Transferencias de datos

Concepto clave 5 — Transferencias de datos

Los datos que salen de su organización necesitan una razón, y los que salen del país necesitan protección.

Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.

Tres tipos de transferencias

A un encargado que trabaja por su cuenta, p. ej. proveedor de planillas, nube o soporte de TI: se requiere un contrato por escrito con instrucciones, confidencialidad y seguridad.
A otro responsable que usa los datos para sus propios fines, p. ej. aseguradora, banco, empresa del grupo o autoridad: necesita su propia base legal y los titulares deben ser informados.
Fuera del país: el país de destino debe ofrecer una protección adecuada, o deben existir garantías como cláusulas contractuales o normas del grupo, salvo que se aplique una excepción.

Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.

Transferencias en su jurisdicción

Malta

Dentro de la UE/EEE los datos circulan libremente. Las transferencias a otros países requieren una decisión de adecuación de la Comisión Europea (p. ej. Reino Unido, Suiza, Japón o empresas de EE. UU. certificadas en el EU-US Data Privacy Framework), garantías adecuadas como las cláusulas contractuales tipo o normas corporativas vinculantes (art. 46 RGPD) o, solo para transferencias ocasionales, una excepción como el consentimiento explícito (art. 49 RGPD). Con cláusulas tipo se espera una evaluación del impacto de la transferencia. Los encargados necesitan un contrato según el art. 28 RGPD.