Una transferencia internacional consiste en poner datos personales a disposición de un destinatario fuera del Espacio Económico Europeo. Está permitida, pero solo si en la práctica no se menoscaba el nivel de protección previsto en el RGPD.
Base legal
El Capítulo V del RGPD regula las transferencias. El artículo 45 permite las transferencias a países cubiertos por una decisión de adecuación de la Comisión Europea; para Estados Unidos, el Marco de Protección de Datos UE-EE. UU. se aplica desde el 10 de julio de 2023, y solo para organizaciones certificadas. El artículo 46 enumera las garantías apropiadas, de las cuales las cláusulas contractuales tipo de 2021 son las más utilizadas, junto con las normas corporativas vinculantes. El artículo 49 prevé excepciones para casos excepcionales. Tras la sentencia Schrems II del 16 de julio de 2020, un instrumento por sí solo no basta: se requiere una evaluación de la legislación del país receptor, la evaluación del impacto de la transferencia, con medidas complementarias cuando sea necesario, como el cifrado con la clave almacenada en Europa.
Cómo funciona en la práctica
El primer paso consiste en determinar dónde residen realmente los datos y quién tiene acceso a ellos, incluyendo el soporte desde fuera de Europa. Este último punto suele pasarse por alto: el acceso remoto por parte de un equipo de soporte también implica una transferencia de datos. A continuación, se procede a la selección del instrumento y a la evaluación, que deben quedar registradas por escrito. Los contratos deben obligar al proveedor a notificar los cambios de ubicación o de subencargados del tratamiento.
Dónde falla
Las organizaciones confían en la certificación de su proveedor sin comprobar que realmente cubra el servicio en cuestión. Un segundo error consiste en firmar cláusulas contractuales estándar sin completar los anexos, por lo que falta la descripción del tratamiento. En tercer lugar, la evaluación no se documenta, a pesar de que el principio de rendición de cuentas lo exige precisamente.
Términos relacionados
Las transferencias están vinculadas al acuerdo de procesamiento de datos , la evaluación de impacto en la protección de datos y el acuerdo SaaS.
¿Sabe dónde se almacenan sus datos? Nuestros especialistas en derecho informático analizan las transferencias y las medidas de seguridad.
