Las cláusulas contractuales tipo que regulan las transferencias internacionales de datos han sufrido cambios. El pasado viernes 4 de junio, la Comisión Europea publicó unas nuevas cláusulas contractuales tipo a través de la Decisión de ejecución (UE) 2021/914 que pasamos a comentar.
¿Qué son las transferencias internacionales de datos?
Una transferencia internacional de datos es un flujo de datos personales desde territorio español (o país miembro de la Unión Europea más Liechtenstein, Islandia y Noruega) a destinatarios fuera del Espacio Económico Europeo. Hay países destinatarios de los datos que disponen de un nivel adecuado por la Comisión Europea. Los que no disponen de esa adecuación, pueden acudir a una de las garantías aceptadas: las cláusulas tipo adoptadas por la Comisión para regular la transferencia internacional de datos.
¿Qué son las cláusulas contractuales tipo?
Las cláusulas contractuales tipo (CCT) son uno de los métodos que ofrece garantía para realizar la transferencia internacional de datos porqué son cláusulas estandarizadas y aprobadas por la Comisión Europea.
¿Qué novedades aportan las nuevas cláusulas tipo de la Comisión?
Estas nuevas cláusulas:
- Adoptan los criterios señalados por el Tribunal de Justicia de la Unión Europea (TJUE) en la sentencia del caso Schrems II.
- Se han adaptado al RGPD basándose en los principios relativos al tratamiento de los datos: limitación del tratamiento, transparencia, exactitud, minimización y responsabilidad proactiva (accountability). También tienen en cuenta la posible existencia de subencargados del tratamiento, así como los períodos de conservación establecidos.
- Regulan distintos tipos de transferencias internacionales de datos, como:
- Las transferencias de datos entre responsables del tratamiento.
- Las transferencias de datos de responsable a encargado del tratamiento.
- Las transferencias de datos entre encargados del tratamiento.
- Las transferencias de datos del encargado al responsable del tratamiento.
- Obligan a que se incorpore como anexo al contrato, las medidas que las partes vayan a usar para garantizar el nivel de seguridad que se requiere para llevar a cabo estas transferencias.
- En el anexo de medidas técnicas y organizativas, se detallan ejemplos que se pueden incorporar al contrato.
¿Desde cuándo debo aplicar estas cláusulas?
La Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Con la aprobación de las nuevas cláusulas contractuales tipo, se derogan, a partir del 27 de septiembre de 2021, las cláusulas contractuales anteriores de las Decisiones de la Comisión Europea 2001/497/CE, 2004/915/CE y 2010/87/UE. Para adaptar los contratos que usen las cláusulas contractuales tipo anteriores, la Comisión ha establecido un período de 15 meses. Es decir, serán válidas hasta el 27 de septiembre de 2022 siempre que las operaciones de tratamiento que sean objeto del contrato permanezcan inalteradas y que las cláusulas contractuales tipo garanticen que la transferencia de datos personales esté sujeta a garantías adecuadas.
Desde PymeLegal, contactaremos con los clientes que tienen el mantenimiento contratado para actualizar estos documentos si les afecta este cambio. Si necesitáis más información al respecto, podéis contactarnos.
El equipo de PymeLegal.
