El pasado 4 de junio se publicaron las cláusulas contractuales tipo (CCT o SCCs por sus siglas en inglés) para las transferencias de datos a terceros países[1], que derogan las hasta ahora vigentes[2], recogen las nuevas exigencias previstas en el Reglamento General de Protección de Datos (RGPD) y abordan las realidades a las que se enfrentan las empresas.

Transferencias internacionales de datos

Como regla general, y de acuerdo con el RGPD, solo se permite realizar transferencias internacionales de datos cuando se cumplan los requisitos exigidos en su Capítulo V; esto es, cuando sean transferencias basadas en una decisión de adecuación, cuando se realicen mediante las garantías adecuadas o cuando existan normas corporativas vinculantes.

A estos efectos, las SCCs constituyen una de las garantías adecuadas reconocidas en el Art. 46 del RGPD y en base a las cuales se podrán realizar transferencias de datos personales a un tercer país u organización internacional.

Estructura de las SCCs

Las nuevas SCCs tienen una estructura modular y su redacción varía según el escenario en el que se utilicen:

1. Escenario de responsable a responsable (R-R);
2. Escenario de responsable a encargado (R-E);
3. Escenario de encargado a responsable (E-R); y (nuevo)
4. Escenario de encargado a encargado (E-E) (nuevo)

Cada una de las SCCs se dividen en 4 secciones diferentes: (i) sección introductoria con cláusulas generales sobre interpretación y jerarquía, (ii) sección con las obligaciones de las partes, (iii) sección sobre obligaciones de análisis de normas locales y acceso a datos por parte de las autoridades, y (iv) sección con cláusulas finales (por ejemplo, cláusulas de ley aplicable o de jurisdicción).

Además, cada uno de los escenarios contiene anexos que los complementan. Así, los escenarios R-R y E-R contienen dos anexos sobre características del tratamiento y medidas técnicas y organizativas, mientras que los escenarios R-E y E-E contienen un anexo adicional para listar a los subencargados del tratamiento.

Principales novedades

En relación al contenido de las nuevas SCCs, destacan las siguientes cláusulas:

• Cláusula de adhesión: se permite que terceros se adhieran a las partes firmantes sin tener que modificar y firmar unas nuevas cláusulas.

• Comunicaciones de datos: se prohíbe la comunicación de los datos sujetos a las SCCs a terceros que se encuentren fuera del Espacio Económico Europeo (EEE), salvo que se realice a un país del que la Comisión Europea haya emitido una decisión de adecuación, se garantice un nivel adecuado de protección de los datos a través de otros mecanismos, sea necesario para la el ejercicio de reclamaciones, o se requiera para proteger los interese vitales de los interesados.

• Información: en el caso de transferencias internacionales R-R, el responsable del tratamiento al que se le comuniquen los datos y que se encuentre fuera del EEE deberá informar sobre su identidad, las categorías de datos personales que vaya a tratar, el derecho a obtener una copia de las SCCs, y en el caso en que vaya a comunicar los datos a un tercero, las categorías de terceros que accederán a los datos, la finalidad de la comunicación de los datos así como la habilitación contractual que le permita comunicar los datos.

• Autoridad competente: la autoridad de protección de datos del Estado miembro en que tiene su establecimiento el que transfiere fuera del EEE será la competente de supervisar la transferencia. Cuando el que transfiere los datos fuera del EEE no tiene su establecimiento en la Unión Europea, lo será la autoridad de protección de datos del Estado miembro en el que se encuentre su representante.

• Medidas técnicas y organizativas: las nuevas cláusulas tipo incluyen medidas técnicas y organizativas específicas para los cuatro escenarios descritos.

• Responsabilidad solidaria: los interesados podrán reclamar ante cualquiera de los involucrados en una transferencia internacional cualquier daño y perjuicio causado por cualquiera de los involucrados en la transferencia internacional

La publicación de estas cláusulas contractuales tipo exigirá la actualización de las cláusulas ya firmadas y la revisión de los protocolos existentes para incluir los casos en los que se podrán utilizar las nuevas SCCs.

Entrada en vigor

Las nuevas cláusulas tipo entraron en vigor el 27 de junio de 2021. Sin embargo, el Artículo 4 de la Decisión de Ejecución prevé un periodo transitorio, de manera que es posible seguir utilizando las anteriores durante los 15 meses posteriores a la entrada en vigor de las nuevas, es decir, hasta el 27 de diciembre de 2022, siempre y cuando el tratamiento sujeto a las SCCs no cambie y sea posible garantizar un nivel adecuado de protección de los datos personales.