Transferencias de datos

Concepto clave 5 — Transferencias de datos

Los datos que salen de su organización necesitan una razón, y los que salen del país necesitan protección.

Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.

Tres tipos de transferencias

A un encargado que trabaja por su cuenta, p. ej. proveedor de planillas, nube o soporte de TI: se requiere un contrato por escrito con instrucciones, confidencialidad y seguridad.
A otro responsable que usa los datos para sus propios fines, p. ej. aseguradora, banco, empresa del grupo o autoridad: necesita su propia base legal y los titulares deben ser informados.
Fuera del país: el país de destino debe ofrecer una protección adecuada, o deben existir garantías como cláusulas contractuales o normas del grupo, salvo que se aplique una excepción.

Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.

Transferencias en su jurisdicción

Suiza

La comunicación al extranjero está permitida a los países que el Consejo Federal considera adecuados (incluidos la UE/EEE, el Reino Unido y las empresas de EE. UU. certificadas en el Swiss-US Data Privacy Framework). En otro caso se necesitan garantías, p. ej. cláusulas contractuales tipo reconocidas por el FDPIC (las cláusulas tipo de la UE con adaptaciones suizas) o normas corporativas vinculantes, o una excepción como el consentimiento. Los encargados necesitan un contrato y los subencargados requieren la autorización previa del responsable.