CONDICIONES GENERALES DE PROTECCIÓN DE DATOS DE GES EU

Las presentes Condiciones Generales de Protección de Datos de la UE del GES constan de las siguientes cláusulas contractuales ("las Cláusulas") con el fin de ofrecer garantías adecuadas con respecto a la protección de la intimidad y de los derechos y libertades fundamentales de las personas para la transferencia por parte del exportador de datos al importador de datos de los datos personales especificados en la Adenda de Seguridad de Datos de la UE del GES aplicable (la "Adenda") celebrada entre el GES y la contraparte de la Adenda (el GES y dicha contraparte colectivamente, las "partes"):

Artículo 1

Definiciones

A efectos de las Cláusulas:

datos personales", "categorías especiales de datos", "tratamiento", "responsable del tratamiento", "encargado del tratamiento", "interesado" y "autoridad de control" tendrán el mismo significado que en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, "la Directiva");
se entenderá por "exportador de datos" el responsable del tratamiento que transfiere los datos personales;
se entenderá por "importador de datos"el responsable del tratamiento que acepte recibir del exportador de datos datos personales para su posterior tratamiento de conformidad con los términos de las presentes cláusulas y que no esté sujeto al sistema de un tercer país que garantice una protección adecuada.

Artículo 2

Detalles de la transferencia

Los detalles de la transferencia, y en particular las categorías de datos personales y los fines para los que se transfieren, se especifican en la Adenda, que forma parte integrante de las Cláusulas y se incorpora por referencia al presente documento.

Artículo 3

Cláusula de tercero beneficiario

Los interesados pueden hacer valer esta Cláusula, la Cláusula 4(b), (c) y (d). La cláusula 5(a), (b), (c) y (e), la cláusula 6(1) y (2), y las cláusulas 7, 9 y 11 como terceros beneficiarios. Las partes no se oponen a que los interesados estén representados por una asociación u otros organismos si así lo desean y lo permite la legislación nacional.

Artículo 4

Obligaciones del exportador de datos

El exportador de datos acepta y garantiza:

que el tratamiento, incluida la propia transferencia, de los datos personales por él efectuado se ha realizado y, hasta el momento de la transferencia, seguirá realizándose de conformidad con las disposiciones pertinentes del Estado miembro en el que está establecido el exportador de datos (y, en su caso, se ha notificado a las autoridades pertinentes de dicho Estado) y no infringe las disposiciones pertinentes de dicho Estado;
que si la transferencia implica categorías especiales de datos, el interesado haya sido informado o vaya a ser informado antes de la transferencia de que estos datos podrían transmitirse a un tercer país que no ofrezca una protección adecuada;
poner a disposición de los interesados que lo soliciten una copia de las Cláusulas; y
responder en un plazo razonable y en la medida de lo razonablemente posible a las preguntas de la autoridad de control sobre el tratamiento de los datos personales pertinentes por parte del importador de datos y a cualquier pregunta del interesado sobre el tratamiento de estos datos personales por parte del importador de datos.

Artículo 5

Obligaciones del importador de datos

El importador de datos acepta y garantiza:

que no tiene motivos para creer que la legislación que le es aplicable le impide cumplir las obligaciones que le incumben en virtud del contrato y que, en caso de que se produzca un cambio en dicha legislación que pueda tener un efecto sustancial adverso sobre las garantías previstas en las Cláusulas, notificará el cambio al exportador de datos y a la autoridad de control en la que esté establecido el exportador de datos, en cuyo caso el exportador de datos tendrá derecho a suspender la transferencia de datos y/o a rescindir el contrato;
tratar los datos personales de conformidad con los principios obligatorios de protección de datos establecidos en el Apéndice 2;

o, si las partes lo acuerdan explícitamente marcando a continuación y siempre que se cumplan los principios obligatorios de protección de datos establecidos en el Apéndice 3, a tratar los datos en todos los demás aspectos de conformidad con:

las disposiciones pertinentes de la legislación nacional (adjuntas a estas Cláusulas) que protegen los derechos y libertades fundamentales de las personas físicas, y en particular su derecho a la intimidad con respecto al tratamiento de datos personales aplicables a un responsable del tratamiento en el país en el que está establecido el exportador de datos, o bien
las disposiciones pertinentes de cualquier Decisión de la Comisión adoptada en virtud del apartado 6 del artículo 25 de la Directiva 95/46/CE en la que se constate que un tercer país ofrece una protección adecuada en determinados sectores de actividad únicamente, si el importador de datos tiene su sede en dicho tercer país y no está cubierto por dichas disposiciones, en la medida en que éstas sean de una naturaleza que las haga aplicables en el sector de la transferencia;

atender rápida y adecuadamente todas las consultas razonables del exportador de datos o del interesado en relación con su tratamiento de los datos personales objeto de la transferencia y cooperar con la autoridad de control competente en el curso de todas sus investigaciones y acatar el consejo de la autoridad de control en relación con el tratamiento de los datos transferidos;
a petición del exportador de datos, someter sus instalaciones de tratamiento de datos a una auditoría que será realizada por el exportador de datos o por un organismo de inspección compuesto por miembros independientes y en posesión de las cualificaciones profesionales requeridas, seleccionados por el exportador de datos, en su caso, de acuerdo con la autoridad de control;
poner a disposición del interesado que lo solicite una copia de las Cláusulas e indicar la oficina que tramita las reclamaciones.

Artículo 6

Responsabilidad

Las partes acuerdan que el interesado que haya sufrido daños como consecuencia de cualquier violación de las disposiciones mencionadas en la cláusula 3 tiene derecho a recibir de las partes una indemnización por los daños sufridos. Las partes acuerdan que sólo podrán eximirse de esta responsabilidad si demuestran que ninguna de ellas es responsable de la violación de dichas disposiciones.
El exportador de datos y el importador de datos acuerdan que serán conjunta y solidariamente responsables de los daños causados al interesado como consecuencia de cualquier infracción de las mencionadas en el apartado 1. En caso de tal violación, el exportador de datos o el importador de datos, o ambos.

Artículo 7

Mediación y jurisdicción

Las partes acuerdan que si se produce una disputa entre un interesado y cualquiera de las partes que no se resuelva de forma amistosa y el interesado invoca la disposición sobre terceros beneficiarios de la cláusula 3, aceptan la decisión del interesado:

1. someter el litigio a la mediación de una persona independiente o, en su caso, de la autoridad de control;
2. someter el litigio a los tribunales del Estado miembro en el que esté establecido el exportador de datos.

Las partes convienen en que, por acuerdo entre el interesado y la parte pertinente, un litigio puede remitirse a un organismo de arbitraje, si dicha parte está establecida en un país que haya ratificado el convenio de Nueva York sobre ejecución de laudos arbitrales.
Las partes acuerdan que los apartados 1 y 2 se aplicarán sin perjuicio de los derechos sustantivos o procesales del interesado a interponer recursos de conformidad con otras disposiciones del Derecho nacional o internacional.

Artículo 8

Cooperación con las autoridades de supervisión

Las partes acuerdan depositar una copia del presente contrato ante la autoridad supervisora si ésta lo solicita o si dicho depósito es obligatorio en virtud de la legislación nacional.

Artículo 9

Rescisión de las cláusulas

Las partes acuerdan que la rescisión de las Cláusulas en cualquier momento, en cualquier circunstancia y por cualquier motivo no les exime de las obligaciones y/o condiciones previstas en las Cláusulas en lo que respecta al tratamiento de los datos transferidos.

Artículo 10

Omitido intencionadamente

Artículo 11

Variación del contrato

Las partes se comprometen a no variar ni modificar los términos de las cláusulas.

Anexo 1

Omitido intencionadamente.

Anexo 2

a las cláusulas contractuales tipo

Principios obligatorios de protección de datos contemplados en el primer párrafo de la cláusula 5(b)

Estos principios de protección de datos deben leerse e interpretarse a la luz de las disposiciones (principios y excepciones pertinentes) de la Directiva 95/46/CE.

Se aplicarán sin perjuicio de los requisitos obligatorios de la legislación nacional aplicable al importador de datos que no vayan más allá de lo necesario en una sociedad democrática sobre la base de uno de los intereses enumerados en el apartado 1 del artículo 13 de la Directiva 95/46/CE, es decir, si constituyen una medida necesaria para salvaguardar la seguridad nacional, la defensa, la seguridad pública, la prevención, la investigación, la detección y el enjuiciamiento de delitos o de infracciones de la deontología de las profesiones reguladas, un interés económico o financiero importante del Estado o la protección del interesado o de los derechos y libertades de otras personas.

Limitación de la finalidad:los datos deben tratarse y posteriormente utilizarse o comunicarse únicamente para los fines específicos que figuran en el Anexo I de las Cláusulas. Los datos no deben conservarse más tiempo del necesario para los fines para los que se transfieren.
Dara calidad y proporcionalidad:los datos deben ser exactos y, en caso necesario, mantenerse actualizados. Los datos deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que se transfieren y se tratan posteriormente.
Transparencia:debe facilitarse a los interesados información sobre los fines del tratamiento y la identidad del responsable del tratamiento en el tercer país, así como otra información en la medida en que sea necesaria para garantizar un tratamiento leal, a menos que el exportador de datos ya haya facilitado dicha información.
Seguridad y confidencialidad:el responsable del tratamiento deberá adoptar medidas de seguridad técnicas y organizativas adecuadas a los riesgos que presente el tratamiento, como el acceso no autorizado. Cualquier persona que actúe bajo la autoridad del responsable del tratamiento, incluido un encargado del tratamiento, no debe tratar los datos salvo siguiendo instrucciones del responsable del tratamiento.
Derechos de acceso, rectificación, supresión y bloqueo de los datos:según lo dispuesto en el artículo 12 de la Directiva 95/46/CE, el interesado debe tener derecho de acceso a todos los datos que se traten sobre él y, en su caso, derecho a la rectificación, supresión o bloqueo de los datos cuyo tratamiento no se ajuste a los principios establecidos en el presente apéndice, en particular porque los datos sean incompletos o inexactos. También debe poder oponerse al tratamiento de los datos que le conciernen por motivos legítimos imperiosos relacionados con su situación particular.
Restricciones a las transferencias ulteriores:las transferencias ulteriores de datos personales del importador de datos a otro responsable del tratamiento establecido en un tercer país que no ofrezca una protección adecuada o que no esté cubierto por una decisión adoptada por la Comisión con arreglo al apartado 6 del artículo 25 de la Directiva 95/46/CE (transferencia ulterior) sólo podrán tener lugar si:

los interesados, en el caso de categorías especiales de datos, han dado su consentimiento inequívoco a la transferencia ulterior o, en otros casos, se les ha dado la oportunidad de oponerse.

La información mínima que debe facilitarse a los interesados debe estar en una lengua comprensible para ellos:

a efectos de la transferencia ulterior,
la identificación del exportador de datos establecido en la Comunidad,
las categorías de otros destinatarios de los datos y los países de destino, y
una explicación de que, tras la transferencia ulterior, los datos pueden ser tratados por un responsable del tratamiento establecido en un país en el que no exista un nivel adecuado de protección de la intimidad de las personas; o bien

(b) el exportador de datos y el importador de datos acuerdan la adhesión a las Cláusulas de otro responsable del tratamiento que, de este modo, se convierte en parte de las Cláusulas y asume las mismas obligaciones que el importador de datos.

Categorías especiales de datos:cuando se traten datos que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como datos relativos a la salud o a la vida sexual y datos relativos a infracciones, condenas penales o medidas de seguridad, deberán establecerse garantías adicionales en el sentido de la Directiva 95/46/CE, en particular, medidas de seguridad adecuadas como un cifrado potente para la transmisión o como el mantenimiento de un registro de acceso a los datos sensibles.
Marketing directo:cuando los datos se traten con fines de marketing directo, deben existir procedimientos eficaces que permitan al interesado optar en cualquier momento por que sus datos no se utilicen para tales fines.
Decisiones individuales automatizadas:los interesados tienen derecho a no ser objeto de una decisión que se base únicamente en un tratamiento automatizado de datos, a menos que se adopten otras medidas para salvaguardar los intereses legítimos de la persona, tal como se establece en el apartado 2 del artículo 15 de la Directiva 95/46/CE. Cuando la transferencia tenga por objeto la adopción de una decisión automatizada contemplada en el artículo 15 de la Directiva 95/46/CE, que produzca efectos jurídicos en la persona o la afecte de manera significativa y que se base únicamente en un tratamiento automatizado de datos destinado a evaluar determinados aspectos personales relacionados con ella, como su rendimiento laboral, solvencia, fiabilidad, conducta, etc., la persona deberá tener derecho a conocer los motivos de dicha decisión.

Anexo 3