Transferencias internacionales

La regla

El capítulo V del RGPD solo permite transferencias fuera del Espacio Económico Europeo si no se reduce el nivel de protección. Una transferencia incluye el acceso remoto desde un tercer país, no solo copiar archivos al extranjero. El DPD debe saber adónde van los datos, también a través de proveedores cloud y de IA y de sus subencargados.

Herramientas de transferencia

• Decisiones de adecuación (artículo 45): la Comisión ha constatado que un país o un marco garantiza una protección adecuada, por ejemplo el Marco de Privacidad de Datos UE-EE. UU. para organizaciones estadounidenses certificadas (2023).
• Garantías adecuadas (artículo 46): sobre todo las cláusulas contractuales tipo de la Comisión (2021), con una evaluación de impacto de la transferencia sobre la legislación y las prácticas del país de destino y, en su caso, medidas complementarias.
• Normas corporativas vinculantes (artículo 47) para transferencias dentro de un grupo, aprobadas por una autoridad de control.
• Excepciones (artículo 49), como el consentimiento explícito o la necesidad para un contrato, para situaciones específicas, no para transferencias habituales a gran escala.

En la práctica

Recoja las transferencias en el registro de actividades, revise la lista de subencargados y las ubicaciones de alojamiento de cada proveedor, documente la herramienta de transferencia utilizada y revísela cuando cambien las leyes o los proveedores. Contraste las promesas de residencia de datos con el acceso del soporte técnico y la telemetría, que a menudo también suponen transferencias.