El nuevo Reglamento General de Protección de Datos (en adelante RGPD) regula en el capítulo V, en los arts. 44-50, ambos inclusive, las transferencias de datos personales a terceros países u organizaciones internacionales.<\/p>\n
El cambio más notorio introducido por el RGPD es la eliminación de la regla general de la necesidad de la obtención de las autorizaciones del Director de la Agencia Española de Protección de Datos (AEPD) para la transferencia internacional, salvo en algunos casos excepcionales. Esta autorización previa a la transmisión internacional de datos era obligatoria con la antigua normativa, a excepción de:<\/p>\n
1) cuando el Estado en el que se encontrase el importador ofreciese un nivel adecuado de protección;<\/p>\n
2) cuando la transmisión de los datos resultara de la aplicación de tratados o convenios en los que fuese parte España;<\/p>\n
3) cuando la transferencia se haga a efectos de prestar o solicitar auxilio judicial internacional;<\/p>\n
4) cuando sea necesaria para la prevención o el diagnóstico médicos, la gestión de servicios sanitarios.<\/p>\n
5) cuando se refiera a transferencias dinerarias conforme a su legislación específica;<\/p>\n
6) cuando el afectado haya dado su consentimiento inequívoco;<\/p>\n
7) cuando la transferencia sea necesaria para la ejecución de un contrato entre el afectado y el responsable del fichero;<\/p>\n
8) cuando la transferencia sea necesaria para la celebración de un contrato celebrado o por celebrar en interés del afectado, por el responsable del fichero y un tercero;<\/p>\n
9) cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público.<\/p>\n
10) cuando sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; o,<\/p>\n
11) cuando la transferencia se efectuase a petición de persona con interés legítimo, desde un Registro Público y fuese acorde con su finalidad.<\/p>\n
La autorización del Director de la Agencia Española de Protección de Datos era concedida si se daban las garantías adecuadas por parte del receptor de los datos (contrato acorde a las cláusulas tipo de las decisiones de la Comisión Europea y Normas Corporativas Vinculantes o BCR en inglés).<\/p>\n
En la actualidad, si se dan las garantías que contempla el RGPD (cuyo catálogo además se ha ampliado de forma notoria respecto de la regulación anterior), ya no es precisa la autorización de la AEPD.<\/p>\n
Otra novedad es que, de acuerdo con el RGPD, el exportador de los datos podrá ser, no solo el responsable del tratamiento, sino también el encargado del mismo.<\/p>\n
Por tanto, el panorama actual es como sigue:<\/p>\n
1) Transferencias basadas en una decisión de adecuación a terceros países u organizaciones internacionales cuando la Comisión haya decidido que garantizan un nivel de protección adecuado. En la misma línea del régimen anterior, no requieren de autorización.<\/p>\n
Hasta la fecha, los Estados que, según la Comisión, garantizan un nivel de adecuación son: Andorra, Argentina, Canadá, Estados Unidos (a aquéllas entidades certificadas en el marco del Escudo de Privacidad, “Privacy Shield”), Guernesey, Isla de Man, Islas Feroe, Jersey, Nueva Zelanda, Suiza e Israel.<\/p>\n
2) A falta de una decisión de las previstas en el apartado anterior, podrán efectuarse transferencias internacionales de datos cuando se ofrezcan garantías adecuadas, sin que sea precisa la autorización de la autoridad de control. Se consideran garantías adecuadas (artículo 46 del RGPD), (i) las constituidas por un instrumento jurídicamente vinculante y exigible entre las autoridades; (ii) normas corporativas vinculantes (conocidas por sus siglas en inglés como BCR); (iii) cláusulas tipo de protección de datos adoptadas por la Comisión; (iv) cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión; (v) un código de conducta; o (vi) por un mecanismo de certificación junto con compromisos vinculantes y exigibles del responsable o encargado del tratamiento en el tercer país de aplicar las garantías.<\/p>\n
3) A falta de las decisiones de adecuación y de las garantías adecuadas para la transferencia de datos, cabe la posibilidad de realizar la transferencia internacional a un tercer país u organización internacional (sin la autorización de la AEPD) si: (i) el interesado ha dado explícitamente su consentimiento a la transferencia propuesta; (ii) que la transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento para la ejecución de medidas precontractuales; (iii) que la transferencia sea necesaria para la ejecución o celebración del contrato entre el responsable del tratamiento y otra persona física o jurídica en interés del interesado; (iv) la transferencia sea necesaria por razones importantes de interés público; (v) la transferencia sea necesaria para la formulación, el ejercicio o la defensa de reclamaciones; (vi) sea necesaria para proteger los intereses vitales del interesado o de otras personas cuando el interesado esté física o jurídicamente incapacitado para dar su consentimiento, y; (vii) la transferencia se realice desde un Registro Público abierto a la consulta al pública, según el derecho de la Unión o de los Estados Miembro. Todas ellas recogidas en el artículo 49 del RGPD.<\/p>\n
Como anticipábamos, y se ha visto en el esquema anterior, el principal cambio introducido por el RGPD es la supresión de las autorizaciones por parte del organismo de control, haciendo más cómodo y sencillo el proceso de la transferencia internacional de datos. De hecho, las autorizaciones quedan reducidas a supuestos residuales previstos en el artículo 46.3 del RGPD a saber: (i) cláusulas contractuales (no tipo) entre el responsable o el encargado y el responsable, encargado o destinatario de los datos personales en el tercer país u organización internacional, y; (ii) disposiciones incorporadas en acuerdos administrativos entre autoridades u organismos públicos.<\/p>\n
Desde el <\/strong> de Belzuz Abogados, S.L.P., como abogados especialistas en Protección de Datos<\/strong>, estamos en disposición de asesorar y ser de ayuda en cuanto al encauzamiento de las transferencias internacionales de datos que sea preciso realizar y para llevar a cabo la confección de contratos y demás garantías adecuadas, así como la solicitud de autorizaciones ante la AEPD en caso necesario.<\/p>\n<\/p><\/p>\n","protected":false},"featured_media":431,"template":"","categories":[],"area-de-practica":[],"publicaciones":[],"idioma-publicacion":[70],"areas-practica-publicacciones":[],"class_list":["post-2910","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry","idioma-publicacion-espanol"],"acf":[],"_links":{"self":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/publicacion\/2910","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/publicacion"}],"about":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/types\/publicacion"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/media\/431"}],"wp:attachment":[{"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/media?parent=2910"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/categories?post=2910"},{"taxonomy":"area-de-practica","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/area-de-practica?post=2910"},{"taxonomy":"publicaciones","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/publicaciones?post=2910"},{"taxonomy":"idioma-publicacion","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/idioma-publicacion?post=2910"},{"taxonomy":"areas-practica-publicacciones","embeddable":true,"href":"https:\/\/belzuz.com\/pt\/wp-json\/wp\/v2\/areas-practica-publicacciones?post=2910"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}