Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo

• Section: Serie L
• Issuing Organization: Comisión de las Comunidades Europeas

7.6.2021 ES Diario Oficial de la Unión Europea L 199/31

(1) Los avances tecnológicos están facilitando los flujos transfronterizos de datos necesarios para la expansión de la cooperación y el comercio internacionales. Al mismo tiempo, es necesario garantizar que el nivel de protección de las personas físicas garantizado por el Reglamento (UE) 2016/679 no se vea menoscabado al transferir datos personales a terceros países, especialmente en caso de transferencias ulteriores (2). Las disposiciones sobre transferencias de datos del capítulo V del Reglamento (UE) 2016/679 tienen como finalidad garantizar la continuidad de ese elevado nivel de protección cuando se produzca una transferencia de datos personales a un tercer país (3).

(2) En virtud del artículo 46, apartado 1, del Reglamento (UE) 2016/679, a falta de una decisión de adecuación de la Comisión con arreglo al artículo 45, apartado 3, el responsable o el encargado solo puede transferir datos personales a un tercer país si ha ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones judiciales eficaces. Dichas garantías pueden aportarse por medio de cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad con el artículo 46, apartado 2, letra c).

(3) La función de las cláusulas contractuales tipo se limita a asegurar que haya garantías adecuadas de protección de datos en las transferencias internacionales de datos. Por consiguiente, el responsable o el encargado que transfiera los datos personales a un tercer país («exportador de datos») y el responsable o encargado que reciba los datos personales («importador de datos») tienen discrecionalidad para incluir en un contrato más amplio dichas cláusulas contractuales tipo, así como para añadir otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, las cláusulas contractuales tipo ni perjudiquen los derechos o libertades fundamentales de los interesados. Se alienta a los responsables y encargados del tratamiento a ofrecer garantías adicionales mediante compromisos contractuales que complementen las cláusulas contractuales tipo (4). La utilización de las cláusulas contractuales tipo debe entenderse sin perjuicio de las obligaciones contractuales que tengan el exportador y/o el importador de datos de garantizar el respeto de los privilegios e inmunidades que sean de aplicación.

(4) Además de utilizar cláusulas contractuales tipo para ofrecer garantías adecuadas en las transferencias de conformidad con el artículo 46, apartado 1, del Reglamento (UE) 2016/679, el exportador de datos tiene que cumplir las obligaciones generales que le incumben como responsable o encargado en virtud del Reglamento (UE) 2016/679. Entre estas responsabilidades figuran la obligación del responsable de comunicar a los interesados la intención de transferir sus datos personales a un tercer país de conformidad con el artículo 13, apartado 1, letra f), y el artículo 14, apartado 1, letra f), del Reglamento (UE) 2016/679. En el caso de las transferencias a que se refiere el artículo 46 del Reglamento (UE) 2016/679, se incluye una referencia a las garantías adecuadas, así como a los medios para obtener una copia de las mismas o información cuando se haya proporcionado.

(5) La Decisión 2001/497/CE de la Comisión (5) y la Decisión 2010/87/UE de la Comisión (6) contienen cláusulas contractuales tipo para facilitar la transferencia de datos personales por parte de un responsable establecido en la Unión a otro responsable o encargado establecido en un tercer país que no ofreciese un nivel de protección adecuado. Dichas Decisiones se basaron en la Directiva 95/46/CE del Parlamento Europeo y del Consejo (7).

(6) De conformidad con el artículo 46, apartado 5, del Reglamento (UE) 2016/679, la Decisión 2001/497/CE y la Decisión 2010/87/UE, permanecen en vigor hasta que sean modificadas, sustituidas o derogadas, en caso necesario, por una decisión de la Comisión adoptada de conformidad con el artículo 46, apartado 2, de dicho Reglamento. Las cláusulas contractuales tipo de las Decisiones mencionadas necesitaban una puesta al día que las armonizase con los nuevos requisitos del Reglamento (UE) 2016/679. Por otra parte, desde la adopción de estas Decisiones, se han producido avances de calado en la economía digital: uso generalizado de operaciones de tratamiento nuevas y más complejas en las que a menudo intervienen múltiples importadores y exportadores de datos, cadenas de tratamiento largas y complejas, así como relaciones comerciales cambiantes. Para reflejar mejor estas realidades es preciso una modernización de las cláusulas contractuales tipo, que abarque situaciones adicionales de tratamiento y transferencia y adopte un planteamiento más flexible y, en particular, en lo que se refiere al número de partes que pueden adherirse al contrato.

(7) Las cláusulas contractuales tipo que figuran en el anexo de la presente Decisión pueden utilizarlas tanto el responsable como el encargado a fin de ofrecer garantías adecuadas en el sentido del artículo 46, apartado 1, del Reglamento (UE) 2016/679 en las transferencias de datos personales a un encargado o un responsable establecido en un tercer país, sin perjuicio de la interpretación del concepto de transferencia internacional recogida en el Reglamento (UE) 2016/679. Las cláusulas contractuales tipo pueden utilizarse respecto de tales transferencias solo en la medida en que el tratamiento por parte del importador no entre en el ámbito de aplicación del Reglamento (UE) 2016/679. En este supuesto también se incluye la transferencia de datos personales por parte de un responsable o encargado no establecido en la Unión, en la medida en que el tratamiento esté sujeto al Reglamento (UE) 2016/679 con arreglo a su artículo 3, apartado 2, porque se refiera a la oferta de bienes o servicios a interesados en la Unión o al control de su comportamiento en la medida en que se desarrolle dentro de la Unión.

(8) Dada la armonización general del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725 (8), las cláusulas contractuales tipo también deben poder utilizarse respecto del contrato contemplado en el artículo 29, apartado 4, del Reglamento (UE) 2018/1725 para la transferencia de datos personales a un subencargado en un tercer país por parte de un encargado que no sea una institución u organismo de la Unión, pero que esté vinculado por el Reglamento (UE) 2016/679 y que trate datos personales por cuenta de una institución u organismo de la Unión de conformidad con el artículo 29 del Reglamento (UE) 2018/1725. Cuando el contrato reproduzca las mismas obligaciones en materia de protección de datos que las establecidas en el contrato u otro acto jurídico entre el responsable y el encargado de conformidad con el artículo 29, apartado 3, del Reglamento (UE) 2018/1725 y, en particular, ofrezca garantías suficientes en relación con las medidas técnicas y organizativas para asegurar que el tratamiento cumpla los requisitos de dicho Reglamento, se considerará que garantiza el cumplimiento del artículo 29, apartado 4, del Reglamento (UE) 2018/1725. Este será el caso, en particular, cuando el responsable y el encargado reproduzcan las cláusulas contractuales tipo de la Decisión de Ejecución de la Comisión en las cláusulas contractuales tipo entre responsables y encargados en los supuestos contemplados en el artículo 28, apartado 7, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo y en el artículo 29, apartado 7, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (9).

(9) Si el tratamiento implica transferencias de datos por parte de responsables sujetos al Reglamento (UE) 2016/679 a encargados fuera de su ámbito territorial de aplicación o por parte de encargados sujetos al Reglamento (UE) 2016/679 a subencargados fuera de su ámbito territorial de aplicación, también se considerará que las cláusulas contractuales tipo que figuran en el anexo de la presente Decisión permiten cumplir los requisitos del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679.

(10) Las cláusulas contractuales tipo que figuran en el anexo de la presente Decisión combinan cláusulas generales con un enfoque modular para tener en cuenta los distintos supuestos de transferencia y la complejidad de las cadenas de tratamiento modernas. Además de las cláusulas generales, los responsables y encargados deben seleccionar el módulo aplicable a su situación, para adaptar las obligaciones derivadas de las cláusulas contractuales tipo a su función y sus responsabilidades en relación con el tratamiento de datos en cuestión. Debe ser posible que más de dos partes se adhieran a las cláusulas contractuales tipo. Por otra parte, debe permitirse que otros responsables y encargados se adhieran a las cláusulas contractuales tipo como exportadores o importadores de datos a lo largo del período de vigencia del contrato del que forman parte.

(11) A fin de ofrecer garantías adecuadas, las cláusulas contractuales tipo deben asegurar que los datos personales transferidos con arreglo a ellas gocen de un nivel de protección equivalente en lo esencial al garantizado en la Unión (10). Con el objetivo de garantizar la transparencia del tratamiento, los interesados deben recibir una copia de las cláusulas contractuales tipo y deben ser informados, en particular, de las categorías de datos personales tratados, del derecho a recibir una copia de las cláusulas contractuales tipo y de cualquier transferencia ulterior. Las transferencias ulteriores por parte del importador de datos a un tercero en otro tercer país solo deben permitirse si dicho tercero se adhiere a las cláusulas contractuales tipo, si la continuidad de la protección está garantizada de otro modo o en situaciones específicas, como, por ejemplo, si media el consentimiento explícito y con conocimiento de causa del interesado.

(12) Con determinadas excepciones y, en...