Europa articula estas nuevas herramientas para facilitar las transferencias de datos permitiendo que los datos fluyan con protección
La Comisión Europea ha publicado la semana pasada dos conjuntos de cláusulas contractuales tipo (CCT o SCC, por sus siglas en inglés). Una enfocada para la relación entre responsables y encargados del tratamiento y otra para la transferencia de datos personales a terceros países.
«En nuestro mundo digital moderno, es importante que los datos se puedan compartir con la protección necesaria, dentro y fuera de la UE. Con estas cláusulas reforzadas, estamos dando más seguridad y certeza jurídica a las empresas para las transferencias de datos. Después de la sentencia Schrems II, era nuestro deber y prioridad crear herramientas fáciles de usar en las que las empresas pudieran confiar plenamente. Este paquete ayudará significativamente a las empresas a cumplir con el RGPD.»
– expuso Didier Reynders, comisario europeo de Justicia.
Estas nuevas herramientas ofrecerán una mayor protección a las empresas europeas y ayudarán a garantizar el cumplimiento de los requisitos para una transferencia segura. Parches necesarios ante la inestabilidad ocasionada por el caso Schrems II.
Origen del conflicto
Recordemos que en julio del pasado año, el Tribunal de Justicia de la Unión Europea (TJUE) invalidó el acuerdo de protección de datos personales entre la UE y EE.UU. Este acuerdo era conocido como «Escudo de privacidad» o «Privacy Shield».
Este «escudo de protección» nació a raíz de la anulación del esquema de transferencias internacionales que se mantuvo en vigor hasta 2015, conocido como «Puerto Seguro» (Safe Harbor). Un mecanismo que permitía a las empresas estadounidenses certificar que cumplían con los estándares europeos en lo referente a la protección de datos personales y facilitar, así, la transferencia de datos a sus servidores y centros en EE.UU.
Un acuerdo que fue anulado por el TJUE tras estimar una denuncia del austríaco Maximiliam Schrems, que acusaba a Facebook de ceder los datos de sus usuarios al gobierno y agencias de seguridad americanas sin respetar las garantías y derechos de los ciudadanos europeos.
Como alternativa, la Comisión Europea decidió en 2016 aprobar el mencionado Escudo de privacidad. Este mecanismo declaraba válidas las transferencias de datos personales entre ambas potencias siempre y cuando las empresas americanas se acogiesen a este nuevo esquema.
Sin embargo, fue el pasado año cuando Europa anuló también este nuevo esquema de transferencias a raíz de una nueva reclamación del austríaco (conocido como caso Schrems II). En ella, Schrems argumentaba que el acuerdo no garantizaba la seguridad y protección de los datos cuando eran transferidos a EE.UU.
Tras la anulación inmediata y sin período de gracia del Escudo de privacidad, las empresas que lo estuviesen utilizando se vieron obligadas a implementar otro sistema.
Las transferencias de datos personales a terceros países
Las transferencias internacionales de datos constituyen una transmisión de datos personales desde nuestro país a terceros ubicados fuera del EEE. Dentro del Espacio Económico Europeo se encontrarían todos los países de la Unión Europea y se incluyen a Liechtenstein, Islandia y Noruega.
Los responsables y encargados de tratamiento podrían llevar a cabo este tipo de transferencias sin necesidad de una autorización de la autoridad de control bajo los siguientes supuestos:
- Los terceros se encuentren dentro un país que haya sido declarado con un nivel de protección adecuado por la Comisión Europea.
- En caso de no encontrarse entre el listado de países anteriores, para poder transmitir datos personales a otro país deberá ofrecer las garantías adecuadas. Entenderemos como tal disponer de lo siguiente:
- Un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos.
- Normas corporativas vinculantes (BCR por sus siglas en inglés).
- Cláusulas contractuales tipo de protección de datos adoptadas por la Comisión (CCT).
- Cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión.
- Códigos de conducta, junto con compromisos vinculantes.
- Mecanismos de certificación.
Con respecto a los mecanismos anteriores, destacamos las normas corporativas vinculantes y las CCT. Según el dictamen del TJUE, ambas no serían suficientes dado que la legislación estadounidense (Section 702 FISA and EO 12333) primaría sobre ellas ocasionando una situación de indefensión a la hora de garantizar un nivel de protección de datos adecuado.
Analizando la situación, en resumidas cuentas, no se podría transferir datos a no ser que contemos con el consentimiento explícito del interesado.
Nuevas cláusulas contractuales tipo, ¿qué novedades traen?
Atendiendo a esta inseguridad, es ahora cuando la Comisión Europea ha aprobado dos conjuntos de cláusulas. Estas nuevas CCT han tenido en cuenta la opinión conjunta del Consejo Europeo de Protección de Datos, del Supervisor Europeo de Protección de Datos, los comentarios recibidos de la consulta pública realizada y la opinión de los representantes de los Estados miembros.
Estas cláusulas son, en esencia, contratos formalizados entre quien transfiere los datos (exportador) y el tercero que los recibe (importador). Ambos ubicados, en este caso, en países diferentes.
Estos contratos detallan las medidas técnicas y organizativas que permitan legitimar la transferencia y proporcionen las garantías necesarias.
Enfoque modular
Estas nuevas cláusulas contractuales tipo sustituirían a las anteriores de 2001 y 2010. Con respecto a sus antecesoras, las nuevas CCT ofrecen un nuevo enfoque modular expandiendo su ámbito de aplicación adaptándose a una nueva realidad.
Así, hablaremos de distintos módulos en función de la relación entre el responsable y el encargado de tratamiento en las transferencias:
- De responsable a responsable.
- De responsable a encargado.
- De encargado a encargado.
- De encargado a responsable.
Atendiendo al tipo de flujo de datos que nos encontremos, la Comisión enumera una serie de aspectos y medidas que deberán detallarse en los contratos. Entre ellas, por ejemplo, nos encontraríamos con las siguientes:
- Limitación de la finalidad.
- Transparencia.
- Exactitud y minimización de datos.
- Limitación del plazo de conservación.
- Seguridad del tratamiento.
- Datos sensibles.
- Transferencias posteriores.
- Documentación y cumplimiento.
Los subencargados
Estas nuevas cláusulas establecen los derechos y obligaciones de los responsables y encargados del tratamiento que intervienen en la transferencia. Por parte de un responsable a un encargado, pero también de un encargado a un subencargado para cuando así se dé el caso.
En su cláusula 9, se establece como posibilidad que un encargado pueda contar con una autorización para contratar a un subencargado. De esta manera, no sería necesario que el responsable efectúe el contrato con este nuevo tercero.
Las transferencias posteriores
Adaptándose a la complejidad de este flujo de datos, se regulan las transferencias posteriores que se deriven de la principal efectuada.
Sin embargo, se requiere de una diligencia activa por parte de los intervinientes para asegurar que la continuidad de la protección esté siempre garantizada.
Derechos de los interesados
Destaca el principio de transparencia por el que están compuestos los derechos del interesado.
En su cláusula 10 se establece que los titulares de los datos tendrán derecho a solicitar, entre otros:
- Si se están tratando sus datos personales.
- Proporcionar una copia de la información incluida en las cláusulas contractuales suscritas.
- Si los datos han sido o serán transferidos posteriormente.
- Información sobre los destinatarios o categorías de destinatarios a los que se haya realizado o vaya a realizarle la transferencia posterior.
- La finalidad de las transferencias posteriores.
Evaluación y diligencia
La Comisión incide en que corresponde principalmente al exportador y al importador de los datos supervisar en todo momento la transferencia o transferencias realizadas. Ambos deberán cooperar en cualquier procedimiento destinado a garantizar el cumplimiento de las cláusulas suscritas.
Ante la transferencia a terceros países, las partes deberán confirmar que no exista un impedimento legal que impida al importador cumplir con sus obligaciones. Sería el caso de EE.UU., por ejemplo.
Así, las figuras que intervengan analizarán las circunstancias en las que se celebran las transferencias, las distintas leyes y prácticas que puedan afectar en dicho país, las medidas organizativas y técnicas, las medidas de seguridad aplicables, etc.
De igual forma, atendiendo a un posible acceso a la información, el importador se compromete a notificar al exportador estas circunstancias. Por ejemplo, si recibe una solicitud jurídicamente vinculante de comunicación de datos personales o si tiene conocimiento que las autoridades públicas han tenido acceso directo a los datos.
Medidas técnicas y organizativas
Otra de las novedades es la batería de medidas técnicas y organizativas incluida en el modelo de nuevas cláusulas contractuales tipo.
Las plantillas ofrecen una serie de medidas para garantizar la seguridad de los datos, entre las que se incluyen los siguientes ejemplos:
- Seudonimización y cifrado de los datos personales.
- Medidas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. Incluye una evaluación regular de la eficacia de las medidas.
- Identificación y autorización de usuarios.
- Protección de datos durante la transmisión y almacenamiento de los mismos.
- Medidas para garantizar la seguridad física de los lugares donde se traten los datos, el registro de incidentes y la configuración del sistema.
- De gobernanza y gestión de la informática y la seguridad informática internas.
- Para la certificación / garantía de procesos y productos.
- Medidas para garantizar: la minimización, la calidad, una retención limitada de los datos y la responsabilidad proactiva.
- Medidas para permitir la portabilidad de los datos y garantizar la supresión.
Período de transición
Tras la publicación de las nuevas cláusulas, Europa proporciona un plazo de tres meses para aquellas transferencias que hayan utilizado sus versiones anteriores. Transcurridos estos meses, se abre otro período de quince meses para que tanto importadores como exportadores suscriban las nuevas cláusulas.
Se trata de una ampliación de seis meses con respecto a los bocetos iniciales de las nuevas CCT publicadas. Una prórroga que pretende ofrecer margen suficiente a importadores y exportadores para regularizar sus transferencias con las garantías necesarias.
Sigue esta y otras noticias a través de nuestro canal de Telegram
Imagen de dimitrisvetsikas1969 en Pixabay
