Transferencias de Datos Personales a nivel internacional

Las transferencias internacionales, entendidas como el envío de datos personales desde el territorio español a destinatarios establecidos en países fuera de la Unión Europea más Liechtenstein, Islandia y Noruega, podrán realizarse con una autorización previa y específica de la Agencia Española de Protección de Datos en el caso de España, aunque existen ciertas situaciones que desde el punto de vista de la AEPD podrán llevarse a cabo sin dicha autorización por parte de la autoridad de control:

Los destinatarios finales de los datos personales se encuentren en un territorio  con un nivel de protección adecuado para la Autoridad de Control:

  • Suiza
  • Canadá
  • Guernsey
  • Isla de Man
  • Jersey
  • Islas Feroe
  • Andorra
  • Israel
  • Uruguay
  • Nueva Zelanda
  • Japón

En caso de no encontrase en el punto anterior, será necesario presentar alguna de estas garantías específicas:

  • Un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos
  • Normas corporativas vinculantes
  • Cláusulas tipo de protección de datos adoptadas por la Comisión que siguen siendo válidas
  • Cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión
  • Códigos de conducta, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de los interesados
  • Mecanismos de certificación, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de los interesados.

Existe una última opción en caso de no poder encuadrar la transferencia internacional dentro de los destinatarios aprobados o por no poder ofrecer ninguna de las garantías preestablecidas, se trata de cumplir con el art. 49 RGPD:

  • Obtener del interesado su consentimiento específico para dicha transferencia internacional.
  • La transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado.
  • La transferencia sea necesaria para la celebración o ejecución de un contrato, en interés del interesado, entre el responsable del tratamiento y otra persona física o jurídica
  • La transferencia sea necesaria por razones importantes de interés público.
  • La transferencia sea necesaria para la formulación, el ejercicio o la defensa de reclamaciones.
  • La transferencia sea necesaria para proteger los intereses vitales del interesado o de otras personas, cuando el interesado esté física o jurídicamente incapacitado para dar su consentimiento.
  • La transferencia se realice desde un registro público que, con arreglo al Derecho de la Unión o de los Estados miembros, tenga por objeto facilitar información al público y esté abierto a la consulta del público en general o de cualquier persona que pueda acreditar un interés legítimo, pero sólo en la medida en que se cumplan, en cada caso particular, las condiciones que establece el Derecho de la Unión o de los Estados miembros para la consulta.

Si tampoco es posible cumplir con ninguno de los puntos del Art. 49, entonces no quedará otro opción que solicitar a la Autoridad de Control la autorización acorde para la transferencia internacional de datos personales.

Por último cabe destacar un posible cambio en la gestión de este tipo de transferencias derivado de la decisión de haber invalidado el Escudo de Privacidad que regía las transferencias internacionales con Estados Unidos. A efectos de garantizar que las transferencias con dicho territorio se realicen cumpliendo con las garantías exigidas  a nivel europeo, la comisión europea ha establecido un borrador con las cláusulas contractuales tipo para la transferencia de datos personales a terceros países que deberán recogerse en los contratos de tratamiento de datos que impliquen la realización de transferencias internacionales.