RGPD: ¿qué trámites para transferencias fuera de la UE?

La transferencia de datos fuera de la Unión Europea está sujeta a normas estrictas establecidas en el Reglamento General de Protección de Datos (RGPD). Esto es lo que necesitas saber sobre los trámites a seguir para estos traslados.

Garantías adecuadas para transferencias fuera de la UE

Con el RGPD, ninguna transferencia de datos fuera de la Unión Europea requiere autorización previa de la CNIL, siempre que se aplique una de las siguientes garantías adecuadas:

1. Nivel equivalente de protección: El país receptor de los datos debe tener un nivel de protección equivalente al de la UE, reconocido por la Comisión Europea.
2. Instrumentos jurídicamente vinculantes: Podrá utilizarse un instrumento jurídicamente vinculante y ejecutable entre autoridades u organismos públicos.
3. Normas Corporativas Vinculantes (BCR): Si el destinatario de los datos forma parte de un grupo con normas corporativas vinculantes aprobadas por el CEPD.
4. Cláusulas contractuales estándar: El contrato entre el exportador y el destinatario de los datos debe contener las cláusulas contractuales estándar de protección de datos adoptadas por la Comisión Europea.
5. Códigos de conducta o certificaciones: El destinatario de los datos podrá aplicar un código de conducta aprobado por la autoridad europea de protección de datos competente, o una certificación acompañada de un compromiso vinculante.

Autorización específica para determinadas transferencias

Sin embargo, determinadas transferencias requieren una autorización específica de la CNIL, incluso si cuentan con las garantías adecuadas. Se trata de transferencias sujetas a las siguientes garantías:

1. Cláusulas contractuales específicas: Cuando se utilicen cláusulas contractuales específicas entre responsables del tratamiento o subcontratistas.
2. Arreglos administrativos: Que se integren disposiciones en los acuerdos administrativos entre autoridades públicas, previendo derechos exigibles y efectivos para las personas interesadas.

Validez de las autorizaciones previas

Las autorizaciones concedidas por un Estado miembro o una autoridad de protección de datos antes del 25 de mayo de 2018 seguirán siendo válidas hasta que sean modificadas, sustituidas o derogadas.

En conclusión, las transferencias de datos fuera de la UE están sujetas a normas estrictas y a menudo requieren garantías adecuadas, así como posiblemente una autorización específica de la CNIL. Es fundamental que las organizaciones cumplan con estas formalidades para garantizar la protección de los datos personales de conformidad con el RGPD.