LA UNIÓN EUROPEA y JAPÓN,
HABIENDO vuelto a evaluar la necesidad de incluir en él disposiciones sobre libre circulación de datos en el Acuerdo entre la Unión Europea y Japón relativo a una asociación económica, firmado en Tokio el 17 de julio de 2018 (denominado en lo sucesivo «Acuerdo»), de conformidad con el artículo 8.81 del Acuerdo,
HAN CONVENIDO EN LO SIGUIENTE:
Artículo 1
El índice del Acuerdo se modifica suprimiendo las palabras «artículos 8.70 a 8.81» y sustituyéndolas por «artículos 8.70 a 8.82».
Artículo 2
El artículo 8.71 del Acuerdo se modifica insertando las letras siguientes inmediatamente después del inciso ii) de la letra b):
«c) “Persona cubierta”:
i) una empresa cubierta;
ii) un empresario de una Parte; y
iii) un proveedor de servicios de una Parte.
d) “Datos personales”: toda información relativa a una persona física identificada o identificable.».
Artículo 3
El artículo 8.81 del Acuerdo se sustituye por el texto siguiente:
«Artículo 8.81
Transferencia transfronteriza de información por medios electrónicos
1. Las Partes se comprometen a garantizar la transferencia transfronteriza de información por medios electrónicos cuando esté destinada al ejercicio de la actividad empresarial de una persona cubierta.
2. A tal fin, una Parte no adoptará ni mantendrá medidas que prohíban o restrinjan la transferencia transfronteriza de información establecida en el apartado 1:
a) exigiendo el uso de instalaciones informáticas o elementos de red en el territorio de la Parte para el tratamiento de información, incluso exigiendo el uso de instalaciones informáticas o elementos de red que estén certificados o aprobados en su territorio;
b) exigiendo la localización de información en el territorio de la Parte para su almacenamiento o tratamiento;
c) prohibiendo el almacenamiento o el tratamiento de información en el territorio de la otra Parte;
d) supeditando la transferencia transfronteriza de información al uso de instalaciones informáticas o elementos de red en el territorio de la Parte o a requisitos de localización en su territorio;
e) prohibiendo la transferencia de información al territorio de la Parte; o
f) exigiendo la aprobación de la Parte previamente a la transferencia de información al territorio de la otra Parte (1).
3. Nada de lo dispuesto en el presente artículo impedirá a una Parte adoptar o mantener medidas incompatibles con los apartados 1 y 2 para alcanzar un objetivo legítimo de política pública (2), siempre que la medida:
a) no se aplique de una forma que constituya un medio de discriminación arbitraria o injustificable entre países en los que prevalezcan condiciones similares, o una restricción encubierta del comercio; y
b) no imponga restricciones a las transferencias de información que vayan mas allá de lo necesario para alcanzar el objetivo. (3)
4. Nada de lo dispuesto en el presente artículo impedirá a una Parte adoptar o mantener medidas sobre la protección de los datos personales y la privacidad, incluso con respecto a las transferencias transfronterizas de información, siempre que la legislación de la Parte establezca instrumentos que permitan las transferencias con arreglo a condiciones de aplicación general (4) para la protección de la información transferida.
5. El presente artículo no se aplicará a las transferencias transfronterizas de información en poder de una Parte o tratada por una Parte o en su nombre.
6. Una Parte podrá proponer en cualquier momento a la otra Parte que revise las medidas enumeradas en el apartado 2.».
Artículo 4
Se inserta el siguiente artículo después del artículo 8.81 del Acuerdo:
«Artículo 8.82
Protección de los datos personales
1. Las Partes reconocen que las personas tienen derecho a la protección de sus datos personales y su privacidad, tal como establecen las leyes y reglamentos de cada Parte, y que unas normas estrictas a este respecto contribuyen a la confianza en la economía digital y al desarrollo del comercio. Cada Parte reconoce el derecho de la otra Parte a determinar el nivel adecuado de protección de los datos personales y la privacidad, que se establecerá en sus respectivas medidas.
2. Cada Parte procurará adoptar medidas que protejan a las personas, sin discriminación por motivos como la nacionalidad o la residencia, de la vulneración de la protección de datos personales que se produzcan dentro de su jurisdicción.
3. Cada Parte adoptará o mantendrá un marco jurídico que establezca la protección de los datos personales relacionados con el comercio electrónico. Al desarrollar su marco jurídico para la protección de los datos personales y la privacidad, cada Parte debería tener en cuenta los principios y directrices de los organismos internacionales pertinentes. Las Partes también reconocen que unas normas estrictas en materia de privacidad y protección de datos en lo que respecta al acceso de los gobiernos a los datos de titularidad privada, como las descritas en los Principios de la OCDE para el acceso de los gobiernos a los datos personales en poder de entidades del sector privado, contribuyen a la confianza en la economía digital.
4. Cada Parte publicará información sobre la protección de los datos personales y la privacidad que proporcione a los usuarios del comercio electrónico, que incluya:
a) la forma en que las personas pueden buscar reparación por una violación de la protección de los datos personales o la privacidad derivada del comercio digital; y
b) las orientaciones y otra información sobre el cumplimiento por parte de las empresas de los requisitos legales aplicables en materia de protección de los datos personales y la privacidad.».
Artículo 5
Se suprime el artículo 8.63 del Acuerdo.
Artículo 6
El presente Protocolo entrará en vigor de conformidad con los apartados 1 y 2 del artículo 23.2 del Acuerdo.
Artículo 7
1. De conformidad con el artículo 23.8 del Acuerdo, el presente Protocolo se redacta en doble ejemplar en lenguas alemana, búlgara, checa, croata, danesa, eslovaca, eslovena, española, estonia, finesa, francesa, griega, húngara, inglesa, italiana, letona, lituana, maltesa, neerlandesa, polaca, portuguesa, rumana, sueca y japonesa, siendo cada uno de estos textos igualmente auténtico.
2. En caso de discrepancias en la interpretación, prevalecerá el texto en la lengua en que se negoció el presente Protocolo.
EN FE DE LO CUAL, los infrascritos, debidamente autorizados a este efecto, han firmado el presente Protocolo.
(1) Para mayor certeza, la letra f) del apartado 2 no impedirá que una Parte:
a) supedite el uso de un instrumento de transferencia específico o una determinada transferencia transfronteriza de información a aprobación por motivos relacionados con la protección de los datos personales y la privacidad, de conformidad con el apartado 4;
b) exija la certificación o la evaluación de la conformidad de los productos, servicios y procesos de TIC, incluida la inteligencia artificial, antes de su comercialización o uso en su territorio, para garantizar el cumplimiento de las leyes y reglamentos coherentes con el presente Acuerdo o con fines de ciberseguridad, de conformidad con los apartados 3 y 4, y los artículos 1.5, 8.3 y 8.65; o
c) exija que los reutilizadores de información protegida por derechos de propiedad intelectual u obligaciones de confidencialidad derivadas de las leyes y reglamentos internos coherentes con el presente Acuerdo respeten dichos derechos u obligaciones al realizar transferencias transfronterizas de información, también en lo que respecta a las solicitudes de acceso por parte de los órganos jurisdiccionales y las autoridades de terceros países, de conformidad con el artículo 8.3.
(2) A efectos del presente artículo, el “objetivo legítimo de política pública” se interpretará de manera objetiva y permitirá que se persigan objetivos como la protección de la seguridad pública, la moral pública, o la vida o la salud de las personas, los animales o los vegetales, o el mantenimiento del orden público, u otros objetivos similares de interés público, teniendo en cuenta el carácter evolutivo de las tecnologías digitales.
(3) Para mayor certeza, el presente apartado no afecta a la interpretación de otras excepciones del presente Acuerdo ni a su aplicación al presente artículo, ni al derecho de una Parte a invocar cualquiera de ellas.
(4) Para mayor certeza, en consonancia con el carácter horizontal de la protección de los datos personales y la privacidad, las “condiciones de aplicación general” se refieren a las condiciones formuladas en términos objetivos que se aplican horizontalmente a un número no identificado de operadores económicos y, por tanto, abarcan una serie de situaciones y casos.