Para la normativa sobre protección
de datos, se ha de entender como transferencia internacional el Tratamiento de datos que supone una
transmisión de los mismos fuera del territorio del Espacio Económico Europeo,
bien constituya una cesión o comunicación de datos, bien tenga por objeto la
realización de un tratamiento de datos por cuenta del responsable del fichero
establecido en territorio español.
Así lo define el artículo 5.1.s)
RD 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de
desarrollo de la Ley Orgánica 5/1999, de 13 de diciembre, de Protección de
datos de carácter personal.
El uso cada vez más extendido de
la “nube” por parte de las empresas para almacenar datos de carácter personal
relativos a sus negocios (clientes, trabajadores, facturación, etc…) hace que
sea muy frecuente esta transferencia internacional de datos, porque los servidores
donde se almacena la información se encuentran ubicados físicamente en otros
países.
No hay mayor complicación si la
transferencia se produce entre Estados del Espacio Económico Europeo y Unión
Europea. Pero si nos vamos a países como China, Estados Unidos, países
sudamericanos, etc… la cuestión empieza a cambiar.
El artículo 33 LOPD sienta una
norma general, que establece que no se podrán hacer transferencias de datos
personales hacia países que no proporcionen un nivel de protección equiparable
al que ofrece la LOPD, salvo que se obtenga autorización previa del Director de
la Agencia Española de Protección de Datos. Por tanto, la Agencia estudiará
cada supuesto y valorará las garantías que el país ofrece y resolverá otorgar o
no la autorización.
Obviamente esto significa iniciar
un proceso dirigido a la AEPD, tener que esperar la resolución de la misma y
arriesgarse a recibir una negativa, lo que puede suponer un gran problema para
algunas empresas.
En este punto, es importante,
tener en cuenta que esta norma general del artículo 33 LOPD está excepcionada
por un largo listado de supuestos que se recogen en el artículo 34, por lo que
antes de iniciar un proceso de solicitud de autorización procede examinarlos y
analizar si nos encontramos dentro de alguno de ellos.
En mi opinión, especial atención
merecen los apartados e), f) y g) del
referido artículo 34, por ser supuestos muy habituales en la práctica, y que
establecen que el artículo 33 no será aplicable en estos casos:
e) Cuando el afectado haya dado
su consentimiento inequívoco a la transferencia prevista.
f) Cuando la transferencia sea
necesaria para la ejecución de un contrato entre el afectado y el responsable
del fichero o para la adopción de medidas precontractuales adoptadas a petición
del afectado.
g) Cuando la transferencia sea
necesaria para la celebración o ejecución de un contrato celebrado o por
celebrar, en interés del afectado, por el responsable del fichero y un tercero.
Habrá muchas veces en que la
transferencia sea necesaria para cumplir obligaciones contractuales (supuesto
de la letra f), y muchas más en las que sencillamente se pueda recabar un consentimiento
del afectado para la transferencia.
De este modo, no sería necesario
pedir autorización a la AEPD.
No hay comentarios:
Publicar un comentario