RGPD – Terceros Países

En vista del comercio y la cooperación internacionales, actualmente es esencial poder también transmitir datos a terceros países. El examen de la legitimidad de dicha transferencia se realiza en dos etapas.

En primer lugar, la transferencia de datos en sí debe ser legal. Cualquier procesamiento de datos personales está prohibido, pero sujeto a la posibilidad de autorización. Además del consentimiento, el Art. 6 del Reglamento General de Protección de Datos (GDPR) establece otras razones de autorización, como el cumplimiento de un contrato o la protección de intereses vitales. Para los datos personales especiales que requieren un nivel de protección más alto, el Art. 9 del GDPR establece requisitos legales separados.

Si la transferencia de datos prevista cumple con los requisitos generales, se debe verificar en un segundo paso si la transferencia al tercer país está permitida. Se debe diferenciar entre terceros países seguros e inseguros. Los terceros países seguros son aquellos para los que la Comisión Europea ha confirmado un nivel adecuado de protección de datos sobre la base de una decisión de adecuación. En esos países, las leyes nacionales proporcionan un nivel de protección para los datos personales que es comparable al de las leyes de la UE. Los terceros países que aseguran un nivel adecuado de protección son: Andorra, Argentina, Canadá (solo organizaciones comerciales), Islas Feroe, Guernsey, Israel, Isla de Man, Jersey, Nueva Zelanda, Suiza, Uruguay, Japón, el Reino Unido y Corea del Sur. La transferencia de datos a estos países está expresamente permitida.

Desde el 10 de julio de 2023, existe una decisión de adecuación para el llamado Marco de Privacidad de Datos UE-EE.UU. Esto permite la transferencia de datos personales desde la UE a empresas y organizaciones de EE.UU. que se hayan inscrito en el Marco de Privacidad de Datos mediante certificación. Las empresas y organizaciones que ya han sido certificadas se pueden encontrar en esta lista. Las transferencias de datos a empresas y organizaciones de EE.UU. no certificadas ya no pueden basarse en la Decisión de Ejecución de la Comisión (UE) 2016/1250 del 12 de julio de 2016 de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo sobre la adecuación del escudo de protección de datos UE-EE.UU. (Privacy Shield). Porque con la sentencia “Schrems II” del 16 de julio de 2020 (en el caso C-311/18), el TJUE declaró inválida esta Decisión de Ejecución con efecto inmediato. Las transferencias de datos a empresas y organizaciones de EE.UU. no certificadas requieren otras garantías, conforme al Art. 44 y ss. RGPD, para crear un nivel apropiado de protección de datos.

Si no existe una decisión de adecuación para un país, esto no necesariamente impide que se realice una transferencia de datos a dicho país. Más bien, el controlador debe garantizar de otra manera que los datos personales estén suficientemente protegidos por el destinatario. Esto se puede asegurar utilizando cláusulas contractuales estándar, para transferencias de datos dentro de un grupo a través de las llamadas «normas corporativas vinculantes», mediante el compromiso de cumplir con códigos de conducta que la Comisión Europea ha declarado como generalmente aplicables, o mediante la certificación del procedimiento de procesamiento de datos.

Además, existen varias excepciones que legitiman la transferencia de datos a un tercer país, incluso si no se puede asegurar suficientemente la protección de los datos personales. Con mayor frecuencia, el consentimiento del interesado es relevante aquí. Al mismo tiempo, se debe prestar especial atención a los requisitos para que dicho consentimiento sea otorgado libremente. Otras excepciones, como la transmisión para cumplir contratos, razones importantes de interés público y la afirmación de derechos legales suelen ser menos relevantes en la práctica.