• Saltar a la navegación principal
  • Saltar al contenido principal
APDTIC

APDTIC

Consultora especializada en el derecho tecnológico, dispuestos a ayudarte en los nuevos retos digitales.

  • Blog
  • Formación
  • Contacto

Las transferencias internacionales de datos personales entre la UE y terceros países

apdtic.com · Jul 9, 2021 ·

Las empresas y ciudadanos europeos tenemos la seguridad de que nuestros datos personales circulan de forma segura en el Espacio Económico Europeo (EEE). Esencialmente, gracias a la aprobación del Reglamento General de Protección de Datos (RGPD). Pero ¿qué ocurre con las transferencias internacionales de datos a terceros países? ¿Qué criterios o requisitos básicos se siguen?

En un reciente pronunciamiento de la Comisión Europea (CE) se ha aclarado sensiblemente esta cuestión, concretamente en lo que respecta a las transferencias mediante garantías adecuadas, que es una de las formas en las que el RGPD prevé que se pueden realizar las transferencias de datos (artículo 46.2,c del RGPD). Quedan fuera de la Decisión de Ejecución (UE) 2021/914, por lo tanto, las transferencias basadas en una decisión de adecuación y las normas corporativas vinculantes (puedes ampliar información en la Sección «Transferencias Internacionales AEPD»).

La situación de partida

En este contexto, antes de la adopción de la decisión definitiva de la CE el pasado 4 de junio, la situación era, básicamente, de incertidumbre. El motivo es que existían algunas deficiencias en las Cláusulas Contractuales Tipo (CCT) vigentes hasta esa fecha, entre las que destacan las siguientes:

  • No se adecuaban al RGPD: por ser anteriores a este reglamento, se encontraban sujetas a la Directiva 95/46. Y esta norma preveía menos garantías que las que contempla el RGPD.
  • No eran válidas para todo tipo de relaciones: solo se regulaban dos (responsable – encargado y responsable – responsable). Por poner un ejemplo, se quedaban fuera las transferencias internacionales de datos entre un subencargado del tratamiento importador y un encargado del tratamiento exportador.
  • Generaban confusión: no existía un protocolo claro respecto a las estructuras o figuras legales que debían aplicarse. Esta incertidumbre se intentó paliar con la publicación de unas FAQs, pero ello no hizo más que aumentar la confusión.
  • Provocaban inseguridad jurídica: sobre todo, porque los exportadores no sabían cómo incluir ciertas obligaciones ya aprobadas en las anteriores CCT.

Todo lo anterior condujo a lo inevitable: la actualización de las CCT a las nuevas circunstancias.

Las nuevas y actualizadas CCT

Con esta nueva disposición de la CE sobre las transferencias internacionales de datos, se consigue garantizar, también en el caso de las transferencias a terceros países, el mismo nivel de protección que prevé el RGPD. Se hace a través de las siguientes modificaciones:

  • Se adecúan al RGPD: las nuevas CCT implementan las obligaciones contempladas en el nuevo reglamento europeo. Y se obliga a las organizaciones a demostrar que cumplen con dichas obligaciones.
  • Amplían su ámbito de aplicación: en concreto, las nuevas CCT contemplan hasta cuatro supuestos de relaciones (encargado exportador – responsable importador, encargado -encargado, responsable – encargado y responsable – responsable).
  • Añaden nuevas obligaciones: más específicamente, las que han establecido con posterioridad a las anteriores CCT el Tribunal de Justicia de la Unión Europea (TJUE) y el Comité Europeo de Protección de Datos (CEPD).

¿Cómo afecta esta decisión a las empresas españolas?

Como es lógico, hay algunas cosas que cambian para las organizaciones con sede en España y, también, en Europa. Estas son las novedades más relevantes:

  • Ya no se precisa la autorización de la Agencia Española de Protección de Datos (AEPD): antes, para transferir o recibir datos personales los encargados o responsables del tratamiento debían pedir una autorización a la AEPD. Esto, ahora, ya no es necesario. Eso sí, a cambio, se debe cumplir estrictamente con el RGPD y añadir al contrato las cláusulas adicionales necesarias para adecuarse a las nuevas CCT.
  • Nace la obligación de comunicar la transferencia a los interesados: es responsabilidad de la empresa que estos sepan que sus datos personales se van a transferir a un tercer país. Asimismo, deben entregarles una copia del contrato firmado.

Se trata, en definitiva, de que las empresas europeas tengan, de ahora en adelante, más previsibilidad jurídica. De esta forma, podrán realizar transferencias más seguras y los datos se podrán mover de un país a otro sin ninguna barrera legal.

El caso particular de Reino Unido

Tras la salida de Reino Unido de la UE, muchos se preguntaban qué iba a ocurrir a partir de ahora entre ambas regiones, en todos los sentidos. Pues bien, en lo que a las transferencias internacionales de datos personales se refiere, la CE también se ha pronunciado al respecto.

¿Qué ocurre con los datos personales, cuando estos sean intercambiados entre un estado miembro de la UE y el Reino Unido? Junto a la anterior resolución, la CE ha determinado también que la protección de los datos personales que fluyan entre Reino Unido y la UE es la misma que garantiza la legislación vigente europea.

Con esta otra decisión, tal y como destacan desde la propia Comisión, se logra implementar correctamente el Acuerdo de Comercio y Cooperación UE-Reino Unido. Y se aumenta la seguridad jurídica y las garantías en todas las transferencias de datos entre ambas regiones.

Sin duda, este es un tema de enorme complejidad y con importantes implicaciones legales. Por eso, te animamos a que, si todavía te queda alguna duda por resolver, contactes con nosotros.

Compartir en Twitter Compartir en Facebook Compartir en LinkedIn

APDTIC

¿Quieres estar al día en las cuestiones legales digitales ?



Síguenos en

linkedin Facebook Twitter
APDTIC PROFESIONALES, S.L.

Rúa Hórreo, 22, 1º Oficina B,15701, Santiago de CompostelaTlf: 881 80 50 20

Logo-Esquema-AEPD-DPD_AndreCasteloLogo APEP

Copyright © 2022 APDTIC

Aviso legal Política de Privacidad y Cookies

Gestionar el Consentimiento de las Cookies
Utilizamos tres tipos de cookies para optimizar nuestro sitio web. Te recomendamos aceptar también las cookies de analítica y personalización para una mejor experiencia de navegación.
Funcional Siempre activo
El almacenamiento o acceso técnico es estrictamente necesario para el propósito legítimo de permitir el uso de un servicio específico explícitamente solicitado por el abonado o usuario, o con el único propósito de llevar a cabo la transmisión de una comunicación a través de una red de comunicaciones electrónicas.
Preferencias
El almacenamiento o acceso técnico es necesario para la finalidad legítima de almacenar preferencias no solicitadas por el abonado o usuario.
Analítica
El almacenamiento o acceso técnico que es utilizado exclusivamente con fines estadísticos. El almacenamiento o acceso técnico que es utilizado exclusivamente con fines estadísticos anónimos. Sin una requerimiento, el cumplimiento voluntario por parte de su proveedor de servicios de Internet, o los registros adicionales de un tercero, la información almacenada o recuperada sólo para este propósito no se puede utilizar para identificarlo.
Personalización
El almacenamiento o acceso técnico es necesario para crear perfiles de usuario para enviar publicidad, o para rastrear al usuario en un sitio web o en varios sitios web con fines de marketing similares.
Administrar opciones Gestionar los servicios Gestionar proveedores Leer más sobre estos propósitos
Ver cookies
{title} {title} {title}