27 de diciembre: plazo para terminar los procesos de regularización de las transferencias internacionales de datos personales utilizando las cláusulas contractuales tipo europeas
Cristina Martín Sánchez
Abogada del departamento de Derecho Mercantil de DIKEI Abogados
Diario La Ley, Nº 68, Sección Ciberderecho, 22 de Diciembre de 2022, LA LEY
LA LEY 11529/2022
1. ¿Qué son las cláusulas contractuales tipo de la Comisión Europea?
Las cláusulas contractuales tipo de la Comisión Europea («CCT») son uno de los mecanismos previstos en Reglamento general de protección de datos (LA LEY 6637/2016) [Reglamento (UE) 2016/679] («RGPD») para que responsables y/o encargados de tratamiento de datos persones exportadores establezcan las medidas técnicas y organizativas que garanticen la protección de los datos personales de los interesados cuando se realizan transferencias internacionales de los mismos con destino a países no reconocidos como adecuados por la Comisión Europea, por no ofrecer un nivel de protección equivalente a la proporcionada por la legislación de la Unión Europea. A estos efectos se entiende por «transferencia internacional» todo flujo de datos personales a destinatarios ubicados fuera del Espacio Económico Europeo o transferencias ulteriores realizadas por dichos destinatarios.
2. ¿Cuándo han sido aprobadas las nuevas CCT?
El pasado 4 de junio la Comisión Europea aprobó la «Decisión de ejecución (UE) 2021/914 de 4 de junio de 2021 (LA LEY 12722/2021), relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 (LA LEY 6637/2016) del Parlamento Europeo y del Consejo» donde constan las nuevas cláusulas contractuales tipo que derogan las hasta ahora vigentes.
3. ¿Cuál es el motivo para la adopción de unas nuevas CCT?
Con la adopción de estas nuevas CCT, la Comisión Europea pretende (i) conseguir «una puesta al día» de las anteriores CCT que las armonice con los nuevos requisitos del RGPD (ii) modernizar las CCT para que abarquen situaciones adicionales de tratamiento y transferencia y adopten un planteamiento más flexible en lo que se refiere al número de partes que pueden adherirse a las CCT y (iii) responder a las exigencias derivadas de la sentencia del Tribunal de Justicia de la Unión Europea («TJUE») en el asunto «Schrems II» [Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems (C-311/18), 16 de julio de 2020]
4. ¿Desde cuándo son/serán obligatorias las nuevas CTT?
Las nuevas CCT entraron en vigor el 27 de junio de 2021 (20 días después de su publicación en el Boletín Oficial de la UE, realizada el 7 de junio de 2021), pudiendo ser utilizadas por tanto desde esa fecha.
Las anteriores CCT quedaron derogadas y dejaron de ser válidas a los 3 meses desde esa fecha (es decir, el 27 de septiembre de 2021) por lo que para contratos celebrados después de esa fecha los exportadores e importadores han debido adoptar directamente las nuevas CCT.
De manera excepcional para aquellos contratos que fueron celebrados antes del 27 de septiembre de 2021 que contuvieran las anteriores CCT se concedió un período transitorio adicional de 15 meses (es decir, hasta el próximo 27 de diciembre de 2022) durante el cual los exportadores e importadores han podido seguir utilizando las CCT anteriores solo si (i) las operaciones de tratamiento han permanecido invariables y (ii) las cláusulas garantizaban que la transferencia estaba sujeta a garantías adecuadas (el uso de las CCT anteriores durante este período de transición ha estado condicionado en todo caso al cumplimiento de las exigencias indicadas en «Schrems II» y en las Directrices del CEPD).
A partir del 27 de diciembre de 2022, exportadores e importadores solo podrán usar las nuevas CCT.
5. ¿Qué elementos novedosos contienen las nuevas CTT en relación con las anteriores?
- • Las CCT anteriores únicamente regulaban dos tipos de relaciones: responsable del tratamiento/exportador, responsable del tratamiento/importador y responsable del tratamiento/exportador, encargado del tratamiento/importador, lo que se ha demostrado absolutamente insuficiente pues había otras relaciones respecto de las cuales se dudaba su correcta regulación. Ahora las nuevas CCT añaden a aquellas dos tipos relaciones: encargado del tratamiento/exportador, encargado del tratamiento/importador y encargado del tratamiento/exportador, responsable del tratamiento/importador.
- • Se crean obligaciones más detalladas, en comparación con las establecidas en las CCT anteriores, relativas a la obligación de evaluar el impacto potencial de la legislación local sobre los datos personales.
- En este sentido, se incorporan algunas de las obligaciones señaladas por el TJUE en «Schrems II» y apoyadas por el CEPD [«Recomendaciones 1/2020, sobre las medidas complementarias a las garantías para realizar una transferencia internacional con el fin de acreditar el cumplimiento en materia de protección de datos»] de forma que la suscripción de las CCT se subordina, de manera prácticamente general, a la realización previa de un análisis de impacto de las transferencias internacionales para evaluar si el marco legislativo y las prácticas del país de destino son esencialmente equivalentes al del país de origen de los datos personales y la posible afectación a los derechos de los interesados. Si no se satisface este requisito, sería necesario implementar medidas adicionales a cuyo efecto se propone una lista no exhaustiva de posibles medidas.
- Como elementos que pueden ser tenidos en cuenta para dicho análisis se mencionan, entre otros, el examen de la jurisprudencia e informes de organismos de supervisión independientes o la experiencia práctica documentada del exportador y/o del importador de datos.
- • Se incluye la obligación de las partes de demostrar el cumplimiento de las CCT (principio de responsabilidad proactiva, consagrado en el artículo 5 del RGPD (LA LEY 6637/2016)).
- • Se incorpora la obligación de enumerar las medidas técnicas y organizativas implementadas (artículo 32 del RGPD (LA LEY 6637/2016)) y de describir la gestión de las eventuales violaciones de la seguridad de los datos personales (brechas de seguridad).
- • Se permiten las transferencias ulteriores a otros destinatarios por parte de un importador para el ejercicio de reclamaciones legales relacionadas con procedimientos administrativos, judiciales o reglamentarios, así como para proteger intereses vitales del interesado u otra persona física.
- • Se regula el doble deber del importador de (i) notificar al exportador cualquier solicitud de una autoridad de control para divulgación datos personales que reciba e (ii) impugnar dicha solicitud y requerir medidas cautelares si lo entiende conveniente.
- • Se prevé la posibilidad de incluir una cláusula que permita la adhesión de partes adicionales a las CCT ya suscritas (siempre que estas nuevas partes asuman el cumplimiento de los anexos y medidas técnicas y organizativas de las CCT).
- • En el caso de que el importador tuviera contratados subencargados, se indica que podrá reservarse la facultad de redactar el contrato de forma que proteja sus secretos comerciales u otra información confidencial no estando obligado (como sucedía con las actuales CCT) a entregar al exportador, previa solicitud, una copia de los contratos de subencargo del importador.
A raíz de la adopción de las nuevas CCT, la Comisión Europea ha elaborado una documento- guía de preguntas y respuestas (Q&A) para proporcionar orientación práctica sobre el uso y ayudar a las partes interesadas en sus esfuerzos de cumplimiento. Estas preguntas y respuestas se basan en los comentarios recibidos de diversas partes interesadas sobre su experiencia con el uso de las nuevas CCT en los primeros meses tras su adopción. Las preguntas y respuestas pretenden ser una fuente «dinámica» de información y se actualizarán a medida que surjan nuevas preguntas.
Estaremos muy pendientes de dichas actualizaciones.