1. A falta de decisión con arreglo al artículo 45, apartado 3, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.
Artículo 46 RGPD - Transferencias mediante garantías adecuadas
2. Las garantías adecuadas con arreglo al apartado 1 podrán ser aportadas, sin que se requiera ninguna autorización expresa de una autoridad de control, por:
a) un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos;
b) normas corporativas vinculantes de conformidad con el artículo 47;
c) cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad con el procedimiento de examen a que se refiere el artículo 93, apartado 2;
d) cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión con arreglo al procedimiento de examen a que se refiere en el artículo 93, apartado 2;
e) un código de conducta aprobado con arreglo al artículo 40, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas la relativas a los derechos de los interesados, o
f) un mecanismo de certificación aprobado con arreglo al artículo 42, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas la relativas a los derechos de los interesados.
3. Siempre que exista autorización de la autoridad de control competente, las garantías adecuadas contempladas en el apartado 1 podrán igualmente ser aportadas, en particular, mediante:
a) cláusulas contractuales entre el responsable o el encargado y el responsable, encargado o destinatario de los datos personales en el tercer país u organización internacional, o
b) disposiciones que se incorporen en acuerdos administrativos entre las autoridades u organismos públicos que incluyan derechos efectivos y exigibles para los interesados.
4. La autoridad de control aplicará el mecanismo de coherencia a que se refiere el artículo 63 en los casos indicados en el apartado 3 del presente artículo.
5. Las autorizaciones otorgadas por un Estado miembro o una autoridad de control de conformidad con el artículo 26, apartado 2, de la Directiva 95/46/CE seguirán siendo válidas hasta que hayan sido modificadas, sustituidas o derogadas, en caso necesario, por dicha autoridad de control. Las decisiones adoptadas por la Comisión en virtud del artículo 26, apartado 4, de la Directiva 95/46/CE permanecerán en vigor hasta que sean modificadas, sustituidas o derogadas, en caso necesario, por una decisión de la Comisión adoptada de conformidad con el apartado 2 del presente artículo.
Considerandos relevantes
Preguntas frecuentes
Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.
A falta de decisión de adecuación con arreglo al artículo 45, apartado 3, el artículo 46, apartado 1, solo permite al responsable o al encargado del tratamiento transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas. Ambas condiciones deben concurrir, pues el instrumento de garantía por sí solo no basta si los interesados no pueden hacer valer sus derechos.
El apartado 2 enumera un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos, normas corporativas vinculantes de conformidad con el artículo 47, cláusulas tipo de protección de datos adoptadas por la Comisión, cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión, un código de conducta aprobado con arreglo al artículo 40 y un mecanismo de certificación aprobado con arreglo al artículo 42. En el caso de los códigos y las certificaciones, el importador en el tercer país debe asumir además compromisos vinculantes y exigibles de aplicar las garantías, incluidas las relativas a los derechos de los interesados.
Sí, pero únicamente con autorización. En virtud del apartado 3, letra a), las cláusulas contractuales entre el exportador y el responsable, encargado o destinatario de los datos personales en el tercer país pueden aportar garantías adecuadas siempre que exista autorización de la autoridad de control competente, y el apartado 4 exige que la autoridad aplique en tales casos el mecanismo de coherencia del artículo 63. Esto distingue las cláusulas ad hoc de las cláusulas tipo del apartado 2, letras c) y d), que no requieren autorización específica.
Pueden basarse en un instrumento jurídicamente vinculante y exigible conforme al apartado 2, letra a), sin autorización específica, o bien, conforme al apartado 3, letra b), en disposiciones que se incorporen en acuerdos administrativos que incluyan derechos efectivos y exigibles para los interesados, con sujeción a la autorización de la autoridad de control competente. La distinción depende de que el instrumento sea jurídicamente vinculante, ya que los acuerdos administrativos no vinculantes exigen la vía de la autorización y el mecanismo de coherencia.
Sí. El apartado 5 mantiene la validez de las autorizaciones otorgadas por un Estado miembro o una autoridad de control de conformidad con el artículo 26, apartado 2, de la Directiva 95/46/CE hasta que hayan sido modificadas, sustituidas o derogadas, en caso necesario, por dicha autoridad de control, y las decisiones de la Comisión adoptadas en virtud del artículo 26, apartado 4, de la Directiva permanecen en vigor hasta que sean modificadas, sustituidas o derogadas, en caso necesario, por una decisión de la Comisión adoptada de conformidad con el apartado 2.