Transferencias de datos

Concepto clave 5 — Transferencias de datos

Los datos que salen de su organización necesitan una razón, y los que salen del país necesitan protección.

Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.

Tres tipos de transferencias

A un encargado que trabaja por su cuenta, p. ej. proveedor de planillas, nube o soporte de TI: se requiere un contrato por escrito con instrucciones, confidencialidad y seguridad.
A otro responsable que usa los datos para sus propios fines, p. ej. aseguradora, banco, empresa del grupo o autoridad: necesita su propia base legal y los titulares deben ser informados.
Fuera del país: el país de destino debe ofrecer una protección adecuada, o deben existir garantías como cláusulas contractuales o normas del grupo, salvo que se aplique una excepción.

Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.

Transferencias en su jurisdicción

Singapur

Según la obligación de limitación de transferencias, los datos solo pueden salir de Singapur si el destinatario ofrece un nivel de protección comparable, garantizado mediante obligaciones jurídicamente exigibles (ley, contrato o normas corporativas vinculantes) o certificaciones como APEC CBPR o PRP. Los intermediarios de datos necesitan un contrato y están sujetos ellos mismos a las obligaciones de protección, limitación de la conservación y notificación de violaciones.