17.12.2016   

ES

Diario Oficial de la Unión Europea

L 344/100

(1)

En su sentencia de 6 de octubre de 2015 en el asunto C-362/14, Maximillian Schrems/Data Protection Commissioner (2), el Tribunal de Justicia de la Unión Europea consideró que, al adoptar el artículo 3 de la Decisión 2000/520/CE (3), la Comisión excedió los límites de la competencia que le atribuye el artículo 25, apartado 6, de la Directiva 95/46/CE, interpretado a la luz de la Carta de los Derechos Fundamentales de la Unión Europea, y declaró inválido el artículo 3 de dicha Decisión.

(2)

El artículo 3, apartado 1, párrafo primero, de la Decisión 2000/520/CE establece condiciones restrictivas en las que las autoridades nacionales de supervisión podrían ejercer su facultad de suspender los flujos de datos hacia una entidad de los Estados Unidos de América que haya autocertificado su adhesión a los principios y su cumplimiento, a pesar de la decisión de adecuación de la Comisión.

(3)

En la sentencia Schrems, el Tribunal de Justicia aclaró que las autoridades nacionales de supervisión siguen siendo competentes para supervisar las transferencias de datos personales a un tercer país que haya sido objeto de una decisión de adecuación de la Comisión, y que la Comisión no tiene competencia para restringir las facultades que les confiere el artículo 28 de la Directiva 95/46/CE. Con arreglo a dicho artículo, estas autoridades disponen, en particular, de facultades de investigación, como la de recabar toda la información necesaria para el cumplimiento de su misión de control, y de facultades efectivas de intervención, como la de prohibir provisional o definitivamente el tratamiento de determinados datos o la de emprender acciones judiciales (4).

(4)

Por otro lado, el Tribunal de Justicia observó que, de conformidad con el artículo 25, apartado 6, párrafo segundo, de la Directiva 95/46/CE, los Estados miembros y sus órganos deben adoptar las medidas necesarias para dar cumplimiento a los actos de las instituciones de la Unión, los cuales disfrutan, en principio, de una presunción de legalidad y producen, por tanto, efectos jurídicos mientras no hayan sido revocados, anulados en virtud de un recurso de anulación o declarados inválidos a raíz de una cuestión prejudicial o de una excepción de ilegalidad.

(5)

Mutatis mutandis, una decisión de la Comisión adoptada de conformidad con el artículo 26, apartado 4, de la Directiva 95/46/CE es vinculante para todos los órganos de los Estados miembros a los que se dirige, incluidas sus autoridades de supervisión independientes, en la medida en que tiene el efecto de reconocer que las transferencias realizadas sobre la base de cláusulas contractuales tipo como las contempladas en dicha Directiva ofrecen garantías suficientes según lo establecido en su artículo 26, apartado 2. Ello no impide que una autoridad de supervisión nacional ejerza sus facultades para supervisar los flujos de datos, incluida la facultad de prohibir o suspender una transferencia de datos personales cuando constate que la transferencia se está realizando en infracción del Derecho de la Unión o de la legislación nacional en materia de protección de datos, como ocurre, por ejemplo, cuando el importador de datos no respeta las cláusulas contractuales tipo.

(6)

Las Decisiones 2001/497/CE (5) y 2010/87/UE (6) de la Comisión contienen una limitación de las facultades de las autoridades nacionales de supervisión comparable a la contemplada en el artículo 3, apartado 1, párrafo primero, de la Decisión 2000/520/CE, que el Tribunal de Justicia considera inválida.

(7)

A la luz de la sentencia Schrems y de conformidad con el artículo 266 del Tratado, debe, por lo tanto, procederse a la sustitución de las disposiciones de esas Decisiones que limitan las facultades de las autoridades nacionales de supervisión.

(8)

A fin de facilitar el control eficaz del funcionamiento de las decisiones relativas a las cláusulas contractuales tipo actualmente en vigor, los Estados miembros deberían informar a la Comisión sobre las medidas relevantes adoptadas por las autoridades nacionales de supervisión.

(9)

El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen que ha sido tenido en cuenta a la hora de redactar la presente Decisión.

(10)

Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité creado en virtud del artículo 31, apartado 1, de la Directiva 95/46/CE.

(11)

Procede, por lo tanto, modificar en consecuencia las Decisiones 2001/497/CE y 2010/87/UE.