Source: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32004D0915
Timestamp: 2019-12-10 14:13:15
Document Index: 298471688

Matched Legal Cases: ['artículo 26', 'artículo 26', 'artículo 29', 'artículo 31', 'artículo 1', 'artículo 4', 'artículo 5', 'artículo 25', 'artículo 12']

L_2004385ES.01007401.xml
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, el apartado 4 de su artículo 26,
A fin de facilitar los flujos de datos procedentes de la Comunidad, es conveniente que los responsables del tratamiento estén en condiciones de realizar transferencias de datos a escala mundial ateniéndose a un único conjunto de normas de protección de datos. En ausencia de una normativa internacional en esta materia, las cláusulas contractuales tipo constituyen una herramienta de gran utilidad que permite transferir datos personales desde todos los Estados miembros con arreglo a un conjunto de normas comunes. En este sentido, la Decisión 2001/497/CE de la Comisión, de 15 de junio de 2001, relativa a cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE (2), establece un conjunto de cláusulas contractuales tipo que prevé garantías adecuadas para la transferencia de datos a terceros países.
Desde la adopción de dicha Decisión se ha adquirido una rica experiencia. Además, un consorcio de asociaciones empresariales (3) ha presentado un conjunto alternativo de cláusulas contractuales tipo, pensado para ofrecer un nivel de protección de datos equivalente al proporcionado por el conjunto de cláusulas adoptado por la Decisión 2001/497/CE, aunque utilizando mecanismos diferentes.
Dado que el uso de cláusulas contractuales tipo en las transferencias internacionales de datos tiene carácter voluntario (este tipo de cláusulas es sólo una de las distintas posibilidades recogidas en la Directiva 95/46/CE para la transferencia lícita de datos personales a terceros países), los exportadores de datos en la Comunidad y los importadores de datos en terceros países deberían poder optar por cualquiera de los conjuntos de cláusulas contractuales tipo o elegir otro fundamento jurídico para la transferencia de datos. Sin embargo, cada conjunto constituye un todo coherente, por lo que no es recomendable reconocer a los exportadores la posibilidad de modificar total o parcialmente estos conjuntos ni de combinarlos.
Las cláusulas contractuales tipo propuestas por las asociaciones empresariales tienen por objeto potenciar el uso de cláusulas contractuales entre los operadores, por ejemplo flexibilizando los requisitos en materia de auditoría o precisando las normas que regulan el derecho de acceso.
Por otra parte, el conjunto que ahora se presenta contiene, como alternativa al sistema de responsabilidad solidaria previsto en la Decisión 2001/497/CE, un régimen de responsabilidad basado en la obligación de diligencia debida, en virtud del cual el exportador y el importador de datos responderían ante los interesados por el incumplimiento de sus obligaciones contractuales respectivas. El exportador es asimismo responsable si no realiza esfuerzos razonables para determinar si el importador es capaz de cumplir las obligaciones jurídicas que le incumben en virtud de las cláusulas (culpa in eligendo), pudiendo el interesado emprender acciones contra el exportador de datos a este respecto. El cumplimiento de la letra b) de la cláusula I del nuevo conjunto de cláusulas contractuales tipo reviste particular importancia a este respecto, sobre todo a la vista de la posibilidad que se reconoce al exportador de datos de efectuar auditorías en las instalaciones del importador de datos o de exigir pruebas que demuestren que dispone de suficientes recursos financieros para cumplir sus responsabilidades.
En cuanto al ejercicio de los derechos de tercero beneficiario por parte de los interesados, se prevé una mayor intervención del exportador de datos en la resolución de las reclamación de los interesados, estando aquél obligado a ponerse en contacto con el importador de datos y, en su caso, a hacerle cumplir el contrato en el plazo normal de un mes. Si el exportador de datos se niega a esto último y persiste el incumplimiento por parte del importador, el interesado podrá invocar las cláusulas contra el importador de datos y, llegado el caso, demandarlo ante los tribunales de un Estado miembro. Esta aceptación de la jurisdicción y el acuerdo de acatar la decisión de un tribunal o de una autoridad de protección de datos competentes debería entenderse sin perjuicio de cualquier derecho procesal de los importadores de datos establecidos en terceros países, por ejemplo en materia de apelación.
No obstante, a fin de evitar los abusos a que pudiera dar lugar esta mayor flexibilidad, conviene reconocer a las autoridades de protección de datos la facultad de prohibir o suspender más fácilmente las transferencias de datos basadas en el nuevo conjunto de cláusulas contractuales tipo cuando el exportador de datos rehúse tomar medidas apropiadas contra el importador de datos para hacerle cumplir las obligaciones contractuales o este último se niegue a cooperar de buena fe con las autoridades de control competentes en materia de protección de datos.
El uso de cláusulas contractuales tipo se hace sin perjuicio de la aplicación de las disposiciones nacionales adoptadas de conformidad con la Directiva 95/46/CE o con la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (4), en especial en lo tocante al envío de comunicaciones comerciales con fines de marketing directo a los ciudadanos de la Unión Europea.
A la vista de todo lo dicho, las garantías contenidas en las cláusulas contractuales tipo presentadas pueden considerarse suficientes en el sentido del apartado 2 del artículo 26 de la Directiva 95/46/CE.
El Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen (5) sobre el nivel de protección que ofrecen las cláusulas contractuales tipo que aquí se presentan. Este dictamen se ha tenido en cuenta.
Con objeto de valorar el funcionamiento de las modificaciones de la Decisión 2001/497/CE, conviene que la Comisión las evalúe tres años después de su notificación a los Estados miembros.
La Decisión 2001/497/CE debería modificarse en consecuencia.
Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité establecido de conformidad con el artículo 31 de la Directiva 95/46/CE.
En el artículo 1 se añadirá el párrafo siguiente:
«Los responsables del tratamiento podrán optar por uno de los conjuntos —I o II— recogidos en el anexo. Sin embargo, no podrán modificar las cláusulas ni combinar elementos de distintas cláusulas ni los conjuntos.»
Los apartados 2 y 3 del artículo 4 se sustituirán por el texto siguiente:
«2. A efectos del apartado 1, cuando el responsable del tratamiento ofrezca garantías suficientes derivadas de las cláusulas contractuales tipo contenidas en el conjunto II del anexo, las autoridades competentes responsables de la protección de datos podrán ejercer sus facultades para prohibir o suspender los flujos de datos en cualquiera de los siguientes casos:
si el importador de datos se niega a cooperar de buena fe con las autoridades responsables de la protección de datos o a cumplir las obligaciones que le incumben claramente en virtud del contrato;
si el exportador de datos se niega a adoptar las medidas necesarias para hacer cumplir el contrato al importador de datos en el plazo normal de un mes a partir del momento en que la autoridad competente responsable de la protección de datos se lo notifique.
4. Cuando los Estados miembros adopten medidas de conformidad con los apartados 1, 2 y 3, informarán inmediatamente a la Comisión, que remitirá la información a los demás Estados miembros.».
En el artículo 5, la primera frase se sustituirá por el texto siguiente:
«La Comisión evaluará el funcionamiento de la presente Decisión basándose en la información disponible tres años después de su notificación y de la notificación de cualquier modificación de la misma a los Estados miembros.».
El anexo quedará modificado como sigue:
Después del título, se insertará la expresión «CONJUNTO I».
Se añadirá el texto establecido en el anexo de la presente Decisión.
(1) DO L 281 de 23.11.1995, p. 31. Directiva modificada por el Reglamento (CE) no 1883/2003 (DO L 284 de 31.10.2003, p. 1).
(2) DO L 181 de 4.7.2001, p. 19.
(3) Cámara Internacional de Comercio (ICC), Japan Business Council in Europe (JBCE), European Information and Communications Technology Association (EICTA), EU Committee of the American Chamber of Commerce in Belgium (Amcham), Confederation of British Industry (CBI), International Communication Round Table (ICRT) y Federation of European Direct Marketing Associations (FEDMA).
(5) Dictamen 8/2003, disponible en: http://europa.eu.int/comm/privacy
entre, por una parte,
_ (nombre)
_ (dirección y país de establecimiento)
(en adelante, “el exportador de datos”)
(“en adelante, el importador de datos”),
cada uno, una “parte”; juntos, “las partes”.
“datos personales”, “categorías especiales de datos/datos sensibles”, “tratar/tratamiento”, “responsable del tratamiento”, “encargado del tratamiento”, “interesado” y “autoridad de control/autoridad” tendrán el mismo significado que en la Directiva 95/46/CE, de 24 de octubre de 1995 (por consiguiente, se entenderá por “autoridad” la autoridad competente responsable de la protección de datos en el territorio de establecimiento del exportador de datos);
por “exportador de datos” se entenderá el responsable del tratamiento que transfiera los datos personales;
por “importador de datos” se entenderá el responsable del tratamiento que acepte recibir datos personales procedentes del exportador de datos para su posterior tratamiento de conformidad con los términos de las presentes cláusulas y que no esté sujeto al sistema de un tercer país por el que se garantice una protección adecuada;
por “cláusulas” se entenderá las presentes cláusulas contractuales, que constituyen un documento independiente que no incluye condiciones comerciales establecidas por las partes en virtud de otros acuerdos comerciales.
Los detalles de la transferencia (así como los datos personales transferidos) se especifican en el anexo B, que forma parte integrante de las cláusulas.
I. Obligaciones del exportador de datos
II. Obligaciones del importador de datos
tratará los datos personales, a su discreción, de conformidad con:
la legislación en materia de protección de datos del país en que esté establecido el exportador de datos,
las disposiciones pertinentes (1) de cualquier decisión de la Comisión adoptada de conformidad con el apartado 6 del artículo 25 de la Directiva 95/46/CE, cuando el importador de datos cumpla las disposiciones pertinentes de dicha autorización o decisión y esté establecido en un país en el que una u otra sean aplicables, pero él mismo no esté cubierto por las mismas a efectos de la transferencia o transferencias de datos personales (2), o
los principios relativos al tratamiento de datos recogidos en el anexo A.
Opción elegida por el importador de datos: _
Iniciales del importador de datos: _;
III. Responsabilidad y derechos de terceros
V. Resolución de conflictos con los interesados o con la autoridad
VI. Resolución de las cláusulas
se haya solicitado la administración judicial o la liquidación del importador de datos, ya sea a título personal o como empresario, y dicha solicitud no haya sido desestimada en el plazo previsto al efecto con arreglo a la legislación aplicable; se emita una orden de liquidación; se designe a un administrador para algunos de sus activos; se nombre, si el importador es un particular, un síndico de la quiebra; el importador de datos haya solicitado la declaración de concurso de acreedores; o se encuentre en una situación análoga ante cualquier jurisdicción;
el exportador de datos, sin perjuicio del ejercicio de cualquier otro derecho que le pueda asistir contra el importador de datos, podrá resolver las presentes cláusulas, en cuyo caso, y si así se lo pide, informará a la autoridad. En los casos contemplados en los incisos i), ii), o iv), también podrá proceder a la resolución el importador de datos.
Las partes acuerdan que la resolución de las presentes cláusulas en cualquier momento, en cualquier circunstancia y por cualquier motivo —a excepción de la resolución con arreglo a la letra c) de la cláusula VI— no las eximirá del cumplimiento de las obligaciones y condiciones estipuladas en las cláusulas en lo que respecta al tratamiento de los datos personales transferidos.
VII. Variación de las cláusulas
VIII. Descripción de la transferencia
Los detalles de la transferencia y de los datos personales se especifican en el anexo B. Las partes acuerdan que el anexo B podrá contener información empresarial de carácter confidencial que no revelarán a terceros, excepto cuando lo exija la legislación o en respuesta a un organismo regulador o gubernamental competente, o cuando sea necesario en virtud de la letra e) de la cláusula I. Las partes podrán introducir anexos adicionales para regular otras transferencias, los cuales se presentarán a la autoridad siempre que ésta así lo pida. Como alternativa, el anexo B podrá redactarse de forma que abarque múltiples transferencias.
Por el IMPORTADOR de DATOS
Por el EXPORTADOR de DATOS
Limitación de la finalidad: Los datos personales se tratarán, se utilizarán posteriormente o se divulgarán sólo para los fines descritos en el anexo B o para los fines autorizados posteriormente por el interesado.
Calidad y proporcionalidad de los datos: Los datos personales deberán ser precisos y, en caso necesario, se mantendrán actualizados. Los datos personales serán adecuados, pertinentes y no excesivos en relación con los fines para los que se transfieran y para los que se traten posteriormente.
Transparencia: Se deberá facilitar a los interesados toda la información necesaria para garantizar el tratamiento leal de los datos (p. ej. información sobre los fines del tratamiento y sobre la transferencia), a menos que el exportador de datos ya haya proporcionado dicha información.
Seguridad y confidencialidad: El responsable del tratamiento deberá adoptar medidas técnicas y organizativas para garantizar el nivel de seguridad apropiado a los riesgos que entraña el tratamiento de los datos, por ejemplo contra su destrucción accidental o ilícita, su pérdida o alteración accidentales o su divulgación o acceso no autorizados. Las personas que actúen bajo la autoridad del responsable del tratamiento, incluido el encargado del tratamiento, no deberán tratar los datos a menos que reciban instrucciones del responsable.
Derechos de acceso, rectificación, supresión y bloqueo de los datos: Según prevé el artículo 12 de la Directiva 95/46/CE, los interesados tendrán derecho a conocer, ya sea directamente o a través de un tercero, los datos personales que sobre ellos posea una organización, salvo cuando las peticiones puedan considerarse claramente abusivas, ya sea por haberse planteado a intervalos irrazonables, por su número o su carácter repetitivo o sistemático, o por no ser necesario para los datos en cuestión recabar el consentimiento del interesado a tenor de la legislación del país del exportador de datos. A condición de que la autoridad haya dado su aprobación previa, tampoco será necesario recabar el consentimiento del interesado para acceder a los datos cuando el hacerlo pudiera dañar gravemente los intereses del importador de datos o de otras organizaciones que tengan trato con él y estos intereses deban prevalecer sobre los intereses en materia de derechos y libertades fundamentales del interesado. No será necesario determinar las fuentes de los datos personales cuando ello no sea posible realizando esfuerzos razonables o cuando para ello sea necesario conculcar los derechos de terceras personas. El interesado tendrá derecho a solicitar la rectificación, modificación o supresión de los datos personales cuando sean inexactos o su tratamiento no cumpla los principios establecidos en el presente anexo. De existir argumentos de peso para poner en duda la legitimidad de la petición, la organización podrá exigir otras justificaciones antes de proceder a la rectificación, modificación o supresión de los datos. No será preciso notificar la rectificación, modificación o supresión de los datos a las terceras personas entre las que hayan sido divulgados cuando ello requiera un esfuerzo desproporcionado. Los interesados también deberán poder oponerse al tratamiento de los datos personales que les conciernan cuando existan motivos legítimos imperiosos relacionados con su situación particular. La carga de la prueba en relación con cualquier negativa en este sentido recaerá en el importador de datos. En caso de negativa, el interesado podrá acudir a la autoridad para tratar de subsanarla.
Datos sensibles: El importador de datos tomará las medidas adicionales (por ejemplo en materia de seguridad) que sean necesarias para proteger los datos sensibles de conformidad con las obligaciones que le incumben en virtud de la cláusula II.
Utilización de datos con fines de márketing: Cuando el tratamiento de los datos se realice con fines de márketing directo, deberán existir procedimientos efectivos que permitan al interesado ejercer en cualquier momento el derecho de «exclusión» de sus datos personales para tales fines.
Decisiones automatizadas: A los efectos del presente anexo, se entenderá por «decisión automatizada» una decisión del exportador o del importador de datos que tenga efectos jurídicos sobre el interesado o que le afecte de manera significativa y que esté basada únicamente en un tratamiento automatizado de datos personales destinado a evaluar determinados aspectos de su personalidad, como su rendimiento laboral, crédito, fiabilidad, conducta, etc. El importador de datos no adoptará ninguna decisión automatizada relativa a los interesados, a no ser que:
esas decisiones hayan sido adoptadas por el importador de datos en el momento de suscribir o ejecutar un contrato con el interesado, y
se brinde al interesado la oportunidad de debatir los resultados de una decisión automatizada pertinente con un representante de la parte que haya tomado dicha decisión o de presentarle observaciones;
la legislación aplicable al exportador de datos establezca lo contrario.
DESCRIPCIÓN DE LA TRANSFERENCIA
(Deberá ser cumplimentado por las partes)
EJEMPLOS DE CLÁUSULAS COMERCIALES (OPTATIVAS)
Pago de indemnizaciones entre el exportador y el importador de datos:
“Cada una de las partes indemnizará a la otra y la mantendrá indemne por cuantos costes, daños, perjuicios, gastos o pérdidas se deriven del incumplimiento de cualquiera de las disposiciones de las presentes cláusulas. La indemnización dependerá de que a) la parte o partes que deban percibir la indemnización (la ‘parte indemnizada’) notifique sin demora a la otra parte o partes (la ‘parte indemnizadora’) la reclamación, b) que la parte o partes indemnizadoras tengan control exclusivo de la defensa y la resolución de una reclamación de este tipo, y c) que la parte o partes indemnizadas cooperen y presten asistencia razonable a la parte indemnizadora en la defensa y resolución de la reclamación.”.
Resolución de conflictos entre el exportador y el importador de datos (las partes podrán convenir sustituir esta cláusula por cualquier otra cláusula de jurisdicción o de resolución alternativa de conflictos):
“Todo litigio entre el importador y el exportador de datos en relación con una supuesta infracción de cualquiera de las disposiciones de las presentes cláusulas se resolverá, con arreglo a las normas de arbitraje de la Cámara de Comercio Internacional, por uno o más árbitros designados de conformidad con dichas normas. La sede del arbitraje será [ ]. El número de árbitros será de [ ].”.
Asignación de costes:
“Cada parte cumplirá las obligaciones que le incumben en virtud de las presentes cláusulas a sus propias expensas.”.
Cláusula adicional de resolución:
“En caso de resolución de las presentes cláusulas, el importador de datos deberá, a discreción del exportador, bien devolverle sin demora todos los datos personales sujetos a las presentes cláusulas y sus copias, bien destruir por completo todas las copias y certificar esta circunstancia al exportador, a menos que la legislación nacional o la reglamentación local aplicable al importador le impida devolver o destruir total o parcialmente esos datos, en cuyo caso el importador se compromete a guardar el secreto de los datos personales y a no volver a someterlos a tratamiento. El importador de datos garantiza que, a petición del exportador de datos, pondrá a disposición de éste o de un inspector por él designado y al que no se haya opuesto razonablemente el importador de datos, sus instalaciones de tratamiento para verificar el cumplimiento de dicha obligación, previa notificación razonable y durante horas laborables.”
(1) Por “disposiciones pertinentes” se entenderán las disposiciones de una autorización o decisión que no sean de ejecución (las cuales se regirán por las presentes cláusulas).
(2) Sin embargo, si se elige esta opción, serán de aplicación las disposiciones del punto 5 del anexo A, relativo a los derechos de acceso, rectificación, supresión y bloqueo, que prevalecerán sobre cualquier disposición comparable de la decisión de la Comisión en cuestión.