Article 47. Normes corporatives vinculants – Privacitat i Protecció de Dades Personals

L’autoritat de control competent ha d’aprovar normes corporatives vinculants, de conformitat amb el mecanisme de coherència que estableix l’article 63, sempre que aquestes:
a) Siguin jurídicament vinculants, s’apliquin i les compleixin tots els membres del grup empresarial o de la unió d’empreses dedicades a una activitat econòmica conjunta, inclosos els seus empleats.
b) Confereixin expressament als interessats drets exigibles en relació amb el tractament de les seves dades personals, i
c) Compleixin els requisits que estableix l’apartat 2.
Les normes corporatives vinculants esmentades a l’apartat 1 han d’especificar, com a mínim, els elements següents:
a) L’estructura i les dades de contacte del grup empresarial o de la unió d’empreses dedicades a una activitat econòmica conjunta, i les de cadascun dels seus membres.
b) Les transferències o conjunts de transferències de dades, incloses les categories de dades personals, el tipus de tractaments i les seves finalitats, el tipus d’interessats afectats i el nom del tercer o dels tercers països de què es tracti.
c) El seu caràcter jurídicament vinculant, tant a nivell intern com extern.
d) L’aplicació dels principis generals en matèria de protecció de dades, en particular: la limitació de la finalitat; la minimització de les dades; els períodes de conservació limitats; la qualitat de les dades; la protecció de les dades des del disseny i per defecte; la base del tractament; el tractament de categories especials de dades personals; les mesures destinades a garantir la seguretat de les dades i els requisits relatius a les transferències posteriors a organismes no vinculats per les normes corporatives vinculants.
e) Els drets dels interessats en relació amb el tractament i els mitjans per exercir-los, especialment el dret a no ser objecte de decisions basades exclusivament en un tractament automatitzat, inclosa l’elaboració de perfils, de conformitat amb el que disposa l’article 22, el dret a presentar una reclamació davant l’autoritat de control competent i davant els tribunals competents dels estats membres, de conformitat amb l’article 79, i el dret a obtenir una reparació, i si escau una indemnització, per violació de les normes corporatives vinculants.
f) L’acceptació del responsable o de l’encarregat del tractament establerts al territori d’un estat membre de la responsabilitat per qualsevol violació de les normes corporatives vinculants per part de qualsevol membre no establert a la Unió. El responsable o l’encarregat només en quedarà exonerat, totalment o parcialment, si demostra que l’acte que va originar els danys i perjudicis no és imputable a aquest membre.
g) La manera en què es facilita als interessats la informació sobre les normes corporatives vinculants, especialment respecte de les disposicions que preveuen les lletres d), e) i f) d’aquest apartat, a més dels articles 13 i 14.
h) Les funcions de qualsevol delegat de protecció de dades, designat de conformitat amb l’article 37, o de qualsevol altra persona o entitat encarregada de la supervisió del compliment de les normes corporatives vinculants dins del grup empresarial o de la unió d’empreses dedicades a una activitat econòmica conjunta, així com de la supervisió de la formació i de la tramitació de les reclamacions.
i) Els procediments de reclamació.
j) Els mecanismes establerts dins del grup empresarial o de la unió d’empreses dedicades a una activitat econòmica conjunta per garantir que es verifica el compliment de les normes corporatives vinculants. Aquests mecanismes han d’incloure auditories de protecció de dades i mètodes per garantir accions correctores per protegir els drets de l’interessat. Els resultats d’aquesta verificació s’han de comunicar a la persona o a l’entitat esmentada a la lletra h) i al consell d’administració de l’empresa que controla un grup empresarial o de la unió d’empreses dedicades a una activitat econòmica conjunta, i s’han de posar a disposició de l’autoritat de control competent que ho sol·liciti.
k) Els mecanismes establerts per comunicar i registrar les modificacions introduïdes a les normes i per notificar aquestes modificacions a l’autoritat de control.
l) El mecanisme de cooperació amb l’autoritat de control per garantir que el compliment de qualsevol membre del grup empresarial o de la unió d’empreses dedicades a una activitat econòmica conjunta, en particular, posant a disposició de l’autoritat de control els resultats de les verificacions de les mesures que preveu la lletra j).
m) Els mecanismes per informar l’autoritat de control competent de qualsevol requisit jurídic que s’apliqui, en un tercer país, a un membre del grup empresarial o de la unió d’empreses dedicades a una activitat econòmica conjunta, que probablement poden tenir un efecte advers sobre les garanties que estableixen les normes corporatives vinculants, i
n) La formació en protecció de dades per al personal que té accés permanent o habitual a dades personals.
La Comissió pot especificar el format i els procediments per intercanviar informació entre els responsables, els encarregats i les autoritats de control en relació amb les normes corporatives vinculants, d’acord amb el que disposa aquest article. Aquests actes d’execució s’han d’adoptar de conformitat amb el procediment d’examen que estableix l’article 93, apartat 2.