Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data

• Jurisdiction: European Union
• Date: 18 June 2021
• Year: 2021
• Type of Document: Guidance

Adoptadas 1

Translations proofread by EDPB Members.

This language version has not yet been proofread.

Recomendaciones 01/2020 sobre medidas que

complementan los instrumentos de transferencia para

garantizar el cumplimiento

del nivel de protección de los datos personales de la UE

Versión 2.0

Adoptado el 18 de junio de 2021

Adoptadas 2

Historial de versiones

Versión 2.0

18 de junio de 2021

Adopción de las Recomendaciones tras la consulta pública

Versión 1.0

10 de noviembre de

2020

Adopción de las Recomendaciones para consulta pública

Adoptadas 3

Resumen ejecutivo

El Reglamento general de protección de datos (RGPD) de la UE se adoptó con un doble propósito:

facilitar la libre circulación de datos personales dentro de la Unión Europea, preservando al mismo

tiempo los derechos y libertades fundamentales de las personas, en particular su derecho a la

protección de los datos personales.

En su reciente sentencia C-311/18 (Schrems II), el Tribunal de Justicia de la Unión Europea (TJUE) nos

recuerda que la protección otorgada a los datos personales en el Espacio Económico Europeo (EEE)

debe acompañar a los datos dondequiera que vayan. La transferencia de datos personales a terceros

países no puede ser un medio para socavar o reducir la protección otorgada en el EEE. El Tribunal

también afirma lo anterior aclarando que el nivel de protección en terceros países no tiene por qué

ser idéntico al garantizado en el EEE, sino esencialmente equivalente. El Tribunal defiende asimismo la

validez de las cláusulas contractuales tipo como instrumento de transferencia que puede servir para

garantizar contractualmente un nivel de protección esencialmente equivalente para los datos

transferidos a terceros países.

Las cláusulas contractuales tipo y otros instrumentos de transferencia mencionados en el artículo 46

del RGPD no operan aisladamente. El Tribunal sostiene que los responsables o encargados del

tratamiento, que actúan como exportadores, son responsables de verificar, de manera individualizada

y, en su caso, en colaboración con el importador del tercer país, si la legislación o la práctica del tercer

país afectan a la eficacia de las garantías apropiadas contenidas en los instrumentos de transferencia

del artículo 46 del RGPD. En tales supuestos, el Tribunal deja abierta la posibilidad de que los

exportadores apliquen medidas complementarias que palíen estas lagunas de protección, a fin de que

esta alcance el nivel exigido por el Derecho de la Unión. El Tribunal no especifica qué medidas podrían

ser. Sin embargo, el Tribunal subraya que los exportadores tendrán que determinarlas caso por caso.

Tal extremo concuerda con el principio de responsabilidad proactiva del artículo 5, apartado 2, del

RGPD, que exige que los responsables del tratamiento sean responsables y capaces de demostrar el

cumplimiento de los principios del RGPD relativos al tratamiento de datos personales.

Para ayudar a los exportadores (ya sean responsables o encargados del tratamiento, entidades

privadas u organismos públicos que traten datos personales en el ámbito de aplicación del RGPD) con

la compleja tarea d e evaluar a terceros países y de establecer medidas complementarias adecuadas

cuando sea necesario, el Comité Europeo de Protección de Datos (CEPD) h a adoptado estas

recomendaciones. Estas recomendaciones proporcionan a los exportadores una serie de pasos,

posibles fuentes de información y algunos ejemplos de medidas complementarias que podrían

aplicarse.

Como primer paso, el CEPD aconseja que usted, como exportador, conozca sus transferencias.

Catalogar todas las transferencias de datos personales a terceros países puede resultar una tarea

difícil. No obstante, es necesario saber dónde van los datos personales para garantizar que se les

otorgue un nivel de protección esencialmente equivalente dondequiera que se traten. También se

debe comprobar que los datos transferidos sean adecuados y pertinentes y se limiten a lo necesario

en relación con los fines para los que se tratan.

Un segundo paso consiste en verificar el instrumento en el que se basa la transferencia de entre los

enumerados en el capítulo V del RGPD. Si la Comisión Europea ya ha declarado adecuado el país, la

región o el sector al que se transfieren los datos a través de una de sus decisiones de adecuación en

virtud del artículo 45 del RGPD o de la anteri or Directiva 95/46, siempre que la decisión siga en vigor,

no tendrá que adoptar ninguna otra medida aparte de supervisar que la decisión de adecuación

conserve su validez. En ausencia de una decisión de adecuación, deberá recurrir a uno de los

instrumentos de transferencia enumerados en el artículo 46 del RGPD. Solo en algunos casos podrá

acogerse a alguna de las excepciones previstas en el artículo 49 del RGPD, si cumple las condiciones.

Las excepciones no pueden convertirse en «la norma» en la práctica, sino que deben limitarse a

situaciones específicas.