(1)

Con arreglo a la Directiva 95/46/CE, los Estados miembros dispondrán que la transferencia a un tercer país de datos personales únicamente pueda efectuarse cuando el tercer país de que se trate garantice un nivel de protección de datos adecuado y las disposiciones de Derecho nacional de los Estados miembros, adoptadas con arreglo a los demás preceptos de la presente Directiva, se cumplan con anterioridad a la transferencia.

(2)

No obstante, el apartado 2 del artículo 26 de la Directiva 95/46/CE establece que los Estados miembros podrán autorizar, con sujeción a determinadas garantías, una transferencia o una serie de transferencias de datos personales a terceros países que no garanticen un nivel de protección adecuado. Dichas garantías podrán derivarse, en particular, de cláusulas contractuales apropiadas.

(3)

De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe apreciarse teniendo en cuenta todas las circunstancias relacionadas con la transferencia o la serie de transferencias. El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales creado por dicha Directiva ( 2 ) ha emitido directrices que ayudan a realizar la evaluación ( 3 ).

(4)

Las cláusulas contractuales tipo solamente están relacionadas con la protección de datos. El exportador de datos y el importador de datos tienen plena libertad para incluir cualquier otra cláusula sobre cuestiones relacionadas con sus negocios que consideren pertinentes para el contrato, siempre que no contradiga las cláusulas contractuales tipo.

(5)

La presente Decisión debe entenderse sin perjuicio de las autorizaciones nacionales que puedan conceder los Estados miembros de conformidad con las disposiciones nacionales de aplicación del apartado 2 del artículo 26 de la Directiva 95/46/CE. La presente Decisión tendrá como efecto únicamente exigir a los Estados miembros que no se nieguen a reconocer que las cláusulas contractuales establecidas en ella proporcionan las garantías adecuadas, por lo que no afectará de ninguna manera a otras cláusulas contractuales.

(6)

El ámbito de la presente Decisión se limita a establecer que las cláusulas que contiene pueden ser utilizadas por un responsable del tratamiento de datos establecido en la Comunidad para ofrecer garantías suficientes a efectos del apartado 2 del artículo 26 de la Directiva 95/46/CE para la transferencia de datos personales a un encargado del tratamiento establecido en un tercer país.

(7)

La presente Decisión debe aplicar la obligación impuesta en el apartado 3 del artículo 17 de la Directiva 95/46/CE, sin perjuicio del contenido de contratos o actos jurídicos establecidos con arreglo a dicha disposición. Sin embargo, algunas de las cláusulas contractuales tipo, en particular las relativas a las obligaciones del exportador de datos, deberían incluirse para aumentar la claridad de las cláusulas que se inserten en los contratos entre responsables y encargados del tratamiento.

(8)

Las autoridades de control desempeñan una función esencial en este mecanismo contractual al garantizar la adecuada protección de los datos personales una vez realizada la transferencia. En casos excepcionales en que los exportadores de los datos no quieran o no puedan informar adecuadamente a los importadores de los datos y exista un riesgo inminente de que los interesados sufran un daño grave, las cláusulas contractuales tipo permitirán a las autoridades de control realizar la auditoría de los importadores de los datos y, en su caso, adoptar decisiones vinculantes para éstos. Las autoridades de control de los Estados miembros tendrán la facultad de prohibir o suspender una transferencia o serie de transferencias que se fundamenten en las cláusulas contractuales tipo, en aquellos casos excepcionales en que se demuestre que una transferencia de este género podría tener efectos negativos considerables en las garantías y obligaciones de prestar la adecuada protección al interesado.

(9)

La Comisión Europea considerará asimismo en el futuro si las cláusulas contractuales tipo remitidas por las organizaciones empresariales u otras partes interesadas, referidas a las transferencias de datos destinadas a los encargados del tratamiento establecidos en terceros países que no ofrecen un nivel adecuado de protección, ofrecen garantías adecuadas de conformidad con el apartado 2 del artículo 26 de la Directiva 95/46/CE.

(10)

La divulgación de datos personales a los encargados del tratamiento establecidos fuera de la Comunidad es una transferencia internacional protegida por el capítulo IV de la Directiva 95/46/CE. Por consiguiente, la presente Decisión no abarca las transferencias de datos personales realizadas por los responsables del tratamiento establecidos en la Comunidad a los responsables del tratamiento establecidos fuera de la Comunidad comprendidas en el ámbito de aplicación de la Decisión 2001/497/CE, de 15 de junio de 2001, relativa a cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE ( 4 ).

(11)

Las cláusulas contractuales tipo deben estipular las medidas de seguridad técnicas y organizativas necesarias, que han de aplicar los encargados del tratamiento establecidos en un tercer país que no ofrece la protección adecuada, con el fin de garantizar el nivel de seguridad apropiado para los riesgos que entraña el tratamiento y a la naturaleza de los datos que han de protegerse. Las partes estipularán en el contrato aquellas medidas de seguridad técnicas y organizativas que, habida cuenta de la legislación sobre protección de datos aplicable, el estado de la técnica y el coste de su aplicación, resulten necesarias para proteger los datos personales contra su destrucción accidental o ilícita o su pérdida accidental, alteración, divulgación o acceso no autorizados o cualquier otra forma ilícita de tratamiento.

(12)

Con el fin de facilitar los flujos de datos procedentes de la Comunidad, es deseable que quienes prestan servicios de tratamiento a varios responsables del tratamiento en la Comunidad puedan aplicar las mismas medidas de seguridad técnicas y organizativas, independientemente del Estado miembro del que emane la transferencia, especialmente en aquellos casos en que el importador reciba datos para efectuar nuevos tratamientos desde distintos establecimientos del exportador de datos situados en la Comunidad, en cuyo caso será aplicable la legislación del Estado miembro de establecimiento designado.

(13)

Resulta oportuno establecer los detalles mínimos que deberán especificar las partes en el contrato sobre la transferencia. Los Estados miembros deben conservar la capacidad de adaptar la información exigida a las partes. El funcionamiento de la presente Decisión será revisado a la luz de la experiencia adquirida.

(14)

El importador de datos tratará los datos personales transferidos sólo en nombre del exportador de datos y de conformidad con las instrucciones que reciba y las obligaciones impuestas en las cláusulas. En particular, el importador de datos no revelará los datos personales a terceros salvo en determinadas circunstancias. El exportador de datos dará instrucciones al importador de datos durante la prestación de los servicios de tratamiento de los datos para que se lleve a cabo de conformidad con sus instrucciones, la legislación vigente de protección de datos y las obligaciones impuestas en las cláusulas. La transferencia de datos personales a los encargados del tratamiento establecidos fuera de la Comunidad se hará sin perjuicio de que las actividades de tratamiento se rijan en cualquier caso por la legislación de protección de datos aplicable.

(15)

Las cláusulas contractuales tipo deben ser exigibles no solamente por las organizaciones que sean parte en el contrato, sino también por los interesados, en particular cuando éstos sufran un daño como consecuencia del incumplimiento del contrato.

(16)

El interesado tendrá derecho a emprender acciones y, en su caso, percibir una indemnización del exportador de datos que sea el responsable del tratamiento de los datos personales transferidos. Excepcionalmente, también tendrá derecho a emprender una acción y, en su caso, percibir una indemnización del importador de datos en aquellos casos, surgidos del incumplimiento por el importador de datos de cualquiera de sus obligaciones mencionadas en el apartado 2 de la cláusula 3, en que el exportador de datos haya desaparecido de facto, haya cesado de existir jurídicamente o sea insolvente.

(17)

En caso de conflicto que no se resuelva de manera amistosa entre el interesado, que invoca la cláusula de tercero beneficiario, y el importador de datos, éste aceptará ofrecer al interesado la elección entre mediación, arbitraje o procedimiento judicial. La amplitud de elección real del interesado dependerá de la disponibilidad de sistemas fiables y reconocidos de mediación y arbitraje. La mediación por parte de las autoridades de control de los Estados miembros debe constituir una opción posible, en caso de que éstas presten tal servicio.

(18)

El contrato se regirá por la legislación del Estado miembro de establecimiento del exportador de datos que permita al tercero beneficiario exigir el cumplimiento de un contrato. Los interesados podrán ser representados por asociaciones u otros organismos si así lo desean y lo permite la legislación interna.

(19)

El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales, creado por el artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen sobre el nivel de protección que ofrecen las cláusulas contractuales tipo incluidas en el anexo, dictamen que se ha tenido en cuenta para la preparación de la presente Decisión ( 5 ).

(20)

Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité previsto en el artículo 31 de la Directiva 95/46/CE.