Transferencias internacionales: mecanismos

El capítulo V (artículos 44 a 49) parte de una regla: los datos solo salen del Espacio Económico Europeo si se cumplen sus condiciones. Los mecanismos se escalonan. Primero, la decisión de adecuación de la Comisión Europea (artículo 45), que declara que el país ofrece un nivel de protección equivalente. Si no hay, las garantías adecuadas (artículo 46): cláusulas contractuales tipo, normas corporativas vinculantes y otras. Y solo si no hay ninguna de las anteriores, las excepciones para situaciones específicas (artículo 49).

La lista de países con decisión de adecuación cambia con el tiempo y la fija la Comisión; por eso GRC no la memoriza, la consulta vigente cada vez. En esta sala la lista es la de un ejercicio, con países ficticios.

Lo más grave que puede encontrar un auditor es una transferencia real sin ningún mecanismo detrás: no hay decisión de adecuación para ese destino, no hay cláusulas, no hay excepción invocada. Los datos viajan y nada los respalda. El registro de transferencias de Páramo tiene para cada una el mecanismo declarado y el documento que lo respalda, y se cruza con la lista de adecuación del ejercicio.

Las excepciones del artículo 49, como el consentimiento explícito del titular después de informarle de los riesgos, están pensadas para situaciones puntuales. Las directrices del Comité Europeo de Protección de Datos sobre ellas piden interpretarlas de forma restrictiva: no sirven para sostener flujos habituales, repetidos o de gran volumen. Si el envío es continuo, hace falta un mecanismo estructural, no una casilla por compra.

Revisa cuál de las cuatro transferencias descansa en una excepción pese a ser continua.

Las cláusulas contractuales tipo (artículo 46.2.c) son un instrumento potente, pero firmarlas no cierra el trabajo. Según la jurisprudencia del Tribunal de Justicia de la Unión Europea y las recomendaciones del Comité Europeo de Protección de Datos, el exportador debe valorar si la legislación y las prácticas del país de destino permiten cumplir lo prometido, y si no, adoptar medidas adicionales o no transferir. En el registro de Páramo hay una línea para esa evaluación del destino.

El hallazgo de la transferencia sin mecanismo es el más serio del registro y se trata con un plazo. GRC no decide el mecanismo adecuado, pero sí exige que alguien lo decida y que mientras tanto no se envíen datos que no tienen respaldo. Una casilla en la web no arregla un envío que ya ocurre a toda la base de clientes.