DECISIÓ D'EXECUCIÓ (UE) 2021/914 de 4 de juny de 2021 sobre clàusules contractuals normalitzades per a la transferència de dades personals a tercers països de conformitat amb el Reglament (UE) 2016/679 del Parlament Europeu i del Consell (Text amb rellevància EEA)

LA COMISSIÓ EUROPEA,

Tenint en compte el Tractat de Funcionament de la Unió Europea,,

Tenint en compte el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades, i pel qual es deroga la Directiva 95/46/CE (Reglament General de Protecció de Dades) [E0001], i en particular l'article 28(7) i l'article 46(2)(c) de la mateixa,,

Atenent que:

(1) Els desenvolupaments tecnològics estan facilitant els fluxos de dades transfrontereres necessaris per a l'expansió de la cooperació internacional i el comerç internacional, al mateix temps que és necessari garantir que el nivell de protecció de les persones físiques garantit pel Reglament (UE) 2016/679 no es vegi soscavat quan es transfereixen dades personals a tercers països, inclosos els casos de transferències en curs [E0002] Les disposicions de transferència de dades del Capítol V del Reglament (UE) 2016/679 estan destinades a garantir la continuïtat d'aquest alt nivell de protecció quan es transfereixen dades personals a un tercer país [E0003].

(2) D'acord amb l'article 46, apartat 1, del Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de conformitat amb l'article 45, apartat 3, del Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades, li oferim la següent informació sobre el tractament de les seves dades personals:

(3) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessaris per als fins que van ser recollides. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per als fins que van ser recollides.

(4) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir.

(5) Les decisions de la Comissió 2001/497/CE [E0005] i 2010/87/UE [E0006] contenen clàusules contractuals estàndard per facilitar la transferència de dades personals d'un responsable del tractament establert a la Unió a un responsable del tractament o encarregat del tractament establert en un tercer país que no ofereix un nivell adequat de protecció, decisions basades en la Directiva 95/46/CE del Parlament Europeu i del Consell [E0007].

(6) D'acord amb l'apartat 5 de l'article 46 del Reglament (UE) 2016/679, la Decisió 2001/497/CE i la Decisió 2010/87/UE segueixen en vigor fins que es modifiquen, substitueixen o deroguen, si escau, per una decisió de la Comissió adoptada en virtut de l'apartat 2 de l'article 46 del Reglament (UE) 2016/679; a més, des que es van adoptar les decisions, l'economia digital ha experimentat una evolució significativa, amb l'ús generalitzat de noves i més complexes operacions de tractament que sovint impliquen múltiples importadors i exportadors de dades, cadenes de processament llargues i complexes i l'evolució de les relacions comercials, la qual cosa exigeix una modernització de les clàusules contractuals estàndard per reflectir millor aquestes realitats, abastant situacions de processament i transferència addicionals, i per permetre un enfocament més flexible, per exemple, respecte al nombre de parts que poden adherir-se al contracte.

(7) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per als fins que van ser recollides.

(8) En compliment del Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i la Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD), li oferim la següent informació sobre el tractament de les seves dades personals:

(9) Quan el tractament impliqui cessions de dades de responsables del Reglament (UE) 2016/679 a encarregats del tractament fora del seu àmbit territorial o d'encarregats del tractament subjectes al Reglament (UE) 2016/679 a subprocessadors aliens al seu àmbit territorial, les clàusules contractuals normalitzades previstes en l'Annex d'aquesta Decisió també han de permetre complir amb els requisits de l'article 28(3) i (4) del Reglament (UE) 2016/679.

(10) A més de les clàusules generals, els responsables i els encarregats del tractament han de seleccionar el mòdul aplicable a la seva situació, amb la finalitat d'adaptar les seves obligacions en virtut de les clàusules contractuals normalitzades al seu paper i responsabilitats en relació amb els tractaments de dades en qüestió, així com permetre que més de dues parts s'adhereixin a les clàusules contractuals normalitzades com a exportadors de dades o importadors durant tot el cicle de vida del contracte del qual formen part.

(11) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre altres motius, les dades ja no siguin necessàries per als fins que van ser recollides.

(12) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir.

(13) Les dades personals proporcionades es conservaran durant el temps necessari per a complir amb la finalitat per a la qual es recullen i per determinar les possibles responsabilitats que es puguin derivar d'aquesta finalitat i per determinar les possibles responsabilitats que es puguin derivar d'aquesta finalitat i del tractament de les dades, així com per determinar les possibles responsabilitats que es puguin derivar d'aquesta finalitat, i per determinar les possibles responsabilitats que es puguin derivar d'aquesta finalitat.

(14) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir.

(15) En el cas d'una cessió a un importador de dades que actuï com a encarregat del tractament o subprocessador, s'han d'aplicar requisits específics d'acord amb l'article 28(3) del Reglament (UE) 2016/679, les clàusules contractuals estàndard han d'exigir a l'importador de dades que faciliti tota la informació necessària per demostrar el compliment de les obligacions disposades en les clàusules i permetre i contribuir a les auditories de les seves activitats de tractament per part de l'exportador de dades, d'acord amb l'article 28(2) i (4) del Reglament (UE) 2016/679, les clàusules contractuals estàndard han d'establir en particular el procediment d'autorització general o específica per part de l'exportador de dades i el requisit d'un contracte escrit amb el subprocessador que garanteixi el mateix nivell de protecció que en les clàusules.

(16) En determinades circumstàncies, els interessats podran sol·licitar la limitació del tractament de les seves dades, en aquest cas únicament les conservarem per a l'exercici o la defensa de reclamacions. En determinades circumstàncies, els interessats podran sol·licitar la limitació del tractament de les seves dades, en aquest cas únicament les conservarem per a l'exercici o la defensa de reclamacions. En determinades circumstàncies, els interessats podran sol·licitar la limitació del tractament de les seves dades, en aquest cas únicament les conservarem per a l'exercici o la defensa de reclamacions. En determinades circumstàncies, els interessats podran sol·licitar la limitació del tractament de les seves dades, en aquest cas únicament les conservarem per a l'exercici o la defensa de reclamacions.

(17) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir.

(18) Les clàusules contractuals estàndard han de preveure salvaguardes específiques, en particular a la llum de la jurisprudència del Tribunal de Justícia [E0011], per abordar qualsevol efecte de les lleis del tercer país de destinació sobre el compliment de les clàusules per part de l'importador de dades, en particular com atendre les sol·licituds vinculants de les autoritats públiques d'aquest país per a la divulgació de les dades personals transferides.

(19) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre altres motius, les dades ja no siguin necessàries per a les finalitats per a les quals es van recollir. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre altres motius, les dades ja no siguin necessàries per als fins que van ser recollides.

(20) Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessaris per als fins que van ser recollides. Les persones interessades tenen dret a accedir a les seves dades personals, així com a sol·licitar la rectificació de les dades inexactes o, si escau, sol·licitar la seva supressió quan, entre d'altres motius, les dades ja no siguin necessàries per als fins que van ser recollides.

(21) L'importador de dades ha de notificar a l'exportador de dades si, després d'acceptar les clàusules contractuals estàndard, té motius per creure que no pot complir amb les clàusules contractuals estàndard. Si l'exportador de dades rep aquesta notificació o pren consciència que l'importador de dades ja no pot complir amb les clàusules contractuals estàndard, ha d'identificar les mesures adequades per fer front a la situació, si escau, en consulta amb l'autoritat de supervisió competent. Aquestes mesures poden incloure mesures complementàries adoptades per l'exportador de dades i/o importador de dades, com ara mesures tècniques o organitzatives per garantir la seguretat i la confidencialitat.

(22) Quan sigui possible, l'importador de dades ha de notificar a l'exportador de dades i a l'interessat si rep una sol·licitud legalment vinculant d'una autoritat pública (inclosa la judicial) per a la divulgació de dades personals d'acord amb la llei del tercer país de destinació. De la mateixa manera, l'importador de dades no està en condicions de notificar a l'exportador de dades i/o a l'importador de dades la màxima informació possible sobre les sol·licituds. A més, l'importador de dades ha de proporcionar a l'exportador de dades informació agregada a intervals regulars. Si després d'una revisió de la legalitat d'aquesta sol·licitud d'acord amb les lleis del país de destinació, l'importador de dades ha de qüestionar-la, fins i tot, si l'importador de dades ja no pot complir amb les clàusules contractuals estàndard, ha d'informar l'exportador de dades en conseqüència, incloent-hi la conseqüència d'una sol·licitud de divulgació.

(23) Com que les necessitats de les parts interessades, la tecnologia i les operacions de processament poden canviar, la Comissió ha d'avaluar el funcionament de les clàusules contractuals estàndard a la llum de l'experiència, com a part de l'avaluació periòdica del Reglament (UE) 2016/679 a què fa referència l'article 97 d'aquest Reglament.

(24) Durant aquest període, els exportadors de dades i importadors de dades han de poder seguir utilitzant les clàusules contractuals estàndard establertes en les Decisions 2001/497/CE i 2010/87/UE per a la realització de contractes celebrats entre ells abans de la data de derogació d'aquestes decisions, sempre que les operacions de tractament que siguin objecte del contracte estiguin subjectes a salvaguardes adequades en el sentit de l'article 46(1) del Reglament (UE) 2016/679, en particular substituint les clàusules contractuals vigents per les clàusules contractuals establertes en l'Annex d'aquesta Decisió.

(25) El Supervisor Europeu de Protecció de Dades i el Consell Europeu de Protecció de Dades van ser consultats de conformitat amb els articles 42(1) i (2) del Reglament (UE) 2018/1725 i van emetre un dictamen conjunt el 14 de gener de 2021 [E0012], que s'ha tingut en compte en l'elaboració d'aquesta Decisió.

(26) Les mesures previstes en aquesta Decisió són d'acord amb el dictamen del Comitè establert en virtut de l'article 93 del Reglament (UE) 2016/679,

HA ADOPTAT AQUESTA DECISIÓ: