El Comité Europeo de Protección de Datos publicó el pasado 10 de noviembre de 2020 las Recomendaciones 01/2020, sobre las medidas que complementan los instrumentos de transferencia para garantizar el cumplimiento del nivel de protección de datos personales de la Unión Europea, y las Recomendaciones 02/2020 en relación con las Garantías Adicionales Europeas para las medidas de vigilancia

Tras el reciente pronunciamiento del Tribunal de Justicia de la Unión Europea en el caso Schrems II, C-311/18, y su consecuente invalidación del Escudo de Privacidad (Privacy Shield), que amparaba las transferencias de datos de carácter personal entre Europa y Estados Unidos, las empresas se han enfrentado a una situación ambigua e incierta en cuanto a la realización de las transferencias internacionales.

Con el objetivo de proporcionar orientaciones a los exportadores de datos a terceros países, el Comité Europeo de Protección de Datos (en adelante, el “CEDP”) ha publicado una serie de recomendaciones encaminadas a dar solución a la presente situación, a través de un listado de pasos^[1] a seguir para verificar que las transferencias que vayan a  efectuarse fuera del ámbito del Espacio Económico Europeo cumplen con los estándares de protección exigidos por el Reglamento (UE) 2016/670, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, el “RGPD”), y puedan identificarse las garantías adicionales a aplicar cuando fueran necesarias.

Hoja de ruta a seguir para garantizar un nivel adecuado de protección de los datos en la realización de transferencias internacionales.

Paso 1 – Conoce tus transferencias de datos

Para poder garantizar el nivel exigido por el RGDP y aplicar en su caso garantías adicionales, se deberá contar con un registro de todas las transferencias internacionales que se efectúen, debiendo tener identificadas, desde las propias, realizadas directamente por el exportador, hasta las que se efectúen por el importador a sus proveedores que pudieran estar situados en otro tercer país.

Paso 2 – Identifica las herramientas adecuadas para la realización de transferencias internacionales

Una vez identificadas las transferencias que se realicen, el segundo paso consistirá en identificar la herramienta más adecuada para legitimar la transferencia y que pueda garantizar un nivel adecuado de protección equivalente al dispuesto por el RGPD, dichas herramientas quedan definidas en el artículo 45 y siguientes del RGPD.

Con respecto a la decisión de adecuación de la Comisión Europea que considere que ese tercer país ofrece un nivel adecuado de protección de los datos personales se puntualiza que la existencia de esta circunstancia no blinda la transferencia de manera definitiva, siendo obligación del exportador de los datos vigilar el cumplimiento íntegro del RGPD.

En ausencia de una decisión de adecuación que ampare la transferencia, el artículo 46 RGPD proporciona una serie de instrumentos que contienen «salvaguardias apropiadas» para que los exportadores puedan transferir datos personales a terceros países. Sin embargo, estas herramientas contienen principalmente medidas de carácter contractual, tiendo efecto únicamente entre las partes que suscriben el contrato, no afectando a las autoridades de ese tercer país siendo necesario complementar en muchas ocasiones con medidas de garantía adicionales que refuercen la protección de los datos transferidos.

Por último, el RGPD contiene una tercera vía que permite la transferencia de datos personales en ciertas situaciones. Con sujeción a condiciones específicas, es posible transferir datos personales sobre la base de una de las excepciones enumeradas en el artículo 49 del RGPD; gozando las mismas de un carácter excepcional relacionado con actividades que son ocasionales y no repetitivas.

Paso 3- Evalúa las garantías del artículo 46 RGPD, con el objetivo de comprobar su efectividad a la vista de las circunstancias concretas de la transferencia de datos

En caso de no existir decisión de adecuación del tercer país, ni ser aplicable las excepciones del artículo 49, se deberá continuar con este tercer paso.

En concreto, se deberá evaluar, en colaboración con el importador, si la legislación o la práctica del tercer país pueden afectar a las garantías de protección que presta el instrumento de transferencia escogido. En este sentido, deberá prestarse especial atención a las normativas que establezcan obligaciones al receptor/importador de los datos situado en ese tercer país, frente a las autoridades para revelar los datos personales.

Las Recomendaciones 02/2020 de Garantías Europeas Adicionales pretenden proporcionar al exportador orientaciones a la hora de evaluar el nivel de interferencia con los derechos fundamentales a la privacidad y a protección de datos en el contexto de las medidas de vigilancia de las autoridades de un tercer país, así como los requisitos legales que deben aplicarse en consecuencia para evaluar si tales interferencias fueran aceptables en virtud de la normativa europea.

Según el CEPD, se presumirá que no concurre un nivel adecuado de protección cuando la normativa del tercer país no cumpla con lo dispuesto en las Garantías Europeas Adicionales.

Paso 4- Adopta garantías adicionales

Cuando se verifique que el uso de alguna de las herramientas del artículo 46 RGPD resulta insuficiente para garantizar ese nivel de protección, se deberán aplicar medidas adicionales que permitan garantizar dicha protección.

En el Anexo II de las Recomendaciones 01/2020 se exponen algunos ejemplos de medidas de garantía adicional que pueden implementarse por el exportador de los datos.

Estas medidas adicionales están diseñadas desde una esfera legal, técnica y organizativa con el objetivo de poder controlar el acceso que puedan realizar terceros no autorizados (sobre todo, administraciones públicas) a los datos personales objeto de la transferencia.

El listado de medidas no es exhaustivo y limitativo, de manera que cada exportador e importador de datos podrán definir dichas medidas de manera que se amplíen las garantías del tratamiento. A continuación, se ejemplificarán algunas de las medidas detalladas en las Recomendaciones 01/2020:

De carácter técnico

Medidas de cifrado que se realicen previamente a la comunicación de datos y que garanticen un cifrado de datos previo a la comunicación duradero a través de un algoritmo robusto y certificado con claves de cifrado correctamente gestionadas y bajo el control del exportador de datos.

Medidas de seudonimización que no permitan la identificación del dato personal por parte del importador o terceros, garantizando que la conservación de los identificadores personales este controlado por el exportador y no pueda utilizarse sin su control.

De carácter contractual

• Regular contractualmente el uso de medidas técnicas de seguridad específicas;
• Incluir obligaciones de transparencia por parte del importador de manera que se informe del acceso por parte de autoridades a los datos personales;
• Información por parte del importador de datos de los riesgos de la transferencia;
• Realización de auditorías al importador;
• Obligación de notificación recurrente para garantizar la integridad de la información y su no comunicación (por ejemplo, a través de un hash);
• Limitación del acceso por terceros al previo consentimiento del exportador y/o interesado.

De carácter organizativo

Implementación de procedimiento para garantizar el principio de diligencia debida, acceso a la información, transparencia…

De igual manera, la Recomendación determina que la implementación de sistemas de gestión de estándares internacionales (como ISO o ENISA) podrán ser considerados como posibles garantías adicionales.

Paso 5- Pasos a seguir cuando se adopten garantías adicionales

En caso de utilizarse Cláusulas Contractuales Tipo e implementar medidas adicionales que puedan contradecirlas directa o indirectamente, no se podrá hacer uso de esta herramienta como único instrumento para garantizar el nivel de protección exigido, sino que deberá solicitarse una autorización a la autoridad de supervisión competente.

Por otro lado, cabe mencionar que la idoneidad de otras de las herramientas expuestas en el artículo 46 RGPD, como es el uso de cláusulas contractuales ad hoc y cláusulas contractuales tipo aprobadas por una autoridad de control, siguen siendo, tras las conclusiones alcanzadas en la resolución del TJUE sobre el caso Schrems, un debate abierto pendiente de solucionar.

Paso 6 – Reevalúa las circunstancias previamente contempladas

El último paso que se incluye es el deber de vigilancia continuado sobre los acontecimientos que se produzcan en el tercer país al que se han transferido los datos personales, en concreto, todo lo que pudiera afectar a la evaluación inicial sobre el nivel de protección efectuada. Es decir, se trata de una obligación constante durante el tiempo que se realicen las transferencias. Asimismo, el importador deberá contemplar mecanismos suficientemente sólidos para garantizar que se suspenda o se ponga fin rápidamente a las transferencias cuando no se pueda seguir garantizando ese nivel de protección adecuado de los datos en el tercer país.

Conclusiones

Con las recomendaciones indicadas por el Comité, las entidades de la Unión Europea que actúen como exportadoras de datos deberán hacer un ejercicio de evaluación  de los destinatarios que reciben datos como importadores siguiendo los pasos establecidos y revisión de los contratos suscritos a fin de analizar la necesidad de incluir garantías adicionales a través de medidas técnicas, organizativas y/o contractuales para la regularización de las transferencias internacionales de datos en cumplimiento de la normativa.

En este sentido, por último, debe destacarse que la Comisión Europea ha publicado ya un borrador de Decisión sobre las Cláusulas Contractuales Tipo para las transferencias internacionales de datos personales a terceros países de conformidad con el RGPD distinguiendo las modalidades de Responsable vs Responsable, Responsable vs Encargado, Encargado vs Encargado y Encargado vs Responsable. La Decisión está sujeta a comentarios por un periodo de 4 semanas antes de su aprobación.

Sin perjuicio de que a partir de ahora las entidades exportadoras de datos a nivel europeo parten de una referencia de recomendaciones y de garantías adicionales es responsabilidad de los exportadores implementar cualesquiera otras medidas complementarias para llevar a cabo el nivel de protección de los datos transferidos al estándar de la UE.

[1] Ambas Recomendaciones 01/2020 y 02/2020 se encuentran a la fecha de redacción de esta nota en fase de consulta pública.