RGPD

Reglamento (UE) 2016/679, General de Protección de Datos

Cada artículo incluye explicación, mnemotecnia y una trampa típica de examen.

Toca un artículo para leerlo con su explicación, su mnemotecnia y la trampa típica de examen. Con tu cuenta gratis estudias la norma entera en una página, marcas lo que llevas y haces tests.

Crear cuenta gratis

Art. 1ObjetoEl Reglamento establece dos grupos de normas: las de protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las de libre circulación de tales datos. Protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.
Art. 2Ámbito de aplicación materialSe aplica al tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. No se aplica al tratamiento: en actividades no comprendidas en el Derecho de la Unión; por los Estados miembros en actividades del capítulo 2 del título V del TUE; por una persona física en actividades exclusivamente personales o domésticas; ni por las autoridades competentes con fines penales, incluida la protección frente a amenazas a la seguridad pública. A las instituciones de la Unión se les aplica el Reglamento (CE) n.º 45/2001.
Art. 3Ámbito territorial1) Tratamiento en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, tenga lugar este en la Unión o no. 2) Tratamiento de datos de interesados que se encuentren en la Unión por responsable o encargado no establecido en ella, si se relaciona con la oferta de bienes o servicios a esos interesados en la Unión (se les requiera o no su pago) o con el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3) Responsable no establecido en la Unión sino en un lugar donde rige el Derecho de los Estados miembros por el Derecho internacional público.
Art. 4DefinicionesRecoge 26 definiciones. Datos personales: toda información sobre una persona física identificada o identificable (el interesado). Tratamiento: cualquier operación sobre datos personales, por procedimientos automatizados o no. Responsable: quien, solo o junto con otros, determina los fines y medios. Encargado: quien trata datos por cuenta del responsable. Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. Limitación del tratamiento: marcado de los datos conservados para limitar su tratamiento en el futuro.
Art. 5Principios relativos al tratamientoLos datos serán: tratados de manera lícita, leal y transparente; recogidos con fines determinados, explícitos y legítimos (limitación de la finalidad); adecuados, pertinentes y limitados a lo necesario (minimización de datos); exactos y, si fuera necesario, actualizados (exactitud); mantenidos de forma que se permita identificar a los interesados no más tiempo del necesario, salvo fines de archivo, investigación o estadísticos conforme al artículo 89.1 (limitación del plazo de conservación); y tratados con seguridad adecuada (integridad y confidencialidad). El responsable responde de cumplirlo y debe ser capaz de demostrarlo (responsabilidad proactiva).
Art. 6Licitud del tratamientoEl tratamiento solo será lícito si se cumple al menos una condición: a) consentimiento para uno o varios fines específicos; b) ejecución de un contrato o medidas precontractuales a petición del interesado; c) obligación legal del responsable; d) intereses vitales del interesado o de otra persona física; e) misión en interés público o ejercicio de poderes públicos; f) intereses legítimos del responsable o de un tercero, si no prevalecen los del interesado, en particular si es un niño. La letra f) no se aplica a las autoridades públicas en el ejercicio de sus funciones.
Art. 7Condiciones para el consentimientoSi el tratamiento se basa en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió. Si se da en una declaración escrita que también se refiera a otros asuntos, la solicitud se distinguirá claramente de ellos, de forma inteligible y de fácil acceso y con lenguaje claro y sencillo; no vincula la parte que infrinja el Reglamento. El interesado puede retirarlo en cualquier momento, sin afectar a la licitud del tratamiento basada en el consentimiento previo a la retirada; será informado de ello antes de consentir y será tan fácil retirarlo como darlo.
Art. 8Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la informaciónCuando se aplique el artículo 6.1.a) en la oferta directa a niños de servicios de la sociedad de la información, el tratamiento es lícito si el niño tiene como mínimo 16 años. Si es menor de 16, únicamente lo es si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela, y solo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior, siempre que no sea inferior a 13 años. El responsable hará esfuerzos razonables para verificarlo, teniendo en cuenta la tecnología disponible. No afecta al Derecho contractual de los Estados miembros.
Art. 9Tratamiento de categorías especiales de datos personalesProhíbe tratar datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, y tratar datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos de salud o de la vida u orientación sexual. La prohibición no se aplica cuando concurre una de las circunstancias del apartado 2, letras a) a j), como el consentimiento explícito del interesado. Los Estados miembros podrán mantener o introducir condiciones adicionales para datos genéticos, biométricos o de salud.
Art. 10Tratamiento de datos personales relativos a condenas e infracciones penalesEl tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas, sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Un registro completo de condenas penales solo podrá llevarse bajo el control de las autoridades públicas.
Art. 11Tratamiento que no requiere identificaciónSi los fines del tratamiento no requieren o ya no requieren que el responsable identifique al interesado, aquel no estará obligado a mantener, obtener o tratar información adicional para identificarlo con la única finalidad de cumplir el Reglamento. Cuando el responsable sea capaz de demostrar que no está en condiciones de identificarlo, le informará en consecuencia, de ser posible, y no se aplicarán los artículos 15 a 20, excepto cuando el interesado, para ejercer sus derechos en virtud de esos artículos, facilite información adicional que permita su identificación.
Art. 12Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesadoEl responsable facilita la información de forma concisa, transparente, inteligible y de fácil acceso, con lenguaje claro y sencillo, por escrito o por otros medios (verbalmente si el interesado lo solicita y se demuestra su identidad por otros medios). Responde a las solicitudes sin dilación indebida y, en cualquier caso, en un mes desde la recepción, prorrogable otros dos meses. Si no da curso, lo comunica a más tardar transcurrido un mes. Es gratuito, pero ante solicitudes manifiestamente infundadas o excesivas puede cobrar un canon razonable o negarse a actuar, y debe demostrarlo.
Art. 13Información que deberá facilitarse cuando los datos personales se obtengan del interesadoCuando los datos se obtienen del interesado, el responsable le informa en el momento en que se obtienen: identidad y contacto del responsable y, en su caso, de su representante; contacto del delegado de protección de datos; fines y base jurídica; intereses legítimos; destinatarios, y transferencias a un tercer país. Además: plazo de conservación o criterios para fijarlo, derechos, retirada del consentimiento, reclamación ante una autoridad de control, si debe facilitar los datos y decisiones automatizadas. No se aplica cuando y en la medida en que el interesado ya disponga de la información.
Art. 14Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesadoSi los datos no se han obtenido del interesado, el responsable le informa, entre otros extremos, de fines y base jurídica, categorías de datos, destinatarios, derechos y fuente de la que proceden. Lo hace en un plazo razonable y a más tardar dentro de un mes; si los usa para comunicarse con el interesado, a más tardar en la primera comunicación; si prevé comunicarlos a otro destinatario, a más tardar cuando se comuniquen por primera vez. No se aplica, entre otros casos, si el interesado ya dispone de la información o si comunicarla resulta imposible o supone un esfuerzo desproporcionado.
Art. 15Derecho de acceso del interesadoEl interesado puede obtener del responsable confirmación de si se tratan o no sus datos y, en tal caso, acceder a ellos y a esta información: fines, categorías de datos, destinatarios (en particular en terceros países u organizaciones internacionales), plazo previsto de conservación o criterios para fijarlo, derechos de rectificación, supresión, limitación y oposición, reclamación ante una autoridad de control, origen de los datos y decisiones automatizadas. El responsable facilita una copia; por cualquier otra puede percibir un canon razonable basado en los costes administrativos.
Art. 16Derecho de rectificaciónEl interesado tiene derecho a obtener del responsable del tratamiento, sin dilación indebida, la rectificación de los datos personales inexactos que le conciernan. Además, teniendo en cuenta los fines del tratamiento, tiene derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.
Art. 17Derecho de supresión («el derecho al olvido»)El responsable debe suprimir sin dilación indebida los datos cuando: ya no sean necesarios para los fines; se retire el consentimiento y no haya otro fundamento jurídico; el interesado se oponga en los términos de la letra c); se hayan tratado ilícitamente; lo exija una obligación legal, o se obtuvieran en la oferta de servicios de la sociedad de la información. Si los hizo públicos, adopta medidas razonables para informar a los responsables que los traten. No se aplica si el tratamiento es necesario, entre otros casos, para la libertad de expresión e información o para reclamaciones.
Art. 18Derecho a la limitación del tratamientoEl interesado puede obtener la limitación cuando: impugne la exactitud de los datos, en un plazo que permita al responsable verificarla; el tratamiento sea ilícito y se oponga a la supresión y solicite en su lugar limitar su uso; el responsable ya no necesite los datos pero el interesado sí para reclamaciones, o se haya opuesto en virtud del artículo 21.1, mientras se verifica si prevalecen los motivos del responsable. Los datos limitados solo se tratan, salvo su conservación, con su consentimiento o en los demás casos del apartado 2. El responsable informa antes de levantar la limitación.
Art. 19Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamientoEl responsable del tratamiento comunica cualquier rectificación o supresión de datos personales o limitación del tratamiento, efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18, a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. Además, informa al interesado acerca de dichos destinatarios, si este así lo solicita.
Art. 20Derecho a la portabilidad de los datosEl interesado tiene derecho a recibir los datos personales que le incumban y que haya facilitado a un responsable, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable sin que lo impida el primero, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados. Tiene derecho a la transmisión directa de responsable a responsable cuando sea técnicamente posible. No se aplica al tratamiento necesario para una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
Art. 21Derecho de oposiciónEl interesado puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento basado en el artículo 6.1, letras e) o f); el responsable deja de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan o para reclamaciones. Si el tratamiento tiene por objeto la mercadotecnia directa, puede oponerse en todo momento y los datos dejan de tratarse para dichos fines. El derecho se menciona explícitamente a más tardar en la primera comunicación, claramente y al margen de cualquier otra información.
Art. 22Decisiones individuales automatizadas, incluida la elaboración de perfilesTodo interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar. No se aplica si es necesaria para celebrar o ejecutar un contrato con un responsable, la autoriza el Derecho de la Unión o de los Estados miembros con medidas adecuadas, o se basa en el consentimiento explícito. En los casos de contrato y consentimiento, el responsable garantiza como mínimo intervención humana, expresar su punto de vista e impugnarla.
Art. 23LimitacionesEl Derecho de la Unión o de los Estados miembros puede limitar, mediante medidas legislativas, las obligaciones y derechos de los artículos 12 a 22 y 34 (y del 5 en lo que se corresponda con los artículos 12 a 22) si la limitación respeta en lo esencial los derechos y libertades fundamentales y es necesaria y proporcionada en una sociedad democrática para salvaguardar los objetivos de las letras a) a j), como la seguridad del Estado, la defensa o la seguridad pública. La medida contendrá como mínimo, en su caso, las disposiciones de las letras a) a h) del apartado 2.
Art. 24Responsabilidad del responsable del tratamientoEl responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que el tratamiento es conforme con el Reglamento, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento y los riesgos para las personas físicas. Se revisarán y actualizarán cuando sea necesario. Cuando sean proporcionadas, incluirán las oportunas políticas de protección de datos. La adhesión a códigos de conducta (artículo 40) o a un mecanismo de certificación (artículo 42) podrá usarse como elemento para demostrar el cumplimiento.
Art. 25Protección de datos desde el diseño y por defectoDesde el diseño: el responsable aplicará medidas técnicas y organizativas apropiadas, como la seudonimización, tanto al determinar los medios de tratamiento como en el propio tratamiento, para aplicar los principios de protección de datos, como la minimización. Por defecto: garantizará que solo se traten los datos necesarios para cada fin específico, obligación que se aplica a la cantidad de datos recogidos, la extensión del tratamiento, el plazo de conservación y la accesibilidad. Un mecanismo de certificación del artículo 42 podrá acreditar el cumplimiento.
Art. 26Corresponsables del tratamientoSon corresponsables dos o más responsables que determinan conjuntamente los objetivos y los medios del tratamiento. Fijarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas, en particular sobre los derechos del interesado y la información de los artículos 13 y 14, salvo, y en la medida en que, las rija el Derecho de la Unión o de los Estados miembros. El acuerdo podrá designar un punto de contacto y sus aspectos esenciales se pondrán a disposición del interesado, que podrá ejercer sus derechos frente a, y en contra de, cada uno de los responsables.
Art. 27Representantes de responsables o encargados del tratamiento no establecidos en la UniónCuando se aplique el artículo 3, apartado 2, el responsable o el encargado designará por escrito un representante en la Unión. No se exige al tratamiento ocasional, sin manejo a gran escala de categorías especiales de datos o de datos de condenas e infracciones penales y que sea improbable que entrañe riesgo, ni a las autoridades u organismos públicos. Estará establecido en uno de los Estados miembros en que estén los interesados y atenderá, junto al responsable o al encargado, o en su lugar, las consultas. Su designación no impide las acciones contra el propio responsable o encargado.
Art. 28Encargado del tratamientoEl responsable elegirá únicamente un encargado con garantías suficientes. El encargado no recurrirá a otro sin autorización previa por escrito, específica o general, del responsable. El tratamiento se rige por contrato u otro acto jurídico, por escrito, inclusive en formato electrónico. Si el otro encargado incumple, el inicial sigue siendo plenamente responsable ante el responsable. La Comisión podrá fijar y una autoridad de control podrá adoptar cláusulas contractuales tipo. El encargado que infrinja el Reglamento al determinar fines y medios será considerado responsable de ese tratamiento.
Art. 29Tratamiento bajo la autoridad del responsable o del encargado del tratamientoEl encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar esos datos siguiendo instrucciones del responsable, a no ser que estén obligados a ello en virtud del Derecho de la Unión o de los Estados miembros.
Art. 30Registro de las actividades de tratamientoCada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento. Cada encargado y, en su caso, su representante, uno de todas las categorías de actividades de tratamiento por cuenta de un responsable. Constarán por escrito, inclusive en formato electrónico, y se pondrán a disposición de la autoridad de control que lo solicite. No obliga a la empresa u organización que emplee a menos de 250 personas, salvo que el tratamiento pueda entrañar un riesgo, no sea ocasional o incluya categorías especiales de datos o datos de condenas e infracciones penales.
Art. 31Cooperación con la autoridad de controlEl responsable y el encargado del tratamiento y, en su caso, sus representantes cooperarán con la autoridad de control que lo solicite en el desempeño de sus funciones.
Art. 32Seguridad del tratamientoEl responsable y el encargado aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: seudonimización y cifrado; capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes; capacidad de restaurar la disponibilidad y el acceso de forma rápida; y un proceso de verificación, evaluación y valoración regulares. La adhesión a un código de conducta o a un mecanismo de certificación podrá servir para demostrar el cumplimiento del apartado 1.
Art. 33Notificación de una violación de la seguridad de los datos personales a la autoridad de controlEl responsable notificará la violación de la seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas físicas; pasado ese plazo, indicará los motivos de la dilación. El encargado la notificará sin dilación indebida al responsable. Si no es posible facilitar la información simultáneamente, se facilitará de manera gradual. El responsable documentará cualquier violación.
Art. 34Comunicación de una violación de la seguridad de los datos personales al interesadoSi es probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable la comunica al interesado sin dilación indebida y en lenguaje claro y sencillo. No es necesaria si se cumple alguna de tres condiciones: medidas de protección aplicadas a los datos afectados, como el cifrado; medidas ulteriores que garanticen que ya no exista la probabilidad del alto riesgo, o esfuerzo desproporcionado, caso en que se opta por una comunicación pública o medida semejante.
Art. 35Evaluación de impacto relativa a la protección de datosCuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable realiza, antes del tratamiento, una evaluación de impacto y recaba el asesoramiento del delegado de protección de datos, si ha sido nombrado. Se requiere en particular en los casos del apartado 3, como la observación sistemática a gran escala de una zona de acceso público. La autoridad de control establece y publica la lista de tratamientos que la requieren y puede publicar la de los que no. El apartado 7 fija su contenido mínimo.
Art. 36Consulta previaEl responsable consulta a la autoridad de control antes de proceder al tratamiento cuando la evaluación de impacto muestre que entrañaría un alto riesgo si no toma medidas para mitigarlo. Si la autoridad considera que el tratamiento podría infringir el Reglamento, asesora por escrito en ocho semanas desde la solicitud de la consulta, prorrogables seis semanas según la complejidad; de la prórroga informa en un mes desde la recepción de la solicitud, indicando los motivos. Los plazos pueden suspenderse hasta que obtenga la información solicitada.
Art. 37Designación del delegado de protección de datosResponsable y encargado designan delegado de protección de datos siempre que el tratamiento lo lleve a cabo una autoridad u organismo público (excepto los tribunales en ejercicio de su función judicial), o sus actividades principales requieran observación habitual y sistemática de interesados a gran escala o consistan en el tratamiento a gran escala de categorías especiales o de datos de condenas e infracciones penales. Un grupo empresarial puede nombrar uno único si es fácilmente accesible desde cada establecimiento. Puede ser de plantilla o actuar por contrato de servicios.
Art. 38Posición del delegado de protección de datosResponsable y encargado garantizan que el delegado participe de forma adecuada y en tiempo oportuno en todas las cuestiones de protección de datos personales, lo respaldan con recursos y acceso a datos y operaciones, y garantizan que no reciba ninguna instrucción en el desempeño de sus funciones. No será destituido ni sancionado por desempeñarlas y rinde cuentas directamente al más alto nivel jerárquico. Los interesados pueden ponerse en contacto con él; está obligado al secreto o la confidencialidad y puede desempeñar otras funciones que no den lugar a conflicto de intereses.
Art. 39Funciones del delegado de protección de datosEl delegado de protección de datos tiene como mínimo cinco funciones: informar y asesorar al responsable o encargado y a los empleados que se ocupen del tratamiento; supervisar el cumplimiento del Reglamento, de otras disposiciones y de las políticas del responsable o encargado, incluidas la asignación de responsabilidades, la concienciación y formación del personal y las auditorías; asesorar, si se le solicita, sobre la evaluación de impacto y supervisar su aplicación; cooperar con la autoridad de control, y actuar como su punto de contacto.
Art. 40Códigos de conductaEstados miembros, autoridades de control, Comité y Comisión promueven los códigos de conducta. Pueden elaborarlos, modificarlos o ampliarlos las asociaciones y otros organismos representativos de categorías de responsables o encargados, que presentan el proyecto a la autoridad de control competente; esta dictamina, lo aprueba si considera suficientes las garantías y lo registra y publica si no se refiere a varios Estados miembros. Si guarda relación con varios, lo presenta antes al Comité. La Comisión puede decidir su validez general en la Unión. El Comité archiva los códigos en un registro.
Art. 41Supervisión de códigos de conducta aprobadosPuede supervisar el cumplimiento de un código de conducta un organismo con el nivel adecuado de pericia en relación con el objeto del código y acreditado por la autoridad de control competente. Para acreditarse ha de demostrar independencia y pericia, tener procedimientos de evaluación y supervisión y de tratamiento de reclamaciones, y demostrar que no hay conflicto de intereses. Ante una infracción del código toma las medidas oportunas, incluida la suspensión o exclusión, e informa a la autoridad de control. No se aplica al tratamiento de autoridades y organismos públicos.
Art. 42CertificaciónEstados miembros, autoridades de control, Comité y Comisión promueven mecanismos de certificación, sellos y marcas de protección de datos. La certificación es voluntaria, está disponible a través de un proceso transparente y no limita la responsabilidad del responsable o encargado. La expiden los organismos de certificación o la autoridad de control competente, por un período máximo de tres años, renovable en las mismas condiciones mientras se cumplan los criterios. Si los criterios los aprueba el Comité, puede dar lugar al Sello Europeo de Protección de Datos.
Art. 43Organismo de certificaciónLos organismos de certificación con un nivel adecuado de pericia en protección de datos expiden y renuevan las certificaciones una vez informada la autoridad de control. Los acredita la autoridad de control competente, el organismo nacional de acreditación o ambos. La acreditación se expide por un período máximo de cinco años y puede renovarse en las mismas condiciones si el organismo cumple los requisitos. Los organismos comunican a las autoridades de control las razones de la expedición o retirada de la certificación. La acreditación se revoca si sus condiciones no se cumplen.
Art. 44Principio general de las transferenciasSolo se pueden transferir datos personales a un tercer país u organización internacional si el responsable y el encargado del tratamiento cumplen las condiciones del capítulo, a reserva de las demás disposiciones del Reglamento. Esas condiciones incluyen las de las transferencias ulteriores desde ese tercer país u organización a otro tercer país u otra organización internacional. Todo el capítulo se aplica para que el nivel de protección de las personas físicas garantizado por el Reglamento no se vea menoscabado.
Art. 45Transferencias basadas en una decisión de adecuaciónCabe transferir datos a un tercer país, territorio, sector u organización internacional cuando la Comisión haya decidido que garantizan un nivel de protección adecuado; no hace falta ninguna autorización específica. La Comisión decide mediante acto de ejecución, con revisión periódica al menos cada cuatro años, supervisa de manera continuada y, si la protección deja de ser adecuada, deroga, modifica o suspende la decisión sin efecto retroactivo. Publica la lista en el Diario Oficial de la Unión Europea y en su página web.
Art. 46Transferencias mediante garantías adecuadasA falta de decisión de adecuación, el responsable o el encargado solo puede transmitir datos a un tercer país u organización internacional si ofrece garantías adecuadas y los interesados cuentan con derechos exigibles y acciones legales efectivas. Sin autorización expresa de una autoridad de control valen: instrumento vinculante entre autoridades u organismos públicos, normas corporativas vinculantes, cláusulas tipo, código de conducta y mecanismo de certificación. Con autorización de la autoridad competente: cláusulas contractuales y disposiciones en acuerdos administrativos.
Art. 47Normas corporativas vinculantesLa autoridad de control competente aprueba las normas corporativas vinculantes, conforme al mecanismo de coherencia, si son jurídicamente vinculantes y las cumplen todos los miembros del grupo empresarial o de la unión de empresas, incluidos sus empleados; si confieren expresamente a los interesados derechos exigibles, y si recogen el contenido mínimo del apartado 2 (estructura y contacto, transferencias, principios, derechos, responsabilidad, reclamaciones, auditorías, formación…). La Comisión podrá especificar el formato y los procedimientos de intercambio de información.
Art. 48Transferencias o comunicaciones no autorizadas por el Derecho de la UniónUna sentencia de un órgano jurisdiccional o una decisión de una autoridad administrativa de un tercer país que exijan a un responsable o encargado transferir o comunicar datos personales únicamente será reconocida o ejecutable si se basa en un acuerdo internacional, como un tratado de asistencia jurídica mutua, vigente entre el país tercero requirente y la Unión o un Estado miembro. Todo ello sin perjuicio de otros motivos para la transferencia al amparo del capítulo.
Art. 49Excepciones para situaciones específicasSin decisión de adecuación ni garantías adecuadas, solo cabe transferir si se da alguna condición: consentimiento explícito e informado; contrato con el interesado o en su interés; razones importantes de interés público; reclamaciones; intereses vitales, o registro público. En su defecto, si no es repetitiva, afecta a un número limitado de interesados y responde a intereses legítimos imperiosos del responsable, que informa a la autoridad de control y al interesado. Las letras a), b) y c) y el párrafo segundo no se aplican a las autoridades públicas en el ejercicio de sus poderes públicos.
Art. 50Cooperación internacional en el ámbito de la protección de datos personalesRespecto de terceros países y organizaciones internacionales, la Comisión y las autoridades de control tomarán medidas apropiadas para: crear mecanismos de cooperación internacional; prestarse asistencia mutua a escala internacional (notificación, remisión de reclamaciones, asistencia en las investigaciones e intercambio de información); asociar a partes interesadas a los debates y actividades, y promover el intercambio y la documentación de la legislación y las prácticas, inclusive en materia de conflictos de jurisdicción con terceros países.
Art. 51Autoridad de controlCada Estado miembro establecerá que una o varias autoridades públicas independientes («autoridad de control») supervisen la aplicación del Reglamento, para proteger los derechos y libertades fundamentales de las personas físicas y facilitar la libre circulación de datos en la Unión. Las autoridades cooperan entre sí y con la Comisión. Si hay varias en un Estado, este designa la que las representa en el Comité. Los Estados notifican a la Comisión sus disposiciones legales a más tardar el 25 de mayo de 2018 y, sin dilación, las modificaciones posteriores.
Art. 52IndependenciaCada autoridad de control actúa con total independencia. Sus miembros son ajenos a toda influencia externa, directa o indirecta, y no solicitan ni admiten instrucciones; mientras dure su mandato no participan en actividades profesionales incompatibles, remuneradas o no. El Estado miembro garantiza recursos humanos, técnicos y financieros, locales e infraestructuras; personal propio elegido por la autoridad, y un presupuesto anual, público e independiente, que podrá formar parte del presupuesto general del Estado, con un control financiero que no afecte a su independencia.
Art. 53Condiciones generales aplicables a los miembros de la autoridad de controlCada miembro de la autoridad de control es nombrado mediante un procedimiento transparente por el Parlamento, el Gobierno, el Jefe de Estado o un organismo independiente encargado del nombramiento según el Derecho de los Estados miembros. Debe tener la titulación, la experiencia y las aptitudes necesarias, en particular en protección de datos personales. Sus funciones concluyen por terminación del mandato, dimisión o jubilación obligatoria. Solo puede ser destituido por conducta irregular grave o si deja de cumplir las condiciones exigidas.
Art. 54Normas relativas al establecimiento de la autoridad de controlCada Estado miembro establece por ley: el establecimiento de cada autoridad de control; las cualificaciones y condiciones de idoneidad de sus miembros; las normas de nombramiento; la duración del mandato, no inferior a cuatro años (salvo el primer nombramiento posterior al 24 de mayo de 2016, parte del cual puede ser más breve por nombramiento escalonado); si el mandato es renovable y cuántas veces, y las obligaciones, prohibiciones e incompatibilidades. Miembros y personal están sujetos al deber de secreto profesional durante su mandato y después del mismo.
Art. 55CompetenciaCada autoridad de control es competente para desempeñar sus funciones y ejercer sus poderes en el territorio de su Estado miembro. Cuando el tratamiento lo efectúan autoridades públicas u organismos privados que actúan con arreglo al artículo 6, apartado 1, letras c) o e), es competente la autoridad de control del Estado miembro de que se trate y no se aplica el artículo 56. Las autoridades de control no son competentes para controlar los tratamientos efectuados por los tribunales en el ejercicio de su función judicial.
Art. 56Competencia de la autoridad de control principalLa autoridad de control del establecimiento principal o del único establecimiento del responsable o encargado es la autoridad de control principal para el tratamiento transfronterizo. No obstante, cada autoridad puede tratar una reclamación o posible infracción que se refiera únicamente a un establecimiento de su Estado miembro o afecte de manera sustancial únicamente a interesados de su Estado: informa sin dilación a la principal, que decide en tres semanas si trata el caso. Si no lo trata, lo trata la autoridad que informó. La principal es el único interlocutor del responsable o encargado.
Art. 57FuncionesEnumera las funciones de cada autoridad de control en su territorio: controlar y hacer aplicar el Reglamento, sensibilizar al público (con especial atención a los niños) y a responsables y encargados, asesorar al Parlamento nacional y al Gobierno, tratar reclamaciones, cooperar con otras autoridades y llevar registros internos de infracciones. Su desempeño es gratuito para el interesado y, en su caso, para el delegado de protección de datos; ante solicitudes manifiestamente infundadas o excesivas puede establecer una tasa razonable o negarse a actuar, y le corresponde demostrarlo.
Art. 58PoderesCada autoridad de control dispone de poderes de investigación (información, auditorías, acceso a datos y a locales), correctivos (advertencia si las operaciones previstas pueden infringir el Reglamento, apercibimiento si lo han infringido, órdenes, limitación o prohibición del tratamiento, multa administrativa, suspensión de flujos de datos) y de autorización y consultivos (dictámenes, acreditación, normas corporativas vinculantes). Su ejercicio está sujeto a garantías adecuadas, incluida la tutela judicial efectiva. Cada Estado miembro podrá establecer por ley otros poderes.
Art. 59Informe de actividadCada autoridad de control elaborará un informe anual de sus actividades, que podrá incluir una lista de tipos de infracciones notificadas y de tipos de medidas adoptadas. Los informes se transmiten al Parlamento nacional, al Gobierno y a las demás autoridades designadas en virtud del Derecho de los Estados miembros, y se ponen a disposición del público, de la Comisión y del Comité.
Art. 60Cooperación entre la autoridad de control principal y las demás autoridades de control interesadasLa autoridad de control principal coopera con las demás autoridades interesadas buscando el consenso. Les transmite sin dilación un proyecto de decisión; si alguna formula una objeción pertinente y motivada en cuatro semanas y la principal no la sigue, somete el asunto al mecanismo de coherencia; si prevé seguirla, presenta un proyecto revisado, sujeto a un plazo de dos semanas. Sin objeciones, todas quedan vinculadas. La principal adopta y notifica la decisión; si la reclamación se desestima o rechaza, la adopta la autoridad ante la que se presentó.
Art. 61Asistencia mutuaLas autoridades de control se facilitan información útil y se prestan asistencia mutua. La requerida responde sin dilación indebida y a más tardar en un mes desde la solicitud; solo puede negarse si no es competente o si responder infringiría el Reglamento o el Derecho aplicable, y debe explicar sus motivos. No se cobra tasa alguna, aunque cabe convenir indemnización recíproca por gastos específicos en circunstancias excepcionales. Si no se informa en un mes desde la recepción de la solicitud, la requirente puede adoptar una medida provisional en su territorio.
Art. 62Operaciones conjuntas de las autoridades de controlLas autoridades de control realizan, en su caso, operaciones conjuntas (incluidas investigaciones y medidas de ejecución). Si el responsable o encargado tiene establecimientos en varios Estados miembros o es probable que un número significativo de interesados de más de uno se vean sustancialmente afectados, una autoridad de cada uno tiene derecho a participar. Los poderes de investigación del personal de la autoridad de origen solo se ejercen bajo la orientación y en presencia de la de acogida. El Estado de acogida responde de los daños; el de origen le restituye íntegramente lo abonado.
Art. 63Mecanismo de coherenciaPara contribuir a que el Reglamento se aplique de forma coherente en toda la Unión, las autoridades de control cooperarán entre sí y, en su caso, con la Comisión. Esa cooperación se produce en el marco del mecanismo de coherencia que establece la sección que este artículo abre.
Art. 64Dictamen del ComitéEl Comité emite dictamen cuando una autoridad de control competente proyecta adoptar alguna de las seis medidas del apartado 1. Además, cualquier autoridad de control, el presidente del Comité o la Comisión pueden pedir que examine un asunto de aplicación general o con efecto en más de un Estado miembro. El dictamen se adopta en ocho semanas por mayoría simple, prorrogables seis más; entretanto la autoridad no adopta su proyecto. Recibido el dictamen, comunica en dos semanas al presidente si mantiene o modifica el proyecto.
Art. 65Resolución de conflictos por el ComitéEl Comité adopta una decisión vinculante en tres casos: objeción pertinente y motivada de una autoridad interesada que la autoridad principal no sigue o rechaza; puntos de vista enfrentados sobre qué autoridad es competente para el establecimiento principal; y falta de solicitud o de seguimiento del dictamen del Comité. Plazo: un mes desde la remisión, por dos tercios, prorrogable un mes más; si no se logra, dos semanas más por mayoría simple, con voto del presidente si hay empate. La decisión definitiva se adopta a más tardar un mes tras la notificación.
Art. 66Procedimiento de urgenciaEn circunstancias excepcionales, una autoridad de control interesada que considere urgente proteger los derechos y libertades de interesados puede adoptar inmediatamente medidas provisionales con efectos en su propio territorio y validez no superior a tres meses, y las comunica sin dilación, con sus motivos, a las demás autoridades interesadas, al Comité y a la Comisión. Para medidas definitivas, o si la autoridad competente no actúa, cabe pedir motivadamente al Comité un dictamen o decisión vinculante urgente, que se adopta en dos semanas por mayoría simple.
Art. 67Intercambio de informaciónLa Comisión podrá adoptar actos de ejecución de ámbito general para especificar cómo se intercambia información por medios electrónicos entre las autoridades de control, y entre estas y el Comité, en especial el formato normalizado contemplado en el artículo 64. Esos actos se adoptan por el procedimiento de examen a que se refiere el artículo 93, apartado 2.
Art. 68Comité Europeo de Protección de DatosSe crea el Comité Europeo de Protección de Datos como organismo de la Unión con personalidad jurídica, representado por su presidente. Lo componen el director de una autoridad de control de cada Estado miembro y el Supervisor Europeo de Protección de Datos, o sus representantes; si un Estado tiene varias autoridades, se nombra un representante común conforme a su Derecho. La Comisión participa en actividades y reuniones sin derecho a voto y designa un representante. En los casos del artículo 65, el Supervisor solo vota en las decisiones que el apartado 6 delimita.
Art. 69IndependenciaEl Comité actúa con total independencia en el desempeño de sus funciones o el ejercicio de sus competencias con arreglo a los artículos 70 y 71. No solicitará ni admitirá instrucciones de nadie, sin perjuicio de las solicitudes de la Comisión contempladas en el artículo 70, apartados 1 y 2.
Art. 70Funciones del ComitéEl Comité garantiza la aplicación coherente del Reglamento, a iniciativa propia o, en su caso, a instancia de la Comisión. Entre otras funciones, asesora a la Comisión y le facilita dictámenes; emite directrices, recomendaciones y buenas prácticas; aprueba criterios de certificación y requisitos de acreditación; alienta códigos de conducta; promueve la cooperación y lleva registros públicos. La Comisión puede señalar un plazo según la urgencia. El Comité hace públicos sus textos y, cuando proceda, consulta a las partes interesadas, que comentan en un plazo razonable.
Art. 71InformesEl Comité elabora un informe anual sobre la protección de las personas físicas en lo que respecta al tratamiento en la Unión y, si procede, en terceros países y organizaciones internacionales. El informe se hace público y se transmite al Parlamento Europeo, al Consejo y a la Comisión. Incluye un examen de la aplicación práctica de las directrices, recomendaciones y buenas prácticas y de las decisiones vinculantes indicadas en el artículo 65.
Art. 72ProcedimientoEl Comité toma sus decisiones por mayoría simple de sus miembros, salvo que el Reglamento disponga otra cosa. En cambio, su reglamento interno lo adopta por mayoría de dos tercios de sus miembros. El propio Comité organiza sus disposiciones de funcionamiento.
Art. 73PresidenciaEl Comité elige de entre sus propios miembros, por mayoría simple, a un presidente y a dos vicepresidentes. El mandato, tanto del presidente como de los vicepresidentes, es de cinco años de duración y puede renovarse una vez.
Art. 74Funciones del presidenteEl presidente del Comité tiene tres funciones: convocar las reuniones y preparar su orden del día; notificar las decisiones adoptadas con arreglo al artículo 65 a la autoridad de control principal y a las autoridades de control interesadas; y garantizar el ejercicio puntual de las funciones del Comité, en particular en relación con el mecanismo de coherencia. El reparto de funciones entre presidente y vicepresidentes lo determina el Comité en su reglamento interno.
Art. 75SecretaríaEl Comité cuenta con una secretaría de la que se hace cargo el Supervisor Europeo de Protección de Datos, pero que sigue exclusivamente las instrucciones del presidente del Comité. El personal del Supervisor que participe en las funciones del Comité depende de un superior jerárquico distinto del que desempeña las del Supervisor. El Comité, en consulta con el Supervisor, elabora y publica, si procede, un memorando de entendimiento. La secretaría presta apoyo analítico, administrativo y logístico y responde, en particular, de las siete tareas del apartado 6.
Art. 76ConfidencialidadLos debates del Comité son confidenciales cuando el propio Comité lo considere necesario, tal como establezca su reglamento interno. El acceso a los documentos presentados a los miembros del Comité, los expertos y los representantes de terceras partes se rige por el Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo.
Art. 77Derecho a presentar una reclamación ante una autoridad de controlTodo interesado que considere que el tratamiento de datos personales que le conciernen infringe el Reglamento tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción, sin perjuicio de cualquier otro recurso administrativo o acción judicial. La autoridad ante la que se reclama informa al reclamante sobre el curso y el resultado de la reclamación, incluida la posibilidad de acceder a la tutela judicial.
Art. 78Derecho a la tutela judicial efectiva contra una autoridad de controlToda persona física o jurídica tiene derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna. Todo interesado la tiene también si la autoridad competente no da curso a una reclamación o no le informa en tres meses sobre su curso o resultado. Las acciones se ejercitan ante los tribunales del Estado miembro en que esté establecida la autoridad, que remitirá al tribunal el dictamen o decisión del Comité que haya precedido a la decisión impugnada. Todo ello sin perjuicio de otros recursos administrativos o extrajudiciales.
Art. 79Derecho a la tutela judicial efectiva contra un responsable o encargado del tratamientoTodo interesado tiene derecho a la tutela judicial efectiva si considera que sus derechos según el Reglamento han sido vulnerados por un tratamiento de sus datos personales, sin perjuicio de los recursos administrativos o extrajudiciales, incluida la reclamación ante una autoridad de control. Las acciones se ejercitan ante los tribunales del Estado miembro donde el responsable o encargado tenga un establecimiento o, alternativamente, donde el interesado tenga su residencia habitual, salvo que aquel sea una autoridad pública de un Estado miembro que actúe en ejercicio de sus poderes públicos.
Art. 80Representación de los interesadosEl interesado puede dar mandato a una entidad, organización o asociación sin ánimo de lucro, correctamente constituida con arreglo al Derecho de un Estado miembro, con objetivos estatutarios de interés público y que actúe en el ámbito de la protección de datos, para que reclame y ejerza en su nombre los derechos de los artículos 77, 78 y 79, y el de ser indemnizado si lo establece el Derecho del Estado miembro. Además, cualquier Estado miembro puede disponer que esas entidades reclamen y ejerzan los derechos de los artículos 78 y 79 con independencia del mandato del interesado.
Art. 81Suspensión de los procedimientosSi un tribunal competente de un Estado miembro tiene información de que ante un tribunal de otro Estado miembro pende un procedimiento sobre el mismo asunto y el tratamiento por el mismo responsable o encargado, se pondrá en contacto con él para confirmarlo. Cualquier tribunal competente distinto de aquel ante el que se ejercitó la acción en primer lugar podrá suspender su procedimiento. Si el otro procedimiento pende en primera instancia, podrá también inhibirse, a instancia de una de las partes, si el primer tribunal es competente y la acumulación es conforme a Derecho.
Art. 82Derecho a indemnización y responsabilidadQuien sufra daños y perjuicios materiales o inmateriales por una infracción del Reglamento tiene derecho a que le indemnice el responsable o el encargado. El responsable que participe responde si la operación incumple el Reglamento; el encargado, únicamente si incumple las obligaciones dirigidas específicamente a los encargados o actúa al margen o en contra de las instrucciones legales del responsable. Quedan exentos si demuestran que no son en modo alguno responsables del hecho. Si son varios, cada uno responde de todos los daños y quien pague el total puede reclamar a los demás su parte.
Art. 83Condiciones generales para la imposición de multas administrativasLas multas han de ser en cada caso efectivas, proporcionadas y disuasorias, y se imponen a título adicional o sustitutivo de las medidas del artículo 58.2, letras a) a h) y j). Hay dos topes: 10 000 000 EUR o, en empresas, el 2 % del volumen de negocio total anual global del ejercicio anterior (apartado 4: obligaciones del responsable y del encargado, de los organismos de certificación y del de supervisión); y 20 000 000 EUR o el 4 % (apartados 5 y 6: principios básicos, derechos de los interesados, transferencias, incumplimiento de resoluciones). Siempre se opta por la mayor cuantía.
Art. 84SancionesLos Estados miembros establecen las normas sobre otras sanciones aplicables a las infracciones del Reglamento, en particular las que no se sancionen con multas administrativas conforme al artículo 83, y adoptan todas las medidas necesarias para garantizar su observancia. Esas sanciones han de ser efectivas, proporcionadas y disuasorias. Cada Estado notifica a la Comisión las disposiciones legislativas que adopte a más tardar el 25 de mayo de 2018 y, sin dilación, cualquier modificación posterior.
Art. 85Tratamiento y libertad de expresión y de informaciónLos Estados miembros conciliarán por ley el derecho a la protección de datos con la libertad de expresión y de información, incluido el tratamiento con fines periodísticos y de expresión académica, artística o literaria. Para esos tratamientos establecerán exenciones o excepciones de los capítulos II, III, IV, V, VI, VII y IX, si son necesarias para esa conciliación. Cada Estado notificará a la Comisión las disposiciones legislativas que adopte y, sin dilación, cualquier modificación posterior, legislativa u otra.
Art. 86Tratamiento y acceso del público a documentos oficialesLos datos personales de documentos oficiales en posesión de una autoridad pública, un organismo público o una entidad privada para la realización de una misión en interés público podrán ser comunicados por esa autoridad, organismo o entidad de conformidad con el Derecho de la Unión o de los Estados miembros que se les aplique, a fin de conciliar el acceso del público a documentos oficiales con el derecho a la protección de los datos personales.
Art. 87Tratamiento del número nacional de identificaciónLos Estados miembros podrán determinar adicionalmente las condiciones específicas para el tratamiento de un número nacional de identificación o de cualquier otro medio de identificación de carácter general. En ese caso, el número o el medio de identificación se utilizará únicamente con las garantías adecuadas para los derechos y las libertades del interesado con arreglo al Reglamento.
Art. 88Tratamiento en el ámbito laboralLos Estados miembros podrán, mediante disposiciones legislativas o convenios colectivos, establecer normas más específicas sobre el tratamiento de datos de los trabajadores en el ámbito laboral (contratación, organización del trabajo, salud y seguridad, extinción…). Esas normas incluirán medidas para preservar la dignidad humana, los intereses legítimos y los derechos fundamentales, con especial atención a la transparencia, a la transferencia de datos dentro de un grupo empresarial y a los sistemas de supervisión. Se notifican a la Comisión a más tardar el 25 de mayo de 2018.
Art. 89Garantías y excepciones aplicables al tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticosEl tratamiento con fines de archivo en interés público, de investigación científica o histórica o estadísticos está sujeto a garantías adecuadas: medidas técnicas y organizativas, en particular para la minimización de datos, que podrán incluir la seudonimización. El Derecho de la Unión o de los Estados miembros puede exceptuar los derechos de los artículos 15, 16, 18 y 21 (investigación científica o histórica o estadísticos) y los de los artículos 15, 16, 18, 19, 20 y 21 (archivo en interés público). Si el tratamiento sirve también a otro fin, las excepciones solo valen para esos fines.
Art. 90Obligaciones de secretoLos Estados miembros podrán adoptar normas específicas para fijar los poderes de las autoridades de control del artículo 58.1, letras e) y f), respecto de responsables o encargados sujetos a secreto profesional o a otras obligaciones de secreto equivalentes, cuando sea necesario y proporcionado para conciliar la protección de datos con la obligación de secreto. Solo se aplican a los datos recibidos como resultado o con ocasión de la actividad cubierta por el secreto. Se notifican a la Comisión a más tardar el 25 de mayo de 2018 y, sin dilación, sus modificaciones posteriores.
Art. 91Normas vigentes sobre protección de datos de las iglesias y asociaciones religiosasSi en un Estado miembro iglesias, asociaciones o comunidades religiosas aplican, en el momento de la entrada en vigor del Reglamento, un conjunto de normas de protección de las personas físicas en lo que respecta al tratamiento, podrán seguir aplicándolas siempre que sean conformes con el Reglamento. Las iglesias y asociaciones religiosas que las apliquen estarán sujetas al control de una autoridad de control independiente, que podrá ser específica si cumple las condiciones del capítulo VI.
Art. 92Ejercicio de la delegaciónLa delegación de poderes de los artículos 12.8 y 43.8 se otorga a la Comisión por tiempo indefinido a partir del 24 de mayo de 2016. El Parlamento Europeo o el Consejo pueden revocarla en cualquier momento; la revocación surte efecto al día siguiente de su publicación en el Diario Oficial de la Unión Europea o en la fecha posterior que indique, y no afecta a los actos delegados ya en vigor. La Comisión notifica cada acto delegado simultáneamente a ambos, y el acto solo entra en vigor si en tres meses ninguno formula objeciones; el plazo se amplía tres meses a iniciativa de uno u otro.
Art. 93Procedimiento de comitéLa Comisión estará asistida por un comité, que será un comité en el sentido del Reglamento (UE) n.º 182/2011. Cuando se haga referencia al apartado 2 de este artículo, se aplicará el artículo 5 de ese Reglamento; cuando se haga referencia al apartado 3, se aplicará su artículo 8, en relación con su artículo 5.
Art. 94Derogación de la Directiva 95/46/CEQueda derogada la Directiva 95/46/CE con efecto a partir del 25 de mayo de 2018. Toda referencia a la Directiva derogada se entenderá hecha al Reglamento, y toda referencia al Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, establecido por el artículo 29 de esa Directiva, se entenderá hecha al Comité Europeo de Protección de Datos establecido por el Reglamento.
Art. 95Relación con la Directiva 2002/58/CEEl Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión, en los ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE.
Art. 96Relación con acuerdos celebrados anteriormenteLos acuerdos internacionales que impliquen la transferencia de datos personales a terceros países u organizaciones internacionales, celebrados por los Estados miembros antes del 24 de mayo de 2016 y que cumplan lo dispuesto en el Derecho de la Unión aplicable antes de esa fecha, seguirán en vigor hasta que sean modificados, sustituidos o revocados.
Art. 97Informes de la ComisiónA más tardar el 25 de mayo de 2020, y después cada cuatro años, la Comisión presentará al Parlamento Europeo y al Consejo un informe sobre la evaluación y revisión del Reglamento; los informes se harán públicos. Examinará en particular el capítulo V (transferencias a países terceros u organizaciones internacionales) y el capítulo VII (cooperación y coherencia). Puede solicitar información a los Estados miembros y a las autoridades de control, tendrá en cuenta las posiciones y conclusiones del Parlamento Europeo y del Consejo y, en caso necesario, propondrá modificar el Reglamento.
Art. 98Revisión de otros actos jurídicos de la Unión en materia de protección de datosLa Comisión presentará, si procede, propuestas legislativas para modificar otros actos jurídicos de la Unión en materia de protección de datos personales, a fin de garantizar la protección uniforme y coherente de las personas físicas en relación con el tratamiento. Se tratará en particular de las normas sobre el tratamiento por parte de las instituciones, órganos y organismos de la Unión y sobre la libre circulación de tales datos.
Art. 99Entrada en vigor y aplicaciónEl Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea y será aplicable a partir del 25 de mayo de 2018. Son dos momentos distintos: el de la entrada en vigor, fijado por un plazo desde la publicación, y el de la aplicación, fijado por una fecha concreta.