Cláusulas Contractuales Tipo para Transferencias Internacionales de Datos Personales
Desde que se publicó la Sentencia del Tribunal de Justicia de la Unión Europea de 16 de julio de 2020 (asunto C-311/18), también llamada la “Sentencia Schrems II”, el marco jurídico conocido como “Privacy Shield” (Escudo de Privacidad) ha quedado invalidado. Muchas transferencias internacionales de datos personales que estaban amparadas en el “Privacy Shield” debían adaptarse a esta nueva situación, y para ello el RGPD prevé la utilización de Cláusulas Contractuales Tipo (CCT) para legitimar la transferencia internacional de datos.
Hay que recordar, que el EDPB (Comité Europeo de Protección de Datos – European Data Protection Board) se ha pronunciado sobre la situación legal de los Estados Unidos en materia de privacidad, indicando que “el Derecho estadounidense (…) no garantiza un nivel de protección sustancialmente equivalente” de la normativa europea de protección de datos”. El citado Comité dice que no hay garantías ni protección equivalentes al art. 52 de la Carta de los Derechos Fundamentales de la Unión Europea en caso de cualquier injerencia de programas de vigilancia, como las que puede realizar el Gobierno estadounidense en virtud de la USA Patriot Act de 2001.
El 4 de Junio del 2021, se publicó en el DOUE, unas nuevas Cláusulas Contractuales Tipo aprobadas por la Comisión, y que pueden ser utilizadas como un mecanismo con un nivel adecuado de protección de datos personales, por los exportadores (responsables) e importadores de datos (encargados de tratamiento).
Un detalle importante es que las nuevas CCT, disponen de la información requerida para elaborar un contrato con encargado de tratamiento, por lo que no es necesario redactar otro contrato de encargado adicional. La entrada en vigor es el 27 de junio de 2021, y será posible seguir utilizando las anteriores CCT hasta el 27 de diciembre de 2022, siempre y cuando se garantice un nivel adecuado de protección de datos personales.
Ejemplo de texto para la cláusula informativa
Transferencias internacionales: En determinados casos, sus datos podrán ser tratados por proveedores ubicados fuera del Espacio Económico Europeo. Estas transferencias se basan en (1) una decisión de adecuación de la Comisión Europea, o (2) garantías adecuadas como las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, junto con medidas adicionales cuando sean necesarias.
RECORDATORIO: Las transferencias internacionales de datos (TID) son uno de los puntos más delicados del cumplimiento del RGPD y de la LOPDGDD, especialmente se trabaja con proveedores cloud, herramientas SaaS, soporte remoto o grupos multinacionales. La idea de fondo es simple: si los datos “salen” del EEE, el nivel de protección no puede bajar.