Transferencias de datos personales a terceros países u organizaciones internacionales

El mapa del tema

El artículo 45 regula la adecuación; el 46 establece garantías adecuadas; el 47 concreta las normas corporativas vinculantes; el 48 limita el reconocimiento de mandatos extranjeros; y el 49 enumera excepciones específicas cuando no operan adecuación ni garantías. (art. 49)

Artículo 44: condición general

El artículo 44 somete toda transferencia de datos personales a terceros países u organizaciones internacionales al cumplimiento de las condiciones del capítulo. Esta exigencia alcanza tanto datos ya tratados como datos que vayan a ser objeto de tratamiento después de su transferencia. (art. 44)

El artículo 44 incluye expresamente las transferencias ulteriores dentro de las condiciones exigibles al responsable y al encargado. Por tanto, la protección perseguida por el capítulo no se limita al primer destino internacional de los datos personales. (art. 44)

Artículo 45: objeto de la adecuación

El artículo 45 permite que la Comisión declare adecuado el nivel de protección de un tercer país, territorio, sector específico o organización internacional. Cuando existe esa decisión, la transferencia de datos personales puede realizarse sin necesidad de autorización específica. (art. 45)

Las decisiones de adecuación deben establecer un mecanismo de revisión periódica, como mínimo cada cuatro años. La revisión debe considerar todos los acontecimientos relevantes producidos en el tercer país o en la organización internacional afectada por la decisión. (art. 45)

Artículo 46: garantías sin autorización

El artículo 46 enumera garantías adecuadas que pueden aportarse sin autorización expresa de una autoridad de control. Entre ellas se encuentran los instrumentos jurídicamente vinculantes entre autoridades públicas, las normas corporativas vinculantes y determinadas cláusulas tipo. (art. 46)

Con autorización de la autoridad de control competente, pueden aportarse garantías adecuadas mediante cláusulas contractuales entre los sujetos indicados o mediante disposiciones incorporadas a acuerdos administrativos entre autoridades u organismos públicos con derechos efectivos y exigibles. (art. 46)

Artículo 47: aprobación de normas corporativas

La autoridad de control competente aprueba las normas corporativas vinculantes aplicando el mecanismo de coherencia. Para ello deben ser jurídicamente vinculantes, aplicarse y cumplirse por los miembros correspondientes del grupo o unión empresarial. (art. 47)

Las normas corporativas vinculantes deben especificar, como mínimo, la estructura y contactos del grupo, las transferencias comprendidas y su carácter jurídicamente vinculante. El artículo también exige detallar los principios generales de protección de datos aplicables. (art. 47)

Artículo 48: reconocimiento de decisiones extranjeras

Una sentencia o decisión administrativa de un tercer país que exija transferir o comunicar datos personales solo será reconocida o ejecutable si se basa en un acuerdo internacional vigente entre el país requirente y la Unión o un Estado miembro. (art. 48)

La regla sobre reconocimiento o ejecución de decisiones de terceros países no elimina los demás motivos de transferencia previstos en el capítulo. El artículo mantiene expresamente esa reserva al formular su condición sobre la base internacional de la decisión. (art. 48)

Artículo 49: excepciones enumeradas

En ausencia de adecuación o garantías adecuadas, el artículo 49 permite transferencias si concurre alguna excepción concreta. Entre ellas figuran el consentimiento explícito informado, la necesidad contractual, el interés público importante, las reclamaciones y los intereses vitales. (art. 49)

La transferencia residual basada en intereses legítimos imperiosos exige que no sea repetitiva, afecte a un número limitado de interesados y sea necesaria para esos intereses. Además, el responsable debe evaluar las circunstancias y ofrecer garantías apropiadas. (art. 49)

Artículo 50: cooperación internacional

El artículo 50 encomienda a la Comisión y a las autoridades de control adoptar medidas apropiadas en relación con terceros países y organizaciones internacionales. Una finalidad expresa consiste en crear mecanismos que faciliten la aplicación eficaz de la legislación de protección de datos. (art. 50)

La cooperación internacional puede incluir asistencia mutua en la aplicación de la legislación de protección de datos. El artículo menciona, entre otras actuaciones, la notificación, la remisión de reclamaciones, la asistencia en investigaciones y el intercambio de información. (art. 50)

Trampas de examen

• No debe confundirse una decisión de adecuación con una autorización administrativa individual. Cuando la Comisión haya decidido que existe un nivel adecuado de protección para el destino contemplado, la transferencia no requiere ninguna autorización específica. (art. 45)
• No todas las garantías adecuadas requieren autorización de una autoridad de control. El artículo diferencia garantías que pueden aportarse sin autorización expresa de otras que únicamente pueden utilizarse cuando exista autorización de la autoridad competente. (art. 46)
• Las excepciones del artículo 49 no se aplican sin límite a las actividades de las autoridades públicas. El propio artículo excluye determinadas excepciones y la transferencia residual cuando esas autoridades actúan en el ejercicio de sus poderes públicos. (art. 49)
• La excepción relativa a registros públicos no permite transferir automáticamente la totalidad de los datos personales ni categorías enteras contenidas en el registro. La transferencia queda limitada por las condiciones aplicables a cada caso particular. (art. 49)
• Una decisión de una autoridad administrativa de un tercer país no es reconocible o ejecutable por el mero hecho de exigir una comunicación de datos. El artículo condiciona ese reconocimiento o ejecución a una base de acuerdo internacional. (art. 48)

Chuleta final

• Memoriza el artículo 44 como la cláusula de cierre protectora: toda transferencia y toda transferencia ulterior debe respetar el capítulo para que el nivel de protección de las personas físicas no se vea menoscabado. (art. 44)
• Asocia el artículo 45 con la Comisión y la adecuación: evalúa el nivel de protección, decide mediante acto de ejecución y revisa periódicamente la decisión al menos cada cuatro años. (art. 45)
• Asocia el artículo 46 con la fórmula garantías más derechos: sin decisión de adecuación, la transmisión exige garantías adecuadas y que los interesados cuenten con derechos exigibles y acciones legales efectivas. (art. 46)
• Asocia el artículo 47 con grupos empresariales: las normas corporativas vinculantes deben obligar a todos los miembros correspondientes, incluidos sus empleados, y conferir derechos exigibles a los interesados. (art. 47)
• Asocia el artículo 48 con el tratado: una exigencia extranjera de transferencia o comunicación solo obtiene reconocimiento o ejecución conforme a la condición internacional expresamente prevista por el artículo. (art. 48)
• Asocia el artículo 49 con la subsidiariedad: las excepciones para situaciones específicas entran en juego cuando faltan tanto una decisión de adecuación como garantías adecuadas, incluidas las normas corporativas vinculantes. (art. 49)
• Asocia el artículo 50 con cooperación práctica: Comisión y autoridades de control pueden prestarse asistencia internacional en notificaciones, reclamaciones, investigaciones e intercambio de información, siempre con las garantías indicadas. (art. 50)
• Recuerda que la protección de las transferencias no termina al llegar al primer tercer país u organización internacional. El artículo 44 incorpora expresamente las condiciones relativas a posteriores transferencias hacia otros destinos internacionales. (art. 44)

Preguntas frecuentes