§ INCISO 47.1 — As regras vinculativas aplicáveis às empresas mencionadas no artigo 46.º, n.º 2, alínea B, são regras internas adotadas por um grupo empresarial, ou por um grupo de empresas envolvidas numa atividade económica comum, que estabelecem a sua política de proteção de dados em relação às transferências de dados pessoais para um país terceiro, realizadas ou previstas a partir de um ou vários países integrantes.
§ INCISO 47.2 — As regras vinculativas aplicáveis às empresas referidas no n.º 1 devem:
A) Ser juridicamente vinculativas e aplicáveis a todos os membros do grupo empresarial ou grupo de empresas envolvidas numa atividade económica comum, incluindo os seus funcionários;
B) Conferir expressamente direitos exigíveis aos titulares dos dados em relação ao tratamento dos seus dados pessoais;
C) Cumprir os requisitos estabelecidos no n.º 2.
§ INCISO 47.3 — As regras vinculativas aplicáveis às empresas referidas no n.º 1 devem especificar, pelo menos:
A) A estrutura e os contactos do grupo empresarial ou grupo de empresas envolvidas numa atividade económica comum e de cada um dos seus membros;
B) As transferências ou o conjunto de transferências de dados, incluindo as categorias de dados pessoais, o tipo de tratamento e as suas finalidades, o tipo de titulares dos dados afetados e a identificação do país terceiro ou países terceiros em questão;
C) O seu caráter juridicamente vinculativo, tanto a nível interno como externo;
D) A aplicação de princípios gerais de proteção de dados, nomeadamente a limitação das finalidades, a minimização dos dados, a limitação dos prazos de conservação e a qualidade dos dados, o tratamento de categorias especiais de dados pessoais, a garantia dos direitos dos titulares dos dados relativos ao tratamento e as medidas para garantir a segurança dos dados, bem como os requisitos no que se refere a transferências posteriores para organismos não vinculados pelas regras vinculativas aplicáveis às empresas;
E) Os direitos dos titulares dos dados em relação ao tratamento e os meios de exercício desses direitos, incluindo o direito de não ser sujeito a decisões baseadas unicamente no tratamento automatizado, incluindo a definição de perfis, nos termos do artigo 22.º, bem como o direito de apresentar reclamações à autoridade de controlo competente e aos tribunais competentes dos países integrantes, em conformidade com o artigo 79.º, e de obter reparação e, se for caso disso, indemnização por violação das regras vinculativas aplicáveis às empresas;
F) A aceitação, por parte do responsável pelo tratamento ou subcontratante estabelecido no território de um país integrante, da responsabilidade por qualquer violação das regras vinculativas aplicáveis às empresas por qualquer membro em causa do grupo que não esteja estabelecido na União; o responsável pelo tratamento ou o subcontratante só deve ser exonerado, no todo ou em parte, dessa responsabilidade se provar que o facto gerador do dano não lhe é de modo algum imputável;
G) A forma como são fornecidas aos titulares dos dados as informações sobre as regras vinculativas aplicáveis às empresas, em particular as disposições referidas nas alíneas D, E e F do presente número;
H) As funções de qualquer encarregado da proteção de dados designado nos termos do artigo 37.º ou de qualquer outra pessoa ou entidade responsável pela monitorização do cumprimento das regras vinculativas aplicáveis às empresas, dentro do grupo empresarial, ou do grupo de empresas envolvidas numa atividade económica comum, bem como pela monitorização da formação e do tratamento de reclamações;
I) Os procedimentos de reclamação;
J) Os mecanismos dentro do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica comum para garantir a verificação da conformidade com as regras vinculativas aplicáveis às empresas. Esses mecanismos devem incluir auditorias de proteção de dados e métodos para garantir medidas corretivas que protejam os direitos dos titulares dos dados. Os resultados dessas verificações devem ser comunicados à pessoa ou entidade referida na alínea H e ao conselho de administração da empresa controladora do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica comum, bem como ser disponibilizados, mediante solicitação, à autoridade de controlo competente;
K) Os mecanismos de cooperação com a autoridade de controlo para garantir o cumprimento das regras vinculativas aplicáveis às empresas por parte de qualquer membro do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica comum, em especial mediante a disponibilização à autoridade de controlo dos resultados das verificações referidas na alínea J;
L) Os mecanismos para comunicar à autoridade de controlo competente qualquer requisito legal ao qual um membro do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica comum esteja sujeito num país terceiro, que seja suscetível de ter um efeito negativo substancial nas garantias oferecidas pelas regras vinculativas aplicáveis às empresas;
M) A formação adequada em matéria de proteção de dados para o pessoal que tenha acesso permanente ou regular a dados pessoais.
§ INCISO 47.4 — A Comissão e as autoridades de controlo devem promover a elaboração de regras vinculativas aplicáveis às empresas nos termos do presente artigo.
§ INCISO 47.5 — As regras vinculativas aplicáveis às empresas devem ser aprovadas pela autoridade de controlo competente, em conformidade com o mecanismo de controlo da coerência a que se refere o artigo 63.º.
