Cómo realizar transferencias internacionales de datos de carácter personal

El Reglamento General de Protección de Datos 679/2016 (RGPD) regula en el Capítulo V la Transferencias de datos personales a terceros países u organizaciones internacionales.

El RGPD establece una seria de requisitos que se han de ir cumpliendo para poder realizar transferencias internacionales de datos de carácter personal. Es decir, no lo prohíbe, pero sí lo regula de forma muy clara.

Para poder hacer una transferencia internacional de datos de carácter personal (ya sea como responsables o encargados del tratamiento) sin necesidad de autorización de la Agencia Española de Protección de Datos, el RGPD indica cuatro supuestos.

En primer lugar, el artículo 45 del RGPD establece cuando el destinatario haya sido declarado de nivel adecuado por la Unión Europea. La Comisión europea ha declara que los siguientes países y territorios tienen un nivel adecuado de protección: Suiza, Canadá, Argentina, Guernsey, Isla de Man, Jersey, Islas Feroe, Andorra, Israel, Uruguay, Nueva Zelanda y Estados Unidos. Referente a este último se debe atender a lo dispuesto en la lista de empresas con escudo de seguridad: https://www.privacyshield.gov/list.

En segundo lugar, el artículo 46 del RGPD indica que de no haber sido declarado de nivel adecuado por la Comisión Europea, se deberán establecer una seria de garantías: un instrumento jurídicamente vinculante, la aprobación de normas corporativas vinculantes, el establecimiento de cláusulas tipo (de la Comisión o una autoridad de control), estar sujeto a un código de conducta o disponer de mecanismo de certificación.

En tercer lugar, el artículo 49 del RGPD dispone que de no haber sido declarado de nivel adecuado por la Comisión Europea ni disponer de las garantías anteriores, deberán cumplir con unas condiciones: con consentimiento del interesado, la transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento, la transferencia sea necesaria para la celebración o ejecución de un contrato, en interés del interesado, entre el responsable del tratamiento y otra persona física o jurídica, por razones importantes de interés público, para la formulación, el ejercicio o la defensa de reclamaciones, para proteger los intereses vitales del interesado (cuando esté incapacitado) o cuando la transferencia se realice desde un registro público.

En cuarto lugar, el mismo artículo 49 del RGPD finaliza indicando que de no ser posible ninguno de los tres supuestos anteriores, deberá a unos requisitos: no sea repetitiva, afecte solo a un número limitado de interesados sea necesaria para los fines de intereses legítimos imperiosos perseguidos por el responsable del tratamiento.

Por tanto, el RGPD delimita los supuestos en los que se podrán hacer transferencias internacionales y, en todo caso, establece cómo deberán realizarse. En todos los demás supuestos no previstos en los párrafos anteriores, el responsable o encargado del tratamiento deberá solicitar autorización ante la autoridad de control competente, en España la Agencia Española de Protección de Datos.

Irene Roselló

Abogada

irossello@binauramonlex.com