Transferencias de datos

Concepto clave 5 — Transferencias de datos

Los datos que salen de su organización necesitan una razón, y los que salen del país necesitan protección.

Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.

Tres tipos de transferencias

A un encargado que trabaja por su cuenta, p. ej. proveedor de planillas, nube o soporte de TI: se requiere un contrato por escrito con instrucciones, confidencialidad y seguridad.
A otro responsable que usa los datos para sus propios fines, p. ej. aseguradora, banco, empresa del grupo o autoridad: necesita su propia base legal y los titulares deben ser informados.
Fuera del país: el país de destino debe ofrecer una protección adecuada, o deben existir garantías como cláusulas contractuales o normas del grupo, salvo que se aplique una excepción.

Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.

Transferencias en su jurisdicción

Malasia

Desde la reforma de 2024 ya no existe la lista blanca de países: los datos pueden transferirse al extranjero si el destino tiene una ley sustancialmente similar a la PDPA o garantiza un nivel de protección adecuado, o si se aplica una excepción (p. ej. el consentimiento o la ejecución de un contrato). Las directrices del Comisionado sobre transferencias esperan una evaluación del impacto de la transferencia.