La Transferencia internacional de datos (TID) a día de hoy es un elemento clave que soportamos a diario con nuestros datos, en una globalización como la que vivimos, ¿quién no le da sus datos a Facebook? ¿Y a google? ¿Y al periódico digital? Un sin fin de ejemplos que podríamos delimitar.
Pero, ¿qué es un TID? Nuestra normativa no la define, ni RGPD ni LOPDGDD dicen nada al respecto, pero podemos definirla como la transferencia de datos fuera del Espacio Económico Europeo, sea una cesión o una transferencia de datos, que tenga por objeto un tratamiento por cuenta del responsable del fichero establecido en territorio español.
Es decir, para saber si existe una transferencia internacional de datos se deben dar dos características:
Un ejemplo de TID son las llamadas de las compañías telefónicas para vender sus productos, que generalmente se realizan fuera del Espacio Económico Europeo pero cuyos datos (nuestros números de teléfono) se encuentran dentro de España.
En nuestro ordenamiento jurídico se encuentra regulada en los artículos 44 y ss. del RGPD y en los artículos 40 y ss. de la LOPDGDD. Esta normativa permite la realización de TIDs con toda la protección legal en tres supuestos diferentes:
En estos tres casos, aún existiendo una transferencia fuera del Espacio Económico Europeo o una cesión o tratamiento por cuenta de terceros, la Comisión Europea considera que la transferencia internacional es similar a haberla realizado dentro del EEE, es decir, es segura.
Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica.
En este caso, la Comisión ha establecido una serie de países que tienen un nivel similar de protección de datos al europeo y por ende gozan de gran seguridad y la transferencia de datos con los mismos se considera segura. Ello es debido a que cuentan con los siguientes factores:
Entre los que podemos destacar que respeten los principios de licitud, legitimidad, limitación de la finalidad, de proporcionalidad de calidad, así como el principio de transparencia de los datos.
En este sentido, la Comisión también valora que el país goce de diferentes medidas de seguridad y control de los datos, que se pueden englobar en dos categorías:
¿Qué países tienen actualmente reconocido un nivel adecuado?
Este nivel adecuado está establecido por una serie de Decisiones de la Comisión Europea, la cuales se pueden consultar en el siguiente enlace de la AEPD.
1.2. Privacy Shield
Dentro de estas decisiones, encontramos una relativa a los Estados Unidos, es el denominado "Privacy Shield", que no es más que un acuerdo por el cual se garantiza que en las transferencias de datos entre Europa y Estados Unidos se cumple la normativa de protección de datos europea. Es decir, es específicamente para aquellas entidades que se encuentren establecidas en Estados Unidos.
A este acuerdo se pueden unir las entidades que respeten una serie de criterios y principios en relación a la protección de datos. Uno de los ejemplos es la empresa Mailchimp, para el envío automatizado de correos electrónicos que se encuentra dentro del mismo.
Se puede visitar su página web para conocer que entidades se encuentran adheridas a dicho escudo de privacidad.
A falta de lo anterior, el Reglamento considera que la transferencia fuera del EEE cuenta con las garantías adecuadas y puede llevarla acabo sin necesidad de autorización expresa siempre y cuando cuente con:
En ausencia de las anteriores, y de manera residual, una transferencia de datos personales a un tercer país u organización internacional únicamente se realizará si se cumple alguna de las siguientes condiciones:
En definitiva, se considera que existe una transferencia internacional de datos cuando se transfieran los datos fuera del Espacio Económico Europeo, aunque la Comisión ha elaborado una serie de excepciones con las cuales se consideran asimiladas a transferir dichos datos dentro del EEE, la cuales deberán ser tratadas según cada caso.