Novedades con respecto a transferencias internacionales de datos

Nuevas cláusulas contractuales tipo aprobadas por la Comisión Europea

El Reglamento General de Protección de Datos (RGPD) dispone de diversos mecanismos para garantizar que, en el contexto de las transferencias internacionales de datos, las cuales se producen cuando se exportan datos de carácter personal desde el Espacio Económico Europeo (EEE) a terceros países situados fuera del mismo, el nivel de protección de las personas físicas garantizado por el RGPD no se vea menoscabado.

El primero de ellos, las decisiones de adecuación de la Comisión Europea (CE), acreditan, tras un análisis previo del su sistema jurídico, que el país al que van a destinarse los datos cumple con un nivel de protección adecuado, similar al de los estados de miembros de la Unión Europea (UE). En segundo lugar, y en ausencia de una decisión de adecuación, existen diversas posibilidades para realizar una transferencia cumpliendo con las garantías adecuadas, entre ellas, las Cláusulas Contractuales Tipo (CCT) aprobadas por la CE.

La relevancia de estas CCT ha aumentado tras la sentencia del TJUE Schrems II que anuló el esquema del Escudo de Privacidad o Privacy Shield que comúnmente se utilizaba en las trasferencias hacia EE.UU. y que recomienda, en su lugar, la utilización de dichas cláusulas.

En este sentido, el pasado 4 de junio de 2021, la CE publicó unas nuevas cláusulas contractuales tipo, alineadas con el principio de “accountability” que caracteriza al RGPD y con los criterios señalados por el Tribunal de Justicia de la UE en la Sentencia Schrems II. Estas nuevas cláusulas sustituyen a las cláusulas contractuales de las Decisiones de la CE 2001/497/CE, 2004/915/CE y 2010/87/UE, que quedarán derogadas a partir del 27 de septiembre de 2021. No obstante, los contratos que hayan sido celebrados antes de dicha fecha con arreglo a las anteriores Decisiones, serán válidos hasta el 27 de diciembre de 2022 siempre que las operaciones de tratamiento que sean objeto del contrato permanezcan inalteradas y que las CCT garanticen que la transferencia de datos personales esté sujeta a garantías adecuadas.

La Comisión Europea adopta dos Decisiones de Adecuación para el Reino Unido

Además de lo anterior, el pasado 28 de junio de 2021, la CE adoptó dos Decisiones de Adecuación para Reino Unido (UK), una referida al RGPD y otra para la Directiva (EU) 2016/680, de 27 de abril, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de delitos.

La concesión de estas Decisiones reconoce a UK un nivel de protección de los datos de carácter personal equiparable al que ofrece el RGPD, haciendo posible la libre transferencia de datos a favor de dicho país, sin necesidad de desplegar otras garantías jurídicas adicionales.

Las Decisiones de Adecuación han sido publicadas antes de la finalización del periodo provisional de seis meses incluido en el acuerdo comercial tras el Brexit, que terminaba el 30 de junio de 2021. Durante este periodo, UK ha seguido aplicando el derecho de la UE a pesar de no formar parte de ella.

Cabe destacar que las Decisiones de Adecuación incluyen por primera vez la llamada “cláusula de extinción” que limita las resoluciones a un periodo máximo de cuatro años. Finalizado dicho periodo de cuatro años, las resoluciones se renovarán si las normas británicas se ajustan a las de la UE, y la CE podrá intervenir durante dicho periodo en caso de que UK se desvíe del nivel de protección actual.