Inicio/Protección de datos/Transferencias internacionales
Transferencias internacionales de datos
Casi toda empresa transfiere datos fuera del Espacio Económico Europeo sin saberlo: la herramienta de correo, el almacenamiento en la nube, el CRM, el chat de soporte o la plataforma de videollamadas. Cada una de esas transferencias necesita una base y unas garantías.
Cuándo hay transferencia
Siempre que los datos se comuniquen a un destinatario situado fuera del Espacio Económico Europeo o sean accesibles desde allí, incluido el acceso remoto para soporte técnico. No hace falta que los datos «viajen» físicamente: basta con que un técnico de un tercer país pueda acceder a ellos para que exista transferencia y haya que analizarla.
El soporte técnico. Un proveedor europeo con equipo de soporte en un tercer país está permitiendo acceso desde fuera del Espacio Económico Europeo, aunque los servidores estén en Europa. Es transferencia y debe estar documentada.
Instrumentos disponibles
| Instrumento | Cuándo se usa |
|---|---|
| Decisión de adecuación | Países que la Comisión Europea ha declarado adecuados |
| Cláusulas contractuales tipo | Instrumento más habitual con proveedores en terceros países |
| Normas corporativas vinculantes | Grupos multinacionales con transferencias intragrupo |
| Códigos de conducta y certificaciones | Con compromisos vinculantes y exigibles |
| Excepciones para situaciones específicas | Carácter excepcional y no para transferencias repetitivas |
El análisis que acompaña a las cláusulas
Firmar cláusulas contractuales tipo no basta por sí solo cuando el marco jurídico del país de destino puede impedir su cumplimiento. Hay que valorar la legislación y las prácticas del tercer país, especialmente en materia de acceso por las autoridades públicas, y adoptar medidas complementarias cuando sea necesario: cifrado con claves gestionadas en Europa, seudonimización o restricción del tipo de datos transferidos. Ese análisis debe documentarse.
Qué hacer en la práctica
- Inventariar todos los proveedores tecnológicos y su ubicación real, incluida la de sus subencargados.
- Identificar qué transferencias existen y qué instrumento las ampara hoy.
- Recabar y conservar las cláusulas o los acuerdos de tratamiento aceptados, con su versión.
- Documentar el análisis del país de destino cuando proceda y las medidas complementarias adoptadas.
- Informar de las transferencias en los textos legales y en el registro de actividades.
- Revisar periódicamente, porque las decisiones de adecuación y los proveedores cambian.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre las transferencias internacionales
¿Podemos usar herramientas estadounidenses?
Sí, con la base jurídica adecuada. El marco de transferencias con Estados Unidos ha cambiado varias veces en la última década, de modo que lo primero es comprobar cuál es la situación vigente y si el proveedor concreto está acogido al mecanismo aplicable. Cuando no lo está, se recurre a cláusulas contractuales tipo con el análisis y las medidas complementarias que correspondan. Lo que no es viable es no analizarlo.
Nuestro proveedor dice que los datos están en Europa.
Conviene comprobarlo y documentarlo, porque «región europea» en un panel de configuración no siempre significa que no haya acceso desde fuera. Hay que preguntar por la ubicación de las copias de seguridad, por los subencargados y por el equipo de soporte. Un compromiso contractual expreso sobre la ubicación y sobre la ausencia de acceso desde terceros países es la forma de dejarlo cerrado.
¿Sirve el consentimiento del interesado?
Existe como excepción para situaciones específicas, con consentimiento explícito e información previa sobre los riesgos, pero las autoridades han insistido en que no puede utilizarse para transferencias repetitivas, masivas o estructurales. Para la operativa ordinaria de una empresa, el instrumento adecuado son las cláusulas contractuales tipo o la decisión de adecuación, no el consentimiento.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.