Las normas previstas por el RGPD para la transferencia de datos personales fuera de la Unión Europea

El RGPD establece el principio de que los datos personales deben permanecer, en la medida de lo posible, en la Unión Europea. Pero hay excepciones a este principio. Lo principal es garantizar un nivel uniforme de protección durante todo el procesamiento, independientemente de la ubicación de los datos y del actor que los procesa.

Respuesta de la encuesta: Según el RGPD, ¿se pueden transferir datos personales fuera de la UE?

Durante una encuesta realizada el 14 de diciembre en nuestra página de LinkedIn, le preguntamos si los datos personales pueden transferirse fuera de la Unión Europea.
¡Eras fuerte! De 317 votantes, el 28% votó no y el 72% votó sí. De hecho, las dos respuestas son correctas pero es necesario matizarlas.

En principio, los datos personales no pueden transferirse, pero varias excepciones permiten excepciones a este principio.

¿Cuáles son las excepciones para la transferencia de datos fuera de la UE?

El RGPD identifica los escenarios en los que los datos pueden transferirse fuera de la UE. Estos incluyen los siguientes supuestos:

• El país de destino parte de la lista de países considerados adecuados por la Comisión Europea. Es decir, tener un nivel suficiente de protección a través de su normativa de protección de datos.
  Estos países son Suiza, Argentina, Guernsey, Isla de Man, Nueva Zelanda, Jersey, Islas Feroe, Andorra, Israel, Uruguay y Japón.
• La empresa que transfiere los datos ha establecido normas corporativas vinculantes (o BCR). Es decir, tiene una política interna o código de conducta relativo a la protección de datos cuando se transfieren a un tercer país. Los BCR permiten ofrecer una protección adecuada a los datos transferidos desde la Unión Europea a terceros países dentro de una misma empresa o grupo. Sin embargo, las garantías proporcionadas por los BCR y la legislación del tercer país en materia de protección de datos deben ser de un nivel suficiente según la Comisión Europea.
• EL cláusulas contractuales estándar (o CCT) están firmados por ambas empresas. Los CCT son cláusulas contractuales modelo que rigen la transferencia de datos personales a un tercer país. Son proporcionados por la Comisión Europea. Su objetivo es facilitar la tarea de los responsables del tratamiento de datos en la ejecución de los contratos de transferencia. Los CCT garantizan una relación contractual que respeta los datos personales.
• La empresa también puede escribir uno arreglo administrativo, a texto jurídicamente vinculante o uno mecanismo de certificación aprobado garantizar un nivel suficiente de protección de los datos de las personas interesadas.

Si el país al que se transfieren los datos no es adecuado o no se establece la garantía antes mencionada, la transferencia puede ser posible si:

• El interesado ha expresamente consentido la transferencia de datos personales.
• La transferencia resulta necesario bajo una de las siguientes condiciones:
  • Salvaguardar la vida de la persona;
  • Salvaguardar el interés público;
  • Cumplimiento de obligaciones para asegurar el establecimiento, ejercicio o defensa de un derecho legal;
  • Consulta, en condiciones regulares, de un registro público que, en virtud de disposiciones legislativas o reglamentarias, esté destinado a la información pública y esté abierto a la consulta del público o de cualquier persona que demuestre un interés legítimo
  • La ejecución de un contrato entre el responsable del tratamiento y el interesado, o las medidas precontractuales adoptadas a petición de este último;
  • La celebración o ejecución de un contrato celebrado o por celebrar, en interés del interesado, entre el responsable del tratamiento y un tercero.

En el caso de Estados Unidos, Safe Harbor estaba en vigor desde el año 2000. Este acuerdo celebrado con la Unión Europea tenía como objetivo autorizar, bajo determinadas condiciones, transferencias de datos europeos a Estados Unidos. Fue invalidado por el Tribunal de Justicia de la Unión Europea.
El Escudo de Privacidad sustituyó a este acuerdo, aunque también fue invalidado por el TJUE. A la espera de un nuevo acuerdo, la CNIL recomienda:

• Para evaluar la legislación del tercer país al que se transfieren los datos, aquí Estados Unidos
• Implementar medidas adicionales para que los datos estén suficientemente protegidos (por ejemplo CCT).

Una vez que haya identificado si se aplica alguna de las condiciones anteriores, se podrá realizar la transferencia. El desafío de las transferencias fuera de la UE también radica en informar a la gente.
De hecho, debe ser transparente sobre el procesamiento de datos durante todo el procesamiento. Las personas deben estar claramente informadas, por ejemplo en su política externa de protección de datos personales o en su política de confidencialidad. Esta información debe ser fácilmente accesible y comprensible.

Data Comply One (anteriormente Mission RGPD) simplemente lo guía con sus transferencias fuera de la Unión Europea

¿No puedes enterarte de tus transferencias fuera de la Unión Europea? ¿No tienes tiempo para averiguarlo? ¿O te faltan los medios para cumplir?
Con Data Comply One (anteriormente Mission RGPD) se le orienta para documentar y responder todas las preguntas de transferencia necesarias. Particularmente en el procesamiento y subcontratación de registros.
¡No pierdas más tiempo, es muy sencillo!