Normativa y datos
Cláusulas contractuales tipo
Las cláusulas contractuales tipo son modelos de contrato aprobados por la Comisión que dan garantías adecuadas para enviar datos personales fuera de la UE cuando el país de destino no tiene una decisión de adecuación. Las vigentes son las de la Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021.
También se le llamaCCT · SCC · cláusulas tipo de protección de datos · standard contractual clauses
Cómo funcionan
El RGPD solo permite transferir datos a un tercer país sin decisión de adecuación si hay garantías adecuadas (art. 46.1), y una de ellas son las cláusulas tipo adoptadas por la Comisión (art. 46.2.c). Se firman tal cual: las partes eligen el módulo que les corresponde, rellenan los anexos y pueden añadir garantías siempre que no las contradigan (cláusula 2).
- Módulo uno: de responsable a responsable.
- Módulo dos: de responsable a encargado; el caso de un centro cuyo proveedor trata los datos fuera de la UE.
- Módulo tres: de encargado a encargado; el del proveedor que recurre a un subencargado en un tercer país.
- Módulo cuatro: de encargado a responsable.
Ojo con esto
Firmarlas no basta. La cláusula 14 obliga a las partes a evaluar si el Derecho y las prácticas del país de destino —en especial el acceso de sus autoridades públicas a los datos— impiden cumplirlas, y a documentar esa evaluación para la autoridad de control. Las decisiones anteriores, de 2001 y 2010, quedaron derogadas el 27 de septiembre de 2021. Y no hay que confundirlas con las cláusulas de la Decisión 2021/915, que son un modelo para el DPA del art. 28 entre responsable y encargado, no para transferencias.
Fuentes
Términos relacionados
- RGPDEl RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
- DPA (contrato de encargo del tratamiento)Un DPA (data processing agreement) es el contrato que el art. 28.3 del RGPD exige entre el responsable del tratamiento y cada encargado: fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y de interesados, y las obligaciones y derechos de cada parte.