As Partes acordam em que os regimes jurídicos e regulamentares, bem como as capacidades administrativas a instaurar, devam basear-se, pelo menos, nos princípios fundamentais e nos mecanismos de controlo de aplicação seguintes:
- a)Princípios fundamentais:
- i)Princípio de limitação a uma finalidade específica - os dados devem ser tratados com um objectivo específico, só podendo ser utilizados ou comunicados posteriormente, na medida em que tal não seja incompatível com a finalidade da transferência. As únicas excepções a este princípio são as previstas pela legislação em matéria de defesa dos interesses públicos essenciais numa sociedade democrática;
- ii)Qualidade dos dados e princípio da proporcionalidade - os dados devem ser exactos e, se necessário, actualizados. Devem ser adequados, pertinentes e não serem excessivos em relação às finalidades a que obedece a sua transferência ou o seu posterior tratamento;
- iii)Princípio da transparência - os indivíduos devem ser informados da finalidade do tratamento e da identidade do responsável pelo tratamento dos dados no país terceiro, e de qualquer outro elemento que permita garantir o princípio da equidade. As únicas excepções a este princípio são as previstas pela legislação em matéria de defesa dos interesses públicos essenciais numa sociedade democrática;
- iv)Princípio da segurança - o responsável pelo tratamento dos dados toma as medidas de segurança técnicas e organizacionais adequadas aos riscos apresentados pelo tratamento. Nenhuma das pessoas que actue sob a autoridade do responsável pelo tratamento dos dados, incluindo um subcontratante, pode tratar os dados sem instruções do responsável para este efeito;
- v)Direitos de acesso, de rectificação e de oposição - o indivíduo em causa deve ter o direito de pedir uma cópia de todos os dados a ele referentes que sejam objecto de um tratamento e o direito de rectificar estes dados se considerar que são inexactos. Em determinadas circunstâncias, deve ter a possibilidade de se opor ao tratamento dos dados que lhe dizem respeito. As únicas excepções a este princípio são as previstas pela legislação em matéria de defesa dos interesses públicos essenciais numa sociedade democrática;
- vi)Limitação das transferências posteriores de dados - em princípio, qualquer transferência posterior de dados pessoais efectuada pelo destinatário original dos dados só é autorizada se o outro destinatário (ou seja, o destinatário da transferência posterior) for também sujeito a regras que garantam um nível de protecção adequado;
- vii)Dados sensíveis - em caso de tratamento de dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a pertença sindical, o estado de saúde e a vida sexual, as infracções, as condenações penais ou as medidas de segurança, devem estar previstas medidas de protecção suplementares;
- b)Mecanismos de controlo da aplicação - devem ser instaurados mecanismos adequados para assegurar a realização dos objectivos seguintes:
- i)Garantir um bom nível de cumprimento das regras, nomeadamente através da sensibilização dos responsáveis pelo tratamento dos dados quanto às suas obrigações e dos indivíduos envolvidos quanto aos seus direitos e aos meios para os poderem exercer, prevendo sanções efectivas e dissuasivas e instaurando sistemas de controlo através das autoridades, de auditores ou de entidades independentes, responsáveis pela protecção dos dados;
- ii)Obter ajuda e assistência a prestar aos indivíduos envolvidos no exercício dos seus direitos, que aqueles devam poder fazer rápida e efectivamente respeitar, a um custo não proibitivo, se necessário através de um mecanismo institucional adequado que preveja um exame independente das queixas;
- iii)Garantir a reparação adequada da Parte lesada em caso de incumprimento das regras e, se necessário, prever a aplicação de sanções e o pagamento de uma indemnização.