REGULAMENTUL (UE) 2016/679 (RGPD 2018) privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date

(4) Autoritatea de supraveghere aplica mecanismul pentru asigurarea coerentei mentionat la articolul 63, in cazurile mentionate la alineatul (3) din prezentul articol .
(5) Autorizatiile acordate de un stat membru sau de o autoritate de supraveghere in temeiul articolului 26 alineatul (2) din Directiva 95/46/CE sunt valabile pana la data la care sunt modificate, inlocuite sau abrogate, daca este necesar, de respectiva autoritate de supraveghere . Deciziile adoptate de Comisie in temeiul articolului 26 alineatul (4) din Directiva 95/46/CE raman in vigoare pana cand sunt modificate, inlocuite sau abrogate, daca este necesar, de o decizie a Comisiei adoptata in conformitate cu alineatul (2) din prezentul articol .

Articolul 47
Reguli corporatiste obligatorii
(1) In conformitate cu mecanismul pentru asigurarea coerentei prevazut la articolul 63, autoritatea de supraveghere competenta aproba reguli corporatiste obligatorii, cu conditia ca acestea:
(a) sa fie obligatorii din punct de vedere juridic si sa se aplice fiecarui membru vizat al grupului de intreprinderi sau al grupului de intreprinderi implicate intr-o activitate economica comuna, inclusiv angajatilor acestuia, precum si sa fie puse in aplicare de membrii in cauza;
(b) sa confere, in mod expres, drepturi opozabile persoanelor vizate in ceea ce priveste prelucrarea datelor lor cu caracter personal; si
(c) sa indeplineasca cerintele prevazute la alineatul (2).
(2) Regulile corporatiste obligatorii mentionate la alineatul (1) precizeaza cel putin:
(a) structura si datele de contact ale grupului de intreprinderi sau ale grupului de intreprinderi implicate intr-o activitate economica comuna si ale fiecaruia dintre membrii sai;
(b) transferurile de date sau setul de transferuri, inclusiv categoriile de date cu caracter personal, tipul prelucrarii si scopurile prelucrarii, tipurile de persoane vizate afectate si identificarea tarii terte sau a tarilor terte in cauza;
(c) caracterul lor juridic obligatoriu, atat pe plan intern, cat si extern;
(d) aplicarea principiilor generale in materie de protectie a datelor, in special limitarea scopului, reducerea la minimum a datelor, perioadele de stocare limitate, calitatea datelor, protectia datelor incepand cu momentul conceperii si protectia implicita, temeiul juridic pentru prelucrare, prelucrarea categoriilor speciale de date cu caracter personal, masurile de asigurare a securitatii datelor, precum si cerintele referitoare la transferurile ulterioare catre organisme care nu fac obiectul regulilor corporatiste obligatorii;
(e) drepturile persoanelor vizate in ceea ce priveste prelucrarea si mijloacele de exercitare a acestor drepturi, inclusiv dreptul de a nu face obiectul unor decizii bazate exclusiv pe prelucrarea automata, inclusiv crearea de profiluri, in conformitate cu articolul 22, dreptul de a depune o plangere in fata autoritatii de supraveghere competente si in fata instantelor competente ale statelor membre, in conformitate cu articolul 79, precum si dreptul de a obtine reparatii si, dupa caz, despagubiri pentru incalcarea regulilor corporatiste obligatorii;
(f) acceptarea de catre operator sau de persoana imputernicita de operator, care isi are sediul pe teritoriul unui stat membru, a raspunderii pentru orice incalcare a regulilor corporatiste obligatorii de catre orice membru in cauza care nu isi are sediul in Uniune; operatorul sau persoana imputernicita de operator este exonerat(a) de aceasta raspundere, integral sau partial, numai daca dovedeste ca membrul respectiv nu a fost raspunzator de evenimentul care a cauzat prejudiciul;
(g) modul in care informatiile privind regulile corporatiste obligatorii, in special privind dispozitiile mentionate la literele (d), (e) si (f) de la prezentul alineat, sunt furnizate persoanelor vizate in completarea informatiilor mentionate la articolele 13 si 14;
(h) sarcinile oricarui responsabil cu protectia datelor desemnat in conformitate cu articolul 37 sau ale oricarei alte persoane sau entitati insarcinate cu monitorizarea respectarii regulilor corporatiste obligatorii in cadrul grupului de intreprinderi sau al grupului de intreprinderi implicate intr-o activitate economica comuna, a activitatilor de formare si a gestionarii plangerilor;
(i) procedurile de formulare a plangerilor;
(j) mecanismele din cadrul grupului de intreprinderi sau al grupului de intreprinderi implicate intr-o activitate economica comuna, menite sa asigure verificarea conformitatii cu regulile corporatiste obligatorii. Aceste mecanisme includ auditurile privind protectia datelor si metodele de asigurare a actiunilor corective menite sa protejeze drepturile persoanei vizate. Rezultatele acestor verificari ar trebui sa fie comunicate persoanei sau entitatii mentionate la litera (h) si consiliului de administratie al intreprinderii care exercita controlul grupului de intreprinderi sau al grupului de intreprinderi implicate intr-o activitate economica comuna si ar trebui sa fie puse la dispozitia autoritatii de supraveghere competente, la cerere;
(k) mecanismele de raportare si inregistrare a modificarilor aduse regulilor si de raportare a acestor modificari autoritatii de supraveghere;
(l) mecanismul de cooperare cu autoritatea de supraveghere in vederea asigurarii respectarii regulilor de catre orice membru al grupului de intreprinderi sau al grupului de intreprinderi implicate intr-o activitate economica comuna, in special prin punerea la dispozitia autoritatii de supraveghere a rezultatelor verificarilor cu privire la masurile mentionate la punctul (j);
(m) mecanismele de raportare catre autoritatea de supraveghere competenta a oricaror cerinte legale impuse unui membru al grupului de intreprinderi sau al grupului de intreprinderi implicate intr-o activitate economica comuna intr-o tara terta care pot avea un efect advers considerabil asupra garantiilor furnizate prin regulile corporatiste obligatorii; si
(n) formarea corespunzatoare in domeniul protectiei datelor a personalului care are un acces permanent sau periodic la date cu caracter personal.
(3) Comisia poate preciza formatul si procedurile pentru schimbul de informatii intre operatori, persoanele imputernicite de operatori si autoritatile de supraveghere pentru regulile corporatiste obligatorii in sensul prezentului articol . Actele de punere in aplicare respective se adopta in conformitate cu procedura de examinare prevazuta la articolul 93 alineatul (2).

Articolul 48
Transferurile sau divulgarile de informatii neautorizate de dreptul Uniunii
Orice hotarare a unei instante sau a unui tribunal si orice decizie a unei autoritati administrative a unei tari terte care impun unui operator sau persoanei imputernicite de operator sa transfere sau sa divulge date cu caracter personal poate fi recunoscuta sau executata in orice fel numai daca se bazeaza pe un acord international, cum ar fi un tratat de asistenta judiciara reciproca in vigoare intre tara terta solicitanta si Uniune sau un stat membru, fara a se aduce atingere altor motive de transfer in temeiul prezentului capitol.

Articolul 49
Derogari pentru situatii specifice
(1) In absenta unei decizii privind caracterul adecvat al nivelului de protectie in conformitate cu articolul 45 alineatul (3) sau a unor garantii adecvate in conformitate cu articolul 46, inclusiv a regulilor corporatiste obligatorii, un transfer sau un set de transferuri de date cu caracter personal catre o tara terta sau o organizatie internationala poate avea loc numai in una dintre conditiile urmatoare:
(a) persoana vizata si-a exprimat in mod explicit acordul cu privire la transferul propus, dupa ce a fost informata asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru persoana vizata ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protectie si a unor garantii adecvate;
(b) transferul este necesar pentru executarea unui contract intre persoana vizata si operator sau pentru aplicarea unor masuri precontractuale adoptate la cererea persoanei vizate;
(c) transferul este necesar pentru incheierea unui contract sau pentru executarea unui contract incheiat in interesul persoanei vizate intre operator si o alta persoana fizica sau juridica;
(d) transferul este necesar din considerente importante de interes public;
(e) transferul este necesar pentru stabilirea, exercitarea sau apararea unui drept in instanta;
(f) transferul este necesar pentru protejarea intereselor vitale ale persoanei vizate sau ale altor persoane, atunci cand persoana vizata nu are capacitatea fizica sau juridica de a-si exprima acordul;
(g) transferul se realizeaza dintr-un registru care, potrivit dreptului Uniunii sau al dreptului intern, are scopul de a furniza informatii publicului si care poate fi consultat fie de public in general, fie de orice persoana care poate face dovada unui interes legitim, dar numai in masura in care sunt indeplinite conditiile cu privire la consultare prevazute de dreptul Uniunii sau de dreptul intern in acel caz specific.
In cazul in care un transfer nu ar putea sa se intemeieze pe o dispozitie prevazuta la articolul 45 sau 46, inclusiv dispozitii privind reguli corporatiste obligatorii, si nu este aplicabila niciuna dintre derogarile pentru situatii specifice prevazute la primul paragraf din prezentul alineat, un transfer catre o tara terta sau o organizatie internationala poate avea loc numai in cazul in care transferul nu este repetitiv, se refera doar la un numar limitat de persoane vizate, este necesar in scopul realizarii intereselor legitime majore urmarite de operator asupra caruia nu prevaleaza interesele sau drepturile si libertatile persoanei vizate si operatorul a evaluat toate circumstantele aferente transferului de date si, pe baza acestei evaluari, a prezentat garantii corespunzatoare in ceea ce priveste protectia datelor cu caracter personal. Operatorul informeaza autoritatea de supraveghere cu privire la transfer. Operatorul, in plus fata de furnizarea informatiilor mentionate la articolele 13 si 14, informeaza persoana vizata cu privire la transfer si la interesele legitime majore pe care le urmareste.
(2) Transferul in temeiul alineatului (1) primul paragraf litera (g) nu implica totalitatea datelor cu caracter personal sau ansamblul categoriilor de date cu caracter personal cuprinse in registru . Atunci cand registrul urmeaza a fi consultat de catre persoane care au un interes legitim, transferul se efectueaza numai la cererea persoanelor respective sau in cazul in care acestea vor fi destinatarii.
(3) Alineatul (1) primul paragraf literele (a), (b) si (c) si paragraful al doilea nu se aplica in cazul activitatilor desfasurate de autoritatile publice in exercitarea competentelor lor publice.
(4) Interesul public prevazut la alineatul (1) primul paragraf litera (d) este recunoscut in dreptul Uniunii sau in dreptul statului membru sub incidenta caruia intra operatorul.
(5) In absenta unei decizii privind caracterul adecvat al nivelului de protectie, dreptul Uniunii sau dreptul intern poate, din considerente importante de interes public, sa stabileasca in mod expres limite asupra transferului unor categorii specifice de date cu caracter personal catre o tara terta sau o organizatie internationala. Statele membre notifica aceste dispozitii Comisiei.
(6) Operatorul sau persoana imputernicita de operator consemneaza evaluarea, precum si garantiile adecvate prevazute la paragraful al doilea al alineatului (1) din prezentul articol, in evidentele mentionate la articolul 30.

Articolul 50