Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevenci髇, investigaci髇, detecci髇 o enjuiciamiento de infracciones penales o de ejecuci髇 de sanciones penales, y a la libre circulaci髇 de dichos datos y por la que se deroga la Decisi髇 Marco 2008/977/JAI del Consejo

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• CAP蚑ULO I.�Disposiciones generales
  • Art韈ulo 1燨bjeto y objetivos
  • Art韈ulo 2犃mbito de aplicaci髇
  • Art韈ulo 3燚efiniciones
• CAP蚑ULO II.�Principios
  • Art韈ulo 4燩rincipios relativos al tratamiento de datos personales
  • Art韈ulo 5燩lazos de conservaci髇 y revisi髇
  • Art韈ulo 6燚istinci髇 entre diferentes categor韆s de interesados
  • Art韈ulo 7燚istinci髇 entre datos personales y verificaci髇 de la calidad de los datos personales
  • Art韈ulo 8燣icitud del tratamiento
  • Art韈ulo 9燙ondiciones de tratamiento espec韋icas
  • Art韈ulo 10燭ratamiento de categor韆s especiales de datos personales
  • Art韈ulo 11燤ecanismo de decisi髇 individual automatizado
• CAP蚑ULO III.�Derechos del interesado
  • Art韈ulo 12燙omunicaci髇 y modalidades del ejercicio de los derechos de los interesados
  • Art韈ulo 13營nformaci髇 que debe ponerse a disposici髇 del interesado o que se le debe proporcionar
  • Art韈ulo 14燚erecho de acceso del interesado a los datos personales
  • Art韈ulo 15燣imitaciones al derecho de acceso
  • Art韈ulo 16燚erecho de rectificaci髇 o supresi髇 de datos personales y limitaci髇 de su tratamiento
  • Art韈ulo 17燛jercicio de los derechos del interesado y comprobaci髇 por la autoridad de control
  • Art韈ulo 18燚erechos del interesado en las investigaciones y los procesos penales
• CAP蚑ULO IV.�Responsable del tratamiento y encargado del tratamiento
  • SECCI覰 1.�Obligaciones generales
    • Art韈ulo 19燨bligaciones del responsable del tratamiento
    • Art韈ulo 20燩rotecci髇 de datos desde el dise駉 y por defecto
    • Art韈ulo 21燙orresponsables del tratamiento
    • Art韈ulo 22燛ncargado del tratamiento
    • Art韈ulo 23燭ratamiento bajo la autoridad del responsable o del encargado del tratamiento
    • Art韈ulo 24燫egistros de las actividades de tratamiento
    • Art韈ulo 25燫egistro de operaciones
    • Art韈ulo 26燙ooperaci髇 con la autoridad de control
    • Art韈ulo 27燛valuaci髇 de impacto relativa a la protecci髇 de datos
    • Art韈ulo 28燙onsulta previa a la autoridad de control
  • SECCI覰 2.�Seguridad de los datos personales
    • Art韈ulo 29燬eguridad del tratamiento
    • Art韈ulo 30燦otificaci髇 a la autoridad de control de una violaci髇 de la seguridad de los datos personales
    • Art韈ulo 31燙omunicaci髇 de una violaci髇 de la seguridad de los datos personales al interesado
  • SECCI覰 3.�Delegado de protecci髇 de datos
    • Art韈ulo 32燚esignaci髇 del delegado de protecci髇 de datos
    • Art韈ulo 33燩osici髇 del delegado de protecci髇 de datos
    • Art韈ulo 34燜unciones del delegado de protecci髇 de datos
• CAP蚑ULO V.�Transferencias de datos personales a terceros pa韘es u organizaciones internacionales
  • Art韈ulo 35燩rincipios generales de las transferencias de datos personales
  • Art韈ulo 36燭ransferencias basadas en una decisi髇 de adecuaci髇
  • Art韈ulo 37燭ransferencias mediante garant韆s apropiadas
  • Art韈ulo 38燛xcepciones para situaciones espec韋icas
  • Art韈ulo 39燭ransferencias de datos personales a destinatarios establecidos en terceros pa韘es
  • Art韈ulo 40燙ooperaci髇 internacional en el 醡bito de la protecci髇 de datos personales
• CAP蚑ULO VI.�Autoridades de control independientes
  • SECCI覰 1.�Independencia
    • Art韈ulo 41燗utoridad de control
    • Art韈ulo 42營ndependencia
    • Art韈ulo 43燙ondiciones generales aplicables a los miembros de la autoridad de control
    • Art韈ulo 44燦ormas relativas al establecimiento de la autoridad de control
  • SECCI覰 2.�Competencia, funciones y poderes
    • Art韈ulo 45燙ompetencia
    • Art韈ulo 46燜unciones
    • Art韈ulo 47燩oderes
    • Art韈ulo 48燦otificaci髇 de infracciones
    • Art韈ulo 49營nforme de actividad
• CAP蚑ULO VII.�Cooperaci髇
  • Art韈ulo 50燗sistencia mutua
  • Art韈ulo 51燜unciones del Comit� Europeo de Protecci髇 de Datos
• CAP蚑ULO VIII.�Recursos, responsabilidad y sanciones
  • Art韈ulo 52燚erecho a presentar una reclamaci髇 ante una autoridad de control
  • Art韈ulo 53燚erecho a la tutela judicial efectiva contra una autoridad de control
  • Art韈ulo 54燚erecho a la tutela judicial efectiva contra el responsable o el encargado del tratamiento
  • Art韈ulo 55燫epresentaci髇 de los interesados
  • Art韈ulo 56燚erecho a indemnizaci髇
  • Art韈ulo 57燬anciones
• CAP蚑ULO IX.�Actos de ejecuci髇
  • Art韈ulo 58燩rocedimiento de comit�
• CAP蚑ULO X.�Disposiciones finales
  • Art韈ulo 59燚erogaci髇 de la Decisi髇 Marco 2008/977/JAI
  • Art韈ulo 60燗ctos jur韉icos de la Uni髇 en vigor
  • Art韈ulo 61燫elaci髇 con acuerdos internacionales celebrados con anterioridad en el 醡bito de la cooperaci髇 judicial en materia penal y de la cooperaci髇 policial
  • Art韈ulo 62營nformes de la Comisi髇
  • Art韈ulo 63燭ransposici髇
  • Art韈ulo 64燛ntrada en vigor
  • Art韈ulo 65燚estinatarios

Art韈ulo 1 Objeto y objetivos

1. La presente Directiva establece las normas relativas a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes, con fines de prevenci髇, investigaci髇, detecci髇 o enjuiciamiento de infracciones penales o de ejecuci髇 de sanciones penales, incluidas la protecci髇 y la prevenci髇 frente a las amenazas contra la seguridad p鷅lica.

2. De conformidad con la presente Directiva, los Estados miembros deber醤:

• a) proteger los derechos y libertades fundamentales de las personas f韘icas y, en particular, su derecho a la protecci髇 de los datos personales, y
• b) garantizar que el intercambio de datos personales por parte de las autoridades competentes en el interior de la Uni髇, en caso de que el Derecho de la Uni髇 o del Estado miembro exijan dicho intercambio, no quede restringido ni prohibido por motivos relacionados con la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales.

3. La presente Directiva no impedir� a los Estados miembros ofrecer mayores garant韆s que las que en ella se establecen para la protecci髇 de los derechos y libertades del interesado con respecto al tratamiento de datos personales por parte de las autoridades competentes.

Art韈ulo 2 羗bito de aplicaci髇

1. La presente Directiva se aplica al tratamiento de datos personales por parte de las autoridades competentes a los fines establecidos en el art韈ulo 1, apartado 1.

2. La presente Directiva se aplica al tratamiento total o parcialmente automatizado de datos personales, as� como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

3. La presente Directiva no se aplica al tratamiento de datos personales:

• a) en el ejercicio de una actividad no comprendida en el 醡bito de aplicaci髇 del Derecho de la Uni髇;
• b) por parte de las instituciones, 髍ganos u organismos de la Uni髇.
  V閍se Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales por las instituciones, 髍ganos y organismos de la Uni髇, y a la libre circulaci髇 de esos datos, y por el que se derogan el Reglamento (CE) n.� 45/2001 y la Decisi髇 n.� 1247/2002/CE (獶.O.U.E.L.� 21 noviembre).LE0000631941_20181211

Art韈ulo 3 Definiciones

A efectos de la presente Directiva se entender� por:

• 1) 玠atos personales�: toda informaci髇 sobre una persona f韘ica identificada o identificable (玡l interesado�); se considerar� persona f韘ica identificable a toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un n鷐ero de identificaci髇, unos datos de localizaci髇, un identificador en l韓ea o uno o varios elementos propios de la identidad f韘ica, fisiol骻ica, gen閠ica, ps韖uica, econ髆ica, cultural o social de dicha persona;
• 2) 玹ratamiento�: cualquier operaci髇 o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organizaci髇, estructuraci髇, conservaci髇, adaptaci髇 o modificaci髇, extracci髇, consulta, utilizaci髇, comunicaci髇 por transmisi髇, difusi髇 o cualquier otra forma de habilitaci髇 de acceso, cotejo o interconexi髇, limitaci髇, supresi髇 o destrucci髇;
• 3) 玪imitaci髇 del tratamiento�: el marcado de los datos personales conservados con el fin de limitar su tratamiento en el futuro;
• 4) 玡laboraci髇 de perfiles�: toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona f韘ica, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situaci髇 econ髆ica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicaci髇 o movimientos de dicha persona f韘ica;
• 5) 玸eudonimizaci髇�: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar informaci髇 adicional, siempre que dicha informaci髇 adicional se mantenga por separado y est� sujeta a medidas t閏nicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona f韘ica identificada o identificable;
• 6) 玣ichero�: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o dispersado de forma funcional o geogr醘ica;
• 7) 玜utoridad competente�:
  • a) toda autoridad p鷅lica competente para la prevenci髇, investigaci髇, detecci髇 o enjuiciamiento de infracciones penales o la ejecuci髇 de sanciones penales, incluidas la protecci髇 y prevenci髇 frente a amenazas para la seguridad p鷅lica, o
  • b) cualquier otro 髍gano o entidad a quien el Derecho del Estado miembro haya confiado el ejercicio de la autoridad p鷅lica y las competencias p鷅licas a efectos de prevenci髇, investigaci髇, detecci髇 o enjuiciamiento de infracciones penales o ejecuci髇 de sanciones penales, incluidas la protecci髇 y prevenci髇 frente a amenazas para la seguridad p鷅lica;
• 8) 玶esponsable del tratamiento� o 玶esponsable�: la autoridad competente que sola o conjuntamente con otras determine los fines y medios del tratamiento de datos personales; en caso de que los fines y medios del tratamiento est閚 determinados por el Derecho de la Uni髇 o del Estado miembro, el responsable del tratamiento o los criterios espec韋icos para su nombramiento podr醤 ser fijados por el Derecho de la Uni髇 o del Estado miembro;
• 9) 玡ncargado del tratamiento� o 玡ncargado�: la persona f韘ica o jur韉ica, autoridad p鷅lica, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;
• 10) 玠estinatario�: la persona f韘ica o jur韉ica, autoridad p鷅lica, servicio o cualquier otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerar� destinatarios las autoridades p鷅licas que puedan recibir datos personales en el marco de una investigaci髇 concreta de conformidad con el Derecho de la Uni髇 o del Estado miembro; el tratamiento de tales datos por las citadas autoridades p鷅licas ser� conforme con las normas en materia de protecci髇 de datos aplicables a los fines del tratamiento;
• 11) 玽iolaci髇 de la seguridad de los datos personales�: toda violaci髇 de la seguridad que ocasione la destrucci髇, p閞dida o alteraci髇 accidental o il韈ita, o la comunicaci髇 o acceso no autorizados a datos personales transmitidos, conservados o tratados de otra forma;
• 12) 玠atos gen閠icos�: datos personales relativos a las caracter韘ticas gen閠icas heredadas o adquiridas de una persona f韘ica que proporcionen una informaci髇 鷑ica sobre la fisiolog韆 o la salud de esa persona, obtenidos en particular del an醠isis de una muestra biol骻ica de la persona f韘ica de que se trate;
• 13) 玠atos biom閠ricos�: datos personales obtenidos a partir de un tratamiento t閏nico espec韋ico, relativos a las caracter韘ticas f韘icas, fisiol骻icas o de conducta de una persona f韘ica que permitan o confirmen la identificaci髇 鷑ica de dicha persona, como im醙enes faciales o datos dactilosc髉icos;
• 14) 玠atos relativos a la salud�: datos personales relativos a la salud f韘ica o mental de una persona f韘ica, incluida la prestaci髇 de servicios de atenci髇 sanitaria, que revelen informaci髇 sobre su estado de salud;
• 15) 玜utoridad de control�: una autoridad p鷅lica independiente establecida por un Estado miembro con arreglo a lo dispuesto en el art韈ulo 41;
• 16) 玱rganizaci髇 internacional�: una organizaci髇 internacional y sus entes subordinados de Derecho internacional p鷅lico o cualquier otro organismo creado mediante un acuerdo entre dos o m醩 pa韘es o en virtud de tal acuerdo.

Art韈ulo 4 Principios relativos al tratamiento de datos personales

1. Los Estados miembros dispondr醤 que los datos personales sean:

• a) tratados de manera l韈ita y leal;
• b) recogidos con fines determinados, expl韈itos y leg韙imos, y no ser tratados de forma incompatible con esos fines;
• c) adecuados, pertinentes y no excesivos en relaci髇 con los fines para los que son tratados;
• d) exactos y, si fuera necesario, actualizados; se habr醤 de adoptar todas las medidas razonables para que se supriman o rectifiquen sin dilaci髇 los datos personales que sean inexactos con respecto a los fines para los que son tratados;
• e) conservados de forma que permita identificar al interesado durante un per韔do no superior al necesario para los fines para los que son tratados;
• f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protecci髇 contra el tratamiento no autorizado o il韈ito y contra su p閞dida, destrucci髇 o da駉 accidentales, mediante la aplicaci髇 de medidas t閏nicas u organizativas adecuadas.

2. Se permitir� el tratamiento de los datos personales, por el mismo responsable o por otro, para fines establecidos en el art韈ulo 1, apartado 1, distintos de aquel para el que se recojan en la medida en que:

• a) el responsable del tratamiento est� autorizado a tratar dichos datos personales para dicho fin de conformidad con el Derecho de la Uni髇 o del Estado miembro, y
• b) el tratamiento sea necesario y proporcionado para ese otro fin de conformidad con el Derecho de la Uni髇 o del Estado miembro.

3. El tratamiento por el mismo responsable o por otro podr� incluir el archivo en el inter閟 p鷅lico, el uso cient韋ico, estad韘tico o hist髍ico para los fines establecidos en el art韈ulo 1, apartado 1, con sujeci髇 a las salvaguardias adecuadas para los derechos y libertades de los interesados.

4. El responsable del tratamiento ser� responsable y capaz de demostrar el cumplimiento de lo dispuesto en los apartados 1, 2 y 3.

Art韈ulo 5 Plazos de conservaci髇 y revisi髇

Los Estados miembros dispondr醤 que se fijen plazos apropiados para la supresi髇 de los datos personales o para una revisi髇 peri骴ica de la necesidad de conservaci髇 de los datos personales. Las normas de procedimiento garantizar醤 el cumplimiento de dichos plazos.

Art韈ulo 6 Distinci髇 entre diferentes categor韆s de interesados

Los Estados miembros dispondr醤 que el responsable del tratamiento, cuando corresponda y en la medida de lo posible, establezca una distinci髇 clara entre los datos personales de las distintas categor韆s de interesados, tales como:

• a) personas respecto de las cuales existan motivos fundados para presumir que han cometido o van a cometer una infracci髇 penal;
• b) personas condenadas por una infracci髇 penal;
• c) v韈timas de una infracci髇 penal o personas respecto de las cuales determinados hechos den lugar a pensar que puedan ser v韈timas de una infracci髇 penal, y
• d) terceras partes involucradas en una infracci髇 penal como, por ejemplo, personas que puedan ser citadas a testificar en investigaciones relacionadas con infracciones penales o procesos penales ulteriores, o personas que puedan facilitar informaci髇 sobre infracciones penales, o personas de contacto o asociados de una de las personas mencionadas en las letras a) y b).

Art韈ulo 7 Distinci髇 entre datos personales y verificaci髇 de la calidad de los datos personales

1. Los Estados miembros dispondr醤 que los datos personales basados en hechos se distingan, en la medida de lo posible, de los datos personales basados en apreciaciones personales.

2. Los Estados miembros dispondr醤 que las autoridades competentes adopten todas las medidas razonables para garantizar que los datos personales que sean inexactos, incompletos o que no est閚 actualizados no se transmitan ni se pongan a disposici髇 de terceros. Para ello, dicha autoridad competente, en la medida en que sea factible, controlar� la calidad de los datos personales antes de transmitirlos o ponerlos a disposici髇 de terceros. En la medida de lo posible, en todas las transmisiones de datos personales se a馻dir� la informaci髇 necesaria para que la autoridad competente receptora pueda valorar en qu� medida los datos personales son exactos, completos y fiables y en qu� medida est醤 actualizados.

3. Si se observara que se hubieran transmitido datos personales incorrectos o se hubieran transmitido ilegalmente, el hecho deber� ponerse en conocimiento del destinatario sin dilaci髇. En tal caso, los datos personales deber醤 rectificarse o suprimirse, o el tratamiento deber� limitarse de conformidad con el art韈ulo 16.

Art韈ulo 8 Licitud del tratamiento

1. Los Estados miembros dispondr醤 que el tratamiento solo sea l韈ito en la medida en que sea necesario para la ejecuci髇 de una tarea realizada por una autoridad competente, para los fines establecidos en el art韈ulo 1, apartado 1, y est� basado en el Derecho de la Uni髇 o del Estado miembro.

2. El Derecho del Estado miembro que regule el tratamiento dentro del 醡bito de aplicaci髇 de la presente Directiva, deber� indicar al menos los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento.

Art韈ulo 9 Condiciones de tratamiento espec韋icas

1. Los datos personales recogidos por las autoridades competentes para los fines establecidos en el art韈ulo 1, apartado 1, no ser醤 tratados para otros fines distintos de los establecidos en el art韈ulo 1, apartado 1 salvo que dicho tratamiento est� autorizado por el Derecho de la Uni髇 o del Estado miembro. Cuando los datos personales sean tratados para otros fines, se aplicar� el Reglamento (UE) 2016/679 a menos que el tratamiento se efect鷈 como parte de una actividad que quede fuera del 醡bito de aplicaci髇 del Derecho de la Uni髇.

2. Cuando el Derecho del Estado miembro encomiende a las autoridades competentes el desempe駉 de funciones que no coincidan con los fines establecidos en el art韈ulo 1, apartado 1, se aplicar� el Reglamento (UE) 2016/679 al tratamiento con dichos fines, incluidos fines de archivo en inter閟 p鷅lico, de investigaci髇 cient韋ica e hist髍ica o estad韘ticos, salvo que el tratamiento se lleve a cabo en una actividad que quede fuera del 醡bito de aplicaci髇 del Derecho de la Uni髇.

3. Los Estados miembros dispondr醤 que, cuando el Derecho de la Uni髇 o del Estado miembro aplicable a la autoridad competente transmisora prevea condiciones espec韋icas aplicables al tratamiento, la autoridad competente transmisora deber� informar al destinatario al que se transmitan los datos de las condiciones y la obligaci髇 de respetarlos.

4. Los Estados miembros dispondr醤 que la autoridad competente transmisora no aplique las condiciones del apartado 3 a los destinatarios de otros Estados miembros o a los organismos, agencias y 髍ganos establecidos en virtud de los cap韙ulos 4 y 5 del t韙ulo V de la tercera parte del TFUE distintas de las aplicables a las transmisiones de datos similares en el Estado miembro de la autoridad competente transmisora.

Art韈ulo 10 Tratamiento de categor韆s especiales de datos personales

El tratamiento de datos personales que revelen el origen 閠nico o racial, las opiniones pol韙icas, las convicciones religiosas o filos骹icas, o la afiliaci髇 sindical, as� como el tratamiento de datos gen閠icos, datos biom閠ricos dirigidos a identificar de manera un韛oca a una persona f韘ica, datos relativos a la salud o a la vida sexual o las orientaciones sexuales de una persona f韘ica solo se permitir� cuando sea estrictamente necesario, con sujeci髇 a las salvaguardias adecuadas para los derechos y libertades del interesado y 鷑icamente cuando:

• a) lo autorice el Derecho de la Uni髇 o del Estado miembro;
• b) sea necesario para proteger los intereses vitales del interesado o de otra persona f韘ica, o
• c) dicho tratamiento se refiera a datos que el interesado haya hecho manifiestamente p鷅licos.

Art韈ulo 11 Mecanismo de decisi髇 individual automatizado

1. Los Estados miembros dispondr醤 la prohibici髇 de las decisiones basadas 鷑icamente en un tratamiento automatizado, incluida la elaboraci髇 de perfiles, que produzcan efectos jur韉icos negativos para el interesado o le afecten significativamente, salvo que est閚 autorizadas por el Derecho de la Uni髇 o del Estado miembro a la que est� sujeto el responsable del tratamiento y que establezca medidas adecuadas para salvaguardar los derechos y libertades del interesado, al menos el derecho a obtener la intervenci髇 humana por parte del responsable del tratamiento.

2. Las decisiones a que se refiere el apartado 1 del presente art韈ulo no se basar醤 en las categor韆s especiales de datos personales contempladas en el art韈ulo 10, salvo que se hayan tomado las medidas adecuadas para salvaguardar los derechos y libertades y los intereses leg韙imos del interesado.

3. La elaboraci髇 de perfiles que d� lugar a una discriminaci髇 de las personas f韘icas bas醤dose en las categor韆s especiales de datos personales establecidas en el art韈ulo 10 quedar� prohibida, de conformidad con el Derecho de la Uni髇.

Art韈ulo 12 Comunicaci髇 y modalidades del ejercicio de los derechos de los interesados

1. Los Estados miembros dispondr醤 que el responsable tome medidas razonables para facilitar al interesado toda informaci髇 contemplada en el art韈ulo 13, as� como cualquier comunicaci髇 contemplada en los art韈ulos 11, 14 a 18 y 31 relativa al tratamiento, en forma concisa, inteligible y de f醕il acceso, con un lenguaje claro y sencillo. La informaci髇 ser� facilitada por cualquier medio adecuado, inclusive por medios electr髇icos. Como norma general, el responsable facilitar� la informaci髇 por medio id閚tico al utilizado para la solicitud.

2. Los Estados miembros dispondr醤 que el responsable del tratamiento facilite el ejercicio de los derechos del interesado en virtud de los art韈ulos 11 y 14 a 18.

3. Los Estados miembros dispondr醤 que el responsable del tratamiento informe por escrito al interesado, sin dilaci髇 indebida, sobre el curso dado a su solicitud.

4. Los Estados miembros dispondr醤 que la informaci髇 facilitada con arreglo al art韈ulo 13 y cualquier comunicaci髇 efectuada y acci髇 realizada en virtud de los art韈ulos 11, 14 a 18 y 31 ser醤 a t韙ulo gratuito. Cuando las solicitudes de un interesado sean manifiestamente infundadas o excesivas, especialmente debido a su car醕ter repetitivo, el responsable del tratamiento podr�:

• a) cobrar un canon razonable, teniendo en cuenta los costes administrativos afrontados para facilitar la informaci髇 o la comunicaci髇 o realizar la acci髇 solicitada, o
• b) negarse a actuar seg鷑 lo solicitado.

El responsable del tratamiento soportar� la carga de demostrar el car醕ter manifiestamente infundado o excesivo de la solicitud.

5. Cuando el responsable del tratamiento tenga dudas razonables en relaci髇 con la identidad de la persona f韘ica que curse la solicitud a que se refieren los art韈ulos 14 y 16, podr� solicitar que se facilite la informaci髇 complementaria necesaria para confirmar la identidad del interesado.

Art韈ulo 13 Informaci髇 que debe ponerse a disposici髇 del interesado o que se le debe proporcionar

1. Los Estados miembros dispondr醤 que el responsable del tratamiento de los datos ponga a disposici髇 del interesado al menos la siguiente informaci髇:

• a) la identidad y los datos de contacto del responsable del tratamiento;
• b) en su caso, los datos de contacto del delegado de protecci髇 de datos;
• c) los fines del tratamiento a que se destinen los datos personales;
• d) el derecho a presentar una reclamaci髇 ante la autoridad de control y los datos de contacto de la misma;
• e) la existencia del derecho a solicitar del responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificaci髇 o su supresi髇, o la limitaci髇 de su tratamiento.

2. Adem醩 de la informaci髇 indicada en el apartado 1, los Estados miembros dispondr醤 por ley que el responsable del tratamiento de los datos proporcione al interesado, en casos concretos, la siguiente informaci髇 adicional, a fin de permitir el ejercicio de sus derechos:

• a) la base jur韉ica del tratamiento;
• b) el plazo durante el cual se conservar醤 los datos personales o, cuando esto no sea posible, los criterios utilizados para determinar ese plazo;
• c) cuando corresponda, las categor韆s de destinatarios de los datos personales, en particular en terceros pa韘es u organizaciones internacionales;
• d) cuando sea necesario, m醩 informaci髇, en particular cuando los datos personales se hayan recogido sin conocimiento del interesado.

3. Los Estados miembros podr醤 adoptar medidas legislativas por las que se retrase, limite u omita la puesta a disposici髇 del interesado de la informaci髇 en virtud del apartado 2 siempre y cuando dicha medida constituya una medida necesaria y proporcional en una sociedad democr醫ica, teniendo debidamente en cuenta los derechos fundamentales y los intereses leg韙imos de la persona f韘ica afectada, para:

• a) evitar que se obstaculicen indagaciones, investigaciones o procedimientos oficiales o judiciales;
• b) evitar que se cause perjuicio a la prevenci髇, detecci髇, investigaci髇 o enjuiciamiento de infracciones penales o a la ejecuci髇 de sanciones penales;
• c) proteger la seguridad p鷅lica;
• d) proteger la seguridad nacional;
• e) proteger los derechos y libertades de otras personas.

4. Los Estados miembros podr醤 adoptar medidas legislativas para determinar las categor韆s de tratamiento que pueden incluirse, total o parcialmente, en cualquiera de las letras del apartado 3.

Art韈ulo 14 Derecho de acceso del interesado a los datos personales

Con sujeci髇 a lo dispuesto en el art韈ulo 15, los Estados miembros reconocer醤 el derecho del interesado a obtener del responsable del tratamiento confirmaci髇 de si se est醤 tratando o no datos personales que le conciernen y, en caso de que se confirme el tratamiento, acceso a dichos datos personales y la siguiente informaci髇:

• a) los fines y la base jur韉ica del tratamiento;
• b) las categor韆s de datos personales de que se trate;
• c) los destinatarios o las categor韆s de destinatarios a quienes hayan sido comunicados los datos personales, en particular los destinatarios establecidos en terceros pa韘es o las organizaciones internacionales;
• d) cuando sea posible, el plazo contemplado durante el cual se conservar醤 los datos personales o, de no ser posible, los criterios utilizados para determinar dicho plazo;
• e) la existencia del derecho a solicitar del responsable del tratamiento la rectificaci髇 o supresi髇 de los datos personales relativos al interesado, o la limitaci髇 de su tratamiento;
• f) el derecho a presentar una reclamaci髇 ante la autoridad de control y los datos de contacto de la misma;
• g) la comunicaci髇 de los datos personales objeto de tratamiento, as� como cualquier informaci髇 disponible sobre su origen.

Art韈ulo 15 Limitaciones al derecho de acceso

1. Los Estados miembros podr醤 adoptar medidas legislativas por las que se restrinja, total o parcialmente, el derecho de acceso del interesado siempre y cuando dicha restricci髇 parcial o completa constituya una medida necesaria y proporcional en una sociedad democr醫ica, teniendo debidamente en cuenta los derechos fundamentales y los intereses leg韙imos de la persona f韘ica afectada, para:

• a) evitar que se obstaculicen indagaciones, investigaciones o procedimientos oficiales o judiciales;
• b) evitar que se cause perjuicio a la prevenci髇, detecci髇, investigaci髇 o enjuiciamiento de infracciones penales o a la ejecuci髇 de sanciones penales;
• c) proteger la seguridad p鷅lica;
• d) proteger la seguridad nacional;
• e) proteger los derechos y libertades de otras personas.

2. Los Estados miembros podr醤 adoptar medidas legislativas para determinar las categor韆s de tratamiento que pueden acogerse, total o parcialmente, a las exenciones del apartado 1.

3. En los casos contemplados en los apartados 1 y 2, los Estados miembros dispondr醤 que el responsable del tratamiento informe por escrito al interesado, sin dilaci髇 indebida, de cualquier denegaci髇 o limitaci髇 de acceso, y de las razones de la denegaci髇 o de la restricci髇. Esta informaci髇 podr� omitirse cuando el suministro de dicha informaci髇 pueda comprometer uno de los fines contemplados en el apartado 1. Los Estados miembros dispondr醤 que el responsable del tratamiento informe al interesado de las posibilidades de presentar una reclamaci髇 ante la autoridad de control y de interponer un recurso judicial.

4. Los Estados miembros velar醤 por que el responsable del tratamiento documente los fundamentos de hecho o de Derecho en los que se sustente la decisi髇. Dicha informaci髇 se pondr� a disposici髇 de las autoridades de control.

Art韈ulo 16 Derecho de rectificaci髇 o supresi髇 de datos personales y limitaci髇 de su tratamiento

1. Los Estados miembros reconocer醤 el derecho del interesado a obtener del responsable del tratamiento sin dilaci髇 indebida la rectificaci髇 de los datos personales que le conciernan cuando tales datos resulten inexactos. Teniendo en cuenta la finalidad del tratamiento, los Estados miembros dispondr醤 que el interesado tenga derecho a que se completen los datos personales cuando estos resulten incompletos, en particular mediante una declaraci髇 suplementaria.

2. Los Estados miembros exigir醤 al responsable del tratamiento suprimir los datos personales sin dilaci髇 indebida y dispondr醤 el derecho del interesado a obtener del responsable del tratamiento la supresi髇 de los datos personales que le conciernan sin dilaci髇 indebida cuando el tratamiento infrinja los art韈ulos 4, 8 o 10, o cuando los datos personales deban ser suprimidos en virtud de una obligaci髇 legal a la que est� sujeto el responsable del tratamiento.

3. En lugar de proceder a la supresi髇, el responsable del tratamiento limitar� el tratamiento de los datos personales cuando:

• a) el interesado ponga en duda la exactitud de los datos personales y no pueda determinarse la exactitud o inexactitud, o
• b) los datos personales hayan de conservarse a efectos probatorios.

Cuando el tratamiento est� limitado en virtud del p醨rafo primero, letra a), el responsable del tratamiento informar� al interesado antes de levantar la limitaci髇 del tratamiento.

4. Los Estados miembros dispondr醤 que el responsable del tratamiento informe al interesado por escrito de cualquier denegaci髇 de rectificaci髇 o supresi髇 de los datos personales, o de limitaci髇 de su tratamiento, y de las razones de la denegaci髇. Los Estados miembros podr醤 adoptar medidas legislativas por las que se restrinja, total o parcialmente, la obligaci髇 de proporcionar tal informaci髇, en siempre y cuando dicha limitaci髇 del tratamiento constituya una medida necesaria y proporcional en una sociedad democr醫ica, teniendo debidamente en cuenta los derechos fundamentales y los intereses leg韙imos de la persona f韘ica afectada, para:

• a) evitar que se obstaculicen indagaciones, investigaciones o procedimientos oficiales o judiciales;
• b) evitar que se cause perjuicio a la prevenci髇, detecci髇, investigaci髇 o enjuiciamiento de infracciones penales o a la ejecuci髇 de sanciones penales;
• c) proteger la seguridad p鷅lica;
• d) proteger la seguridad nacional;
• e) proteger los derechos y libertades de otras personas.

Los Estados miembros dispondr醤 que el responsable del tratamiento informe al interesado de las posibilidades de presentar una reclamaci髇 ante la autoridad de control y de interponer un recurso judicial.

5. Los Estados miembros dispondr醤 que el responsable del tratamiento comunique la rectificaci髇 de los datos personales inexactos a la autoridad competente de la que procedan los datos personales inexactos.

6. Los Estados miembros dispondr醤 que, cuando los datos personales hayan sido rectificados o suprimidos o el tratamiento haya sido limitado en virtud de los apartados 1, 2 y 3, el responsable del tratamiento lo notifique a los destinatarios y que estos rectifiquen o supriman los datos personales que est閚 bajo su responsabilidad, o limiten su tratamiento.

Art韈ulo 17 Ejercicio de los derechos del interesado y comprobaci髇 por la autoridad de control

1. En los casos contemplados en el art韈ulo 13, apartado 3, en el art韈ulo 15, apartado 3, y en el art韈ulo 16, apartado 4, los Estados miembros adoptar醤 medidas por las que se disponga que los derechos del interesado tambi閚 puedan ejercerse a trav閟 de la autoridad de control competente.

2. Los Estados miembros dispondr醤 que el responsable del tratamiento informe al interesado de la posibilidad de ejercer sus derechos a trav閟 de la autoridad de control con arreglo a lo dispuesto en el apartado 1.

3. Cuando se ejerza el derecho contemplado en el apartado 1, la autoridad de control informar�, al menos, al interesado de que se han efectuado todas las comprobaciones necesarias o la revisi髇 correspondiente. La autoridad de control informar� tambi閚 al interesado de su derecho a la tutela judicial.

Art韈ulo 18 Derechos del interesado en las investigaciones y los procesos penales

Los Estados miembros podr醤 disponer que el ejercicio de los derechos a los que se hace referencia en los art韈ulos 13, 14 y 16 se lleve a cabo de conformidad con el Derecho del Estado miembro cuando los datos personales figuren en una resoluci髇 judicial o en un registro o expediente tramitado en el curso de investigaciones y procesos penales.

Art韈ulo 19 Obligaciones del responsable del tratamiento

1. Los Estados miembros dispondr醤 que el responsable del tratamiento, teniendo en cuenta la naturaleza, el 醡bito, el contexto y los fines del tratamiento, as� como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas f韘icas, aplique las medidas t閏nicas y organizativas apropiadas para garantizar y estar en condiciones de demostrar que el tratamiento se lleva a cabo de conformidad con la presente Directiva. Tales medidas se revisar醤 y actualizar醤 cuando sea necesario.

2. Cuando sean proporcionadas en relaci髇 con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluir� la aplicaci髇, por parte del responsable del tratamiento, de las oportunas pol韙icas de protecci髇 de datos.

Art韈ulo 20 Protecci髇 de datos desde el dise駉 y por defecto

1. Los Estados miembros dispondr醤 que el responsable del tratamiento, teniendo en cuenta el estado de la t閏nica y el coste de la aplicaci髇, y la naturaleza, el 醡bito, el contexto y los fines del tratamiento, as� como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas f韘icas planteados por el tratamiento, aplique, tanto en el momento de determinar los medios para el tratamiento como en el momento del propio tratamiento, las medidas t閏nicas y organizativas apropiadas, como por ejemplo la seudonimizaci髇, concebidas para aplicar los principios de protecci髇 de datos, como por ejemplo la minimizaci髇 de datos, de forma efectiva y para integrar las garant韆s necesarias en el tratamiento, de tal manera que este cumpla los requisitos de la presente Directiva y se protejan los derechos de los interesados.

2. Los Estados miembros dispondr醤 que el responsable del tratamiento aplique las medidas t閏nicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines espec韋icos del tratamiento. Dicha obligaci髇 se aplicar� a la cantidad de datos personales recogidos, a la extensi髇 de su tratamiento, a su per韔do de conservaci髇 y a su accesibilidad. En concreto, tales medidas garantizar醤 que, por defecto, los datos personales no sean accesibles, sin intervenci髇 de la persona, a un n鷐ero indeterminado de personas f韘icas.

Art韈ulo 21 Corresponsables del tratamiento

1. Los Estados miembros dispondr醤 que, cuando dos o m醩 responsables del tratamiento determinen conjuntamente los objetivos y los medios de tratamiento, sean considerados corresponsables del tratamiento. Determinar醤, de modo transparente y de mutuo acuerdo, cu醠es ser醤 sus responsabilidades respectivas en el cumplimiento de la presente Directiva, en particular por lo que se refiere al ejercicio de los derechos del interesado y a sus respectivas obligaciones en el suministro de la informaci髇 contemplada en el art韈ulo 13, salvo y en la medida en que las responsabilidades respectivas de los responsables se rijan por el Derecho de la Uni髇 o del Estado miembro a que est閚 sujetos los responsables del tratamiento. El citado acuerdo designar� el punto de contacto para los interesados. Los Estados miembros podr醤 designar cu醠 de los corresponsables puede actuar como punto 鷑ico de contacto para el interesado por lo que respecta al ejercicio de sus derechos.

2. Independientemente de los t閞minos del acuerdo a que hace referencia el apartado 1, los Estados miembros podr醤 disponer que el interesado pueda ejercer los derechos que le reconocen las disposiciones adoptadas con arreglo a la presente Directiva con respecto a cada uno de los responsables y frente a ellos.

Art韈ulo 22 Encargado del tratamiento

1. Los Estados miembros dispondr醤 que, cuando una operaci髇 de tratamiento vaya a ser llevada a cabo por cuenta de un responsable del tratamiento, este recurra 鷑icamente a encargados que ofrezcan garant韆s suficientes para aplicar medidas t閏nicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos de la presente Directiva y garantice la protecci髇 de los derechos del interesado.

2. Los Estados miembros dispondr醤 que el encargado del tratamiento no recurra a otro encargado sin la autorizaci髇 previa por escrito, espec韋ica o general, del responsable del tratamiento. En el caso de la autorizaci髇 por escrito general, el encargado informar� siempre al responsable de cualquier cambio previsto referido a la adici髇 o sustituci髇 de otros encargados, dando as� al responsable la oportunidad de oponerse a dichos cambios.

3. Los Estados miembros dispondr醤 que el tratamiento por un encargado se rija por un contrato u otro acto jur韉ico con arreglo al Derecho de la Uni髇 o de un Estado miembro que vincule al encargado con el responsable, que fije el objeto y la duraci髇 del tratamiento, su naturaleza y finalidad, el tipo de datos personales y categor韆s de interesados y las obligaciones y derechos del responsable. Dicho contrato u otro acto jur韉ico estipular�, en particular, que el encargado del tratamiento:

• a) act鷈 鷑icamente siguiendo las instrucciones del responsable del tratamiento;
• b) garantice que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o est閚 sujetas a una obligaci髇 profesional de confidencialidad;
• c) asista al responsable del tratamiento por cualquier medio adecuado para garantizar el cumplimiento de las disposiciones sobre los derechos del interesado;
• d) a elecci髇 del responsable del tratamiento, suprima o devuelva todos los datos personales al responsable del tratamiento una vez finalice la prestaci髇 de los servicios de tratamiento, y suprima las copias existentes a menos que el Derecho de la Uni髇 o del Estado miembro requieran la conservaci髇 de los datos personales;
• e) ponga a disposici髇 del responsable del tratamiento toda la informaci髇 necesaria para demostrar el cumplimiento del presente art韈ulo;
• f) respete las condiciones indicadas en los apartados 2 y 3 para contratar a otro encargado del tratamiento.

4. El contrato u otro acto jur韉ico a que se refiere el apartado 3 se establecer� por escrito, inclusive en formato electr髇ico.

5. Si un encargado del tratamiento, infringiendo la presente Directiva, determinase los fines y medios de dicho tratamiento, ser� considerado responsable con respecto a ese tratamiento.

Art韈ulo 23 Tratamiento bajo la autoridad del responsable o del encargado del tratamiento

Los Estados miembros dispondr醤 que el encargado del tratamiento, as� como cualquier persona que act鷈 bajo la autoridad del responsable o del encargado del tratamiento y tenga acceso a datos personales, solo pueda someterlos a tratamiento siguiendo instrucciones del responsable del tratamiento, a menos que est� obligado a hacerlo por el Derecho de la Uni髇 o de un Estado miembro.

Art韈ulo 24 Registros de las actividades de tratamiento

1. Los Estados miembros dispondr醤 que cada responsable conserve un registro de todas las categor韆s de actividades de tratamiento de datos personales efectuadas bajo su responsabilidad. Dicho registro deber� contener toda la informaci髇 siguiente:

• a) el nombre y los datos de contacto del responsable del tratamiento y, en su caso, del corresponsable y del delegado de protecci髇 de datos;
• b) los fines del tratamiento;
• c) las categor韆s de destinatarios a quienes se hayan comunicado o vayan a comunicarse los datos personales, incluidos los destinatarios en terceros pa韘es u organizaciones internacionales;
• d) una descripci髇 de las categor韆s de interesados y de las categor韆s de datos personales;
• e) en su caso, el recurso a la elaboraci髇 de perfiles;
• f) en su caso, las categor韆s de transferencias de datos personales a un tercer pa韘 o a una organizaci髇 internacional;
• g) una indicaci髇 de la base jur韉ica del tratamiento, incluidas las transferencias, de que van a ser objeto los datos personales;
• h) cuando sea posible, los plazos previstos para la supresi髇 de las diferentes categor韆s de datos personales;
• i) cuando sea posible, una descripci髇 general de las medidas t閏nicas y organizativas de seguridad a que se refiere el art韈ulo 29, apartado 1.

2. Los Estados miembros dispondr醤 que cada encargado del tratamiento lleve un registro de todas las categor韆s de actividades de tratamiento de datos personales efectuadas en nombre de un responsable, el cual contendr�:

• a) el nombre y los datos de contacto del encargado o encargados del tratamiento, de cada responsable del tratamiento en cuyo nombre act鷈 el encargado y, si ha lugar, el delegado de protecci髇 de datos;
• b) las categor韆s de tratamientos efectuados en nombre de cada responsable;
• c) en su caso, las transferencias de datos personales a un tercer pa韘 o a una organizaci髇 internacional, incluida, cuando el responsable del tratamiento as� lo ordene expl韈itamente, la identificaci髇 de dicho tercer pa韘 o de dicha organizaci髇 internacional;
• d) cuando sea posible, una descripci髇 general de las medidas t閏nicas y organizativas de seguridad a que se refiere el art韈ulo 29, apartado 1.

3. Los registros a que se refieren los apartados 1 y 2 se establecer醤 por escrito, inclusive en formato electr髇ico.

El responsable y el encargado del tratamiento har醤 que los registros est閚 disponibles para la autoridad de control a solicitud de esta.

Art韈ulo 25 Registro de operaciones

1. Los Estados miembros velar醤 por que se conserven registros de, al menos, las operaciones de tratamiento en sistemas de tratamiento automatizados siguientes: recogida, alteraci髇, consulta, comunicaci髇 incluidas las transferencias, combinaci髇 o supresi髇. Los registros de consulta y comunicaci髇 har醤 posible determinar la justificaci髇, la fecha y la hora de tales operaciones y, en la medida de lo posible, el nombre de la persona que consult� o comunic� datos personales, as� como la identidad de los destinatarios de dichos datos personales.

2. Dichos registros se utilizar醤 鷑icamente a efectos de verificar la legalidad del tratamiento, autocontrol, garantizar la integridad y la seguridad de los datos personales y en el 醡bito de los procesos penales.

3. El responsable y el encargado del tratamiento pondr醤 los registros de operaciones a disposici髇 de la autoridad de control a solicitud de esta.

Art韈ulo 26 Cooperaci髇 con la autoridad de control

Los Estados miembros dispondr醤 que el responsable y el encargado del tratamiento cooperen con la autoridad de control, cuando esta lo solicite, en el desempe駉 de sus funciones.

Art韈ulo 27 Evaluaci髇 de impacto relativa a la protecci髇 de datos

1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnolog韆s, por su naturaleza, alcance, contexto o fines, suponga un alto riesgo para los derechos y libertades de las personas f韘icas, los Estados miembros dispondr醤 que el responsable del tratamiento lleve a cabo, con car醕ter previo, una evaluaci髇 del impacto de las operaciones de tratamiento previstas en la protecci髇 de datos personales.

2. La evaluaci髇 mencionada en el apartado 1 incluir�, como m韓imo, una descripci髇 general de las operaciones de tratamiento previstas, una evaluaci髇 de los riesgos para los derechos y libertades de los interesados, las medidas contempladas para hacer frente a estos riesgos, y las garant韆s, medidas de seguridad y mecanismos destinados a garantizar la protecci髇 de los datos personales y a demostrar la conformidad con la presente Directiva, teniendo en cuenta los derechos e intereses leg韙imos de los interesados y las dem醩 personas afectadas.

Art韈ulo 28 Consulta previa a la autoridad de control

1. Los Estados miembros velar醤 por que el responsable o el encargado del tratamiento consulte a la autoridad de control antes de proceder al tratamiento de datos personales que vayan a formar parte de un nuevo fichero que haya de crearse, cuando:

• a) la evaluaci髇 del impacto en la protecci髇 de los datos que prev� el art韈ulo 27 indique que el tratamiento entra馻r韆 un alto riesgo a falta de medidas adoptadas por el responsable a fin de mitigar el riesgo, o
• b) el tipo de tratamiento, en particular cuando se usen tecnolog韆s, mecanismos o procedimientos nuevos, constituya un alto riesgo para los derechos y libertades de los interesados.

2. Los Estados miembros dispondr醤 que se consulte a la autoridad de control durante la elaboraci髇 de toda propuesta de medida legislativa que deba ser adoptada por un Parlamento nacional, o de una medida reglamentaria basada en dicha medida legislativa, que guarde relaci髇 con el tratamiento.

3. Los Estados miembros dispondr醤 que la autoridad de control pueda establecer una lista de las operaciones de tratamiento que est醤 sujetas a consulta previa con arreglo a lo dispuesto en el apartado 1.

4. Los Estados miembros dispondr醤 que el responsable del tratamiento facilite a la autoridad de control la evaluaci髇 de impacto relativa a la protecci髇 de datos contemplada en el art韈ulo 27 y, previa solicitud, cualquier informaci髇 adicional que permita a la autoridad de control evaluar la conformidad del tratamiento y, en particular, los riesgos para la protecci髇 de los datos personales del interesado y las garant韆s correspondientes.

5. Los Estados miembros dispondr醤 que, cuando la autoridad de control considere que el tratamiento previsto a que se refiere el apartado 1 del presente art韈ulo podr韆 infringir lo dispuesto en la presente Directiva, en particular cuando el responsable del tratamiento no haya identificado o mitigado suficientemente el riesgo, dicha autoridad de control deber�, en un plazo de seis semanas desde la solicitud de la consulta, asesorar por escrito al responsable del tratamiento y, en su caso, al encargado del tratamiento, y podr� ejercer cualquiera de sus poderes mencionados en el art韈ulo 47. Este plazo podr� prorrogarse un mes, en funci髇 de la complejidad del tratamiento previsto. La autoridad de control informar� al responsable y, en su caso, al encargado, de tal pr髍roga en el plazo de un mes a partir de la recepci髇 de la solicitud de consulta, junto con los motivos de la dilaci髇.

Art韈ulo 29 Seguridad del tratamiento

1. Los Estados miembros dispondr醤 que el responsable y el encargado del tratamiento, teniendo en cuenta el estado de la t閏nica y los costes de aplicaci髇, y la naturaleza, el alcance, el contexto y los fines del tratamiento, as� como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas f韘icas, apliquen medidas t閏nicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, sobre todo en lo que se refiere al tratamiento de las categor韆s especiales de datos personales previstas en el art韈ulo 10.

2. Por lo que respecta al tratamiento automatizado, cada Estado miembro dispondr� que el responsable o encargado del tratamiento, a ra韟 de una evaluaci髇 de los riesgos, ponga en pr醕tica medidas destinadas a:

• a) denegar el acceso a personas no autorizadas a los equipamientos utilizados para el tratamiento (control de acceso a los equipamientos);
• b) impedir que los soportes de datos puedan ser le韉os, copiados, modificados o cancelados por personas no autorizadas (control de los soportes de datos);
• c) impedir que se introduzcan sin autorizaci髇 datos personales conservados, o que estos puedan inspeccionarse, modificarse o suprimirse sin autorizaci髇 (control del almacenamiento);
• d) impedir que los sistemas de tratamiento automatizado puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisi髇 de datos (control de los usuarios);
• e) garantizar que las personas autorizadas a utilizar un sistema de tratamiento automatizado solo puedan tener acceso a los datos personales para los que han sido autorizados (control del acceso a los datos);
• f) garantizar que sea posible verificar y establecer a qu� organismos se han transmitido o pueden transmitirse o a cuya disposici髇 pueden ponerse los datos personales mediante equipamientos de comunicaci髇 de datos (control de la transmisi髇);
• g) garantizar que pueda verificarse y constatarse a posteriori qu� datos personales se han introducido en los sistemas de tratamiento automatizado y en qu� momento y por qu� persona han sido introducidos (control de la introducci髇);
• h) impedir que durante las transferencias de datos personales o durante el transporte de soportes de datos, los datos personales puedan ser le韉os, copiados, modificados o suprimidos sin autorizaci髇 (control del transporte);
• i) garantizar que los sistemas instalados puedan restablecerse en caso de interrupci髇 (restablecimiento);
• j) garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento sean se馻lados (fiabilidad) y que los datos personales almacenados no se degraden por fallos de funcionamiento del sistema (integridad).

Art韈ulo 30 Notificaci髇 a la autoridad de control de una violaci髇 de la seguridad de los datos personales

1. Los Estados miembros dispondr醤 que, en caso de violaci髇 de la seguridad de los datos personales, el responsable del tratamiento la notificar� a la autoridad de control sin dilaci髇 indebida, y, de ser posible, a m醩 tardar 72 horas despu閟 de que haya tenido constancia de ella, a menos que sea improbable que la violaci髇 de la seguridad de los datos personales constituya un riesgo para los derechos y las libertades de las personas f韘icas. Si la notificaci髇 a la autoridad de control no se hace en el plazo de 72 horas, deber� ir acompa馻da de los motivos de la dilaci髇.

2. El encargado del tratamiento notificar� sin dilaci髇 indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.

3. La notificaci髇 contemplada en el apartado 1 deber�, al menos:

• a) describir la naturaleza de la violaci髇 de la seguridad de los datos personales, incluyendo, cuando sea posible, las categor韆s y el n鷐ero aproximado de interesados afectados, y las categor韆s y el n鷐ero aproximado de registros de datos personales afectados;
• b) comunicar el nombre y los datos de contacto del delegado de protecci髇 de datos o de otro punto de contacto en el que pueda obtenerse m醩 informaci髇;
• c) describir las posibles consecuencias de la violaci髇 de la seguridad de los datos personales;
• d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violaci髇 de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar sus posibles efectos negativos.

4. Si no fuera posible, o en la medida en que no sea posible, facilitar la informaci髇 simult醤eamente, se podr� facilitar la informaci髇 por etapas sin dilaci髇 indebida.

5. Los Estados miembros dispondr醤 que el responsable del tratamiento documente cualquier violaci髇 de la seguridad de los datos personales a que se hace referencia en el apartado 1, incluidos los hechos relativos a dicha violaci髇, sus efectos y las medidas correctivas adoptadas. Dicha documentaci髇 deber� permitir a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente art韈ulo.

6. Los Estados miembros dispondr醤 que cuando la violaci髇 de la seguridad de los datos personales tenga que ver con datos que hayan sido transmitidos por el responsable del tratamiento o al responsable del tratamiento de otro Estado miembro, la informaci髇 a que se refiere el apartado 3 se comunique al responsable del tratamiento de este Estado miembro sin dilaci髇 indebida.

Art韈ulo 31 Comunicaci髇 de una violaci髇 de la seguridad de los datos personales al interesado

1. Los Estados miembros dispondr醤 que, cuando sea probable que la violaci髇 de la seguridad de los datos personales vaya a dar lugar a un alto riesgo para los derechos y libertades de las personas f韘icas, el responsable del tratamiento comunique al interesado, sin dilaci髇 indebida, la violaci髇 de la seguridad de los datos personales.

2. La comunicaci髇 al interesado contemplada en el apartado 1 del presente art韈ulo describir� con un lenguaje claro y sencillo la naturaleza de la violaci髇 de la seguridad de los datos personales y contendr�, al menos, la informaci髇 y las medidas a que se refiere el art韈ulo 30, apartado 3, letras b), c) y d).

3. La comunicaci髇 al interesado a que se refiere el apartado 1 no ser� necesaria si se cumple alguna de las condiciones siguientes:

• a) el responsable del tratamiento ha adoptado medidas de protecci髇 t閏nicas y organizativas apropiadas y dichas medidas se han aplicado a los datos personales afectados por la violaci髇 de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no est� autorizada a acceder a ellos, como el cifrado;
• b) el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no sea probable que se materialice el alto riesgo para los derechos y libertades del interesado a que hace referencia el apartado 1;
• c) suponga un esfuerzo desproporcionado. En este supuesto, se optar� a cambio por una comunicaci髇 p鷅lica o una medida semejante mediante la cual se informe a los interesados de manera igualmente efectiva.

4. Cuando el responsable del tratamiento no haya comunicado todav韆 al interesado la violaci髇 de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violaci髇 suponga un alto riesgo, podr� exigirle que lo haga o podr� decidir que se cumple alguna de las condiciones que cita el apartado 3.

5. La comunicaci髇 al interesado a que se hace referencia en el apartado 1 del presente art韈ulo podr� aplazarse, limitarse u omitirse con sujeci髇 a las condiciones y por los motivos que se contemplan en el art韈ulo 13, apartado 3.

Art韈ulo 32 Designaci髇 del delegado de protecci髇 de datos

1. Los Estados miembros dispondr醤 que el responsable del tratamiento designe un delegado de protecci髇 de datos. Los Estados miembros podr醤 eximir de esa obligaci髇 a los tribunales y dem醩 autoridades judiciales independientes cuando act鷈n en ejercicio de sus competencias judiciales.

2. El delegado de protecci髇 de datos ser� designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados de la legislaci髇 y las pr醕ticas en materia de protecci髇 de datos, y a su capacidad para desempe馻r las funciones contempladas en el art韈ulo 34.

3. Podr� designarse a un 鷑ico delegado de protecci髇 de datos para varias autoridades competentes teniendo en cuenta la estructura organizativa y tama駉 de estas.

4. Los Estados miembros dispondr醤 que el responsable del tratamiento publique los datos de contacto del delegado de protecci髇 de datos y los comunique a la autoridad de control.

Art韈ulo 33 Posici髇 del delegado de protecci髇 de datos

1. Los Estados miembros dispondr醤 que el responsable del tratamiento vele por que el delegado de protecci髇 de datos participe adecuada y oportunamente en todas las cuestiones relativas a la protecci髇 de datos personales.

2. El responsable del tratamiento respaldar� al delegado de protecci髇 de datos en el desempe駉 de las funciones contempladas en el art韈ulo 34 facilitando los recursos necesarios para el desempe駉 de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, as� como para mantener sus conocimientos especializados.

Art韈ulo 34 Funciones del delegado de protecci髇 de datos

Los Estados miembros dispondr醤 que el responsable del tratamiento encomiende al delegado de protecci髇 de datos, como m韓imo, las siguientes funciones:

• a) informar y asesorar al responsable del tratamiento y a los empleados que se ocupen del mismo de las obligaciones que les incumben en virtud de la presente Directiva y de otras disposiciones de protecci髇 de datos de la Uni髇 o de los Estados miembros;
• b) supervisar el cumplimiento de lo dispuesto en la presente Directiva, de otras disposiciones de protecci髇 de datos de la Uni髇 o de los Estados miembros y de las pol韙icas del responsable del tratamiento en materia de protecci髇 de datos personales, incluidas la asignaci髇 de responsabilidades, la concienciaci髇 y formaci髇 del personal que participa en las operaciones de tratamiento, y las auditor韆s correspondientes;
• c) ofrecer el asesoramiento que se le pida acerca de la evaluaci髇 de impacto relativa a la protecci髇 de datos y supervisar su realizaci髇 de conformidad con el art韈ulo 27;
• d) cooperar con la autoridad de control;
• e) actuar como punto de contacto de la autoridad de control para las cuestiones relacionadas con el tratamiento, incluida la consulta previa a que hace referencia el art韈ulo 28, y realizar consultas, en su caso, sobre cualquier otro asunto.

Art韈ulo 35 Principios generales de las transferencias de datos personales

1. Los Estados miembros dispondr醤 que cualquier transferencia de datos personales por las autoridades competentes en curso de tratamiento o que vayan a tratarse despu閟 de su transferencia a un tercer pa韘 o a una organizaci髇 internacional, incluidas las transferencias ulteriores a otro tercer pa韘 u otra organizaci髇 internacional, pueda realizarse en cumplimiento de las disposiciones nacionales adoptadas a tenor de otras disposiciones de la presente Directiva, solamente cuando se hayan cumplido las condiciones previstas en el presente cap韙ulo, esto es:

• a) la transferencia sea necesaria a los fines establecidos en el art韈ulo 1, apartado 1;
• b) los datos personales se transfieran a un responsable del tratamiento de un tercer pa韘 u organizaci髇 internacional que sea una autoridad p鷅lica competente a los fines mencionados en el art韈ulo 1, apartado 1;
• c) en caso de que los datos personales se transmitan o procedan de otro Estado miembro, dicho Estado miembro haya dado su autorizaci髇 previa para la transferencia de conformidad con el Derecho nacional.
• d) la Comisi髇 haya adoptado una decisi髇 de adecuaci髇 con arreglo al art韈ulo 36 o, a falta de dicha decisi髇, cuando las garant韆s apropiadas se obtengan o existan de conformidad con el art韈ulo 37 o, a falta de una decisi髇 de adecuaci髇 en virtud del art韈ulo 36 y de las garant韆s apropiadas de conformidad con el art韈ulo 37, se apliquen excepciones para situaciones espec韋icas de conformidad con el art韈ulo 38, y
• e) cuando se trate de una transferencia ulterior a otro tercer pa韘 u organizaci髇 internacional, la autoridad competente que haya efectuado la transferencia inicial u otra autoridad competente del mismo Estado miembro autorice la transferencia ulterior, una vez considerados debidamente todos los factores pertinentes, entre estos la gravedad de la infracci髇 penal, la finalidad para la que se transfirieron inicialmente los datos personales y el nivel de protecci髇 de los datos personales existente en el tercer pa韘 u organizaci髇 internacional a los que se transfieran ulteriormente los datos personales.

2. Los Estados miembros dispondr醤 que las transferencias sin autorizaci髇 previa de otro Estado miembro seg鷑 lo dispuesto en el apartado 1, letra c), solo se permitan si la transferencia de datos personales es necesaria a fin de prevenir una amenaza inmediata y grave para la seguridad p鷅lica de un Estado miembro, o de un tercer pa韘, o para los intereses fundamentales de un Estado miembro, y la autorizaci髇 previa no puede conseguirse a su debido tiempo. Se informar� sin dilaci髇 a la autoridad responsable de conceder la autorizaci髇 previa.

3. Todas las disposiciones del presente cap韙ulo se aplicar醤 a fin de garantizar que no se menoscabe el nivel de protecci髇 de las personas f韘icas que garantiza la presente Directiva.

Art韈ulo 36 Transferencias basadas en una decisi髇 de adecuaci髇

1. Los Estados miembros dispondr醤 que pueda realizarse una transferencia de datos personales a un tercer pa韘 o una organizaci髇 internacional cuando la Comisi髇 haya decidido que el tercer pa韘, un territorio o uno o varios sectores espec韋icos de ese tercer pa韘, o la organizaci髇 internacional de que se trate garantizan un nivel de protecci髇 adecuado. Dicha transferencia no requerir� ninguna autorizaci髇 espec韋ica.

2. Al evaluar la adecuaci髇 del nivel de protecci髇, la Comisi髇 tendr� en cuenta, en particular, los elementos siguientes:

• a) el Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislaci髇 pertinente, tanto general como sectorial, incluidas la seguridad p鷅lica, la defensa, la seguridad nacional, el Derecho penal y el acceso de las autoridades p鷅licas a los datos personales, as� como la aplicaci髇 de dicha legislaci髇, las normas de protecci髇 de los datos, las normas profesionales y las medidas de seguridad, incluidas las normas para las transferencias ulteriores de datos personales a otro tercer pa韘 u organizaci髇 internacional que se apliquen en el tercer pa韘 o en la organizaci髇 internacional en cuesti髇, la jurisprudencia, as� como los derechos del interesado efectivos y exigibles y un derecho de recurso administrativo y judicial efectivo de los interesados cuyos datos personales son transferidos;
• b) la existencia y el funcionamiento efectivo de una o varias autoridades de control independientes en el tercer pa韘 o a las que est� sujeta una organizaci髇 internacional, con la responsabilidad de garantizar y ejecutar el cumplimiento de las normas en materia de protecci髇 de datos, incluidos los poderes ejecutivos adecuados, de asistir y asesorar a los interesados en el ejercicio de sus derechos y de cooperar con las autoridades de control de los Estados miembros, y
• c) los compromisos internacionales asumidos por el tercer pa韘 o la organizaci髇 internacional correspondiente, u otras obligaciones que deriven de convenios o instrumentos jur韉icamente vinculantes o de su participaci髇 en sistemas multilaterales o regionales, en particular en relaci髇 con la protecci髇 de datos personales.

3. La Comisi髇, tras haber evaluado la adecuaci髇 del nivel de protecci髇, podr� decidir, mediante un acto de ejecuci髇, que un tercer pa韘, un territorio o uno o varios sectores espec韋icos de un tercer pa韘, o una organizaci髇 internacional garantizan un nivel de protecci髇 adecuado a tenor de lo dispuesto en el apartado 2 del presente art韈ulo. El acto de ejecuci髇 contendr� un mecanismo para su revisi髇 peri骴ica, como m韓imo cada cuatro a駉s, que tendr� en cuenta todos los acontecimientos que sean de inter閟 en el tercer pa韘 u organizaci髇 internacional. El acto de ejecuci髇 especificar� su 醡bito de aplicaci髇 territorial y sectorial y, cuando proceda, determinar� cu醠 es la autoridad o autoridades de control a que se refiere el apartado 2, letra b), del presente art韈ulo. El acto de ejecuci髇 se adoptar� con arreglo al procedimiento de examen contemplado en el art韈ulo 58, apartado 2.

V閍se Decisi髇 de Ejecuci髇 (UE) 2021/1773 de la Comisi髇, de 28 de junio de 2021, con arreglo a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, relativa a la protecci髇 adecuada de los datos personales por parte del Reino Unido (獶.O.U.E.L.� 11 octubre).LE0000709243_20210628

4. La Comisi髇 supervisar� de forma permanente los acontecimientos en los terceros pa韘es y organizaciones internacionales que pudiesen afectar al funcionamiento de las decisiones adoptadas en virtud del apartado 3.

5. Cuando as� lo revele la informaci髇 disponible, en particular a ra韟 de la revisi髇 prevista en el apartado 3 del presente art韈ulo, la Comisi髇 podr� decidir que un tercer pa韘, o uno o m醩 sectores espec韋icos en ese tercer pa韘, o una organizaci髇 internacional han dejado de garantizar un nivel de protecci髇 adecuado a tenor de lo dispuesto en el apartado 2 del presente art韈ulo y podr�, en caso necesario, derogar, modificar o suspender la decisi髇 a que se refiere el apartado 3 del presente art韈ulo, mediante actos de ejecuci髇, sin efecto retroactivo. Dichos actos de ejecuci髇 se adoptar醤 de acuerdo con el procedimiento de examen contemplado en el art韈ulo 58, apartado 2.

Por razones imperiosas de urgencia debidamente justificadas, la Comisi髇 adoptar� actos de ejecuci髇 inmediatamente aplicables de conformidad con el procedimiento contemplado en el art韈ulo 58, apartado 3.

6. La Comisi髇 entablar� consultas con el tercer pa韘 o la organizaci髇 internacional con vistas a poner remedio a la situaci髇 que haya originado la decisi髇 adoptada de conformidad con lo dispuesto en el apartado 5.

7. Los Estados miembros dispondr醤 que toda decisi髇 de conformidad con lo dispuesto en el apartado 5 del presente art韈ulo se entienda sin perjuicio de las transferencias de datos personales al tercer pa韘, un territorio o uno o varios sectores espec韋icos de ese tercer pa韘, o a la organizaci髇 internacional de que se trate en virtud de lo dispuesto en los art韈ulos 37 y 38.

8. La Comisi髇 publicar� en el Diario Oficial de la Uni髇 Europea y en su p醙ina web una lista de los terceros pa韘es, territorios y sectores espec韋icos en un tercer pa韘, y de las organizaciones internacionales para los que haya decidido que sigue o no garantizado un nivel de protecci髇 adecuado.

Art韈ulo 37 Transferencias mediante garant韆s apropiadas

1. En ausencia de una decisi髇 con arreglo a lo dispuesto en el art韈ulo 36, apartado 3, los Estados miembros dispondr醤 que pueda producirse una transferencia de datos personales a un tercer pa韘 o una organizaci髇 internacional cuando:

• a) se hayan aportado garant韆s apropiadas con respecto a la protecci髇 de datos personales en un instrumento jur韉icamente vinculante, o
• b) el responsable del tratamiento haya evaluado todas las circunstancias que concurren en la transferencia de datos personales y hayan llegado a la conclusi髇 de que existen garant韆s apropiadas con respecto a la protecci髇 de datos personales.

2. El responsable del tratamiento informar� a la autoridad de control acerca de las categor韆s de transferencias a tenor del apartado 1, letra b).

3. Cuando las transferencias se basen en lo dispuesto en el apartado 1, letra b), deber醤 documentarse y la documentaci髇 se pondr� a disposici髇 de la autoridad de control previa solicitud, con inclusi髇 de la fecha y la hora de la transferencia, informaci髇 sobre la autoridad competente destinataria, la justificaci髇 de la transferencia y los datos personales transferidos.

Art韈ulo 38 Excepciones para situaciones espec韋icas

1. En ausencia de una decisi髇 de adecuaci髇 de conformidad con el art韈ulo 36, o de garant韆s apropiadas de conformidad con el art韈ulo 37, los Estados miembros dispondr醤 que pueda procederse a una transferencia o categor韆 de transferencias de datos personales a un tercer pa韘 o una organizaci髇 internacional 鷑icamente cuando la transferencia sea necesaria:

• a) para proteger los intereses vitales del interesado o de otra persona;
• b) para salvaguardar intereses leg韙imos del interesado cuando as� lo disponga el Derecho del Estado miembro que transfiere los datos personales;
• c) para prevenir una amenaza grave e inmediata para la seguridad p鷅lica de un Estado miembro o de un tercer pa韘;
• d) en casos individuales a efectos del art韈ulo 1, apartado 1, o
• e) en un caso individual para el establecimiento, el ejercicio o la defensa de acciones legales en relaci髇 con los fines expuestos en el art韈ulo 1, apartado 1.

2. Los datos personales no se transferir醤 si la autoridad competente de la transferencia determina que los derechos y libertades fundamentales del interesado en cuesti髇 prevalecen sobre el inter閟 p鷅lico en la transferencia establecido en las letras d) y e) del apartado 1.

3. Cuando las transferencias se basen en lo dispuesto en el apartado 1, deber醤 documentarse y la documentaci髇 se pondr� a disposici髇, previa solicitud, de la autoridad de control, con inclusi髇 de la fecha y la hora de la transferencia, informaci髇 sobre la autoridad competente destinataria, la justificaci髇 de la transferencia y los datos personales transferidos.

Art韈ulo 39 Transferencias de datos personales a destinatarios establecidos en terceros pa韘es

1. No obstante lo dispuesto en el art韈ulo 35, apartado 1, letra b), y sin perjuicio de todo acuerdo internacional mencionado en el apartado 2 del presente art韈ulo, el Derecho de la Uni髇 o del Estado miembro podr� disponer que las autoridades competentes que cita el art韈ulo 3, punto 7, letra a), en casos particulares y espec韋icos, transfieran datos personales directamente a destinatarios establecidos en terceros pa韘es 鷑icamente si se cumplen las dem醩 disposiciones de la presente Directiva y se satisfacen todas las condiciones siguientes:

• a) la transferencia sea estrictamente necesaria para la realizaci髇 de una funci髇 de la autoridad competente de la transferencia seg鷑 dispone el Derecho de la Uni髇 o del Estado miembro a los fines expuestos en el art韈ulo 1, apartado 1;
• b) la autoridad competente de la transferencia determine que ninguno de los derechos y libertades fundamentales del interesado en cuesti髇 son superiores al inter閟 p鷅lico que precise de la transferencia de que se trate;
• c) la autoridad competente de la transferencia considere que la transferencia a una autoridad competente del tercer pa韘 a los fines que contempla el art韈ulo 1, apartado 1, resulta ineficaz o inadecuada, sobre todo porque no pueda efectuarse dentro de plazo;
• d) se informe sin dilaci髇 indebida a la autoridad competente del tercer pa韘 a los fines que contempla el art韈ulo 1, apartado 1, a menos que ello sea ineficaz o inadecuado;
• e) la autoridad competente de la transferencia informe al destinatario de la finalidad o finalidades espec韋icas por las que los datos personales vayan a tratarse por esta 鷏tima solamente cuando dicho tratamiento sea necesario.

2. Por acuerdo internacional mencionado en el apartado 1 se entender� todo acuerdo internacional bilateral o multinacional en vigor entre los Estados miembros y terceros pa韘es en el 醡bito de la cooperaci髇 judicial en asuntos penales y de la cooperaci髇 policial.

3. La autoridad competente de la transferencia informar� a la autoridad de control acerca de las transferencias efectuadas a tenor del presente art韈ulo.

4. Cuando las transferencias se basen en el apartado 1, deber醤 documentarse.

Art韈ulo 40 Cooperaci髇 internacional en el 醡bito de la protecci髇 de datos personales

En relaci髇 con los terceros pa韘es y las organizaciones internacionales, la Comisi髇 y los Estados miembros tomar醤 medidas apropiadas para:

• a) crear mecanismos de cooperaci髇 internacional que faciliten la aplicaci髇 efectiva de la legislaci髇 relativa a la protecci髇 de datos personales;
• b) prestarse mutuamente asistencia a escala internacional en la aplicaci髇 de la legislaci髇 relativa a la protecci髇 de datos personales, en particular mediante la notificaci髇, la remisi髇 de reclamaciones, la asistencia en las investigaciones y el intercambio de informaci髇, a reserva de las garant韆s apropiadas para la protecci髇 de los datos personales y otros derechos y libertades fundamentales;
• c) procurar la participaci髇 de las correspondientes partes interesadas en los debates y actividades destinados a reforzar la cooperaci髇 internacional en la aplicaci髇 de la legislaci髇 relativa a la protecci髇 de datos personales;
• d) promover el intercambio y la documentaci髇 de la legislaci髇 y pr醕ticas en materia de protecci髇 de datos personales, inclusive en los conflictos jurisdiccionales con terceros pa韘es.

Art韈ulo 41 Autoridad de control

1. Cada Estado miembro dispondr� que sea responsabilidad de una o varias autoridades p鷅licas independientes supervisar la aplicaci髇 de la presente Directiva, con el fin de proteger los derechos y las libertades fundamentales de las personas f韘icas en lo que respecta al tratamiento de sus datos personales y de facilitar la libre circulaci髇 de datos personales en la Uni髇 (en lo sucesivo, 玜utoridad de control�).

2. Cada autoridad de control contribuir� a la aplicaci髇 coherente de la presente Directiva en toda la Uni髇. A tal fin, las autoridades de control cooperar醤 entre s� y con la Comisi髇 de conformidad con el cap韙ulo VII.

3. Los Estados miembros podr醤 disponer que una autoridad de control creada en virtud del Reglamento (UE) 2016/679 pueda ser la autoridad de control mencionada en la presente Directiva y asuma la responsabilidad de las funciones de la autoridad de control que vayan a crearse de conformidad con el apartado 1 del presente art韈ulo.

4. Cuando en un Estado miembro est閚 establecidas varias autoridades de control, dicho Estado miembro designar� la autoridad de control que vaya a representar a dichas autoridades en el Comit� Europeo de Protecci髇 de Datos a que se refiere el art韈ulo 51.

Art韈ulo 42 Independencia

1. Los Estados miembros velar醤 por que cada autoridad de control act鷈 con total independencia en el desempe駉 de sus funciones y en el ejercicio de sus poderes de conformidad con la presente Directiva.

2. Los Estados miembros dispondr醤 que el miembro o miembros de sus autoridades de control, en el cumplimiento de sus funciones y el ejercicio de sus poderes de conformidad con la presente Directiva, se mantengan libres de toda influencia exterior, tanto directa como indirecta, y no soliciten ni acepten instrucciones de nadie.

3. Los miembros de las autoridades de control de los Estados miembros se abstendr醤 de cualquier acci髇 que sea incompatible con sus funciones y no participar醤, mientras dure su mandato, en ninguna actividad profesional incompatible, sea o no remunerada.

4. Los Estados miembros velar醤 por que cada autoridad de control disponga de los recursos humanos, t閏nicos y financieros, as� como de los locales y las infraestructuras necesarios para el cumplimiento efectivo de sus funciones y el ejercicio de sus poderes, incluidos aquellos que haya de ejercer en el marco de la asistencia mutua, la cooperaci髇 y la participaci髇 en el Comit� Europeo de Protecci髇 de Datos.

5. Los Estados miembros velar醤 por que cada autoridad de control disponga de su propio personal, designado por ella, que estar� sujeto a la direcci髇 exclusiva del miembro o miembros de la autoridad de control de que se trate.

6. Los Estados miembros velar醤 por que cada autoridad de control est� sujeta a control financiero, sin que ello afecte a su independencia y disponga de un presupuesto separado, p鷅lico y anual, que podr� formar parte del presupuesto general estatal o nacional.

Art韈ulo 43 Condiciones generales aplicables a los miembros de la autoridad de control

1. Los Estados miembros dispondr醤 que cada miembro de su autoridad de control sea nombrado mediante un procedimiento transparente por:

• - su Parlamento,
• - su Gobierno,
• - su Jefe de Estado, o
• - un organismo independiente encargado del nombramiento en virtud del Derecho del Estado miembro.

2. Cada miembro poseer� las cualificaciones, la experiencia y las aptitudes, especialmente en el 醡bito de la protecci髇 de datos personales, necesarias para el cumplimiento de sus obligaciones y el ejercicio de sus poderes.

3. Las obligaciones de los miembros terminar醤 cuando expire su mandato o en caso de dimisi髇 o jubilaci髇 obligatoria de conformidad con el Derecho del Estado miembro de que se trate.

4. Un miembro solamente podr� ser destituido en caso de conducta irregular grave o si deja de reunir las condiciones exigidas para el cumplimiento de sus obligaciones.

Art韈ulo 44 Normas relativas al establecimiento de la autoridad de control

1. Cada Estado miembro dispondr� por ley todos los elementos indicados a continuaci髇:

• a) el establecimiento de cada autoridad de control;
• b) las cualificaciones y condiciones de idoneidad requeridas para ser nombrado miembro de cada autoridad de control;
• c) las normas y los procedimientos para el nombramiento del miembro o miembros de cada autoridad de control;
• d) la duraci髇 del mandato del miembro o miembros de cada autoridad de control, que no ser� inferior a cuatro a駉s, salvo los primeros nombramientos despu閟 del 6 de mayo de 2016, algunos de los cuales podr醤 ser m醩 breves cuando ello sea necesario para proteger la independencia de la autoridad de control por medio de un procedimiento de nombramientos espaciados;
• e) el car醕ter renovable o no del mandato del miembro o miembros de cada autoridad de control y, en su caso, el n鷐ero de veces que podr� renovarse;
• f) las condiciones por las que se rigen las obligaciones del miembro o miembros y del personal de cada autoridad de control, las prohibiciones relativas a acciones, ocupaciones y prestaciones incompatibles con el cargo durante el mandato y despu閟 del mismo y las normas que rigen el cese en el empleo.

2. El miembro o miembros y el personal de cada autoridad de control estar醤 sujetos, conforme al Derecho de la Uni髇 o del Estado miembro, al deber de secreto profesional, tanto durante su mandato como despu閟 del mismo, con relaci髇 a las informaciones confidenciales de las que hayan tenido conocimiento en el cumplimiento de sus funciones o el ejercicio de sus poderes. Durante su mandato, este deber de secreto profesional se aplicar� en particular a la informaci髇 que faciliten las personas f韘icas sobre infracciones de la presente Directiva.

Art韈ulo 45 Competencia

1. Los Estados miembros dispondr醤 que cada autoridad de control sea competente para desempe馻r las funciones asignadas y ejercer los poderes que se le confieran de conformidad con la presente Directiva en el territorio de su Estado miembro.

2. Los Estados miembros dispondr醤 que cada autoridad de control no sea competente para controlar las operaciones de tratamiento efectuadas por los 髍ganos jurisdiccionales en el ejercicio de su funci髇 judicial. Los Estados miembros podr醤 disponer que su autoridad de control no sea competente para controlar las operaciones de tratamiento efectuadas por otras autoridades judiciales independientes en el ejercicio de su funci髇 judicial.

Art韈ulo 46 Funciones

1. Los Estados miembros dispondr醤 que cada autoridad de control est� facultada en su territorio para:

• a) supervisar y hacer cumplir la aplicaci髇 de las disposiciones adoptadas con arreglo a la presente Directiva y sus medidas de ejecuci髇;
• b) promover la sensibilizaci髇 y la comprensi髇 del p鷅lico acerca de los riesgos, normas, garant韆s y derechos relativos al tratamiento;
• c) asesorar, con arreglo al Derecho de los Estados miembros, al Parlamento nacional, al Gobierno y a otras instituciones y organismos, acerca de las medidas legislativas y administrativas relativas a la protecci髇 de los derechos y libertades de las personas f韘icas con respecto al tratamiento;
• d) promover la sensibilizaci髇 de los responsables y encargados del tratamiento acerca de las obligaciones que les incumben en virtud de la presente Directiva;
• e) previa solicitud, facilitar informaci髇 a cualquier interesado en relaci髇 con el ejercicio de sus derechos en virtud de la presente Directiva y, en su caso, cooperar a tal fin con las autoridades de control de otros Estados miembros;
• f) tratar las reclamaciones presentadas por un interesado o un organismo, organizaci髇 o asociaci髇 de conformidad con el art韈ulo 55, e investigar, en la medida oportuna, el motivo de la reclamaci髇 e informar al reclamante sobre el curso y el resultado de la investigaci髇 en un plazo razonable, en particular si fueran necesarias nuevas investigaciones o una coordinaci髇 m醩 estrecha con otra autoridad de control;
• g) controlar la licitud del tratamiento con arreglo a lo dispuesto en el art韈ulo 17 e informar al interesado en un plazo razonable sobre el resultado del control, de conformidad con el art韈ulo 17, apartado 3, o sobre los motivos por los que no se ha llevado a cabo;
• h) cooperar, en particular compartiendo informaci髇, con otras autoridades de control y prestar asistencia mutua con el fin de velar por la coherencia en la aplicaci髇 y ejecuci髇 de la presente Directiva;
• i) llevar a cabo investigaciones sobre la aplicaci髇 de la presente Directiva, en particular bas醤dose en informaci髇 recibida de otra autoridad de control u otra autoridad p鷅lica;
• j) hacer un seguimiento de acontecimientos que sean de inter閟, en la medida en que tengan incidencia en la protecci髇 de datos personales, en particular el desarrollo de las tecnolog韆s de la informaci髇 y la comunicaci髇;
• k) prestar asesoramiento sobre las operaciones de tratamiento contempladas en el art韈ulo 28, y
• l) contribuir a las actividades del Comit� Europeo de Protecci髇 de Datos.

2. Cada autoridad de control facilitar� la presentaci髇 de las reclamaciones contempladas en el apartado 1, letra f), mediante medidas como el suministro de un formulario de reclamaciones que pueda tambi閚 cumplimentarse por v韆 electr髇ica, sin excluir otros medios de comunicaci髇.

3. El desempe駉 de las funciones de cada autoridad de control ser� gratuito para el interesado y para el delegado de protecci髇 de datos.

4. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su car醕ter repetitivo, la autoridad de control podr� cobrar una tasa razonable basada en los costes administrativos, o negarse a actuar respecto de la solicitud. La carga de la demostraci髇 del car醕ter manifiestamente infundado o excesivo de la solicitud recaer� en la autoridad de control.

Art韈ulo 47 Poderes

1. Cada Estado miembro dispondr� por ley que su autoridad de control tenga poderes de investigaci髇 efectivos. Dichos poderes incluir醤 al menos el poder de obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales que se est醤 tratando y a toda la informaci髇 necesaria para el desempe駉 de sus funciones.

2. Cada Estado miembro dispondr� por ley que su autoridad de control tenga poderes correctivos efectivos como, por ejemplo:

• a) formular a todo responsable o encargado del tratamiento una advertencia cuando las operaciones de tratamiento previstas puedan infringir las disposiciones adoptadas con arreglo a la presente Directiva;
• b) ordenar al responsable o encargado del tratamiento que haga conformes las operaciones de tratamiento a las disposiciones adoptadas con arreglo a la presente Directiva, si procede, de una determinada manera y dentro de un plazo especificado, en particular ordenando la rectificaci髇 o la supresi髇 de datos personales, o la limitaci髇 de su tratamiento con arreglo al art韈ulo 16;
• c) imponer una limitaci髇 temporal o definitiva del tratamiento, incluida su prohibici髇.

3. Cada Estado miembro dispondr� por ley que su autoridad de control tenga poderes consultivos efectivos para asesorar al responsable del tratamiento conforme al procedimiento de consulta previa contemplado en el art韈ulo 28 y emitir, por iniciativa propia o previa solicitud, dict醡enes destinados al Parlamento nacional y su Gobierno o, conforme al Derecho del Estado miembro, a otras instituciones y organismos, as� como al p鷅lico, sobre cualquier asunto relacionado con la protecci髇 de los datos personales.

4. El ejercicio de los poderes conferidos a la autoridad de control en virtud del presente art韈ulo estar� sujeto a las garant韆s adecuadas, incluida la tutela judicial efectiva y al respeto de las garant韆s procesales, establecidas en el Derecho de la Uni髇 y del Estado miembro de conformidad con la Carta.

5. Cada Estado miembro dispondr� por ley que su autoridad de control est� facultada para poner en conocimiento de las autoridades judiciales las infracciones de la presente Directiva y, si procede, para iniciar o ejercitar de otro modo acciones judiciales, con el fin de hacer cumplir las disposiciones adoptadas con arreglo a la presente Directiva.

Art韈ulo 48 Notificaci髇 de infracciones

Los Estados miembros dispondr醤 que las autoridades competentes establezcan mecanismos eficaces que fomenten la notificaci髇 confidencial de infracciones a la presente Directiva.

Art韈ulo 49 Informe de actividad

Cada autoridad de control elaborar� un informe anual sobre sus actividades, que podr� incluir una lista de los tipos de infracciones notificadas y de tipos de las sanciones impuestas. Los informes se transmitir醤 al Parlamento nacional, al Gobierno y a las dem醩 autoridades designadas en virtud del Derecho del Estado miembro. Se pondr醤 a disposici髇 del p鷅lico, de la Comisi髇 y del Comit� Europeo de Protecci髇 de Datos.

Art韈ulo 50 Asistencia mutua

1. Los Estados miembros dispondr醤 que sus autoridades de control se faciliten entre s� informaci髇 鷗il y se presten asistencia mutua a fin de aplicar la presente Directiva de manera coherente, y tomar醤 medidas para asegurar una efectiva cooperaci髇 entre ellas. La asistencia mutua abarcar�, en particular, las solicitudes de informaci髇 y las medidas de control, como las solicitudes para llevar a cabo consultas, inspecciones e investigaciones.

2. Los Estados miembros dispondr醤 que cada autoridad de control adopte todas las medidas apropiadas requeridas para responder a la solicitud de otra autoridad de control sin dilaci髇 indebida y a m醩 tardar en el plazo de un mes tras haber recibido la solicitud. Dichas medidas podr醤 incluir, en particular, la transmisi髇 de informaci髇 pertinente sobre el desarrollo de una investigaci髇.

3. Las solicitudes de asistencia deber醤 contener toda la informaci髇 necesaria, entre otras cosas respecto de la finalidad y los motivos de la solicitud. La informaci髇 que se intercambie se utilizar� 鷑icamente para el fin para el que haya sido solicitada.

4. La autoridad de control requerida no podr� negarse a responder a una solicitud, salvo si:

• a) no es competente en relaci髇 con el objeto de la solicitud o con las medidas cuya ejecuci髇 se solicita, o
• b) el hecho de atender la solicitud infringir韆 la presente Directiva o el Derecho de la Uni髇 o del Estado miembro al que est� sujeta la autoridad de control que haya recibido la solicitud.

5. La autoridad de control requerida informar� a la autoridad de control requirente de los resultados obtenidos o, en su caso, de los progresos registrados o de las medidas adoptadas para responder a su solicitud. La autoridad de control requerida explicar� los motivos de su negativa a responder a una solicitud al amparo del apartado 4.

6. Como norma general, las autoridades de control requeridas facilitar醤 la informaci髇 solicitada por otras autoridades de control por v韆 electr髇ica, utilizando un formato normalizado.

7. Las autoridades de control requeridas no cobrar醤 tasa alguna por las medidas adoptadas a ra韟 de una solicitud de asistencia mutua. Las autoridades de control podr醤 convenir normas de indemnizaci髇 rec韕roca por gastos espec韋icos derivados de la prestaci髇 de asistencia mutua en circunstancias excepcionales.

8. La Comisi髇 podr� especificar, mediante actos de ejecuci髇, el formato y los procedimientos de asistencia mutua contemplados en el presente art韈ulo, as� como las modalidades del intercambio de informaci髇 por v韆 electr髇ica entre las autoridades de control y entre las autoridades de control y el Comit� Europeo de Protecci髇 de Datos. Dichos actos de ejecuci髇 se adoptar醤 con arreglo al procedimiento de examen contemplado en el art韈ulo 58, apartado 2.

Art韈ulo 51 Funciones del Comit� Europeo de Protecci髇 de Datos

1. El Comit� Europeo de Protecci髇 de Datos creado por el Reglamento (UE) 2016/679 ejercer�, dentro del 醡bito de aplicaci髇 de la presente Directiva, las siguientes funciones en relaci髇 con el tratamiento de datos:

• a) asesorar� a la Comisi髇 sobre toda cuesti髇 relativa a la protecci髇 de datos personales en la Uni髇, en particular sobre cualquier propuesta de modificaci髇 de la presente Directiva;
• b) examinar�, a iniciativa propia o a instancia de uno de sus miembros o de la Comisi髇, cualquier cuesti髇 relativa a la aplicaci髇 de la presente Directiva, y emitir� directrices, recomendaciones y buenas pr醕ticas, a fin de promover la aplicaci髇 coherente de la presente Directiva;
• c) formular� directrices para las autoridades de control, relativas a la aplicaci髇 de las medidas contempladas en el art韈ulo 47, apartados 1 y 3;
• d) emitir� directrices, recomendaciones y buenas pr醕ticas, con arreglo a la letra b) del presente p醨rafo a fin de establecer las violaciones de la seguridad de los datos personales y determinar la dilaci髇 indebida que contempla el art韈ulo 30, apartados 1 y 2, as� como las circunstancias particulares en las que el responsable o el encargado del tratamiento debe notificar la violaci髇 de la seguridad de los datos personales;
• e) emitir� directrices, recomendaciones y buenas pr醕ticas, con arreglo a la letra b) del presente p醨rafo en cuanto a las circunstancias en las que sea probable que la violaci髇 de la seguridad de los datos personales vaya a tener como resultado un alto riesgo para los derechos y libertades de las personas f韘icas a tenor del art韈ulo 31, apartado 1;
• f) examinar� la aplicaci髇 pr醕tica de las directrices, recomendaciones y buenas pr醕ticas;
• g) facilitar� a la Comisi髇 un dictamen para evaluar la adecuaci髇 del nivel de protecci髇 en un tercer pa韘, un territorio o uno o varios sectores espec韋icos en un tercer pa韘 o una organizaci髇 internacional, incluso para evaluar si dicho tercer pa韘, territorio, sector espec韋ico u organizaci髇 internacional han dejado de garantizar un nivel de protecci髇 adecuado;
• h) promover� la cooperaci髇 y los intercambios bilaterales y multilaterales efectivos de informaci髇 y de buenas pr醕ticas entre las autoridades de control;
• i) promover� programas de formaci髇 comunes y facilitar� los intercambios de personal entre las autoridades de control y, cuando proceda, con las autoridades de control de terceros pa韘es o con organizaciones internacionales;
• j) promover� el intercambio de conocimientos y documentaci髇 sobre legislaci髇 y pr醕ticas en materia de protecci髇 de datos con las autoridades de control encargadas de la protecci髇 de datos a escala mundial.

Respecto del p醨rafo primero, letra g), la Comisi髇 facilitar� al Comit� Europeo de Protecci髇 de Datos toda la documentaci髇 necesaria, incluida la correspondencia con el gobierno del tercer pa韘, el territorio o el sector espec韋ico en dicho tercer pa韘, o la organizaci髇 internacional.

2. Cuando la Comisi髇 solicite asesoramiento del Comit� Europeo de Protecci髇 de Datos podr� se馻lar un plazo teniendo en cuenta la urgencia del asunto.

3. El Comit� Europeo de Protecci髇 de Datos transmitir� sus dict醡enes, directrices, recomendaciones y buenas pr醕ticas a la Comisi髇 y al comit� contemplado en el art韈ulo 58, apartado 1, y los har� p鷅licos.

4. La Comisi髇 informar� al Comit� Europeo de Protecci髇 de Datos de las medidas que haya adoptado siguiendo los dict醡enes, directrices, recomendaciones y buenas pr醕ticas emitidos por dicho Comit�.

Art韈ulo 52 Derecho a presentar una reclamaci髇 ante una autoridad de control

1. Sin perjuicio de cualquier otro recurso administrativo o acci髇 judicial, los Estados miembros dispondr醤 que todo interesado tenga derecho a presentar una reclamaci髇 ante una 鷑ica autoridad de control, si considera que el tratamiento de sus datos personales infringe las disposiciones adoptadas en virtud de la presente Directiva.

2. Los Estados miembros dispondr醤 que, si la reclamaci髇 no se presenta ante la autoridad de control que sea competente seg鷑 el art韈ulo 45, apartado 1, la autoridad de control ante la que se haya presentado la reclamaci髇 la transmita a la autoridad de control competente sin dilaci髇 indebida. Se informar� al interesado de la transmisi髇.

3. Los Estados miembros dispondr醤 que la autoridad de control ante la que se haya presentado la reclamaci髇 proporcione asistencia adicional a petici髇 del interesado.

4. La autoridad de control competente informar� al interesado sobre el curso y el resultado de la reclamaci髇, inclusive sobre la posibilidad de la tutela judicial en virtud del art韈ulo 53.

Art韈ulo 53 Derecho a la tutela judicial efectiva contra una autoridad de control

1. Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, los Estados miembros dispondr醤 que toda persona f韘ica o jur韉ica tenga derecho a la tutela judicial efectiva contra una decisi髇 jur韉icamente vinculante de una autoridad de control que le concierna.

2. Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendr� derecho a la tutela judicial efectiva en caso de que la autoridad de control competente con arreglo al art韈ulo 45, apartado 1, no d� curso a una reclamaci髇 o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamaci髇 presentada en virtud del art韈ulo 52.

3. Los Estados miembros dispondr醤 que las acciones contra una autoridad de control deban ejercitarse ante los 髍ganos jurisdiccionales del Estado miembro en que est� establecida la autoridad de control.

Art韈ulo 54 Derecho a la tutela judicial efectiva contra el responsable o el encargado del tratamiento

Sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamaci髇 ante una autoridad de control con arreglo al art韈ulo 52, los Estados miembros reconocer醤 el derecho que asiste a todo interesado a la tutela judicial efectiva si considera que sus derechos establecidos en disposiciones adoptadas con arreglo a la presente Directiva han sido vulnerados como consecuencia de un tratamiento de sus datos personales no conforme con esas disposiciones.

Art韈ulo 55 Representaci髇 de los interesados

Los Estados miembros, de conformidad con el Derecho procesal del Estado miembro, dispondr醤 que el interesado tenga derecho a dar mandato a una entidad, organizaci髇 o asociaci髇 sin 醤imo de lucro, que haya sido correctamente constituida con arreglo al Derecho del Estado miembro, cuyos objetivos estatutarios sean de inter閟 p鷅lico y que act鷈 en el 醡bito de la protecci髇 de los derechos y libertades de los interesados en materia de protecci髇 de sus datos personales, para que presente la reclamaci髇 en su nombre y ejerza los derechos contemplados en los art韈ulos 52, 53 y 54 en su nombre.

Art韈ulo 56 Derecho a indemnizaci髇

Los Estados miembros dispondr醤 que toda persona que haya sufrido da駉s y perjuicios materiales o inmateriales como consecuencia de una operaci髇 de tratamiento il韈ito o de cualquier acto que vulnere las disposiciones nacionales adoptadas con arreglo a la presente Directiva tenga derecho a recibir una indemnizaci髇 del responsable o de cualquier autoridad competente en virtud del Derecho del Estado miembro por los da駉s y perjuicios sufridos.

Art韈ulo 57 Sanciones

Los Estados miembros establecer醤 las normas en materia de sanciones aplicables a las infracciones de las disposiciones adoptadas con arreglo a la presente Directiva y tomar醤 todas las medidas necesarias para garantizar su cumplimiento. Las sanciones establecidas ser醤 efectivas, proporcionadas y disuasorias.

Art韈ulo 58 Procedimiento de comit�

1. La Comisi髇 estar� asistida por el comit� establecido por el art韈ulo 93 del Reglamento (UE) 2016/679. Dicho comit� ser� un comit� en el sentido del Reglamento (UE) n.� 182/2011.

2. Cuando se haga referencia al presente apartado, se aplicar� el art韈ulo 5 del Reglamento (UE) n.� 182/2011.

3. Cuando se haga referencia al presente apartado, se aplicar� el art韈ulo 8 del Reglamento (UE) n.� 182/2011, en relaci髇 con su art韈ulo 5.

Art韈ulo 59 Derogaci髇 de la Decisi髇 Marco 2008/977/JAI

1. Queda derogada la Decisi髇 Marco 2008/977/JAI del Consejo con efecto a partir del 6 de mayo de 2018.

LE0000347834_20090119

2. Las referencias a la Decisi髇 derogada que se menciona en el apartado 1 se entender醤 hechas a la presente Directiva.

Art韈ulo 60 Actos jur韉icos de la Uni髇 en vigor

Las disposiciones espec韋icas relativas a la protecci髇 de datos personales en actos jur韉icos de la Uni髇 que entraron en vigor antes del 6 de mayo de 2016 en el 醡bito de la cooperaci髇 judicial en materia penal y de la cooperaci髇 policial, que regulen el tratamiento entre los Estados miembros y el acceso de autoridades designadas de los Estados miembros a los sistemas de informaci髇 establecidos con arreglo a lo dispuesto en los Tratados en el 醡bito de la presente Directiva no se ver醤 afectadas.

Art韈ulo 61 Relaci髇 con acuerdos internacionales celebrados con anterioridad en el 醡bito de la cooperaci髇 judicial en materia penal y de la cooperaci髇 policial

Los acuerdos internacionales que impliquen la transferencia de datos personales a terceros pa韘es u organizaciones internacionales que hubieren sido celebrados por los Estados miembros antes del 6 de mayo de 2016 y que cumplan lo dispuesto en el Derecho de la Uni髇 aplicable antes de dicha fecha seguir醤 en vigor hasta que sean modificados, sustituidos o revocados.

Art韈ulo 62 Informes de la Comisi髇

1. A m醩 tardar el 6 de mayo de 2022 y posteriormente cada cuatro a駉s, la Comisi髇 presentar� al Parlamento Europeo y al Consejo un informe sobre la evaluaci髇 y revisi髇 de la presente Directiva. Los informes se har醤 p鷅licos.

2. En el marco de las evaluaciones y revisiones a que se refiere el apartado 1, la Comisi髇 estudiar� en particular la aplicaci髇 y el funcionamiento del cap韙ulo V sobre la transferencia de datos personales a terceros pa韘es u organizaciones internacionales, prestando especial atenci髇 a las decisiones adoptadas en virtud del art韈ulo 36, apartado 3, y del art韈ulo 39.

3. A los efectos de los apartados 1 y 2, la Comisi髇 podr� solicitar informaci髇 a los Estados miembros y a las autoridades de control.

4. Al realizar las evaluaciones y revisiones a que hacen referencia los apartados 1 y 2, la Comisi髇 tendr� en cuenta las posiciones y las conclusiones del Parlamento Europeo, del Consejo y de los dem醩 髍ganos o fuentes pertinentes.

5. La Comisi髇 presentar�, si procede, las propuestas oportunas para modificar la presente Directiva, en particular teniendo en cuenta la evoluci髇 de las tecnolog韆s de la informaci髇 y a la luz de los progresos de la sociedad de la informaci髇.

6. Antes del 6 de mayo de 2019, la Comisi髇 revisar� otros actos jur韉icos adoptados por la Uni髇 que regulen el tratamiento por parte de las autoridades competentes a los efectos expuestos en el art韈ulo 1, apartado 1, con inclusi髇 de los actos a que se refiere el art韈ulo 60, a fin de evaluar la necesidad de aproximarlos a las disposiciones de la presente Directiva, y presentar�, en su caso, las propuestas necesarias para modificar dichos actos para garantizar un enfoque coherente de la protecci髇 de datos personales en el 醡bito de aplicaci髇 de la presente Directiva.

Art韈ulo 63 Transposici髇

1. Los Estados miembros adoptar醤 y publicar醤, a m醩 tardar el 6 de mayo de 2018, las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva. Comunicar醤 inmediatamente a la Comisi髇 el texto de dichas disposiciones. Aplicar醤 dichas disposiciones a partir del 6 de mayo de 2018.

Cuando los Estados miembros adopten dichas disposiciones, estas har醤 referencia a la presente Directiva o ir醤 acompa馻das de dicha referencia en su publicaci髇 oficial. Los Estados miembros establecer醤 las modalidades de la mencionada referencia.

2. No obstante lo dispuesto en el apartado 1, los Estados miembros podr醤 disponer que excepcionalmente y cuando suponga un esfuerzo desproporcionado, los sistemas de tratamiento automatizado establecidos con anterioridad al 6 de mayo de 2016 sean conformes con el art韈ulo 25, apartado 1, antes del 6 de mayo de 2023.

3. No obstante lo dispuesto en los apartados 1 y 2 del presente art韈ulo, en circunstancias excepcionales, un Estado miembro podr� adaptar al art韈ulo 25, apartado 1, un sistema de tratamiento automatizado a que se refiere el apartado 2 del presente art韈ulo dentro de un plazo determinado despu閟 del per韔do previsto en el apartado 2 del presente art韈ulo, si de no hacer as� surgieran serias dificultades para el funcionamiento de ese sistema de tratamiento automatizado concreto. Notificar� a la Comisi髇 los motivos de esas serias dificultades as� como los del per韔do espec韋ico dentro del cual adaptar� ese sistema de tratamiento automatizado concreto a lo dispuesto en el art韈ulo 25, apartado 1. En cualquier caso, el per韔do determinado no podr� ser posterior al 6 de mayo de 2026.

4. Los Estados miembros comunicar醤 a la Comisi髇 el texto de las principales disposiciones de Derecho interno que adopten en el 醡bito regulado por la presente Directiva.

Art韈ulo 64 Entrada en vigor

La presente Directiva entrar� en vigor el d韆 siguiente al de su publicaci髇 en el Diario Oficial de la Uni髇 Europea.

Art韈ulo 65 Destinatarios

Los destinatarios de la presente Directiva son los Estados miembros.