O Artigo 28º da GDPR estabelece as obrigações dos operadores de dados (processadores) que realizam o tratamento de dados pessoais em nome dos controladores. Ele define os requisitos que os controladores devem seguir ao contratar operadores, como a necessidade de garantir que o operador ofereça garantias suficientes para implementar medidas técnicas e organizacionais adequadas, em conformidade com a GDPR.

O artigo também exige que o relacionamento entre o controlador e o operador seja formalizado em um contrato ou outro ato jurídico que estabeleça claramente as responsabilidades de cada parte no tratamento de dados pessoais.

O Artigo 45º da GDPR estabelece as condições sob as quais dados pessoais podem ser transferidos para um país terceiro ou uma organização internacional com base em uma decisão de adequação emitida pela Comissão Europeia. Uma decisão de adequação é uma declaração oficial de que o país terceiro, território, setor específico ou organização internacional oferece um nível de proteção de dados equivalente ao garantido pela GDPR.

Este artigo é crucial para permitir o fluxo internacional de dados pessoais sem a necessidade de autorizações específicas ou salvaguardas adicionais, desde que a decisão de adequação esteja em vigor. Ele assegura que os direitos dos titulares dos dados sejam protegidos de forma adequada, mesmo quando os dados são transferidos para fora do Espaço Econômico Europeu (EEE).

O Artigo 29º da GDPR trata do tratamento de dados pessoais realizado por pessoas sob a autoridade do controlador ou do operador. Este artigo estabelece que qualquer pessoa que atue sob a autoridade do controlador ou do operador, incluindo os próprios operadores e subcontratados, deve processar os dados pessoais apenas conforme as instruções do controlador, exceto quando exigido por lei.

Este artigo é fundamental para garantir que os dados pessoais sejam processados de maneira controlada e segura, respeitando as diretrizes estabelecidas pelo controlador.

O Artigo 46º da GDPR regula as transferências de dados pessoais para países terceiros ou organizações internacionais quando não há uma decisão de adequação emitida pela Comissão Europeia. Nesses casos, as transferências só podem ocorrer se forem implementadas garantias adequadas para proteger os dados pessoais e assegurar que os direitos dos titulares dos dados sejam respeitados.

Entre as garantias adequadas que podem ser utilizadas estão as cláusulas contratuais-tipo, regras corporativas vinculativas e códigos de conduta aprovados. Essas garantias ajudam a manter o nível de proteção de dados equivalente ao garantido pela GDPR, mesmo quando os dados são transferidos para fora do Espaço Econômico Europeu (EEE).

O Artigo 31º da GDPR estabelece a obrigação dos controladores e operadores de cooperar com as autoridades de controle no cumprimento de suas funções. Esta cooperação é essencial para garantir a conformidade com a GDPR, facilitando a supervisão e a aplicação das normas de proteção de dados.

O artigo exige que controladores e operadores respondam prontamente às solicitações das autoridades de controle e ofereçam toda a assistência necessária para permitir que essas autoridades cumpram suas funções de maneira eficaz.

O Artigo 47º da GDPR regulamenta as regras corporativas vinculativas (Binding Corporate Rules – BCRs), que são um conjunto de políticas internas adotadas por grupos de empresas multinacionais para permitir transferências internacionais de dados pessoais dentro do grupo, de forma legal e em conformidade com a GDPR. As BCRs são reconhecidas pela Comissão Europeia como garantias adequadas para a proteção dos dados pessoais transferidos entre empresas de um mesmo grupo, mesmo que essas transferências ocorram para fora do Espaço Econômico Europeu (EEE).

As regras corporativas vinculativas devem ser aprovadas pelas autoridades de controle competentes e são juridicamente vinculativas, garantindo que todos os membros do grupo empresarial estejam comprometidos com a proteção dos dados pessoais de acordo com os padrões da GDPR.

O Artigo 21º da GDPR confere aos titulares dos dados o direito de se opor ao tratamento de seus dados pessoais a qualquer momento, em determinadas circunstâncias. Esse direito permite que os indivíduos controlem o uso de suas informações pessoais, especialmente quando o tratamento se baseia em interesses legítimos do responsável pelo tratamento ou quando os dados são utilizados para marketing direto.

A oposição ao tratamento é uma ferramenta essencial para proteger a privacidade dos titulares dos dados, garantindo que eles possam impedir o uso de suas informações pessoais em situações que considerem inadequadas ou invasivas. Este artigo assegura que os titulares dos dados tenham voz ativa sobre como suas informações são usadas, promovendo a confiança na proteção de dados.

O Artigo 48º da GDPR estabelece que as transferências ou divulgações de dados pessoais para países terceiros ou organizações internacionais, com base em decisões judiciais ou administrativas de uma autoridade de um país terceiro, só podem ser realizadas se estiverem de acordo com a legislação da União Europeia ou do Estado-Membro. O objetivo principal deste artigo é garantir que as transferências de dados pessoais ocorram de maneira segura e em conformidade com os padrões europeus de proteção de dados, impedindo que autoridades de países terceiros obriguem empresas ou organizações europeias a divulgar dados pessoais sem a devida autorização legal.

Este artigo reforça a soberania da legislação da União Europeia e dos Estados-Membros sobre a proteção de dados pessoais, assegurando que quaisquer transferências ou divulgações de dados sejam realizadas somente com base em normas legais que respeitem os direitos e liberdades fundamentais dos titulares dos dados.

O Artigo 43º da GDPR estabelece os critérios para a acreditação de organismos de certificação que são responsáveis pela emissão de certificações de conformidade com as normas de proteção de dados do regulamento. Este artigo define os requisitos que esses organismos devem cumprir para serem considerados competentes e imparciais na avaliação da conformidade das organizações com a GDPR. Além disso, o artigo especifica que esses organismos devem ser credenciados por uma autoridade de controle competente ou por um organismo nacional de acreditação.

A acreditação dos organismos de certificação é fundamental para garantir que o processo de certificação seja realizado de forma rigorosa e que as certificações emitidas reflitam com precisão a conformidade das organizações com a GDPR.

O Artigo 22º da GDPR assegura que os titulares dos dados têm o direito de não ficarem sujeitos a decisões baseadas unicamente em tratamento automatizado, incluindo a definição de perfis, que produzam efeitos jurídicos sobre eles ou que os afetem significativamente de forma semelhante. Este artigo é essencial para garantir que os indivíduos não sejam prejudicados por decisões automáticas que possam ser injustas ou imprecisas.

O objetivo desse artigo é proteger os direitos dos indivíduos em um contexto onde a automação e a inteligência artificial desempenham papéis cada vez mais importantes. Ele visa garantir que decisões importantes, que impactam diretamente os direitos dos titulares dos dados, não sejam tomadas sem intervenção humana apropriada.