Nuevas Cláusulas Tipo para la transferencia internacional de datos personales, sometidas a consulta pública

En línea con las recomendaciones aprobadas por el Comité Europeo de Protección de Datos (“CEPD”) sobre las medidas que complementan los mecanismos de transferencias internacionales y sobre la que os comentamos en esta otra entrada de blog, el pasado jueves 12 de noviembre de 2020, la Comisión Europea publicó el borrador de cláusulas tipo de responsable a encargado  (“Cláusulas Tipo” o “Standard Contractual Clauses” o “SCC” por sus siglas en inglés) adaptadas al Reglamento General de Protección de Datos 2016/679 («RGPD«).

Sobre este borrador, la Comisión Europea ha abierto un período de consulta pública cuya duración se prolongará hasta el 10 de diciembre.

A modo de resumen, los principales cambios que encontramos respecto a las anteriores Cláusulas Tipo, que recordemos fueron aprobadas por decisión de la Comisión números 2001/497/EC y 2010/87/EU en aplicación de la ahora derogada Directiva 95/46/EC, son los siguientes:

• Modifica por completo la estructura de las Cláusulas Tipo y su contenido, recogiendo diversos modulos en función del tipo de relación que se establezca entre el exportador y el importador de los datos. Las combinaciones de transferencias previstas son las siguientes:
  • de responsable a responsable;
  • de responsable a encargado;
  • de encargado a encargado; y
  • de encargado a responsable.

• Cada una de las secciones o módulos quedan estructurados a su vez en torno a varios pilares fundamentales, que coinciden en su mayoría con el cumplimiento de los principios generales previstos en el artículo 5 del RGPD. En particular, se incluyen obligaciones en materia de:
  • finalidad (vid. art. 5.1.b del RGPD);
  • transparencia (vid. art. 5.1.a del RGPD);
  • exactitud y minimización de los datos (vid. art. 5.1.c y d del RGPD);
  • limitación del plazo de conservación (vid. art. 5.1.e del RGPD);
  • seguridad del tratamiento (vid. art. 5.1.f, art. 25, 32 y 34 del RGPD);
  • categorías especiales de los datos;
  • transferencias internacionales posteriores;
  • documentación y cumplimiento (principio de responsabilidad proactiva del art. 5.2 del RGPD).

• Siguiendo las indicaciones del Tribunal de Justicia de la Unión Europea en su sentencia Schrems II y del CEPD en sus recomendaciones posteriores, se añaden dos secciones que cobran especial relevancia relativas a (a) la existencia de cualesquiera leyes o normativa local que pudiera afectar el cumplimiento de las Cláusulas Tipo y los derechos garantizados por estas; y (b) las obligaciones del importador, incluida la de notificación, en caso de que reciba una solicitud de acceso de una administración pública o del gobierno.

Este puede considerarse el cambio o actualización más relevante a la luz de la sentencia Schrems II.

• Las Cláusulas Tipo continúan con dos apartados relativos a los subencargados del tratamiento y a los derechos de los interesados.

• Las últimas cláusulas son más generales, incluyendo aspectos tales como la responsabilidad y la obligación de indemnización, o el incumplimiento y terminación de las transferencias y el contrato en que se inserten las Cláusulas Tipo.

• Si bien los anexos se mantienen parecidos a la versión anterior, el anexo de medidas técnicas y organizativas añade numerosos ejemplos a tener en consideración.

La decisión por la cual la Comisión aprobaría este nuevo borrador también derogará las Decisiones de la Comisión Europea número 2001/497/EC y 2010/87/EU y, con ellas, las anteriores cláusulas tipo vigentes hasta la fecha, si bien les otorga un periodo de validez de un año adicional para que responsables y encargados (exportadores e importadores) puedan actualizar las Cláusulas Tipo, siempre y cuando los contratos a los que se refieran tengan fecha anterior a la entrada en vigor de las nuevas Cláusulas Tipo.

Autores: Adaya Esteban y Jorge Monclús