Según el RGPD, a falta de decisión de adecuación, un responsable quiere transferir datos a una empresa de un tercer país adherida a un código de conducta aprobado. ¿Qué más hace falta para que el código sirva como garantía adecuada?
- Que la autoridad de control autorice de forma expresa esa transferencia
- Que la empresa asuma compromisos vinculantes y exigibles de aplicarlas
- Que los interesados afectados presten su consentimiento a la transferencia
- Que la empresa designe un representante establecido en la Unión Europea
Un código de conducta aprobado vale como garantía adecuada, sin que haga falta ninguna autorización expresa de una autoridad de control, solo junto con compromisos vinculantes y exigibles del responsable o encargado del tercer país de aplicar esas garantías, también las relativas a los derechos de los interesados: adherirse a un código no obliga por sí solo a quien está fuera de la Unión. La autorización expresa es justo lo que esta vía no necesita, el consentimiento de los interesados es una excepción distinta para cuando faltan las garantías, y el Reglamento no exige aquí un representante.
un código de conducta aprobado con arreglo al artículo 40, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas