Source: http://www.dpoitlaw.com/reglamento-general-de-proteccion-de-datos-rgpd/unidad-v-1-transferencias-internacionales-de-datos/
Timestamp: 2019-02-17 01:15:58
Document Index: 361073062

Matched Legal Cases: ['Artículo 45', 'artículo 93', 'artículo 93', 'artículo 93', 'Artículo 46', 'artículo 47', 'artículo 93', 'artículo 93', 'artículo 40', 'artículo 42', 'artículo 26', 'artículo 26', 'Artículo 47', 'artículo 63', 'artículo 22', 'artículo 79', 'artículo 37', 'artículo 63', 'Artículo 49', 'artículo 45', 'artículo 46', 'artículo 30']

RGPD – Unidad V : 1. Transferencias Internacionales de Datos - DPO & it law
HomeReglamento General de Protección de DatosRGPD – Unidad V : 1. Transferencias Internacionales de Datos
RGPD – Unidad V : 1. Transferencias Internacionales de Datos
Las transferencias internacionales de datos se regulan en el capítulo V del RGPD, diferenciándose las Transferencias Internacionales de datos de las propias BCRs o Normas jurídicas vinculantes.
TRANSFENCIAS INTERANCIONALES DE DATOS
Artículo 45: Transferencias basadas en una decisión de adecuación
La Comisión, tras haber evaluado la adecuación del nivel de protección, podrá decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2 del presente artículo. El acto de ejecución establecerá un mecanismo de revisión periódica, al menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes en el tercer país o en la organización internacional. El acto de ejecución especificará su ámbito de aplicación territorial y sectorial, y, en su caso, determinará la autoridad o autoridades de control a que se refiere el apartado 2, letra b), del presente artículo. El acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 93 (Procedimiento de comité), apartado 2.
Cuando la información disponible, en particular tras la revisión a que se refiere el apartado 3 del presente artículo, muestre que un tercer país, un territorio o un sector específico de ese tercer país, o una organización internacional ya no garantiza un nivel de protección adecuado a tenor del apartado 2 del presente artículo, la Comisión, mediante actos de ejecución, derogará, modificará o suspenderá, en la medida necesaria y sin efecto retroactivo, la decisión a que se refiere el apartado 3 del presente artículo. Dichos actos de ejecución se adoptarán de acuerdo con el procedimiento de examen a que se refiere el artículo 93 (Procedimiento de comité), apartado 2. Por razones imperiosas de urgencia debidamente justificadas, la Comisión adoptará actos de ejecución inmediatamente aplicables de conformidad con el procedimiento a que se refiere el artículo 93 (Procedimiento de comité), apartado 3.
Toda decisión de conformidad con el apartado 5 del presente artículo se entenderá sin perjuicio de las transferencias de datos personales al tercer país, a un territorio o uno o varios sectores específicos de ese tercer país, o a la organización internacional de que se trate en virtud de los artículos 46 a 49 (Sobre transferencias de datos con terceros países).
Artículo 46: Transferencias mediante garantías adecuadas.
A falta de decisión con arreglo al artículo (Transferencias basadas en una decisión de adecuación), apartado 3, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.
normas corporativas vinculantes de conformidad con el artículo 47 (Transferencias basadas en una decisión de adecuación);
cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad con el procedimiento de examen a que se refiere el artículo 93 (Procedimiento de comité), apartado 2;
cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión con arreglo al procedimiento de examen a que se refiere en el artículo 93 (Procedimiento de comité), apartado 2;
un código de conducta aprobado con arreglo al artículo 40 (Códigos de conducta), junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas la relativas a los derechos de los interesados, o
un mecanismo de certificación aprobado con arreglo al artículo 42 (Certificación), junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas la relativas a los derechos de los interesados.
Las autorizaciones otorgadas por un Estado miembro o una autoridad de control de conformidad con el artículo 26 apartado 2, de la Directiva 95/46/CE seguirán siendo válidas hasta que hayan sido modificadas, sustituidas o derogadas, en caso necesario, por dicha autoridad de control. Las decisiones adoptadas por la Comisión en virtud del artículo 26, apartado 4, de la Directiva 95/46/CE permanecerán en vigor hasta que sean modificadas, sustituidas o derogadas, en caso necesario, por una decisión de la Comisión adoptada de conformidad con el apartado 2 del presente artículo.
Como principio general el art. 44 del RGPD establece que las transferencias internacionales de datos sólo podrán realizarse si el responsable y el encargado de tratamiento cumplen con las condiciones establecidas por el capítulo V del RGPD, de tal manera que el nivel de protección de las personas físicas que garantiza el RGPD no se vea menoscabado.
A continuación, se establece la posibilidad de realizarse transferencias internacionales de datos aquellos países que la Comisión haya autorizado por garantizar niveles de protección adecuados conforme el art. 45 del RGPD, estableciéndose el criterio que se tendrá en cuenta para evaluar el nivel de protección destacando el respeto a los derechos humanos, existencia de autoridades de control independientes etc.
A falta de una decisión de la Comisión que establezca un nivel adecuado de protección conforme al art. 45 del RGPD, en el cual se establece que el responsable o encargado de tratamiento sólo podrán transmitir los datos personales a un tercer país u organización internacional si existen garantías adecuadas y los interesados cuentan con derechos y acciones legales efectivas. Señala el art. 46 del RGPD que el cumplimiento de dichas garantías adecuadas no requerirá de autorización expresa de ninguna autoridad de control siempre y cuando se aporten dichas garantías adecuadas a través de:
Un instrumento jurídicamente vinculante y exigibles entre las autoridades y organismos públicos.
Normas jurídicas vinculantes aprobadas de conformidad con el art. 47 del RGPD.
Cláusulas tipo adoptadas por la Comisión o por las Autoridades de Control.
Códigos de Conducta aprobados conforme el art. 40 del RGPD.
Mecanismos de certificación aprobados conforme el art. 42 del RGPD.
Adicionalmente señala el art.46 del RGPD señala que, en el caso de existencia de una autorización para la transferencia internacional realizada por una autoridad de control, las garantías adecuadas podrán ser adoptadas mediante:
Cláusulas contractuales entre responsable o encargado y el responsable, encargado o destinatario de los datos personales en el tercer país u organización internacional.
Las BCRs (Binding Corporate Rules) o Normas Jurídicas Vinculantes se encuentran reguladas en el art. 47 y considerando 110.
Artículo 47: Normas corporativas vinculantes
La autoridad de control competente aprobará normas corporativas vinculantes de conformidad con el mecanismo de coherencia establecido en el artículo 63 (Mecanismo de coherencia), siempre que estas:
la estructura y los datos de contacto del grupo empresarial o de la unión de empresasdedicadas a una actividad económica conjunta y de cada uno de sus miembros;
los derechos de los interesados en relación con el tratamiento y los medios para ejercerlos, en particular el derecho a no ser objeto de decisiones basadas exclusivamente en un tratamiento automatizado, incluida la elaboración de perfiles de conformidad con lo dispuesto en el artículo 22 (Decisiones individuales automatizadas, incluida la elaboración de perfiles),el derecho a presentar una reclamación ante la autoridad de control competente y ante los tribunales competentes de los Estados miembros de conformidad con el artículo 79 (Derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento), y el derecho a obtener una reparación, y, cuando proceda, una indemnización por violación de las normas corporativas vinculantes;
la forma en que se facilita a los interesados la información sobre las normas corporativas vinculantes, en particular en lo que respecta a las disposiciones contempladas en las letras d), e) y f) del presente apartado, además de los artículos 13 (Información que deberá facilitarse cuando los datos personales se obtengan del interesado)y 14 (Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado);
las funciones de todo Delegado de Protección de Datos designado de conformidad con el artículo 37 (Designación del delegado de protección de datos), o de cualquier otra persona o entidad encargada de la supervisión del cumplimiento de las normas corporativas vinculantes dentro del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta, así como de la supervisión de la formación y de la tramitación de las reclamaciones;
Se establece por el art. 47 del RGPD que la Autoridad de control competente aprobará normas corporativas vinculantes de conformidad con el mecanismo de coherencia establecido en el artículo 63 del RGPD siempre que estas:
Las normas corporativas especificarán, como mínimo, los siguientes elementos:
la estructura y los datos de contacto del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta y de cada uno de sus miembros.
la aplicación de los principios generales en materia de protección de datos, en particular la limitación de la finalidad, la minimización de los datos, los periodos de conservación limitados, la calidad de los datos, la protección de los datos desde el diseño y por defecto, la base del tratamiento, el tratamiento de categorías especiales de datos personales, las medidas encaminadas a garantizar la seguridad de los datos y los requisitos con respecto a las transferencias ulteriores a organismos no vinculados por las normas corporativas vinculantes.
los derechos de los interesados en relación con el tratamiento y los medios para ejercerlos.
la aceptación por parte del responsable o del encargado del tratamiento de la responsabilidad por cualquier violación de las normas corporativas vinculantes;
la forma en que se facilita a los interesados la información sobre las normas corporativas vinculantes.
las funciones de todo Delegado de Protección de Datos designado, o de cualquier otra persona o entidad encargada de la supervisión del cumplimiento de las normas corporativas vinculantes dentro del grupo empresarial, así como de la supervisión de la formación y de la tramitación de las reclamaciones.
los mecanismos establecidos dentro del grupo empresarial para garantizar la verificación del cumplimiento de las normas corporativas vinculantes. Dichos mecanismos incluirán auditorías de protección de datos y métodos para garantizar acciones correctivas para proteger los derechos del interesado. Los resultados de dicha verificación deberían comunicarse a la persona o entidad a que se refiere la letra h) y al consejo de administración de la empresa que controla un grupo empresarial, o de la unión de empresas dedicadas a una actividad económica conjunta, y ponerse a disposición de la autoridad de control competente que lo solicite.
los mecanismos establecidos para comunicar y registrar las modificaciones introducidas en las normas y para notificar esas modificaciones a la autoridad de control.
el mecanismo de cooperación con la autoridad de control para garantizar el cumplimiento por parte de cualquier miembro del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta, en particular poniendo a disposición de la autoridad de control los resultados de las verificaciones de las medidas contempladas en la letra j).
Las excepciones a las transferencias Internacionales vienen recogidas en el art. 49 del RGPD
Artículo 49: Excepciones para situaciones específicas
En ausencia de una decisión de adecuación de conformidad con el artículo 45 (Transferencias basadas en una decisión de adecuación), apartado 3, o de garantías adecuadas de conformidad con el artículo 46 (Transferencias mediante garantías adecuadas), incluidas las normas corporativas vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer país u organización internacional únicamente se realizará si se cumple alguna de las condiciones siguientes:
Cuando una transferencia no pueda basarse en disposiciones de los artículos 45 (Transferencias basadas en una decisión de adecuación), o 46 (Transferencias mediante garantías adecuadas), incluidas las disposiciones sobre normas corporativas vinculantes, y no sea aplicable ninguna de las excepciones para situaciones específicas con arreglo a las letras a) a g) del presente apartado, solo se podrá llevar a cabo si no es repetitiva, afecta solo a un número limitado de interesados, es necesaria a los fines de intereses legítimos imperiosos perseguidos por el responsable del tratamiento sobre los que no prevalezcan los intereses o derechos y libertades del interesado, y el responsable del tratamiento evaluó todas las circunstancias concurrentes en la transferencia de datos y, basándose en esta evaluación, ofreció garantías adecuadas con respecto a la protección de datos personales. El responsable del tratamiento informará a la autoridad de control de la transferencia. Además de la información a que hacen referencia los artículos 13 (Información que deberá facilitarse cuando los datos personales se obtengan del interesado) y 14 (Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado), el responsable del tratamiento informará al interesado de la transferencia y de los intereses legítimos imperiosos perseguidos.
El apartado 1, párrafo primero, letras a), b) y c), y párrafo segundo, no será aplicable a las actividades llevadas a cabo por las autoridades públicas en el ejercicio de sus poderes públicos.
El responsable o el encargado del tratamiento documentarán en los registros indicados en el artículo 30 la evaluación y las garantías adecuadas a que se refiere el apartado 1, párrafo segundo, del presente artículo.
El art. 49 establece que se podrán producir transferencias de datos personales a un tercer país u organización internacional si se cumple alguna de las condiciones siguientes:
Se pueden realizar transferencias internacionales de datos aquellos países que la Comisión haya autorizado por garantizar niveles de protección adecuados.
También se permiten transferencias internacionales de datos aquellos países que la Comisión haya autorizado por garantizar niveles de protección adecuados, bien a través de Contratos tipo o bien a través de normas jurídicas vinculantes.
Se permiten también en los supuestos en los que: se preste el consentimiento por el interesado, es necesaria para la celebración de un contrato, por interés público, defensa de reclamaciones, intereses vitales y registro público.