Navegaci贸n
RGPD > Art铆culo聽49. Excepciones para situaciones espec铆ficas
Descargar PDF

Art铆culo聽49 RGPD. Excepciones para situaciones espec铆ficas

Article 49 GDPR. Derogations for specific situations

1. En ausencia de una decisi贸n de adecuaci贸n de conformidad con el art铆culo聽45, apartado聽3, o de garant铆as adecuadas de conformidad con el art铆culo聽46, incluidas las normas corporativas vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer pa铆s u organizaci贸n internacional 煤nicamente se realizar谩 si se cumple alguna de las condiciones siguientes:

1. In the absence of an adequacy decision pursuant to Article聽45(3), or of appropriate safeguards pursuant to Article聽46, including binding corporate rules, a transfer or a set of transfers of personal data to a third country or an international organisation shall take place only on one of the following conditions:

Textos enlazados

a) el interesado haya dado expl铆citamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para 茅l de dichas transferencias debido a la ausencia de una decisi贸n de adecuaci贸n y de garant铆as adecuadas;

(a)聽the data subject has explicitly consented to the proposed transfer, after having been informed of the possible risks of such transfers for the data subject due to the absence of an adequacy decision and appropriate safeguards;

b) la transferencia sea necesaria para la ejecuci贸n de un contrato entre el interesado y el responsable del tratamiento o para la ejecuci贸n de medidas precontractuales adoptadas a solicitud del interesado;

(b)聽the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of pre-contractual measures taken at the data subject’s request;

Textos enlazados

c) la transferencia sea necesaria para la celebraci贸n o ejecuci贸n de un contrato, en inter茅s del interesado, entre el responsable del tratamiento y otra persona f铆sica o jur铆dica;

(c)聽the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the controller and another natural or legal person;

d) la transferencia sea necesaria por razones importantes de inter茅s p煤blico;

(d)聽the transfer is necessary for important reasons of public interest;

e) la transferencia sea necesaria para la formulaci贸n, el ejercicio o la defensa de reclamaciones;

(e)聽the transfer is necessary for the establishment, exercise or defence of legal claims;

f) la transferencia sea necesaria para proteger los intereses vitales del interesado o de otras personas, cuando el interesado est茅 f铆sica o jur铆dicamente incapacitado para dar su consentimiento;

(f)聽the transfer is necessary in order to protect the vital interests of the data subject or of other persons, where the data subject is physically or legally incapable of giving consent;

g) la transferencia se realice desde un registro p煤blico que, con arreglo al Derecho de la Uni贸n o de los Estados miembros, tenga por objeto facilitar informaci贸n al p煤blico y est茅 abierto a la consulta del p煤blico en general o de cualquier persona que pueda acreditar un inter茅s leg铆timo, pero s贸lo en la medida en que se cumplan, en cada caso particular, las condiciones que establece el Derecho de la Uni贸n o de los Estados miembros para la consulta.

(g)聽the transfer is made from a register which according to Union or Member State law is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate a legitimate interest, but only to the extent that the conditions laid down by Union or Member聽State law for consultation are fulfilled in the particular case.

Cuando una transferencia no pueda basarse en disposiciones de los art铆culos聽45 o聽46, incluidas las disposiciones sobre normas corporativas vinculantes, y no sea aplicable ninguna de las excepciones para situaciones espec铆ficas a que se refiere el p谩rrafo primero del presente apartado, solo se podr谩 llevar a cabo si no es repetitiva, afecta solo a un n煤mero limitado de interesados, es necesaria a los fines de intereses leg铆timos imperiosos perseguidos por el responsable del tratamiento sobre los que no prevalezcan los intereses o derechos y libertades del interesado, y el responsable del tratamiento evalu贸 todas las circunstancias concurrentes en la transferencia de datos y, bas谩ndose en esta evaluaci贸n, ofreci贸 garant铆as apropiadas con respecto a la protecci贸n de datos personales. El responsable del tratamiento informar谩 a la autoridad de control de la transferencia. Adem谩s de la informaci贸n a que hacen referencia los art铆culos聽13 y聽14, el responsable del tratamiento informar谩 al interesado de la transferencia y de los intereses leg铆timos imperiosos perseguidos.

Where a transfer could not be based on a provision in Article 45 or 46, including the provisions on binding corporate rules, and none of the derogations for a specific situation referred to in the first subparagraph of this paragraph is applicable, a transfer to a third country or an international organisation may take place only if the transfer is not repetitive, concerns only a limited number of data subjects, is necessary for the purposes of compelling legitimate interests pursued by the controller which are not overridden by the interests or rights and freedoms of the data subject, and the controller has assessed all the circumstances surrounding the data transfer and has on the basis of that assessment provided suitable safeguards with regard to the protection of personal data. The controller shall inform the supervisory authority of the transfer. The controller shall, in addition to providing the information referred to in Articles聽13 and 14, inform the data subject of the transfer and on the compelling legitimate interests pursued.

Textos enlazados

2. Una transferencia efectuada de conformidad con el apartado聽1, p谩rrafo primero, letra聽g), no abarcar谩 la totalidad de los datos personales ni categor铆as enteras de datos personales contenidos en el registro. Si la finalidad del registro es la consulta por parte de personas que tengan un inter茅s leg铆timo, la transferencia solo se efectuar谩 a solicitud de dichas personas o si estas han de ser las destinatarias.

2. A transfer pursuant to point (g) of the first subparagraph of paragraph 1 shall not involve the entirety of the personal data or entire categories of the personal data contained in the register. Where the register is intended for consultation by persons having a legitimate interest, the transfer shall be made only at the request of those persons or if they are to be the recipients.

3. En el apartado聽1, el p谩rrafo primero, letras聽a), b) y聽c), y el p谩rrafo segundo no ser谩n aplicables a las actividades llevadas a cabo por las autoridades p煤blicas en el ejercicio de sus poderes p煤blicos.

3. Points (a), (b) and (c) of the first subparagraph of paragraph 1 and the second subparagraph thereof shall not apply to activities carried out by public authorities in the exercise of their public powers.

4. El inter茅s p煤blico contemplado en el apartado聽1, p谩rrafo primero, letra聽d), ser谩 reconocido por el Derecho de la Uni贸n o de los Estados miembros que se aplique al responsable del tratamiento.

4. The public interest referred to in point (d) of the first subparagraph of paragraph 1 shall be recognised in Union law or in the law of the Member State to which the controller is subject.

5. En ausencia de una decisi贸n por la que se constate la adecuaci贸n de la protecci贸n de los datos, el Derecho de la Uni贸n o de los Estados miembros podr谩, por razones importantes de inter茅s p煤blico, establecer expresamente l铆mites a la transferencia de categor铆as espec铆ficas de datos a un tercer pa铆s u organizaci贸n internacional. Los Estados miembros notificar谩n a la Comisi贸n dichas disposiciones.

5. In the absence of an adequacy decision, Union or Member State law may, for important reasons of public interest, expressly set limits to the transfer of specific categories of personal data to a third country or an international organisation. Member States shall notify such provisions to the Commission.

6. El responsable o el encargado del tratamiento documentar谩n en los registros indicados en el art铆culo聽30 la evaluaci贸n y las garant铆as apropiadas a que se refiere el apartado聽1, p谩rrafo segundo, del presente art铆culo.

6. The controller or processor shall document the assessment as well as the suitable safeguards referred to in the second subparagraph of paragraph聽1 of this Article in the records referred to in Article 30.

Textos enlazados
ISO 27701 Considerandos Ley de Directrices y caso Deja un comentario
ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.

Here is the relevant paragraph to article 49 GDPR:

7.5.1 Identify basis for PII transfer between jurisdictions

Control

The organization should identify and document the relevant basis for transfers of PII between jurisdictions.

Implementation guidance

PII transfer can be subject to legislation and/or regulation depending on the jurisdiction or international organization to which data is to be transferred (and from where it originates).


para acceder al texto completo

Considerandos

(111) Se debe establecer la posibilidad de realizar transferencias en determinadas circunstancias, de mediar el consentimiento expl铆cito del interesado, si la transferencia es ocasional y necesaria en relaci贸n con un contrato o una reclamaci贸n, independientemente de tratarse de un procedimiento judicial o un procedimiento administrativo o extrajudicial, incluidos los procedimientos ante organismos reguladores. Tambi茅n se debe establecer la posibilidad de realizar transferencias cuando as铆 lo requieran razones importantes de inter茅s p煤blico establecidas por el Derecho de la Uni贸n o de los Estados miembros, o cuando la transferencia se haga a partir de un registro establecido por ley y se destine a consulta por el p煤blico o por personas que tengan un inter茅s leg铆timo. En este 煤ltimo caso la transferencia no debe afectar a la totalidad de los datos personales o de las categor铆as de datos incluidos en el registro y, cuando el registro est茅 destinado a su consulta por personas que tengan un inter茅s leg铆timo, la transferencia solo debe efectuarse a petici贸n de dichas personas o, si estas van a ser las destinatarias, teniendo plenamente en cuenta los intereses y los derechos fundamentales del interesado.

(111) Provisions should be made for the possibility for transfers in certain circumstances where the data subject has given his or her explicit consent, where the transfer is occasional and necessary in relation to a contract or a legal claim, regardless of whether in a judicial procedure or whether in an administrative or any out-of-court procedure, including procedures before regulatory bodies. Provision should also be made for the possibility for transfers where important grounds of public interest laid down by Union or Member聽State law so require or where the transfer is made from a register established by law and intended for consultation by the public or persons having a legitimate interest. In the latter case, such a transfer should not involve the entirety of the personal data or entire categories of the data contained in the register and, when the register is intended for consultation by persons having a legitimate interest, the transfer should be made only at the request of those persons or, if they are to be the recipients, taking into full account the interests and fundamental rights of the data subject.

(112) Dichas excepciones deben aplicarse en particular a las transferencias de datos requeridas y necesarias por razones importantes de inter茅s p煤blico, por ejemplo en caso de intercambios internacionales de datos entre autoridades en el 谩mbito de la competencia, administraciones fiscales o aduaneras, entre autoridades de supervisi贸n financiera, entre servicios competentes en materia de seguridad social o de sanidad p煤blica, por ejemplo en caso contactos destinados a localizar enfermedades contagiosas o para reducir y/o eliminar el dopaje en el deporte. La transferencia de datos personales tambi茅n debe considerarse l铆cita en caso de que sea necesaria para proteger un inter茅s esencial para los intereses vitales del interesado o de otra persona, incluida la integridad f铆sica o la vida, si el interesado no est谩 en condiciones de dar su consentimiento. En ausencia de una decisi贸n de adecuaci贸n, el Derecho de la Uni贸n o de los Estados miembros puede limitar expresamente, por razones importantes de inter茅s p煤blico, la transferencia de categor铆as espec铆ficas de datos a un tercer pa铆s o a una organizaci贸n internacional. Los Estados miembros deben notificar esas disposiciones a la Comisi贸n. Puede considerarse necesaria, por una raz贸n importante de inter茅s p煤blico o por ser de inter茅s vital para el interesado, toda transferencia a una organizaci贸n internacional humanitaria de datos personales de un interesado que no tenga capacidad f铆sica o jur铆dica para dar su consentimiento, con el fin de desempe帽ar un cometido basado en las Convenciones de Ginebra o de conformarse al Derecho internacional humanitario aplicable en caso de conflictos armados.

(112) Those derogations should in particular apply to data transfers required and necessary for important reasons of public interest, for example in cases of international data exchange between competition authorities, tax or customs administrations, between financial supervisory authorities, between services competent for social security matters, or for public health, for example in the case of contact tracing for contagious diseases or in order to reduce and/or eliminate doping in sport. A transfer of personal data should also be regarded as lawful where it is necessary to protect an interest which is essential for the data subject's or another person's vital interests, including physical integrity or life, if the data subject is incapable of giving consent. In the absence of an adequacy decision, Union or Member聽State law may, for important reasons of public interest, expressly set limits to the transfer of specific categories of data to a third country or an international organisation. Member聽States should notify such provisions to the Commission. Any transfer to an international humanitarian organisation of personal data of a data subject who is physically or legally incapable of giving consent, with a view to accomplishing a task incumbent under the Geneva Conventions or to complying with international humanitarian law applicable in armed conflicts, could be considered to be necessary for an important reason of public interest or because it is in the vital interest of the data subject.

(113) Las transferencias que pueden calificarse de no repetitivas y s贸lo se refieren a un n煤mero limitado de interesados, tambi茅n han de ser posibles en caso de servir a intereses leg铆timos imperiosos del responsable del tratamiento, si no prevalecen sobre ellos los intereses o los derechos y libertades del interesado y el responsable ha evaluado todas las circunstancias concurrentes en la transferencia de datos. El responsable debe prestar especial atenci贸n a la naturaleza de los datos personales, la finalidad y la duraci贸n de la operaci贸n o las operaciones de tratamiento propuestas, as铆 como la situaci贸n en el pa铆s de origen, el tercer pa铆s y el pa铆s de destino final, y ofrecer, garant铆as apropiadas para proteger los derechos fundamentales y las libertades de las personas f铆sicas con respecto al tratamiento de sus datos personales. Dichas transferencias s贸lo deben ser posibles en casos aislados, cuando ninguno de los otros motivos para la transferencia sean aplicables. Las leg铆timas expectativas de la sociedad en un aumento del conocimiento se deben tener en cuenta para fines de investigaci贸n cient铆fica o hist贸rica o fines estad铆sticos. El responsable debe informar de la transferencia a la autoridad de control y al interesado.

(113) Transfers which can be qualified as not repetitive and that only concern a limited number of data subjects, could also be possible for the purposes of the compelling legitimate interests pursued by the controller, when those interests are not overridden by the interests or rights and freedoms of the data subject and when the controller has assessed all the circumstances surrounding the data transfer. The controller should give particular consideration to the nature of the personal data, the purpose and duration of the proposed processing operation or operations, as well as the situation in the country of origin, the third country and the country of final destination, and should provide suitable safeguards to protect fundamental rights and freedoms of natural persons with regard to the processing of their personal data. Such transfers should be possible only in residual cases where none of the other grounds for transfer are applicable. For scientific or historical research purposes or statistical purposes, the legitimate expectations of society for an increase of knowledge should be taken into consideration. The controller should inform the supervisory authority and the data subject about the transfer.

(114) En cualquier caso, cuando la Comisi贸n no haya tomado ninguna decisi贸n sobre el nivel adecuado de la protecci贸n de datos en un tercer pa铆s, el responsable o el encargado del tratamiento deben arbitrar soluciones que garanticen a los interesados derechos exigibles y efectivos con respecto al tratamiento de sus datos en la Uni贸n, una vez transferidos estos, de forma que sigan benefici谩ndose de derechos fundamentales y garant铆as.

(114) In any case, where the Commission has taken no decision on the adequate level of data protection in a third country, the controller or processor should make use of solutions that provide data subjects with enforceable and effective rights as regards the processing of their data in the Union once those data have been transferred so that that they will continue to benefit from fundamental rights and safeguards.

(115) Algunos pa铆ses terceros adoptan leyes, reglamentaciones y otros actos jur铆dicos con los que se pretende regular directamente las actividades de tratamiento de personas f铆sicas y jur铆dicas bajo jurisdicci贸n de los Estados miembros. Esto puede incluir sentencias de 贸rganos jurisdiccionales o decisiones de autoridades administrativas de terceros pa铆ses que obliguen a un responsable o un encargado del tratamiento a transferir o comunicar datos personales, y que no se basen en un acuerdo internacional, como un tratado de asistencia judicial mutua, en vigor entre el tercer pa铆s requirente y la Uni贸n o un Estado miembro. La aplicaci贸n extraterritorial de dichas leyes, reglamentaciones y otros actos jur铆dicos puede ser contraria al Derecho internacional e impedir la protecci贸n de las personas f铆sicas garantizada en la Uni贸n en virtud del presente Reglamento. Las transferencias solo deben autorizarse cuando se cumplan las condiciones del presente Reglamento relativas a las transferencias a terceros pa铆ses. Tal puede ser el caso, entre otros, cuando la comunicaci贸n sea necesaria por una raz贸n importante de inter茅s p煤blico reconocida por el Derecho de la Uni贸n o de los Estados miembros aplicable al responsable del tratamiento.

(115) Some third countries adopt laws, regulations and other legal acts which purport to directly regulate the processing activities of natural and legal persons under the jurisdiction of the Member聽States. This may include judgments of courts or tribunals or decisions of administrative authorities in third countries requiring a controller or processor to transfer or disclose personal data, and which are not based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State. The extraterritorial application of those laws, regulations and other legal acts may be in breach of international law and may impede the attainment of the protection of natural persons ensured in the Union by this Regulation. Transfers should only be allowed where the conditions of this Regulation for a transfer to third countries are met. This may be the case, inter alia, where disclosure is necessary for an important ground of public interest recognised in Union or Member State law to which the controller is subject.

Ley de Directrices y caso Deja un comentario
[js-disqus]