DO de 11.8.2012, L 215/5. 
               
               
                  
                     (7)
                  Acuerdo entre la Unión Europea y los Estados Unidos sobre el tratamiento y la transferencia de datos de mensajería financiera de la Unión Europea a los Estados Unidos, a efectos del Programa de Seguimiento de la Financiación del Terrorismo, DO de 27.7.2010, L 195/5.
               
               
                  
                     (8)
                  El cuarto considerando del preámbulo indica que el Acuerdo marco no modificará, condicionará o derogará los acuerdos para los que se demuestre que ofrecen un nivel adecuado de protección de datos, con la excepción de la protección jurisdiccional prevista en el artículo 19, que se aplicaría también a ellos. Esto afecta a los acuerdos PNR y TFTP.
               
               
                  
                     (9)
                  Un «país cubierto» con arreglo a la Ley sobre recursos judiciales de los Estados Unidos es un país que i) ha celebrado con los Estados Unidos un acuerdo que prevé una protección adecuada de la privacidad de la información compartida con fines policiales o judiciales (o que efectivamente ha compartido información con fines policiales o judiciales y cuenta con las adecuadas medidas de protección de la privacidad necesarias para proceder a compartir la información); ii) permite la transferencia de datos personales con fines comerciales a través de un acuerdo con los Estados Unidos o mediante otros instrumentos; iii) cuyas políticas en lo que se refiere a la transferencia de datos personales con fines comerciales no obstaculizan sensiblemente los intereses de seguridad nacional de los Estados Unidos. La designación de un país como «país cubierto» corresponde al Fiscal General de los Estados Unidos.
               
               
                  
                     (10)
                  Véase el apartado 57 y el considerando BJ de la Resolución, de 12 de marzo de 2014, sobre el programa de vigilancia de la Agencia Nacional de Seguridad de los EE.UU., los órganos de vigilancia en diversos Estados miembros y su impacto en los derechos fundamentales de los ciudadanos de la UE y en la cooperación transatlántica en materia de justicia y asuntos de interior, (2013/2188(INI)), disponible en http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0230+0+DOC+XML+V0//EN
               
               
                  
                     (11)
                  Siendo una República federal, existe un reparto de competencias entre el Gobierno Federal y el Gobierno de cada uno de los Estados (véase también el artículo 5, apartado 2, del Acuerdo marco a este respecto).
               
               
                  
                     (12)
                  Directiva del Parlamento Europeo y del Consejo relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y la libre circulación de dichos datos, y por la que se deroga la Decisión 2008/977/JAI  
               
            
      
    ---documentbreak--- 
      
         
               COMISIÓN EUROPEA
            Bruselas, 29.4.2016
            COM(2016) 238 final
            ANEXO
            ACUERDO ENTRE LOS ESTADOS UNIDOS DE AMÉRICA Y LA UNIÓN EUROPEA SOBRE LA PROTECCIÓN DE DATOS PERSONALES RELATIVA A LA PREVENCIÓN, INVESTIGACIÓN, DETECCIÓN O ENJUICIAMIENTO DE INFRACCIONES PENALE
            que acompaña la
            Propuesta de Decisión del Consejo
            sobre la firma, en nombre de la Unión Europea, de un Acuerdo entre los Estados Unidos de América y la Unión Europea sobre la protección de los datos personales en relación con la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales
            
               
         
         
            
               ACUERDO ENTRE LOS ESTADOS UNIDOS DE AMÉRICA Y 
            
            
               LA UNIÓN EUROPEA SOBRE LA PROTECCIÓN DE DATOS PERSONALES RELATIVA A LA PREVENCIÓN, INVESTIGACIÓN, DETECCIÓN O ENJUICIAMIENTO DE INFRACCIONES PENALES 
            
            
            
               ÍNDICE
            
            
               Preámbulo
            
            
                  Artículo 1: 
                     Objeto 
            
            
                  Artículo 2: 
                     Definiciones 
            
            
                  Artículo 3:
                     Ámbito de aplicación
            
            
                  Artículo 4:
                     No discriminación
            
            
               Artículo 5:
                     Efecto del Acuerdo 
            
            
                  Artículo 6:
                     Limitación de los fines y de la utilización 
            
            
                  Artículo 7:
                     Transferencia ulterior 
            
            
               Artículo 8:
                     Mantener la calidad y la integridad de la información 
            
            
                  Artículo 9:
                     Seguridad de la información 
            
            
               Artículo 10:
                     Notificación de incidentes de seguridad de la información 
            
            
               Artículo 11:
                     Llevanza de registros 
            
            
               Artículo 12:
                     Periodo de conservación 
            
            
                  Artículo 13:
                     Categorías especiales de datos personales 
            
            
               Artículo 14: 
                     Rendición de cuentas 
            
         
         
            
                  Artículo 15:
                     Decisiones automatizadas 
            
            
                  Artículo 16:
                     Acceso 
            
            
               Artículo 17: 
                     Rectificación 
            
            
               Artículo 18:
                     Recursos administrativos 
            
            
               Artículo 19:
                     Recursos judiciales 
            
            
               Artículo 20:
                     Transparencia 
            
            
               Artículo 21:
                     Supervisión efectiva 
            
            
               Artículo 22:
                     Cooperación entre autoridades de supervisión 
            
            
                  Artículo 23:
                     Revisión conjunta 
            
            
               Artículo 24: 
                     Notificación
            
            
               Artículo 25:
                     Consultas
            
            
               Artículo 26:
                     Suspensión
            
            
               Artículo 27:
                     Aplicación territorial
            
            
               Artículo 28:
                     Duración 
            
            
               Artículo 29:
                     Entrada en vigor y resolución
            
            
               
            
            
               Conscientes de que los Estados Unidos y la Unión Europea se han comprometido a garantizar un alto nivel de protección de los datos personales intercambiados en el contexto de la prevención, investigación, detección y enjuiciamiento de infracciones penales, incluido el terrorismo;
            
            
            
               Proponiéndose crear un marco jurídico duradero para facilitar el intercambio de información, algo que es esencial para prevenir, investigar, detectar o perseguir infracciones penales, incluido el terrorismo, como medio para proteger sus respectivas sociedades democráticas y valores comunes;
            
         
         
            
                
            
            
               Decididos, en particular, a adoptar normas de protección de los intercambios de datos personales sobre la base de los acuerdos existentes y futuros entre los Estados Unidos y la Unión Europea y sus Estados miembros, en el ámbito de la prevención, investigación, detección y enjuiciamiento de infracciones penales, incluido el terrorismo;
            
            
            
               Reconociendo que algunos acuerdos vigentes entre las Partes sobre el tratamiento de datos personales demuestra que esos acuerdos ofrecen un nivel adecuado de protección de datos en el ámbito de la aplicación de dichos acuerdos, las Partes afirman que el presente Acuerdo no debe interpretarse como que modifica, condiciona o deroga dichos acuerdos; constatando, no obstante, que las obligaciones establecidas en el artículo 19 del presente Acuerdo sobre recursos judiciales se aplicaría con respecto a todas las transferencias que entran en el ámbito de aplicación del presente Acuerdo, y que esto se entiende sin perjuicio de cualquier futura revisión o modificación de tales acuerdos con arreglo a sus propios términos;
            
            
            
               Reconociendo que ambas partes tienen una larga tradición de respeto de la vida privada tal como se refleja en los principios de la vida privada y la protección de datos personales con fines policiales y judiciales elaborados por el Grupo de Contacto de Alto Nivel entre la UE y los EE. UU. sobre el intercambio de información y la protección de la vida privada y los datos personales, la Carta de los Derechos Fundamentales de la Unión Europea y la legislación aplicable de la UE, la Constitución de Estados Unidos y la legislación estadounidense aplicable, así como los principios sobre prácticas informativas leales de la Organización para la Cooperación y el Desarrollo Económico; y 
            
            
            
               Reconociendo los principios de proporcionalidad y necesidad, pertinencia y carácter razonable conforme a lo establecido por las Partes en sus respectivos marcos jurídicos;
            
            
            
               LOS ESTADOS UNIDOS DE AMÉRICA Y LA UNIÓN EUROPEA HAN CONVENIDO EN LO SIGUIENTE:
            
            
               Artículo 1: Objeto del Acuerdo 
            
            
               1. El presente Acuerdo tiene por objeto garantizar un elevado nivel de protección de los datos personales y reforzar la cooperación entre los Estados Unidos y la Unión Europea y sus Estados miembros, en relación con la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales, incluido el terrorismo.
            
            
               2. Con este fin, el presente Acuerdo establece el marco para la protección de los datos personales cuando se transfieren entre los Estados Unidos, por una parte, y la Unión Europea y sus Estados miembros, por otra.
            
            
               3. El Acuerdo en sí mismo no constituirá la base jurídica para todas las transferencias de datos personales.  Siempre se exigirá una base jurídica para tales transferencias.
            
            
            
               Artículo 2: Definiciones
            
            
               A los efectos del presente Acuerdo:
            
            
            
               1.Se entenderá por «datos personales» toda información referida a una persona física identificada o identificable.  Se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante referencia, en particular, a un número de identificación o a uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social.
            
            
         
         
            
               2.Se entenderá por «tratamiento de datos personales» cualquier operación o conjunto de operaciones relativas a la recogida, conservación, utilización, modificación, organización o estructuración, difusión o divulgación, o disposición de los datos.
            
            
            
               3.Se entenderá por «Partes» a la Unión Europea y a los Estados Unidos de América. 
            
            
            
               4.Se entenderá por «Estado miembro» un Estado miembro de la Unión Europea;
            
            
            
               5.Se entenderá por «autoridad competente», en el caso de los Estados Unidos, los cuerpos y fuerzas de seguridad y los órganos jurisdiccionales nacionales de los Estados Unidos responsables de la prevención, investigación, detección o enjuiciamiento de infracciones penales, incluido el terrorismo y, en el caso de la Unión Europea, una autoridad de la Unión Europea y una autoridad de un Estado miembro, responsables de la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales, incluido el terrorismo.
            
            
            
               Artículo 3: Ámbito de aplicación 
            
            
               1. El presente Acuerdo se aplicará a los datos personales transferidos entre las autoridades competentes de una Parte y las autoridades competentes de la otra Parte, o que hayan sido transferidos en virtud de un acuerdo entre los Estados Unidos y la Unión Europea y sus Estados miembros, para la prevención, detección, investigación y enjuiciamiento de infracciones penales, incluido el terrorismo. 
            
            
               2. El presente Acuerdo no afecta a  las transferencias u otras formas de colaboración, y se entiende además sin perjuicio de las mismas, entre las autoridades de los Estados miembros y de los Estados Unidos, distintas de las mencionadas en el artículo 2, apartado 5, responsables de velar por la seguridad nacional.
            
            
            
               Artículo 4:  No discriminación 
            
            
               Cada Parte cumplirá las obligaciones que le incumben en virtud del presente Acuerdo con el fin de proteger los datos personales de los propios nacionales y de los nacionales de la otra Parte, independientemente de su nacionalidad y sin discriminación arbitraria e injustificable.
            
            
            
            
            
               Artículo 5:  Efecto del Acuerdo 
            
            
               1. Este Acuerdo complementa, según proceda, pero no sustituye, las disposiciones relativas a la protección de datos personales recogidas en los acuerdos internacionales entre las Partes, o entre los Estados Unidos y los Estados miembros, que aborden cuestiones correspondientes al ámbito del presente Acuerdo.
            
            
               2. Las Partes adoptarán todas las medidas necesarias para la aplicación del presente Acuerdo, incluidas, en particular, sus respectivas obligaciones en materia de acceso, de rectificación y de recurso administrativo y judicial de los particulares que hayan sido previstas en las mismas. Las medidas de protección y los recursos recogidos en el presente Acuerdo beneficiarán a las personas físicas y entidades en las condiciones aplicadas en las leyes nacionales aplicables de cada Parte. En el caso de los Estados Unidos, sus obligaciones se aplicarán de forma coherente con los principios fundamentales del federalismo que le son propios.
            
         
         
            
               3. Al dar efecto a lo dispuesto en el apartado 2, el tratamiento de datos personales por los Estados Unidos o la Unión Europea y sus Estados miembros con respecto a los aspectos que entran en el ámbito de aplicación del presente Acuerdo se considerarán conformes con su respectiva legislación sobre protección de datos por la que se restringe o condiciona las transferencias internacionales de datos personales, y no será necesaria ninguna otra autorización con arreglo a dicha legislación.
            
            
            
               Artículo 6: Limitación de los fines y de la utilización
            
            
               1. La transferencia de datos personales se destinará a fines específicos autorizados por la base jurídica de la transferencia según lo establecido en el artículo 1.    
            
            
               2. El tratamiento ulterior de datos personales por una Parte no será incompatible con los fines para los que se transfirieron. El tratamiento compatible supone su tratamiento de conformidad con los términos de los acuerdos internacionales vigentes y los marcos internacionales escritos en materia de prevención, detección, investigación o enjuiciamiento de delitos graves. Dicho tratamiento de datos personales por otras autoridades nacionales policiales, judiciales, reguladoras o administrativas deberán respetar las otras disposiciones del presente Acuerdo.
            
            
               3. El presente artículo se entenderá sin perjuicio de la capacidad de la autoridad de transferencia para imponer condiciones adicionales en un caso específico en la medida en que el marco legal aplicable a la transferencia así lo permita. Dichas condiciones no incluirán condiciones de protección de datos genéricas, es decir, condiciones impuestas no relacionadas con los hechos específicos del caso.  Cuando la información esté sujeta a condiciones, la autoridad competente receptora deberá atenerse a los mismos. La autoridad competente que facilite la información podrá, asimismo, exigir al receptor que proporcione información sobre el uso que se haga de la información transferida.
            
            
            
               4. En el caso de que los Estados Unidos de América, por una parte, y la Unión Europea o un Estado miembro, por otra, celebren un acuerdo sobre la transferencia de datos personales, excepto en relación con casos específicos, investigaciones o actuaciones judiciales, los fines para los que se transfieran y traten serán también establecidos en dicho acuerdo.
            
            
               5. Las Partes garantizarán, en el marco de sus legislaciones respectivas, que los datos personales sean tratados de una manera que sea directamente pertinente y no excesiva o demasiado amplia en relación a los fines de dicho tratamiento.  
            
            
            
               Artículo 7:  Transferencia ulterior 
            
            
               1. Cuando una autoridad competente de una Parte le haya transferido los datos personales relativos a un caso específico a una autoridad competente de la otra Parte, dicha información podrá transferirse a un Estado que no esté obligado por el presente Acuerdo o a un organismo internacional únicamente cuando se haya obtenido el consentimiento previo de la autoridad competente que envió inicialmente los datos. 
            
            
               2. A la hora de dar su consentimiento a una transferencia en virtud del apartado 1, la autoridad competente que transfiere la información en primer lugar tendrá debidamente en cuenta todos los factores pertinentes, entre ellos la gravedad de la infracción, el objetivo para el cual se transfirieron inicialmente los datos y si el Estado no sujeto al presente Acuerdo u organismo internacional de que se trate garantiza un nivel adecuado de protección de los datos personales. También podrá someter la transferencia a determinadas condiciones. 
            
            
               3. En caso de que los Estados Unidos de América, por una parte, y la Unión Europea o un Estado miembro, por otra, celebren un acuerdo sobre la transferencia de datos personales, excepto en relación con casos, investigaciones o actuaciones judiciales específicos, la transferencia ulterior de datos personales podrá sólo producirse de acuerdo con unas condiciones específicas fijadas en el Acuerdo en el que se motiva la transferencia ulterior. El acuerdo deberá prever mecanismos de información adecuados entre las autoridades competentes.
            
            
               4. Nada de lo dispuesto en el presente artículo se interpretará en el sentido de que afecta a un requisito, obligación o práctica en virtud del cual el consentimiento previo de la autoridad competente que transmite inicialmente los datos debe obtenerse antes de que dichos datos se transfieran a un Estado u organismo que esté vinculado por el presente Acuerdo a condición de que el nivel de protección de los datos en dicho Estado u organismo no sea la base para denegar la autorización o imponer condiciones a tales transferencias.
            
            
            
               Artículo 8: Mantener la calidad y la integridad de la información  
            
            
               Las Partes adoptarán todas las medidas razonables para garantizar que los datos personales se conservan con la exactitud, pertinencia, puntualidad y exhaustividad necesaria y adecuada para el tratamiento lícito de los datos.  A tal fin, las autoridades competentes dispondrán de procedimientos cuyo objeto es garantizar la calidad y la integridad de los datos personales, entre los que se incluyen los siguientes:
            
            
                  a) las medidas contempladas en el artículo 17;
            
            
               b) en los casos en que la autoridad competente de transferencia tenga conocimiento de la existencia de serias dudas en cuanto a la pertinencia, puntualidad, exhaustividad y exactitud de estos datos o sobre una evaluación que haya transferido, procederá, cuando sea factible, a asesorar a la autoridad competente receptora al respecto;
            
         
         
            
               c) en los casos en que la autoridad competente receptora tenga conocimiento de la existencia de serias dudas en cuanto a la pertinencia, puntualidad, exhaustividad y exactitud de los datos personales recibidos de un organismo estatal, o en el caso de una evaluación realizada por la autoridad competente de transferencia, de la exactitud de los datos y la fiabilidad de su fuente, procurarán, siempre que sea viable, asesorar a la autoridad competente de transferencia al respecto.
            
            
            
               Artículo 9: Seguridad de la información 
            
            
               Las Partes garantizarán que han previsto las medidas técnicas, organizativas y de seguridad necesarias para la protección de los datos personales en relación con los siguientes aspectos: 
            
            
                  a) la destrucción accidental o ilícita;
            
            
                  b) la pérdida accidental, y 
            
            
                  c) la difusión, alteración, acceso, u otro tipo de tratamiento no autorizado.
            
            
               Dichas medidas deberán incluir las salvaguardias adecuadas en relación con la autorización necesaria para acceder a los datos personales.
            
            
            
               Artículo 10: Notificación de un incidente de seguridad de la información 
            
            
               1. Tras el descubrimiento de un incidente que suponga la pérdida o destrucción accidental, o el acceso, la divulgación o la alteración no autorizados de los datos personales, en los que existiese un riesgo importante de menoscabo, la autoridad competente receptora evaluará con prontitud la probabilidad y la magnitud de los daños causados a las personas y a la integridad del programa de la autoridad competente de transferencia, y adoptará rápidamente las medidas oportunas para atenuar los daños.  
            
            
               2. Las medidas destinadas a mitigar los daños incluirán la notificación a la autoridad competente de transferencia.  No obstante, la notificación puede:
            
            
                  a) incluir las oportunas restricciones en cuanto a la transferencia posterior de la notificación; 
            
            
                  b) aplazarse u omitirse cuando dicha notificación pueda poner en peligro la seguridad del Estado; 
            
            
                  c) aplazarse cuando dicha notificación pueda poner en peligro las operaciones en materia de seguridad pública.
            
            
               3. Las medidas destinadas a mitigar los daños también incluirán la notificación a la persona, en su caso, habida cuenta de las circunstancias del incidente, salvo que dicha notificación pueda poner en peligro:
            
            
                  a) la seguridad pública o nacional;  
            
            
                  b) las pesquisas, investigaciones o procedimientos oficiales;
            
            
                  c) la prevención, detección, investigación o enjuiciamiento de infracciones penales;
            
            
                  d) los derechos y libertades de terceros, en particular, la protección de las víctimas y testigos.
            
         
         
            
               4. Las autoridades competentes que participan en la transferencia de datos personales podrán realizar consultas sobre el incidente y la respuesta al mismo.
            
            
            
               Artículo 11: Llevanza de registros 
            
            
               1. Las Partes dispondrán de métodos eficaces para demostrar la licitud del tratamiento de datos personales, que puede incluir la utilización de registros diarios o de otro tipo.
            
            
               2. Las autoridades competentes podrán utilizar dichos registros diarios o de otro tipo para mantener el correcto funcionamiento de las bases de datos o expedientes de que se trate, con el fin de garantizar la integridad y seguridad de los datos y, en caso necesario, atenerse a los procedimientos de copia de seguridad.
            
            
            
               Artículo 12: Periodo de conservación 
            
            
               1. Las Partes establecerán en sus marcos jurídicos específicos aplicables los períodos de conservación de documentos que contengan datos personales cuyo objeto sea garantizar que los datos personales no se conservan durante más tiempo del necesario y apropiado.  Estos periodos de conservación deberán tener en cuenta la finalidad del tratamiento, la naturaleza de los datos y la autoridad que la tramita, la repercusión sobre los derechos e intereses de las personas afectadas, y otras consideraciones jurídicas aplicables.
            
            
               2. En caso de que los Estados Unidos de América, por una parte, y la Unión Europea o un Estado miembro, por otra, celebren un acuerdo sobre la transferencia de datos personales, excepto en relación con casos, investigaciones o actuaciones judiciales específicos, dicho Acuerdo incluirá una disposición específica redactada de mutuo acuerdo sobre el período de conservación. 
            
            
               3. Las Partes establecerán procedimientos para la revisión periódica del período de conservación con vistas a determinar si las nuevas circunstancias requieren más modificaciones en el plazo aplicable.
            
            
               4. Las Partes publicarán o pondrán a disposición del público de otro modo tales períodos de conservación.
            
            
            
               Artículo 13: Categorías especiales de datos personales  
            
            
               1. Sólo podrá llevarse a cabo el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas o religiosas u otras creencias, la pertenencia a un sindicato o datos personales relativos a la salud o la vida sexual con las garantías adecuadas de conformidad con la ley. Tales garantías apropiadas pueden incluir: restringir los fines para los cuales los datos podrán ser tratados, como permitir que el tratamiento se lleve a cabo solo caso por caso; ocultar, eliminar o bloquear los datos tras haber procedido a los fines para los que fueron tratados; restringir el personal autorizado a acceder a la información; exigir una formación especializada al personal que accede a la información; exigir la aprobación de una autoridad de supervisión previa al acceso a la información; u otras medidas de protección. Estas garantías deberán tener debidamente en cuenta la naturaleza de la información, la particular sensibilidad de la información, así como los fines para los que la información es tratada.
            
            
               2. En caso de que los Estados Unidos de América, por una parte, y la Unión Europea o un Estado miembro, por otra, celebren un acuerdo sobre la transferencia de datos personales, excepto en relación con casos, investigaciones o actuaciones judiciales específicos, dicho acuerdo preverá más detalladamente las normas y condiciones en las que tales datos personales puedan ser tratados, teniendo debidamente en cuenta la naturaleza de la información y la finalidad para la que se utiliza.
            
            
            
               Artículo 14: Rendición de cuentas 
            
            
               1. Las Partes preverán medidas destinadas a promover la rendición de cuentas en relación con el tratamiento de datos personales por parte de sus autoridades competentes en el ámbito de aplicación del presente Acuerdo, así como por parte de cualquier otra de las autoridades a las que se hayan transferido los datos personales.  Dichas medidas incluirán la notificación de las garantías aplicables a las transferencias de datos personales en virtud del presente Acuerdo y las condiciones que se hayan impuesto por la autoridad competente de transferencia con arreglo a lo dispuesto en el artículo 6, apartado 3. Toda falta grave será abordada mediante sanciones penales, civiles o administrativas adecuadas y disuasorias.
            
            
               2. Las medidas previstas en el apartado 1 incluirán, en su caso, el abandono de la transferencia de datos personales a las autoridades de las entidades territoriales de las Partes no cubiertos por el presente Acuerdo que no hayan protegido eficazmente los datos personales, teniendo en cuenta la finalidad de dicho Acuerdo y, en particular, las disposiciones sobre limitación de los fines y de la utilización y la transferencia ulterior.
            
            
               3. En caso de que se presenten alegaciones por la ejecución defectuosa del presente artículo, una Parte podrá solicitar a la otra Parte que proporcione información útil, incluidas, cuando proceda, las medidas adoptadas de conformidad con el presente artículo.
            
         
         
            
            
               Artículo 15: Decisiones automatizadas  
            
            
               Las decisiones que den lugar a actuaciones adversas significativas contra los intereses de las personas no podrán basarse exclusivamente en el tratamiento automatizado de datos personales sin intervención humana, a menos que haya sido autorizado con arreglo al Derecho nacional y con las salvaguardias adecuadas, incluida la posibilidad de obtener la intervención humana.
            
            
            
               Artículo 16: Acceso 
            
            
               1. Las Partes velarán por que toda persona pueda solicitar el acceso a sus datos personales y, sin perjuicio de las restricciones previstas en el apartado 2, para que se le conceda.  Dicho acceso se solicitará y obtendrá de una autoridad competente de conformidad con el marco jurídico aplicable en el Estado en el que se solicite la información.
            
            
               2. La obtención de dicha información en un caso concreto puede estar sujeta a restricciones razonables previstas en la legislación nacional, teniendo en cuenta los intereses legítimos de la persona de que se trate, con el fin de:
            
            
                  a) proteger los derechos y libertades de los demás, incluida su privacidad;
            
            
                  b) velar por la seguridad pública y nacional;
            
            
                  c) proteger información sensible a efectos policiales y judiciales;
            
            
                  d) evitar que se obstaculicen pesquisas, investigaciones o procedimientos jurídicos u oficiales;
            
            
               e) evitar que se prejuzgue la prevención, detección, investigación y enjuiciamiento de infracciones penales o la ejecución de sanciones penales;
            
            
               f) proteger intereses previstos en la legislación en materia de libertad de información y acceso a los documentos.
            
            
               3. No se impondrán los gastos excesivos a la persona como condición para acceder a sus datos personales. 
            
            
               4. Cuando así lo autorice la legislación nacional aplicable, una persona podrá autorizar a una autoridad de supervisión u otro representante para que solicite acceso en su nombre.  
            
            
               5. Si se deniega o se restringe el acceso, la autoridad competente requerida, sin demora indebida, facilitará a la persona o a su representante debidamente autorizado, según lo establecido en el apartado 4, los motivos de la denegación o de la restricción del acceso.
            
            
            
               Artículo 17: Rectificación 
            
            
               1. Las Partes velarán por que cualquier persona afectada pueda solicitar la corrección o la rectificación de sus datos personales cuando estime que son inexactos o han sido incorrectamente tratados. La corrección o rectificación podrán suponer completar, suprimir, bloquear o bien adoptar  cualquier otra medida o método para abordar las inexactitudes o el tratamiento incorrecto de los datos.  Dicha corrección o rectificación se solicitará y obtendrá de una autoridad competente de conformidad con el marco jurídico aplicable en el Estado en el que se soliciten.
            
            
               2. Si la autoridad competente receptora concluye, a raíz de:
            
         
         
            
                  a) una solicitud presentada de conformidad con el apartado 1;
            
            
                  b) la notificación por el proveedor; o bien
            
            
                  c) sus propias investigaciones o exámenes;
            
            
               que la información que ha recibido en virtud del presente Acuerdo es inexacta o ha sido tratada incorrectamente, adoptará medidas para completar, suprimir, bloquear o  bien cualquier otro método de corrección o rectificación, según proceda. 
            
            
               3. Cuando así lo autorice la legislación nacional aplicable, una persona podrá autorizar a una autoridad de supervisión u otro representante para que solicite la corrección o rectificación en su nombre.  
            
            
               4. Si se deniega o se restringe la corrección o la rectificación, la autoridad competente requerida, sin demora indebida, ofrecerá a la persona o a su representante debidamente autorizado, según lo establecido en el apartado 3, una respuesta indicando los motivos de la denegación o restricción de la corrección o rectificación.
            
            
            
                  
            
            
               Artículo 18: Recursos administrativos 
            
            
               1. Las Partes velarán por que cualquier persona pueda solicitar recurso administrativo en caso de que ésta considere que su solicitud de acceso de conformidad con el artículo 16 o de rectificación de datos inexactos o debido a un tratamiento incorrecto en virtud del artículo 17 ha sido indebidamente denegada.  Dicho recurso se solicitará y obtendrá de una autoridad competente de conformidad con el marco jurídico aplicable en el Estado en el que se solicite.
            
            
               2. Cuando así lo autorice la legislación nacional aplicable, una persona podrá autorizar a una autoridad de supervisión u otro representante para que solicite un recurso administrativo en su nombre.  
            
            
               3. La autoridad competente ante la que se presente el recurso  llevará a cabo las investigaciones y verificaciones adecuadas y responderá sin demora indebida por escrito, incluso por medios electrónicos, con los resultados obtenidos, incluida las medidas de mejora o correctoras adoptadas, cuando proceda.  El anuncio del procedimiento para la interposición de cualquier otro recurso administrativo será el establecido en el artículo 20.
            
            
            
               Artículo 19: Recursos judiciales 
            
            
                1. Las Partes establecerán en sus marcos jurídicos aplicables que, con sujeción a los requisitos de que se agote previamente la vía de recurso administrativo, cualquier ciudadano de una Parte está legitimado a interponer un recurso judicial con respecto a:
            
            
               a) la denegación, por una autoridad competente, del acceso a registros que contienen sus datos personales; 
            
            
               b) la denegación por una autoridad competente de la modificación de los registros que contengan datos de carácter personal que le conciernan; y 
            
            
               c) la divulgación ilícita de tal información de manera intencionada o deliberada, lo que deberá incluir la posibilidad de una indemnización compensatoria.
            
            
               2. Dicho recurso judicial se presentará y obtendrá de conformidad con el marco jurídico aplicable en el Estado en el que se solicite.
            
            
               3. Los apartados 1 y 2 se entenderán sin perjuicio de cualquier otro recurso judicial disponible con respecto al tratamiento de datos personales con arreglo a la legislación del Estado en el que se presenta.
            
         
         
            
               4. En caso de suspensión o rescisión del Acuerdo, ni el artículo 26, apartado 2, ni el artículo 29, apartado 3, podrán servir de base para un recurso judicial que ya no sea posible con arreglo a la legislación de la Parte afectada .
            
            
            
               Artículo 20: Transparencia 
            
            
               1. Las Partes deberán informar a toda persona concernida en relación con sus datos personales, información que podrá ser efectuada por las autoridades competentes mediante la publicación de información de carácter general o mediante información concreta, en el formato y en el plazo previsto por la legislación aplicable a la autoridad que facilita la información, en relación con:
            
            
                     a) el objeto del tratamiento de dicha información por parte de la autoridad correspondiente;
            
            
                    b) la finalidad para la cual podría compartirse la información con otras autoridades; 
            
            
                    c) las leyes o normas en virtud de las cuales se lleva a cabo el tratamiento;
            
            
                    d) terceros a los que se divulga dicha información; y
            
            
                    e) el acceso, corrección o rectificación, y las vías de recurso disponibles.
            
            
               2. Dicha información está sujeta a las restricciones razonables con arreglo al Derecho nacional en lo que se refiere a los elementos contemplados en el artículo 16, apartado 2, letra a), en relación con la letra f).
            
            
            
               Artículo 21: Supervisión efectiva 
            
            
               1. Las Partes dispondrán de una o más autoridades responsables de la supervisión pública, las cuales:
            
            
               a) ejercerán funciones y competencias de supervisión independientes, incluida la revisión, investigación e intervención, cuando proceda, a iniciativa propia;
            
            
               b) tendrán la facultad de aceptar e intervenir en reclamaciones presentadas por particulares relativas a las medidas de aplicación del presente Acuerdo; y
            
            
               c) tendrán la facultad de someter las infracciones de la legislación relacionadas con el presente Acuerdo para su enjuiciamiento o acción disciplinaria, según proceda.
            
            
               2. La Unión Europea llevará a cabo la supervisión en virtud del presente artículo por medio de sus autoridades de protección de datos y las de los Estados miembros.  
            
            
               3. Los Estados Unidos realizarán tareas de supervisión con arreglo al presente artículo de forma acumulativa a través de más de una autoridad, entre las cuales, inspectores generales, responsables en materia de protección de la privacidad, departamentos de rendición de cuentas de la Administración, consejos de supervisión de la vida privada y de las libertades civiles, y otros organismos ejecutivos y legislativos pertinentes de control en relación con las libertades civiles y la protección de la privacidad.
            
            
            
               Artículo 22: Cooperación entre autoridades de supervisión 
            
         
         
            
               1. Las consultas entre las autoridades de supervisión en virtud del artículo 21 se llevarán a cabo, en su caso, con respecto a la realización de funciones en relación con el presente Acuerdo, con el fin de garantizar la aplicación efectiva de las disposiciones de los artículos 16, 17 y 18.
            
            
               2. Las Partes establecerán puntos de contacto nacionales que ayuden a la identificación de la autoridad de supervisión a la que dirigirse en un caso concreto.
            
            
            
               Artículo 23: Revisión conjunta 
            
            
               1. Las Partes llevarán a cabo revisiones conjuntas periódicas de las políticas y los procedimientos por los que se aplican el presente Acuerdo así como de su eficacia.  Se prestará especial atención en las revisiones conjuntas a la aplicación efectiva de la protección en virtud del artículo 14 sobre la rendición de cuentas, el artículo 16 sobre el acceso, el artículo 17 sobre la rectificación, el artículo 18 sobre recursos administrativos, y el artículo 19 relativo a los recursos judiciales.
            
            
               2. La primera revisión conjunta se realizará a más tardar tres años a partir de la fecha de entrada en vigor del presente Acuerdo y, en adelante, de forma periódica.  Las Partes determinarán conjuntamente las modalidades y condiciones con antelación y se comunicarán la composición de sus delegaciones respectivas, en las que estarán presentes representantes de las autoridades responsables de la supervisión pública a que se refiere el artículo 21 sobre supervisión eficaz, y de autoridades policiales y judiciales.  Las conclusiones de la revisión conjunta se harán públicas.
            
            
               3. En los casos en que las Partes o los Estados Unidos y un Estado miembro hubieran celebrado un acuerdo cuyo objeto entre también en el ámbito de aplicación del presente Acuerdo que prevea revisiones conjuntas, tales revisiones conjuntas no se repetirán y, en la medida en que corresponda, sus conclusiones se integrarán en los resultados de la revisión conjunta del presente Acuerdo.
            
            
            
               Artículo 24: Notificación 
            
            
               1. Los Estados Unidos informarán a la Unión Europea acerca de toda designación efectuada por las autoridades de los EE.UU. en relación con el artículo 19 y sobre cualquier modificación al respecto.
            
            
               2. Las Partes harán esfuerzos razonables para comunicar entre sí la aprobación de cualquier ley o la adopción de normas que afecten significativamente a la ejecución del presente Acuerdo en la medida de lo posible antes de que se hagan efectivas.
            
            
            
               Artículo 25:   Consultas
            
            
               Todo conflicto que se derive de la interpretación o de la aplicación del presente Acuerdo, dará lugar a consultas entre las Partes con vistas a alcanzar una solución de mutuo acuerdo.
            
            
            
               Artículo 26:  Suspensión
            
            
               1. En caso de incumplimiento grave del presente Acuerdo, cualquiera de las Partes podrá suspenderlo en su totalidad o en parte mediante notificación escrita a la otra Parte por vía diplomática.  Dicha notificación por escrito no podrá efectuarse hasta después de que las Partes hayan abierto un período razonable de consulta sin llegar a una resolución, y la suspensión entrará en vigor veinte días después de la fecha de recepción de dicha notificación. La suspensión podrá ser levantada por la Parte que la haya realizado previa notificación escrita a la otra Parte. El levantamiento de la suspensión tendrá lugar inmediatamente después de la recepción de la citada notificación. 
            
            
               2. No obstante la suspensión del presente Acuerdo, los datos personales que entren en el ámbito de su aplicación y hayan sido transferidos con anterioridad a su suspensión seguirán tratándose de conformidad con el mismo.
            
            
            
         
         
            
            
            
            
            
               Artículo 27:  Aplicación territorial
            
            
            
                     
                        1. El presente Acuerdo sólo se aplicará a Dinamarca, el Reino Unido o Irlanda si la Comisión Europea notifica por escrito a los Estados Unidos que Dinamarca, el Reino Unido o Irlanda han decidido que se les aplique.
                     
                     
                     
                        2. Si la Comisión Europea notifica a los Estados Unidos, antes de la entrada en vigor del presente Acuerdo, que éste se aplica a Dinamarca, el Reino Unido o Irlanda, el presente Acuerdo se aplicará a dichos Estados desde la fecha de entrada en vigor del presente Acuerdo.
                     
                     
                     
                        3. Si la Comisión Europea notifica a los Estados Unidos, después de la entrada en vigor del presente Acuerdo, que éste se aplica a Dinamarca, el Reino Unido o Irlanda, el presente Acuerdo se aplicará al Estado de que se trate a partir del primer día del mes siguiente a la recepción de la notificación por los Estados Unidos.
                     
                  
               
            
               Artículo 28:  Duración del acuerdo
            
            
               El presente Acuerdo se celebra por un plazo indeterminado.
            
            
            
               Artículo 29: Entrada en vigor y rescisión  
            
            
               1. El presente Acuerdo entrará en vigor el primer día del mes siguiente a la fecha en que las Partes se hayan notificado la conclusión de los procedimientos internos necesarios para su entrada en vigor.
            
            
               2. Cualquiera de las Partes podrá resolver el presente Acuerdo mediante notificación escrita a la otra Parte por vía diplomática.  Dicha resolución surtirá efecto treinta días después de la fecha de recepción de dicha notificación.
            
            
               3. No obstante la rescisión del presente Acuerdo, los datos personales que entren en su ámbito de aplicación y hayan sido transferidos con anterioridad a su rescisión seguirán tratándose de conformidad con el mismo.
            
            
            
            
               EN FE DE LO CUAL, los plenipotenciarios abajo firmantes suscriben el presente Acuerdo.
            
            
               Hecho en ….. el … de ….. de 201.., en doble ejemplar en lengua inglesa. Con arreglo al Derecho de la UE, el presente Acuerdo se redactará asimismo en las lenguas alemana, búlgara, checa, croata, danesa, eslovaca, eslovena, española, estonia, finesa, francesa, griega, húngara, irlandesa, italiana, letona, lituana, maltesa, neerlandesa, polaca, portuguesa, rumana y sueca. Estas versiones lingüísticas adicionales pueden ser autenticadas mediante un canje de notas diplomáticas entre los Estados Unidos y la Unión Europea. En caso de discrepancia entre las versiones autenticadas, prevalecerá el texto en inglés.