Artículo 45 RGPD - Transferencias basadas en una decisión de adecuación

1. Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica.
2. Al evaluar la adecuación del nivel de protección, la Comisión tendrá en cuenta, en particular, los siguientes elementos:
a) el Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente, tanto general como sectorial, incluida la relativa a la seguridad pública, la defensa, la seguridad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos personales, así como la aplicación de dicha legislación, las normas de protección de datos, las normas profesionales y las medidas de seguridad, incluidas las normas sobre transferencias ulteriores de datos personales a otro tercer país u organización internacional observadas en ese país u organización internacional, la jurisprudencia, así como el reconocimiento a los interesados cuyos datos personales estén siendo transferidos de derechos efectivos y exigibles y de recursos administrativos y acciones judiciales que sean efectivos;
b) la existencia y el funcionamiento efectivo de una o varias autoridades de control independientes en el tercer país o a las cuales esté sujeta una organización internacional, con la responsabilidad de garantizar y hacer cumplir las normas en materia de protección de datos, incluidos poderes de ejecución adecuados, de asistir y asesorar a los interesados en el ejercicio de sus derechos, y de cooperar con las autoridades de control de la Unión y de los Estados miembros, y
c) los compromisos internacionales asumidos por el tercer país u organización internacional de que se trate, u otras obligaciones derivadas de acuerdos o instrumentos jurídicamente vinculantes, así como de su participación en sistemas multilaterales o regionales, en particular en relación con la protección de los datos personales.
3. La Comisión, tras haber evaluado la adecuación del nivel de protección, podrá decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2 del presente artículo. El acto de ejecución establecerá un mecanismo de revisión periódica, al menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes en el tercer país o en la organización internacional. El acto de ejecución especificará su ámbito de aplicación territorial y sectorial, y, en su caso, determinará la autoridad o autoridades de control a que se refiere el apartado 2, letra b), del presente artículo. El acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2.
4. La Comisión supervisará de manera continuada los acontecimientos en países terceros y organizaciones internacionales que puedan afectar a la efectiva aplicación de las decisiones adoptadas con arreglo al apartado 3 del presente artículo y de las decisiones adoptadas sobre la base del artículo 25, apartado 6, de la Directiva 95/46/CE.
5. Cuando la información disponible, en particular tras la revisión a que se refiere el apartado 3 del presente artículo, muestre que un tercer país, un territorio o un sector específico de ese tercer país, o una organización internacional ya no garantiza un nivel de protección adecuado a tenor del apartado 2 del presente artículo, la Comisión, mediante actos de ejecución, derogará, modificará o suspenderá, en la medida necesaria y sin efecto retroactivo, la decisión a que se refiere el apartado 3 del presente artículo. Dichos actos de ejecución se adoptarán de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2.
Por razones imperiosas de urgencia debidamente justificadas, la Comisión adoptará actos de ejecución inmediatamente aplicables de conformidad con el procedimiento a que se refiere el artículo 93, apartado 3.
6. La Comisión entablará consultas con el tercer país u organización internacional con vistas a poner remedio a la situación que dé lugar a la decisión adoptada de conformidad con el apartado 5.
7. Toda decisión de conformidad con el apartado 5 del presente artículo se entenderá sin perjuicio de las transferencias de datos personales al tercer país, a un territorio o uno o varios sectores específicos de ese tercer país, o a la organización internacional de que se trate en virtud de los artículos 46 a 49.
8. La Comisión publicará en el Diario Oficial de la Unión Europea y en su página web una lista de terceros países, territorios y sectores específicos en un tercer país, y organizaciones internacionales respecto de los cuales haya decidido que se garantiza, o ya no, un nivel de protección adecuado.
9. Las decisiones adoptadas por la Comisión en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE permanecerán en vigor hasta que sean modificadas, sustituidas o derogadas por una decisión de la Comisión adoptada de conformidad con los apartados 3 o 5 del presente artículo.

Considerandos relevantes

Preguntas frecuentes

Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.

Con arreglo al artículo 45, apartado 1, cuando la Comisión haya decidido que un tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o una organización internacional garantizan un nivel de protección adecuado, las transferencias podrán realizarse sin ninguna autorización específica. La decisión de adecuación suprime así la necesidad de recurrir a las garantías adecuadas del artículo 46 o a las excepciones del artículo 49 para las transferencias que cubre.

El apartado 2 obliga a la Comisión a tener en cuenta, en particular, el Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente, incluida la relativa a la seguridad pública, la defensa, la seguridad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos personales, las normas de protección de datos, las normas sobre transferencias ulteriores, la jurisprudencia y el reconocimiento a los interesados de derechos efectivos y exigibles y de recursos administrativos y acciones judiciales que sean efectivos. Debe considerar asimismo la existencia y el funcionamiento efectivo de una o varias autoridades de control independientes con poderes de ejecución adecuados, así como los compromisos internacionales y otras obligaciones jurídicamente vinculantes asumidos por el país u organización.

No. Con arreglo al apartado 3, el acto de ejecución debe establecer un mecanismo de revisión periódica, al menos cada cuatro años, y en virtud del apartado 4 la Comisión supervisa de manera continuada los acontecimientos relevantes. Cuando la información disponible muestre que la adecuación ya no está garantizada, el apartado 5 exige que la Comisión derogue, modifique o suspenda la decisión mediante actos de ejecución, en la medida necesaria y sin efecto retroactivo, y el apartado 6 la obliga a entablar consultas con el país u organización con vistas a poner remedio a la situación.

Sí. Los apartados 1 y 3 contemplan expresamente decisiones que abarquen un territorio o uno o varios sectores específicos de un tercer país, y el acto de ejecución debe especificar su ámbito de aplicación territorial y sectorial. La adecuación puede por tanto circunscribirse, por ejemplo, a una categoría definida de destinatarios o a un sector concreto en lugar de a la totalidad de la jurisdicción.

Toda decisión adoptada en virtud del apartado 5 se entiende sin perjuicio de las transferencias realizadas en virtud de los artículos 46 a 49, como precisa el apartado 7, de modo que los exportadores pueden acogerse a las garantías adecuadas o a las excepciones. El apartado 8 exige que la Comisión publique en el Diario Oficial de la Unión Europea y en su página web la lista de países, territorios, sectores y organizaciones respecto de los cuales se garantiza, o ya no, un nivel de protección adecuado, y el apartado 9 mantiene en vigor las decisiones adoptadas en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE hasta que sean modificadas, sustituidas o derogadas.