Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a un marco para la libre circulaci髇 de datos no personales en la Uni髇 Europea

• 

  La administración digital en la era de las tecnologías disruptivas

  Libros
  Desde 82,00 €
  
  (IVA Inc.)
  Más info.
• 

  Manual de Presupuestos y Contabilidad de las Corporaciones Locales. 10ª edición

  Libros
  Desde 100,78 €
  
  (IVA Inc.)
  Más info.
• 

  Práctica Urbanística

  Periódicos y Revistas
  308,88 €
  343,20 €
  (IVA Inc.)
  Más info.
• 

  Actualidad Administrativa

  Periódicos y Revistas
  554,32 €
  
  (IVA Inc.)
  Más info.

Sumario

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNI覰 EUROPEA,

Visto el Tratado de Funcionamiento de la Uni髇 Europea, y en particular su art韈ulo 114,

Vista la propuesta de la Comisi髇 Europea,

Previa transmisi髇 del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comit� Econ髆ico y Social Europeo (1) ,

Previa consulta al Comit� de las Regiones,

De conformidad con el procedimiento legislativo ordinario (2) ,

Considerando lo siguiente:

• (1) La digitalizaci髇 de la econom韆 se est� acelerando. Las tecnolog韆s de la informaci髇 y la comunicaci髇 ya no son un sector espec韋ico sino el fundamento de todos los sistemas econ髆icos y sociedades innovadores modernos. Los datos electr髇icos se encuentran en el centro de esos sistemas y pueden generar un gran valor cuando se analizan o combinan con servicios y productos. Al mismo tiempo, el r醦ido desarrollo de la econom韆 de los datos y las tecnolog韆s emergentes, como la inteligencia artificial, productos y servicios del 玦nternet de las cosas�, sistemas aut髇omos y la tecnolog韆 5G, est醤 planteando problemas jur韉icos nuevos en torno a las cuestiones del acceso a los datos y su reutilizaci髇, la responsabilidad, la 閠ica y la solidaridad. Se deber韆 considerar trabajar el 醡bito de la responsabilidad, en particular mediante la aplicaci髇 de c骴igos de autorregulaci髇 y otras buenas pr醕ticas, teniendo en cuenta recomendaciones, decisiones y acciones adoptadas sin interacci髇 humana a lo largo de toda la cadena de valor del tratamiento de datos. Ese trabajo tambi閚 puede incluir mecanismos adecuados para la determinaci髇 de responsabilidad, la transmisi髇 de responsabilidad entre servicios complementarios, los seguros y la auditor韆.
• (2) Las cadenas de valor de datos se basan en diferentes actividades relativas a los datos: creaci髇 y recopilaci髇 de datos; agregaci髇 y organizaci髇 de datos; tratamiento de datos; an醠isis, comercializaci髇 y distribuci髇 de datos; utilizaci髇 y reutilizaci髇 de datos. El funcionamiento eficaz y eficiente del tratamiento de datos es un componente fundamental en toda la cadena de valor de datos. No obstante, el funcionamiento eficaz y eficiente del tratamiento de datos y el desarrollo de la econom韆 de los datos en la Uni髇 se ven dificultados, en particular, por dos tipos de obst醕ulos a la movilidad de los datos y al mercado interior: los requisitos de localizaci髇 de datos establecidos por las autoridades de los Estados miembros y las pr醕ticas de dependencia de un solo proveedor en el sector privado.
• (3) La libertad de establecimiento y la libre prestaci髇 de servicios en virtud del Tratado de Funcionamiento de la Uni髇 Europea (TFUE) se aplican a los servicios de tratamiento de datos. No obstante, la prestaci髇 de tales servicios se ve dificultada o en algunas ocasiones impedida por determinados requisitos nacionales, regionales o locales que exigen que los datos se localicen en un territorio espec韋ico.
• (4) Tales obst醕ulos a la libre circulaci髇 de servicios de tratamiento de datos y a la libertad de establecimiento de los proveedores de servicios tienen su origen en los requisitos establecidos en la legislaci髇 de los Estados miembros para que los datos se localicen en una zona o territorio geogr醘ico espec韋ico a efectos del tratamiento de datos. Otras normas o pr醕ticas administrativas tienen un efecto equivalente mediante la imposici髇 de requisitos espec韋icos que hacen m醩 dif韈il tratar los datos fuera de una zona o territorio geogr醘ico espec韋ico dentro de la Uni髇, como los requisitos para utilizar instalaciones tecnol骻icas certificadas o aprobadas en un determinado Estado miembro. La inseguridad jur韉ica en cuanto al alcance de los requisitos leg韙imos e ileg韙imos en materia de localizaci髇 de datos limita a鷑 m醩 las opciones a disposici髇 de los agentes del mercado y del sector p鷅lico relativas a la localizaci髇 del tratamiento de datos. El presente Reglamento no limita de forma alguna la libertad de las empresas para celebrar contratos en los que se especifique d髇de deben localizarse los datos. Su finalidad es simplemente preservar esa libertad garantizando que la localizaci髇 acordada pueda situarse en cualquier lugar de la Uni髇.
• (5) Al mismo tiempo, la movilidad de los datos en la Uni髇 tambi閚 est� inhibida por restricciones privadas: cuestiones jur韉icas, contractuales y t閏nicas que obstaculizan o impiden a los usuarios de los servicios de tratamiento de datos trasladar sus datos de un proveedor de servicios a otro o a sus propios sistemas inform醫icos, especialmente en el momento en que finalice su contrato con un proveedor de servicios.
• (6) La combinaci髇 de esos obst醕ulos ha generado una falta de competencia entre los proveedores de servicios en nube en la Uni髇, diversos problemas de dependencia de un solo proveedor y una grave falta de movilidad de los datos. Asimismo, las pol韙icas de localizaci髇 de datos han menoscabado la capacidad de las empresas de investigaci髇 y desarrollo para facilitar la colaboraci髇 entre empresas, universidades y otras organizaciones dedicadas a la investigaci髇 con el fin de impulsar la innovaci髇.
• (7) La existencia de un conjunto 鷑ico de normas para todos los participantes en el mercado constituye un elemento clave del funcionamiento del mercado interior por motivos de seguridad jur韉ica y por la necesidad de que exista una igualdad de condiciones en la Uni髇. Con objeto de eliminar obst醕ulos al comercio y distorsiones de la competencia como consecuencia de las divergencias existentes entre las normativas nacionales, e impedir el surgimiento de otros probables obst醕ulos al comercio e importantes distorsiones de la competencia, es necesario adoptar normas uniformes aplicables en todos los Estados miembros.
• (8) El marco jur韉ico relativo a la protecci髇 de las personas f韘icas en lo que ata馿 al tratamiento de datos personales y el relativo al respeto de la vida privada y a la protecci髇 de los datos personales en las comunicaciones electr髇icas, y en particular el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (3) , y las Directivas (UE) 2016/680 (4) y 2002/58/CE (5) del Parlamento Europeo y del Consejo, no se ven afectados por el presente Reglamento.
• (9) La expansi髇 del 玦nternet de las cosas�, la inteligencia artificial y el aprendizaje autom醫ico representan las principales fuentes de datos no personales, por ejemplo como resultado de su despliegue en procesos de producci髇 industrial automatizada. Entre los ejemplos espec韋icos de datos no personales se encuentran los conjuntos de datos agregados y anonimizados utilizados para an醠isis de datos a gran escala, los datos sobre agricultura de precisi髇 que pueden ayudar a controlar y optimizar la utilizaci髇 de plaguicidas y de agua, o los datos sobre las necesidades de mantenimiento de m醧uinas industriales. Si los avances tecnol骻icos hicieran posible transformar datos an髇imos en datos personales, dichos datos se deben tratar como datos personales y, en consecuencia, se debe aplicar el Reglamento (UE) 2016/679.
• (10) En virtud del Reglamento (UE) 2016/679, los Estados miembros no pueden restringir ni prohibir la libre circulaci髇 de datos personales en la Uni髇 por motivos relacionados con la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales. El presente Reglamento establece el mismo principio de libre circulaci髇 en la Uni髇 de datos no personales salvo cuando una restricci髇 o prohibici髇 se justifique por razones de seguridad p鷅lica. El Reglamento (UE) 2016/679 y el presente Reglamento ofrecen una serie de normas coherentes que prev閚 la libre circulaci髇 de diferentes tipos de datos. Por otro lado, el presente Reglamento no impone la obligaci髇 de almacenar los distintos tipos de datos de forma separada.
• (11) A fin de crear un marco para la libre circulaci髇 de datos no personales en la Uni髇 y las bases para desarrollar la econom韆 de los datos y mejorar la competitividad de la industria de la Uni髇, es necesario instaurar un marco jur韉ico claro, exhaustivo y previsible para el tratamiento de datos que no tengan car醕ter personal en el mercado interior. Un enfoque basado en principios que facilite la cooperaci髇 entre los Estados miembros, as� como la autorregulaci髇, debe garantizar que el marco sea lo suficientemente flexible para tener en cuenta las necesidades cambiantes de los usuarios, proveedores de servicios y autoridades nacionales en la Uni髇. Para evitar el riesgo de solapamientos con los mecanismos existentes, de modo que se eviten cargas m醩 onerosas tanto para los Estados miembros como para las empresas, no deben establecerse normas t閏nicas detalladas.
• (12) El presente Reglamento no debe afectar al tratamiento de los datos en la medida en que se efect鷈 como parte de una actividad que no entre en el 醡bito de aplicaci髇 del Derecho de la Uni髇. En particular, procede recordar que, de conformidad con el art韈ulo 4 del Tratado de la Uni髇 Europea (en lo sucesivo, 玊UE�), la seguridad nacional es responsabilidad exclusiva de cada Estado miembro.
• (13) La libre circulaci髇 de datos en la Uni髇 va a desempe馻r un papel importante para alcanzar un crecimiento y una innovaci髇 basados en datos. Como sucede con las empresas y los consumidores, las autoridades y organismos de Derecho p鷅lico de los Estados miembros pueden beneficiarse de una mayor libertad de elecci髇 en lo relativo a los proveedores de servicios basados en datos, precios m醩 competitivos y una prestaci髇 de servicios a los ciudadanos m醩 eficiente. Habida cuenta de las grandes cantidades de datos que gestionan las autoridades y organismos de Derecho p鷅lico, resulta de vital importancia que prediquen con el ejemplo en la implantaci髇 de servicios de tratamiento de datos, y que se abstengan de imponer restricciones en materia de localizaci髇 de datos cuando hagan uso de servicios de tratamiento de datos. Por consiguiente, el presente Reglamento se aplica a las autoridades y organismos de Derecho p鷅lico. A este respecto, el principio de libre circulaci髇 de datos no personales contemplado en el presente Reglamento tambi閚 se debe aplicar a pr醕ticas administrativas generales y coherentes y a otros requisitos de localizaci髇 de datos en el 醡bito de la contrataci髇 p鷅lica, sin perjuicio de la Directiva 2014/24/UE del Parlamento Europeo y del Consejo (6) .
• (14) Como en el caso de la Directiva 2014/24/UE, el presente Reglamento se entiende sin perjuicio de disposiciones legales, reglamentarias y administrativas relativas a la organizaci髇 interna de los Estados miembros por las que se atribuyan a autoridades u organismos de Derecho p鷅lico competencias o responsabilidades para el tratamiento de datos sin remuneraci髇 contractual de personas o entidades privadas, as� como disposiciones legales, reglamentarias y administrativas de los Estados miembros que establecen la aplicaci髇 de esas competencias o responsabilidades. Si bien se anima a las autoridades y organismos p鷅licos a considerar las ventajas econ髆icas o de otra 韓dole de contratar proveedores de servicios externos, pueden tener razones leg韙imas para decidir la autoprestaci髇 de dichos servicios o su encomienda a otro organismo del sector p鷅lico. En consecuencia, nada en el presente Reglamento obliga a los Estados miembros a contratar o externalizar la prestaci髇 de servicios que deseen prestar ellos mismos u organizar por medios distintos de contratos p鷅licos.
• (15) El presente Reglamento debe aplicarse a las personas f韘icas o jur韉icas que presten servicios de tratamiento de datos a usuarios que residan o tengan un establecimiento en la Uni髇, incluidas aquellas que presten servicios de tratamiento de datos en la Uni髇 sin tener un establecimiento en esta. El presente Reglamento no se aplicar�, por tanto, al servicio de tratamiento de datos que tenga lugar fuera de la Uni髇 ni a los requisitos de localizaci髇 relativos a esos datos.
• (16) El presente Reglamento no establece normas relativas a la determinaci髇 de la ley aplicable en materia mercantil y, por tanto, se entiende sin perjuicio del Reglamento (CE) n.� 593/2008 del Parlamento Europeo y del Consejo (7) . En particular, en la medida en que la ley aplicable a un contrato no se haya elegido de conformidad con dicho Reglamento, un contrato de prestaci髇 de servicios se rige, en principio, por la ley del pa韘 de residencia habitual del prestador del servicio.
• (17) El presente Reglamento debe aplicarse al tratamiento de datos en sentido amplio, abarcando el uso de todo tipo de sistemas inform醫icos, tanto si est醤 situados en las instalaciones del usuario como si est醤 externalizados a un proveedor de servicios. Debe incluir el tratamiento de datos de distintos grados de intensidad, desde el almacenamiento de datos [infraestructura como servicio (IaaS)] hasta el tratamiento de datos en plataforma[plataforma como servicio (PaaS)] o en aplicaciones [software como servicio (SaaS)].
• (18) Los requisitos de localizaci髇 de datos constituyen un claro obst醕ulo a la libre prestaci髇 de servicios de tratamiento de datos en la Uni髇 y al mercado interior. Como tales, deben ser prohibidos a menos que est閚 justificados por motivos de seguridad p鷅lica, tal como los define el Derecho de la Uni髇, en particular en el sentido del art韈ulo 52 del TFUE, y que respeten el principio de proporcionalidad establecido en el art韈ulo 5 del TUE. Para dar efecto al principio de libre circulaci髇 de datos no personales a trav閟 de las fronteras, garantizar la r醦ida supresi髇 de los actuales requisitos de localizaci髇 de datos y permitir, por razones operativas, el tratamiento de datos en m鷏tiples lugares en la Uni髇, y dado que el presente Reglamento establece medidas para garantizar la disponibilidad de los datos para fines de control normativo, los Estados miembros solo han de poder invocar la seguridad p鷅lica como justificaci髇 de los requisitos de localizaci髇 de datos.
• (19) El concepto de 玸eguridad p鷅lica�, en el sentido del art韈ulo 52 del TFUE y seg鷑 la interpretaci髇 del Tribunal de Justicia, abarca la seguridad interna y externa de un Estado miembro, as� como cuestiones de orden p鷅lico, para, en particular, permitir la investigaci髇, detecci髇 y enjuiciamiento de infracciones penales. Presupone la existencia de una amenaza real y suficientemente grave que afecte a uno de los intereses fundamentales de la sociedad, tales como una amenaza al funcionamiento de las instituciones y los servicios p鷅licos esenciales y la supervivencia de la poblaci髇, as� como el riesgo de una perturbaci髇 grave de las relaciones exteriores o la coexistencia pac韋ica de las naciones, o un riesgo para los intereses militares. De conformidad con el principio de proporcionalidad, los requisitos de localizaci髇 de datos justificados por motivos de seguridad p鷅lica deben ser adecuados al objetivo perseguido, y no deben ir m醩 all� de lo que sea necesario para alcanzar dicho objetivo.
• (20) A fin de garantizar la aplicaci髇 efectiva del principio de libre circulaci髇 de datos no personales a trav閟 de las fronteras e impedir la aparici髇 de nuevos obst醕ulos al buen funcionamiento del mercado interior, los Estados miembros deben comunicar inmediatamente a la Comisi髇 cualquier proyecto de acto que introduzca un nuevo requisito de localizaci髇 de datos o modifique un requisito existente. Estos proyectos de acto deben presentarse y valorarse de conformidad con la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo (8) .
• (21) Adem醩, a fin de eliminar obst醕ulos que puedan existir, durante un per韔do transitorio de veinticuatro meses a partir de la fecha de aplicaci髇 del presente Reglamento, los Estados miembros deben llevar a cabo una revisi髇 de las disposiciones legales, reglamentarias o administrativas nacionales de car醕ter general vigentes por las que se establecen requisitos de localizaci髇 de datos y comunicar a la Comisi髇 los requisitos de localizaci髇 de datos que consideren que cumplen lo dispuesto en el presente Reglamento, junto con una justificaci髇. Esto debe permitir a la Comisi髇 examinar el cumplimiento de los restantes requisitos de localizaci髇 de datos. La Comisi髇 debe poder formular observaciones al Estado miembro en cuesti髇. Dichas observaciones podr韆n incluir una recomendaci髇 para modificar o derogar el requisito de localizaci髇 de datos.
• (22) Las obligaciones establecidas en el presente Reglamento de comunicar a la Comisi髇 los requisitos de localizaci髇 de datos vigentes y los proyectos de acto se deben aplicar a los requisitos normativos de localizaci髇 de datos y a los proyectos de acto de car醕ter general, pero no a las decisiones dirigidas a una persona f韘ica o jur韉ica espec韋ica.
• (23) A fin de garantizar la transparencia de los requisitos de localizaci髇 de datos en los Estados miembros establecida en una disposici髇 legal, reglamentaria o administrativa de car醕ter general para las personas f韘icas y jur韉icas, como los proveedores de servicios y los usuarios de los servicios de tratamiento de datos, los Estados miembros deben publicar informaci髇 sobre dichos requisitos en un punto 鷑ico nacional de informaci髇 en l韓ea sobre esas medidas y actualizar dicha informaci髇 peri骴icamente. Como alternativa, los Estados miembros deben proporcionar informaci髇 actualizada sobre tales requisitos a un punto central de informaci髇 establecido en virtud de otro acto de la Uni髇. Con el fin de informar debidamente a las personas f韘icas y jur韉icas de los requisitos de localizaci髇 de datos en el conjunto de la Uni髇, los Estados miembros deben notificar a la Comisi髇 las direcciones de dichos puntos 鷑icos nacionales de informaci髇 en l韓ea. La Comisi髇 debe publicar esta informaci髇 en su propio sitio web, junto con una lista consolidada y actualizada peri骴icamente de todos los requisitos de localizaci髇 de datos en vigor en los Estados miembros, incluida informaci髇 resumida sobre dichos requisitos.
• (24) Los requisitos de localizaci髇 de datos a menudo se derivan de una falta de confianza en el tratamiento transfronterizo de datos, derivada de la supuesta indisponibilidad de datos para los fines de las autoridades competentes de los Estados miembros, como la inspecci髇 y la auditor韆 en el marco de un control normativo o de vigilancia. Esa falta de confianza no se puede superar 鷑icamente a trav閟 de la nulidad de las condiciones contractuales que proh韇an un acceso leg韙imo a los datos por parte de las autoridades competentes para el ejercicio de sus funciones oficiales. Por consiguiente, el presente Reglamento debe establecer claramente que no afecta a las competencias de las autoridades competentes de solicitar u obtener acceso a los datos de conformidad con el Derecho de la Uni髇 o nacional, y que no se puede denegar el acceso a los datos a las autoridades competentes alegando que los datos se tratan en otro Estado miembro. Las autoridades competentes podr韆n imponer requisitos funcionales para apoyar el acceso a los datos, como exigir que las descripciones del sistema se guarden en el Estado miembro en cuesti髇.
• (25) Las personas f韘icas o jur韉icas sujetas a la obligaci髇 de facilitar datos a las autoridades competentes pueden cumplir tales obligaciones proporcionando y garantizando el acceso electr髇ico efectivo y en tiempo oportuno a los datos a dichas autoridades, con independencia del Estado miembro en cuyo territorio los datos sean tratados. Este acceso puede garantizarse a trav閟 de cl醬sulas y condiciones concretas incluidas en los contratos entre la persona f韘ica o jur韉ica sujeta a la obligaci髇 de proporcionar el acceso y el proveedor de servicios.
• (26) Cuando una persona f韘ica o jur韉ica est� sujeta a una obligaci髇 de facilitar datos e incumpla dicha obligaci髇, la autoridad competente debe poder solicitar la asistencia de las autoridades competentes en otros Estados miembros. En tales casos, las autoridades competentes deben utilizar instrumentos de cooperaci髇 espec韋icos de Derecho de la Uni髇 o en virtud de convenios internacionales, en funci髇 del asunto en un caso concreto, como por ejemplo, en el 醡bito de la cooperaci髇 policial, la justicia penal o civil o en asuntos administrativos, respectivamente, la Decisi髇 Marco 2006/960/JAI del Consejo (9) , la Directiva 2014/41/UE del Parlamento Europeo y del Consejo (10) , el Convenio sobre la Ciberdelincuencia del Consejo de Europa (11) , el Reglamento (CE) n.� 1206/2001 del Consejo (12) , la Directiva 2006/112/CE del Consejo (13) y el Reglamento (UE) n.� 904/2010 del Consejo (14) . En ausencia de tales mecanismos de cooperaci髇 espec韋icos, las autoridades competentes deben cooperar entre ellas con el fin de proporcionar acceso a los datos solicitados, a trav閟 de puntos de contacto 鷑icos designados.
• (27) Cuando una solicitud de asistencia implique obtener el acceso a todos los locales de una persona f韘ica o jur韉ica, incluidos cualesquiera equipos y medios de tratamiento de datos, por la autoridad requerida, dicho acceso debe ajustarse al Derecho de la Uni髇 o al Derecho procesal nacional, incluido cualquier requisito para obtener autorizaci髇 judicial previa.
• (28) El presente Reglamento no debe permitir a los usuarios intentar eludir la aplicaci髇 del Derecho nacional. Por tanto, procede disponer que los Estados miembros impongan sanciones efectivas, proporcionadas y disuasorias a los usuarios que impidan a las autoridades competentes obtener el acceso a sus datos necesarios para el ejercicio de las funciones oficiales de dichas autoridades en virtud del Derecho de la Uni髇 y nacional. En casos de urgencia, cuando un usuario abuse de su derecho, los Estados miembros han de poder imponer medidas provisionales estrictamente proporcionadas. Toda medida provisional que exija la relocalizaci髇 de los datos por un per韔do superior a 180 d韆s a partir de la relocalizaci髇 se apartar韆 del principio de libre circulaci髇 de datos por un per韔do importante y, en consecuencia, se debe comunicar a la Comisi髇 para examinar su compatibilidad con el Derecho de la Uni髇.
• (29) La capacidad para trasladar datos sin trabas es un factor clave que favorece las posibilidades de elecci髇 de los usuarios y la competencia efectiva en los mercados de servicios de tratamiento de datos. Las dificultades reales o percibidas para la portabilidad de datos a trav閟 de las fronteras tambi閚 socavan la confianza de los usuarios profesionales en las ofertas transfronterizas y, por tanto, su confianza en el mercado interior. Mientras que los consumidores particulares se benefician del Derecho vigente de la Uni髇, la capacidad de cambiar de un proveedor de servicios a otro no se facilita a aquellos usuarios que act鷄n en el marco de sus actividades empresariales o profesionales. Unos requisitos t閏nicos coherentes en toda la Uni髇, ya sea en lo referente a una armonizaci髇 t閏nica, al reconocimiento mutuo o a una armonizaci髇 voluntaria, tambi閚 contribuyen al desarrollo de un mercado interior competitivo de servicios de tratamiento de datos.
• (30) Para gozar plenamente de las ventajas del entorno competitivo, los usuarios profesionales deben poder tomar decisiones con conocimiento de causa y comparar f醕ilmente los componentes individuales de diferentes servicios de tratamiento de datos ofrecidos en el mercado interior, en particular en lo que ata馿 a las cl醬sulas y condiciones contractuales de la portabilidad de datos al finalizar un contrato. Con el fin de adaptarse al potencial innovador del mercado y tener en cuenta la experiencia y la competencia de los proveedores de servicios y usuarios profesionales de servicios de tratamiento de datos, la informaci髇 detallada y los requisitos operativos para la portabilidad de datos deben ser definidos por los agentes del mercado a trav閟 de la autorregulaci髇, fomentada, facilitada y supervisada por la Comisi髇, en forma de c骴igos de conducta de la Uni髇 que pueden incluir y cl醬sulas y condiciones contractuales tipo.
• (31) Para que sea eficaz y hacer m醩 f醕il el cambio de proveedor de servicios y la portabilidad de datos, dichos c骴igos de conducta deben ser detallados y tratar al menos los aspectos clave que son importantes durante el proceso de traslado de los datos, como son los procedimientos utilizados para efectuar copias de seguridad de los datos o la ubicaci髇 de dichas copias, los formatos y soportes de datos disponibles, la configuraci髇 inform醫ica necesaria y el ancho de banda m韓imo, el tiempo necesario antes de iniciar el proceso de traslado y el tiempo durante el cual los datos van a seguir estando disponibles para su traslado y las garant韆s de acceso a los datos en caso de quiebra del proveedor del servicio. Los c骴igos de conducta tambi閚 deben aclarar que la dependencia de un solo proveedor no es una pr醕tica comercial aceptable, deben prever tecnolog韆s que aumenten la confianza y deben actualizarse peri骴icamente para seguir la evoluci髇 tecnol骻ica. La Comisi髇 debe asegurarse que durante el proceso se consulte a todos los interesados, incluidas las asociaciones de peque馻s y medianas empresas (en lo sucesivo, 玴ymes�), las empresas emergentes, los usuarios y proveedores de servicios en nube. La Comisi髇 debe evaluar el desarrollo y la eficacia de la aplicaci髇 de tales c骴igos de conducta.
• (32) Cuando una autoridad competente de un Estado miembro solicite la asistencia de otro Estado miembro para obtener acceso a los datos conforme al presente Reglamento, debe presentar, a trav閟 del punto de contacto 鷑ico designado, una solicitud debidamente motivada al punto de contacto 鷑ico designado de este 鷏timo, incluida una explicaci髇 por escrito de los motivos y los fundamentos jur韉icos para solicitar el acceso a los datos. El punto de contacto 鷑ico designado por el Estado miembro cuya asistencia se solicita debe facilitar la transmisi髇 de la solicitud a la autoridad competente en el Estado miembro requerido. Para garantizar una cooperaci髇 eficaz, la autoridad a la que se transmite una solicitud debe prestar asistencia sin demora indebida en respuesta a una solicitud determinada o facilitar informaci髇 sobre las dificultades experimentadas al cumplimentar dicha solicitud o sobre sus motivos para denegarla.
• (33) Aumentar la confianza en la seguridad del tratamiento de datos transfronterizo debe reducir la propensi髇 de los agentes del mercado y del sector p鷅lico a utilizar la localizaci髇 de datos como un indicador para la seguridad de estos. Tambi閚 debe mejorar la seguridad jur韉ica para las empresas en lo referente al cumplimiento de los requisitos de seguridad aplicables cuando externalizan sus actividades de tratamiento de datos a proveedores de servicios, incluidos los de otros Estados miembros.
• (34) Cualesquiera requisitos de seguridad relacionados con el tratamiento de datos que se apliquen de forma justificada y proporcionada sobre la base del Derecho de la Uni髇 o nacional de conformidad con el Derecho de la Uni髇 en el Estado miembro de residencia o establecimiento de las personas f韘icas o jur韉icas cuyos datos se vean afectados deben seguir aplic醤dose al tratamiento de dichos datos en otro Estado miembro. Estas personas f韘icas o jur韉icas deben poder cumplir tales requisitos por s� mismos o a trav閟 de cl醬sulas contractuales en los contratos con los proveedores de servicios.
• (35) Los requisitos de seguridad establecidos a nivel nacional deben ser necesarios y proporcionados respecto de los riesgos que se planteen para la seguridad del tratamiento de datos en el 醡bito de aplicaci髇 del Derecho nacional en el que se establezcan tales requisitos.
• (36) La Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo (15) prev� medidas jur韉icas para incrementar el nivel general de ciberseguridad en la Uni髇. Los servicios de tratamiento de datos constituyen uno de los servicios digitales a los que se aplica dicha Directiva. Seg鷑 dicha Directiva, los Estados miembros deben velar por que los proveedores de servicios digitales determinen y adopten medidas t閏nicas y organizativas adecuadas y proporcionadas para gestionar los riesgos existentes para la seguridad de las redes y los sistemas de informaci髇 que utilizan. Tales medidas deben garantizar un nivel de seguridad adecuado en relaci髇 con el riesgo planteado, y deben tener en cuenta la seguridad de los sistemas e instalaciones, la gesti髇 de incidentes, la gesti髇 de la continuidad de las actividades, la supervisi髇, auditor韆s y pruebas, y el cumplimiento de las normas internacionales. Estos elementos se deben especificar en mayor medida por la Comisi髇 en actos de ejecuci髇 en virtud de dicha Directiva.
• (37) La Comisi髇 debe presentar un informe sobre la aplicaci髇 del presente Reglamento, en particular con vistas a determinar si es preciso modificarlo a la luz de los avances tecnol骻icos o de la evoluci髇 del mercado. Ese informe debe, en particular, evaluar el presente Reglamento, especialmente su aplicaci髇 a los conjuntos de datos compuestos tanto por datos personales como no personales, as� como la aplicaci髇 de la excepci髇 de seguridad p鷅lica. Antes de que el presente Reglamento se empiece a aplicar, la Comisi髇 debe asimismo publicar orientaciones informativas sobre el modo de tratar los conjuntos de datos compuestos tanto por datos personales como no personales, para que las empresas, incluidas las pymes, comprendan mejor la interacci髇 entre el presente Reglamento y el Reglamento (UE) 2016/679, y garantizar que se cumplan ambos Reglamentos.
• (38) El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos, en particular, por la Carta de los Derechos Fundamentales de la Uni髇 Europea, y debe interpretarse y aplicarse de conformidad con dichos derechos y principios, en particular el derecho a la protecci髇 de datos de car醕ter personal, la libertad de expresi髇 y de informaci髇 y la libertad de empresa.
• (39) Dado que el objetivo del presente Reglamento, a saber, garantizar la libre circulaci髇 de datos que no tengan car醕ter personal en la Uni髇, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a sus dimensiones y efectos, puede lograrse mejor a escala de la Uni髇, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el art韈ulo 5 del TUE. De conformidad con el principio de proporcionalidad establecido en el mismo art韈ulo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.

HAN ADOPTADO EL PRESENTE REGLAMENTO: