Transferencias internacionales de datos

El mapa del tema

El régimen conecta cuatro planos: reglas materiales de transferencia; adopción de garantías y autorizaciones; información previa en el supuesto de intereses legítimos imperiosos; y organización institucional. La Agencia estatal supervisa y coordina, mientras las autoridades autonómicas actúan dentro de sus competencias y participan en los mecanismos europeos correspondientes. (art. 40, art. 61)

Artículo 40: normas aplicables

El artículo 40 establece que las transferencias internacionales de datos se rigen por el Reglamento (UE) 2016/679, la ley orgánica, las normas de desarrollo aprobadas por el Gobierno y las circulares de las autoridades competentes. La regla incorpora tanto la normativa estatal como la europea y las disposiciones circulares aplicables. (art. 40)

El artículo 40 dispone que las normas de protección de datos también se aplican a los tratamientos que constituyen la propia transferencia internacional. Destaca expresamente la aplicación de las disposiciones relativas a los principios de protección de datos, sin limitarse a las reglas formales de la transferencia. (art. 40)

Artículo 41: cláusulas contractuales tipo

El artículo 41 permite a la Agencia Española de Protección de Datos y a las autoridades autonómicas adoptar cláusulas contractuales tipo para transferencias internacionales. La adopción debe realizarse conforme al artículo 46.2.c) del Reglamento (UE) 2016/679 y someterse previamente al dictamen del Comité Europeo de Protección de Datos. (art. 41)

El artículo 41 autoriza a las autoridades estatal y autonómicas de protección de datos a aprobar normas corporativas vinculantes conforme al artículo 47 del Reglamento (UE) 2016/679. El procedimiento se inicia a instancia de una entidad situada en España y tiene una duración máxima de nueve meses, con suspensión por remisión al Comité. (art. 41)

Artículo 42: transferencias sujetas a autorización

El artículo 42 exige autorización previa para transferencias a países u organizaciones internacionales sin decisión de adecuación y que no estén amparadas por las garantías previstas en el artículo 41 ni en el artículo 46.2 del Reglamento. La autorización corresponde a la Agencia estatal o, en su caso, a la autoridad autonómica competente. (art. 42)

La autorización prevista en el artículo 42 puede otorgarse cuando la transferencia se funde en cláusulas contractuales que no sean las cláusulas tipo del artículo 46.2.c) y d) del Reglamento, o cuando determinados responsables o encargados se basen en disposiciones de acuerdos internacionales no normativos con autoridades u organismos públicos de terceros Estados. (art. 42)

Artículo 43: deber de información previa

El artículo 43 obliga a los responsables a informar a la Agencia Española de Protección de Datos o a la autoridad autonómica competente de las transferencias basadas en intereses legítimos imperiosos. También deben informar a los afectados sobre la transferencia y sobre los intereses legítimos imperiosos perseguidos. (art. 43)

La información exigida por el artículo 43 debe facilitarse antes de realizar la transferencia internacional. El propio precepto excluye de su aplicación las actividades desarrolladas por autoridades públicas en el ejercicio de sus poderes públicos, de acuerdo con el artículo 49.3 del Reglamento (UE) 2016/679. (art. 43)

Artículo 44: naturaleza de la Agencia

El artículo 44 configura la Agencia Española de Protección de Datos como autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada. Actúa con plena independencia de los poderes públicos y se relaciona con el Gobierno a través del Ministerio de Justicia. (art. 44)

El artículo 44 atribuye a la Agencia Española de Protección de Datos la condición de representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Además, prevé la colaboración entre la Agencia, el Consejo General del Poder Judicial y, en su caso, la Fiscalía General del Estado en materia de protección de datos en la Administración de Justicia. (art. 44)

Artículo 45: régimen jurídico

El artículo 45 somete a la Agencia Española de Protección de Datos al Reglamento (UE) 2016/679, a la ley orgánica y a sus disposiciones de desarrollo. Supletoriamente, y siempre que sea compatible con su plena independencia, se aplican determinadas normas de la Ley 40/2015, sin perjuicio del artículo 63.2 de la ley orgánica. (art. 45)

El artículo 45 dispone que el Gobierno aprobará el Estatuto de la Agencia Española de Protección de Datos mediante real decreto. La iniciativa corresponde a la propia Agencia, pues la aprobación gubernamental se produce a propuesta de la Agencia Española de Protección de Datos. (art. 45)

Artículo 46: presupuesto

El artículo 46 atribuye a la Agencia Española de Protección de Datos la elaboración y aprobación de su presupuesto. Posteriormente debe remitirlo al Gobierno para su integración independiente en los Presupuestos Generales del Estado, preservando así su autonomía presupuestaria en la fase de elaboración. (art. 46)

El artículo 46 distribuye la autorización de modificaciones presupuestarias según su cuantía. La Presidencia autoriza hasta un tres por ciento de la cifra inicial de gastos, sin incrementar personal; el Ministerio de Hacienda autoriza las restantes hasta el cinco por ciento, y el Gobierno las demás. (art. 46)

Artículo 47: supervisión y potestades

El artículo 47 atribuye a la Agencia Española de Protección de Datos la supervisión de la aplicación de la ley orgánica y del Reglamento (UE) 2016/679. Para ello ejerce las funciones del artículo 57 y las potestades del artículo 58 del Reglamento, además de las previstas en la normativa nacional. (art. 47)

El artículo 47 añade que la Agencia Española de Protección de Datos desempeñará las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea. Por tanto, su ámbito funcional no queda limitado a las atribuciones enumeradas directamente en la ley orgánica y el Reglamento. (art. 47)

Artículo 48: dirección y representación

El artículo 48 establece que la Presidencia dirige la Agencia Española de Protección de Datos, ostenta su representación y dicta sus resoluciones, circulares y directrices. La Presidencia constituye, por tanto, el órgano que concentra la dirección institucional y la producción de esas decisiones. (art. 48)

La Presidencia está auxiliada por un Adjunto, al que puede delegar sus funciones salvo las relacionadas con los procedimientos del título VIII. El Adjunto sustituye a la Presidencia en los términos estatutarios, mientras que las reglas de sustitución distinguen entre competencias del título VIII y el resto de funciones. (art. 48)

Artículo 49: composición del Consejo Consultivo

El artículo 49 configura un Consejo Consultivo asesor de la Presidencia de la Agencia Española de Protección de Datos. Su composición incorpora representantes de las Cortes Generales, del Poder Judicial, de la Administración, de comunidades autónomas, entidades locales, consumidores, empresas, profesionales, universidades, organizaciones y expertos. (art. 49)

El artículo 49 exige que los miembros del Consejo Consultivo sean nombrados por orden del Ministro de Justicia publicada en el Boletín Oficial del Estado. El Consejo se reúne cuando lo disponga la Presidencia y, en todo caso, una vez al semestre; sus decisiones nunca tienen carácter vinculante. (art. 49)

Artículo 50: resoluciones publicables

El artículo 50 impone a la Agencia Española de Protección de Datos la publicación de determinadas resoluciones de su Presidencia. Incluye las relativas a derechos de los artículos 15 a 22 del Reglamento, procedimientos sancionadores, apercibimientos, archivos de actuaciones previas, entidades del artículo 77.1 y medidas cautelares. (art. 50)

Además de las resoluciones expresamente enumeradas, el artículo 50 ordena publicar las demás que disponga el Estatuto de la Agencia Española de Protección de Datos. La publicidad institucional queda así abierta a otras categorías de resoluciones que el Estatuto determine. (art. 50)

Artículo 51: actividad investigadora

El artículo 51 establece que la Agencia Española de Protección de Datos desarrolla su actividad de investigación mediante las actuaciones previstas en el título VIII y a través de planes de auditoría preventivas. El precepto identifica ambos instrumentos como vías de desarrollo de la función investigadora. (art. 51)

La actividad investigadora corresponde a funcionarios de la Agencia Española de Protección de Datos o a funcionarios externos habilitados expresamente por su Presidencia. Quienes la desarrollen tienen la consideración de agentes de la autoridad y están sujetos al deber de secreto incluso después del cese. (art. 51)

Artículo 52: deber general de colaboración

El artículo 52 obliga a las Administraciones Públicas y a los particulares a proporcionar a la Agencia Española de Protección de Datos los datos, informes, antecedentes y justificantes necesarios para investigar. Si la información contiene datos personales, su comunicación queda amparada por el artículo 6.1.c) del Reglamento. (art. 52)

Durante actuaciones previas, la Agencia puede recabar información de Administraciones Públicas cuando no haya logrado identificar al responsable por otros medios. La solicitud debe limitarse a datos imprescindibles y perseguir exclusivamente la identificación de responsables de conductas que pudieran infringir el Reglamento o la ley orgánica. (art. 52)

Artículo 53: investigación mediante sistemas digitales

El artículo 53 permite realizar actuaciones de investigación mediante videoconferencia u otros sistemas digitales que aseguren comunicación bidireccional y simultánea, interacción visual, auditiva y verbal entre la Agencia y el inspeccionado. También deben garantizar la transmisión y recepción seguras de documentos e información. (art. 53)

La utilización de sistemas digitales en la investigación requiere que la Agencia Española de Protección de Datos la determine y que el inspeccionado preste su conformidad tanto respecto del uso del sistema como de la fecha y hora de desarrollo de las actuaciones. (art. 53)

Artículo 54: planes de auditoría preventiva

El artículo 54 permite a la Presidencia de la Agencia acordar planes de auditoría preventiva referidos a tratamientos de un sector concreto. Su finalidad es analizar el cumplimiento del Reglamento y de la ley orgánica mediante investigaciones sobre entidades del sector o sobre responsables objeto de la auditoría. (art. 54)

Como resultado de los planes de auditoría, la Presidencia puede dictar directrices generales o específicas dirigidas a un sector, responsable o encargado. Esas directrices deben asegurar la adaptación al Reglamento y a la ley orgánica y son de obligado cumplimiento para sus destinatarios. (art. 54)

Artículo 55: circulares

El artículo 55 atribuye a la Presidencia de la Agencia Española de Protección de Datos la potestad de dictar disposiciones denominadas circulares. Estas fijan los criterios a los que debe responder la actuación de la autoridad en la aplicación del Reglamento y de la ley orgánica. (art. 55)

La elaboración de circulares se somete al procedimiento del Estatuto de la Agencia, que debe prever informes técnicos y jurídicos y audiencia a los interesados. Las circulares adquieren carácter obligatorio una vez publicadas en el Boletín Oficial del Estado. (art. 55)

Artículo 56: acción exterior estatal

El artículo 56 atribuye a la Agencia Española de Protección de Datos la titularidad y el ejercicio de las funciones relacionadas con la acción exterior del Estado en materia de protección de datos. Las comunidades autónomas actúan como sujetos de acción exterior dentro de sus competencias. (art. 56)

La Agencia Española de Protección de Datos puede participar en reuniones, foros, organizaciones y grupos internacionales relacionados con la protección de datos. También puede colaborar con autoridades y organismos de otros Estados y suscribir acuerdos internacionales administrativos y no normativos en la materia. (art. 56)

Artículo 57: competencia autonómica

El artículo 57 permite a las autoridades autonómicas ejercer las funciones y potestades de los artículos 57 y 58 del Reglamento cuando los tratamientos correspondan al sector público autonómico o local, al ejercicio de funciones públicas autonómicas o locales, o a previsiones expresas de sus Estatutos de Autonomía. (art. 57)

El artículo 57 reconoce a las autoridades autonómicas la potestad de dictar circulares en relación con los tratamientos sometidos a su competencia. Estas circulares tienen el alcance y los efectos establecidos para la Agencia Española de Protección de Datos en el artículo 55 de la ley orgánica. (art. 57)

Artículo 58: reuniones de cooperación

El artículo 58 ordena a la Presidencia de la Agencia convocar a las autoridades autonómicas para contribuir a la aplicación coherente del Reglamento y de la ley orgánica. Las reuniones se celebrarán por iniciativa de la Presidencia o a solicitud de otra autoridad y, en todo caso, semestralmente. (art. 58)

La Presidencia de la Agencia y las autoridades autonómicas pueden solicitarse y deben intercambiarse la información necesaria para cumplir sus funciones, especialmente la relativa al Comité Europeo de Protección de Datos. También pueden constituir grupos de trabajo sobre asuntos específicos de interés común. (art. 58)

Artículo 59: requerimiento a autoridades autonómicas

Cuando la Presidencia considere que un tratamiento competencia de una autoridad autonómica vulnera el Reglamento, puede requerirle que adopte las medidas necesarias para hacerlo cesar. El plazo concedido para atender el requerimiento es de un mes. (art. 59)

Si la autoridad autonómica no atiende el requerimiento en plazo o las medidas no producen el cese del tratamiento ilícito, la Agencia Española de Protección de Datos puede ejercer las acciones procedentes ante la jurisdicción contencioso-administrativa. La intervención judicial se condiciona a ese incumplimiento o insuficiencia. (art. 59)

Artículo 60: comunicaciones con el Comité

El artículo 60 establece que las comunicaciones entre el Comité Europeo de Protección de Datos y las autoridades autonómicas deben realizarse por conducto de la Agencia Española de Protección de Datos cuando aquellas sometan proyectos de decisión al Comité o soliciten el examen de asuntos conforme al artículo 64 del Reglamento. (art. 60)

En los casos del artículo 60, la Agencia Española de Protección de Datos debe ser asistida por un representante de la autoridad autonómica en su intervención ante el Comité Europeo de Protección de Datos. La asistencia se vincula a la participación de la autoridad autonómica como competente. (art. 60)

Artículo 61: autoridad principal o interesada

El artículo 61 atribuye a las autoridades autonómicas la condición de autoridad principal o interesada en el procedimiento del artículo 60 del Reglamento cuando se trate de tratamientos del artículo 57 de la ley orgánica realizados por responsables o encargados del artículo 56 del Reglamento, salvo la excepción territorial prevista. (art. 61)

En los procedimientos transfronterizos del artículo 61, corresponde a las autoridades autonómicas intervenir conforme al artículo 60 del Reglamento. Deben informar a la Agencia Española de Protección de Datos sobre el desarrollo cuando deba aplicarse el mecanismo de coherencia. (art. 61)

Artículo 62: decisiones vinculantes

El artículo 62 dispone que las comunicaciones entre el Comité Europeo de Protección de Datos y las autoridades autonómicas se practiquen por conducto de la Agencia Española de Protección de Datos cuando aquellas, como autoridades principales, soliciten una decisión vinculante conforme al artículo 65 del Reglamento. (art. 62)

Las autoridades autonómicas interesadas no principales deben informar a la Agencia Española de Protección de Datos cuando el asunto sea remitido al Comité Europeo de Protección de Datos. También deben facilitar la documentación e información necesarias, y un representante autonómico asistirá a la Agencia ante el Comité. (art. 62)

No confundir

• La autorización previa del artículo 42 se exige para determinadas transferencias sin decisión de adecuación ni garantías aplicables y requiere intervención de la autoridad de protección de datos. La información previa del artículo 43 opera cuando la transferencia se basa en intereses legítimos imperiosos y obliga a informar a la autoridad y a los afectados. (art. 42, art. 43)

Trampas de examen

• No debe confundirse el deber de información previa del artículo 43 con la autorización previa del artículo 42. El primero se refiere a transferencias basadas en intereses legítimos imperiosos y exige informar también a los afectados; el segundo contempla supuestos sin decisión de adecuación ni garantías aplicables y exige autorización. (art. 42, art. 43)
• El artículo 55 no establece que las circulares sean obligatorias desde su mera aprobación. Su obligatoriedad se produce una vez publicadas en el Boletín Oficial del Estado, por lo que la publicación es el momento expresamente vinculado a sus efectos obligatorios. (art. 55)
• El Consejo Consultivo asesora a la Presidencia, pero sus decisiones no tienen carácter vinculante en ningún caso. Por ello, su intervención no equivale a una potestad decisoria obligatoria sobre la Agencia Española de Protección de Datos ni sobre sus resoluciones. (art. 49)
• Las autoridades autonómicas no ejercen genéricamente todas las funciones de protección de datos. El artículo 57 limita su actuación a tratamientos vinculados al sector público autonómico o local, al ejercicio de funciones públicas en materias competentes o a previsiones expresas de los Estatutos de Autonomía. (art. 57)
• En ausencia, vacante, enfermedad o abstención de la Presidencia, la sustitución no es idéntica para todas las competencias. Las relacionadas con el título VIII siguen una regla específica vinculada al órgano de inspección; el resto corresponde al Adjunto en los términos estatutarios o, subsidiariamente, a órganos directivos. (art. 48)

Chuleta final

• Para memorizar el artículo 41: el procedimiento de aprobación de normas corporativas vinculantes se inicia a instancia de una entidad situada en España y tiene una duración máxima de nueve meses. La remisión al Comité Europeo de Protección de Datos suspende el procedimiento hasta la notificación correspondiente. (art. 41)
• Para memorizar el artículo 42: el procedimiento de autorización previa de determinadas transferencias internacionales tiene una duración máxima de seis meses. Además, queda sometido al dictamen del Comité Europeo de Protección de Datos y se suspende cuando se le remite el expediente. (art. 42)
• En el supuesto del artículo 43, la información no se dirige únicamente a la autoridad de protección de datos competente. El responsable también debe informar a los afectados acerca de la transferencia internacional y de los intereses legítimos imperiosos perseguidos. (art. 43)
• La Agencia Española de Protección de Datos tiene la condición de representante común de las autoridades de protección de datos del Reino de España en el Comité Europeo de Protección de Datos. Esta función aparece expresamente en el artículo 44 y se relaciona con la coordinación institucional. (art. 44)
• La Presidencia y el Adjunto de la Agencia Española de Protección de Datos tienen un mandato de cinco años. El artículo 48 permite su renovación por otro período de igual duración, de modo que la duración inicial y la posible renovación coinciden temporalmente. (art. 48)
• El Consejo Consultivo se reúne cuando lo disponga la Presidencia de la Agencia Española de Protección de Datos y, en todo caso, una vez al semestre. La periodicidad semestral constituye el mínimo temporal expresamente garantizado por el artículo 49. (art. 49)
• Los funcionarios que desarrollen actividades de investigación tienen la consideración de agentes de la autoridad durante el ejercicio de sus funciones. El artículo 51 añade un deber de secreto sobre las informaciones conocidas con ocasión de ese ejercicio, que continúa incluso después del cese. (art. 51)
• La Presidencia de la Agencia Española de Protección de Datos debe convocar reuniones de cooperación con las autoridades autonómicas. El artículo 58 establece que, en todo caso, esas reuniones se celebrarán semestralmente, además de permitir convocatorias por iniciativa propia o a solicitud de otra autoridad. (art. 58)

Preguntas frecuentes