Normativa y datos
Transferencia internacional de datos
Una transferencia internacional es el envío de datos personales a un destinatario en un tercer país, fuera del Espacio Económico Europeo (la UE, Islandia, Liechtenstein y Noruega), o a una organización internacional. El RGPD solo la admite con decisión de adecuación, garantías adecuadas o una excepción tasada.
También se le llamatransferencia a un tercer país · envío de datos fuera de la UE · international data transfer
Por qué puerta puede salir
El capítulo V del RGPD ordena las vías, y cada transferencia tiene que entrar por una de ellas, también las que el destinatario haga después a otro país (art. 44):
- Decisión de adecuación (art. 45): la Comisión declara que el destino protege los datos de forma adecuada, y no hace falta ninguna autorización. En la lista que publica la AEPD están, por ejemplo, Suiza, Japón, el Reino Unido y el Marco de Privacidad de Datos UE-EE. UU., con decisión de 10 de julio de 2023.
- Garantías adecuadas (art. 46): las más usadas son las cláusulas contractuales tipo; también normas corporativas vinculantes dentro de un grupo (art. 47), códigos de conducta o certificaciones.
- Excepciones para situaciones específicas (art. 49), como el consentimiento explícito tras informar de los riesgos o lo necesario para ejecutar un contrato con la persona.
Ojo con esto
Al centro le llegan a través de sus proveedores. Si el software, el correo o el modelo de IA que usa un encargado tratan datos fuera del EEE, eso es una transferencia que el centro autoriza en el DPA y que debe constar en su ROPA. Lo útil es preguntar, proveedor por proveedor, dónde se tratan los datos y con qué garantía. Y una orden de un tribunal o de una autoridad de un tercer país no basta por sí sola para entregarle datos: necesita un acuerdo internacional (art. 48).
Fuentes
Términos relacionados
- RGPDEl RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
- Cláusulas contractuales tipoLas cláusulas contractuales tipo son modelos de contrato aprobados por la Comisión que dan garantías adecuadas para enviar datos personales fuera de la UE cuando el país de destino no tiene una decisión de adecuación. Las vigentes son las de la Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021.