La sentencia Schrems II del Tribunal de Justicia de la Unión Europea (C-311/18) confirmó que las organizaciones deben valorar si la legislación y las prácticas del país de destino pueden menoscabar el nivel de protección exigido por el Derecho de la UE en materia de protección de datos. Cuando sea necesario, deben aplicarse medidas complementarias adecuadas.
Esta guía explica cómo evaluar las transferencias internacionales, cuándo procede realizar una evaluación de impacto de la transferencia (TIA), cómo funciona la metodología del EDPB y cómo documentar el resultado.
Importante: Esta guía ofrece información general sobre cumplimiento y no constituye asesoramiento jurídico. Los requisitos de las transferencias dependen de los datos concretos, las partes, el país de destino, el mecanismo de transferencia y las actividades de tratamiento.
§¿Qué cambió con Schrems II?
La sentencia Schrems II, de 16 de julio de 2020, invalidó el Escudo de la Privacidad UE-EE. UU. y, al mismo tiempo, confirmó que las cláusulas contractuales tipo siguen siendo, en principio, un mecanismo de transferencia válido.
Sin embargo, las organizaciones que se basan en las SCCs no pueden considerar que las cláusulas bastan por sí solas. Deben valorar si el ordenamiento jurídico y las prácticas del país de destino permiten que las protecciones contenidas en las SCCs funcionen de manera efectiva.
Cuando sea necesario, pueden requerirse garantías adicionales.
Posteriormente, el EDPB elaboró una metodología en seis pasos para evaluar las transferencias internacionales e identificar medidas complementarias.
El principio práctico
- Identificar la transferencia
- Identificar el mecanismo jurídico
- Evaluar el país de destino
- Determinar las medidas complementarias
- Documentar la decisión
- Vigilar los cambios
§¿Qué es una evaluación de impacto de la transferencia?
Una evaluación de impacto de la transferencia (TIA) es una evaluación documentada de una transferencia internacional de datos, destinada a determinar si el mecanismo de transferencia ofrece un nivel de protección adecuado en las circunstancias del caso.
Una TIA puede examinar:
- Qué datos personales se transfieren
- Quién recibe los datos
- Adónde se transfieren los datos
- La finalidad y la naturaleza del tratamiento
- El mecanismo de transferencia en el que se basa
- La legislación y las prácticas del país de destino
- El posible acceso por parte del gobierno o de las autoridades públicas
- Los derechos y las vías de recurso de que disponen los interesados
- Las garantías técnicas, contractuales y organizativas
- Si son necesarias medidas complementarias
- Si la transferencia puede realizarse y en qué condiciones
Una TIA debe basarse en el escenario concreto de la transferencia, y no apoyarse únicamente en una evaluación genérica del país.
§¿Cuándo debe una organización evaluar una transferencia internacional?
Empiece por determinar si se transfieren datos personales a un país situado fuera del EEE o si se hacen accesibles desde él.
Entre los escenarios relevantes pueden figurar:
- El uso de un proveedor de servicios en la nube de fuera del EEE
- El alojamiento de datos personales fuera del EEE
- El acceso remoto por parte de personal situado fuera del EEE
- La comunicación de datos a un encargado o subencargado del tratamiento en el extranjero
- El uso de equipos internacionales de atención al cliente
- El envío de datos a un proveedor de analítica o publicidad en el extranjero
- El acceso internacional a datos dentro del grupo
- Las transferencias ulteriores realizadas por encargados del tratamiento
El análisis de la transferencia debe basarse en el entorno de tratamiento real, incluidas las regiones de la nube, los mecanismos de acceso remoto, las copias de seguridad y los subencargados del tratamiento.
§Paso 1 — Mapear y comprender la transferencia
No es posible evaluar adecuadamente una transferencia que no se ha identificado.
Elabore un inventario que abarque:
Datos
- Categorías de datos personales
- Categorías especiales de datos
- Información sensible o confidencial
- Volumen y frecuencia
- Número y ubicación de los interesados
Partes
- Responsable del tratamiento
- Encargado del tratamiento
- Subencargados del tratamiento
- Entidades afiliadas
- Proveedores de servicios
- Otros destinatarios
Ubicaciones
- Origen de los datos
- País de destino
- Ubicación del alojamiento
- Ubicaciones de las copias de seguridad
- Ubicaciones de acceso remoto
- Destinos de las transferencias ulteriores
Tratamiento
- Finalidad
- Naturaleza del tratamiento
- Plazo de conservación
- Requisitos de acceso
- Mecanismos de cifrado
- Autenticación y controles de acceso
Sus registros del artículo 30, el registro de proveedores, los diagramas de flujos de datos y la arquitectura en la nube pueden ser puntos de partida útiles, pero deben contrastarse con el entorno técnico real.
§Paso 2 — Identificar el mecanismo de transferencia
El capítulo V del GDPR prevé varios mecanismos para las transferencias internacionales.
Decisiones de adecuación
Conforme al artículo 45, la Comisión Europea puede reconocer que un país o un marco determinado garantiza un nivel de protección adecuado.
Cuando una transferencia está debidamente cubierta por una decisión de adecuación, las organizaciones no necesitan recurrir a las SCCs para esa transferencia.
No obstante, las organizaciones deben documentar:
- El destino
- La decisión de adecuación aplicable
- El destinatario cubierto por la decisión
- El alcance de la decisión
- Cualquier limitación pertinente
Cláusulas contractuales tipo
Las SCCs del artículo 46 son uno de los mecanismos más utilizados para las transferencias internacionales.
El módulo adecuado depende de la relación entre las partes:
- Módulo 1 — De responsable a responsable
- Módulo 2 — De responsable a encargado
- Módulo 3 — De encargado a encargado
- Módulo 4 — De encargado a responsable
Cuando se utilicen las SCCs, las partes deben evaluar si la legislación y las prácticas del país de destino podrían impedir que las protecciones de las SCCs sean efectivas.
Normas corporativas vinculantes
Las normas corporativas vinculantes aprobadas pueden servir de base para las transferencias dentro de grupos multinacionales.
No eximen a las organizaciones de la necesidad de comprender las circunstancias de la transferencia concreta y el entorno jurídico aplicable.
Excepciones del artículo 49
El artículo 49 contiene excepciones limitadas para situaciones específicas, entre ellas determinados casos relacionados con:
- El consentimiento explícito
- La necesidad contractual
- Razones importantes de interés público
- Los intereses vitales
- Otras circunstancias especificadas en el GDPR
Por regla general, las excepciones no deben tratarse como un sustituto habitual de un mecanismo de transferencia adecuado a largo plazo.
§Paso 3 — Evaluar el país de destino
Este es el núcleo de la evaluación de la transferencia.
La organización debe valorar si la legislación y las prácticas del país de destino podrían interferir en las protecciones exigidas por el mecanismo de transferencia elegido.
Entre los factores relevantes pueden figurar:
Facultades gubernamentales y de vigilancia
Evalúe:
- Las facultades de acceso del gobierno
- La legislación en materia de seguridad nacional
- El acceso por parte de las fuerzas y cuerpos de seguridad
- El alcance de las facultades de vigilancia
- Las condiciones de acceso
- La supervisión independiente
- La autorización judicial
- Las garantías de necesidad y proporcionalidad
Derechos de los interesados
Valore si las personas disponen de derechos efectivos y exigibles, entre ellos:
- Acceso
- Rectificación
- Oposición
- Tutela judicial
- Supervisión independiente
- Mecanismos de recurso efectivos
Estado de derecho
La evaluación también puede tener en cuenta:
- La independencia judicial
- La transparencia
- La supervisión regulatoria
- La disponibilidad de vías de recurso efectivas
- Las prácticas de aplicación de la ley
El marco de las Garantías Esenciales Europeas del EDPB constituye un punto de referencia útil para analizar las medidas de vigilancia.
§Paso 4 — Identificar medidas complementarias
Cuando la evaluación del país de destino detecte riesgos que el mecanismo de transferencia no aborda suficientemente, pueden ser necesarias medidas complementarias.
El EDPB se refiere, a grandes rasgos, a medidas técnicas, contractuales y organizativas.
Medidas técnicas
En función de la transferencia, pueden incluir:
- Cifrado robusto
- Cifrado con controles adecuados de gestión de claves
- Seudonimización
- Controles de acceso
- Segmentación
- Tratamiento fragmentado
- Computación confidencial
- Entornos de tratamiento seguros
- Minimización de datos
La eficacia de una medida depende de la amenaza concreta y del escenario de la transferencia.
Por ejemplo, el cifrado puede ofrecer una protección sólida cuando el destinatario no puede acceder a las claves de descifrado.
Medidas contractuales
Entre las posibles medidas figuran:
- Compromisos de notificación de los accesos gubernamentales cuando la ley lo permita
- Obligaciones de transparencia
- Obligaciones de impugnar las solicitudes ilícitas o desproporcionadas
- Derechos de auditoría
- Requisitos de seguridad
- Asistencia a los interesados
- Controles sobre los subencargados del tratamiento
- Requisitos de gestión de incidentes
Las disposiciones contractuales no pueden, por sí solas, prevalecer sobre la legislación imperativa del país de destino. Por ello, su eficacia debe evaluarse en su contexto.
Medidas organizativas
Pueden incluir:
- Procedimientos de respuesta a los accesos gubernamentales
- Restricciones internas de acceso
- Formación de los empleados
- Políticas de minimización de datos
- Informes de transparencia
- Procedimientos de autorización estrictos
- Políticas que regulen las solicitudes de divulgación
- Evaluaciones periódicas de las transferencias
§Paso 5 — Documentar la TIA
Una TIA defendible debe constar por escrito, basarse en pruebas y ser específica de la transferencia.
Un registro práctico de TIA puede contener:
Perfil de la transferencia
- Exportador
- Importador
- Categorías de datos
- Interesados
- Fines del tratamiento
- Destino
- Frecuencia
- Volumen
- Conservación
Mecanismo de transferencia
- Decisión de adecuación
- Módulo de las SCCs
- BCR
- Excepción del artículo 49
- Otro mecanismo aplicable
Evaluación jurídica
- Legislación pertinente del país de destino
- Facultades de acceso del gobierno
- Marco de vigilancia
- Derechos de los interesados
- Vías de recurso
- Entorno regulatorio
Evaluación de riesgos
- Riesgos identificados
- Probabilidad
- Impacto potencial
- Garantías existentes
- Riesgo residual
Medidas complementarias
- Técnicas
- Contractuales
- Organizativas
Conclusión final
La organización debe documentar si:
- A. La transferencia puede realizarse tal como se ha evaluado;
- B. La transferencia puede realizarse con sujeción a determinadas medidas complementarias; o
- C. La transferencia no debe realizarse salvo que se modifique el acuerdo de transferencia.
§Paso 6 — Reevaluar cuando cambien las circunstancias
Una TIA no debe tratarse como un documento que se completa una vez y se olvida.
La reevaluación puede ser oportuna cuando se produzca un cambio sustancial en:
- La legislación del país de destino
- Las prácticas de acceso gubernamental
- Las directrices regulatorias
- Las resoluciones judiciales
- El importador
- El subencargado del tratamiento
- La finalidad del tratamiento
- Las categorías de datos
- La arquitectura de seguridad
- El mecanismo de transferencia
- Las garantías técnicas
Una organización también puede establecer un ciclo de revisión periódica como parte de su programa de gobernanza de la privacidad.
La metodología del EDPB pide expresamente reevaluar a intervalos adecuados y cuando cambien las circunstancias.
§Transferencias de datos UE-EE. UU. y el Marco de Privacidad de Datos
El Marco de Privacidad de Datos UE-EE. UU. introdujo un marco de adecuación para las transferencias a las organizaciones estadounidenses admisibles que participan en él.
Esto es importante porque una transferencia a una organización estadounidense cubierta y certificada puede basarse en la decisión de adecuación correspondiente, en lugar de requerir automáticamente las SCCs.
No obstante, las organizaciones deben verificar:
- Si el destinatario estadounidense está certificado en la actualidad
- Si la certificación cubre el servicio y los datos de que se trata
- Si la transferencia entra en el ámbito de la decisión de adecuación
- Si las transferencias ulteriores están debidamente cubiertas
- Si otros destinatarios o subencargados del tratamiento están sujetos a mecanismos de transferencia distintos
Por tanto, el DPF debe evaluarse en el nivel de la transferencia real, en lugar de tratar simplemente a «Estados Unidos» como una única categoría de transferencia.
§¿Todas las transferencias internacionales necesitan una TIA?
No, al menos no en el sentido de que toda transferencia internacional deba contar con un documento independiente denominado «TIA».
El análisis jurídico depende del mecanismo de transferencia y de las circunstancias.
Por ejemplo:
- Una decisión de adecuación aplicable puede constituir el mecanismo de transferencia conforme al artículo 45.
- Las transferencias basadas en las SCCs requieren una evaluación adecuada de la legislación y las prácticas del país de destino.
- Las transferencias basadas en BCR requieren tener en cuenta las circunstancias aplicables.
- Las excepciones del artículo 49 tienen sus propios requisitos y limitaciones específicos.
Incluso cuando la ley no exija una TIA independiente, documentar la base de la transferencia y su evaluación puede resultar valioso a efectos de responsabilidad proactiva y gobernanza.
§TIA frente a acuerdo de transferencia de datos
Estos documentos cumplen finalidades distintas.
| TIA | Acuerdo de transferencia de datos / SCCs |
|---|---|
| Evalúa el riesgo de la transferencia y el entorno jurídico | Establece obligaciones contractuales |
| Examina la legislación y las prácticas del país de destino | Fija los requisitos entre las partes |
| Identifica las medidas complementarias | Asigna las responsabilidades |
| Respalda la decisión sobre la transferencia | Aporta el mecanismo contractual de transferencia, en su caso |
| Documenta el razonamiento | Crea compromisos contractuales exigibles |
Una TIA no sustituye a las SCCs cuando estas son el mecanismo de transferencia elegido.
Del mismo modo, firmar las SCCs no elimina la necesidad de evaluar si la transferencia puede funcionar de manera efectiva en el país de destino.
§Errores habituales en las TIA
Error 1: Considerar que las SCCs bastan por sí solas
Las SCCs son importantes, pero la evaluación de la transferencia debe tener en cuenta el entorno jurídico del país de destino.
Error 2: Utilizar una evaluación genérica del país
Una transferencia de datos cifrados y seudonimizados puede presentar riesgos muy distintos de los de una transferencia de información sanitaria identificable.
Error 3: Ignorar el acceso remoto
El acceso remoto desde otro país puede ser relevante para el análisis de la transferencia.
Error 4: Ignorar a los subencargados del tratamiento
El proveedor principal puede no ser la única organización que recibe los datos o accede a ellos.
Error 5: Considerar que el cifrado basta automáticamente
La eficacia del cifrado depende de la gestión de claves, los derechos de acceso, la arquitectura técnica y la amenaza concreta.
Error 6: Basarse únicamente en la ausencia de solicitudes gubernamentales anteriores
La experiencia histórica puede ser una prueba relevante, pero no debe sustituir a la evaluación del marco jurídico aplicable.
Error 7: No actualizar la evaluación
Un cambio sustancial de carácter jurídico, regulatorio, contractual o técnico puede afectar a la conclusión inicial.
§Lista de comprobación de la documentación de la TIA
Antes de cerrar una TIA, verifique que ha documentado:
- El escenario de la transferencia
- Las categorías de datos
- Los interesados
- El exportador y el importador
- El país de destino
- Los subencargados del tratamiento
- Las ubicaciones de alojamiento y de acceso remoto
- El mecanismo de transferencia
- La evaluación jurídica del país de destino
- El análisis del acceso gubernamental
- Los derechos y las vías de recurso de los interesados
- Las garantías técnicas existentes
- Las garantías contractuales
- Las garantías organizativas
- Las medidas complementarias
- El riesgo residual
- La decisión final sobre la transferencia
- Las partes responsables y su aprobación
- Los supuestos que activan una revisión
- La fecha de la próxima revisión
§Preguntas frecuentes
¿Es obligatoria la TIA conforme al GDPR?
El GDPR no prescribe un documento independiente y universal denominado «TIA» para cada transferencia internacional. Sin embargo, las organizaciones que se basan en mecanismos de transferencia como las SCCs deben evaluar las circunstancias de la transferencia y si la legislación y las prácticas del país de destino afectan al nivel de protección exigido.
¿Siguen siendo válidas las SCCs tras Schrems II?
Sí. Schrems II no invalidó las SCCs con carácter general. Confirmó que las organizaciones deben evaluar si estas pueden ofrecer una protección efectiva en las circunstancias concretas de la transferencia.
¿Puede el cifrado resolver un problema de transferencia internacional?
Potencialmente, pero no de forma automática. La eficacia del cifrado depende de la implementación, la gestión de claves, los mecanismos de acceso, los datos de que se trate y el modelo de amenazas pertinente.
¿Necesitamos una TIA distinta para cada encargado del tratamiento?
No necesariamente. Las organizaciones pueden agrupar escenarios de transferencia suficientemente similares cuando las circunstancias fácticas y jurídicas sean sustancialmente semejantes. Aun así, la evaluación debe seguir siendo lo bastante específica como para respaldar la decisión real sobre la transferencia.
¿El ámbito territorial del artículo 3 del GDPR elimina los requisitos del capítulo V?
No. Las Directrices 05/2021 del EDPB abordan la interacción entre el artículo 3 y el capítulo V y explican que determinadas actividades de tratamiento sujetas al artículo 3, apartado 2, pueden implicar igualmente transferencias internacionales sujetas a los requisitos del capítulo V.
¿Qué ocurre si las medidas complementarias no pueden abordar el riesgo?
Si no puede alcanzarse el nivel de protección exigido, la organización puede tener que modificar, suspender o evitar la transferencia, en función del mecanismo de transferencia aplicable y de las circunstancias.
Construya un programa de transferencias internacionales defendible
Un programa de transferencias sólido debe combinar:
- Mapeo de transferencias
- Mecanismo jurídico
- Evaluación del país
- Medidas complementarias
- Documentación
- Seguimiento continuo
RegulatoryBridge puede ayudar a las organizaciones con las evaluaciones de transferencias internacionales, la documentación de las TIA, la implementación de las SCCs, el análisis de medidas complementarias y la gobernanza transfronteriza de la privacidad.
¿Necesita ayuda para evaluar una transferencia internacional? Póngase en contacto con RegulatoryBridge para hablar de su escenario de transferencia.