Transferencias internacionales según el RGPD: TIA, CCT, Schrems II y medidas complementarias

La transferencia de datos personales fuera del Espacio Económico Europeo en virtud del RGPD no es un proceso de contrato mecánico que se completa únicamente mediante la firma de un documento de Cláusulas Contratuales Estándar (SCC). En particular, después de Schrems II, el exportador de datos y el importador de datos deben evaluar las leyes y prácticas del tercer país en el que la transferencia tendrá lugar en el contexto específico del flujo de datos real.

En la práctica, esta evaluación suele denominarse Transfer Impact Assessment (TIA) o Data Transfer Impact Assessment.

¿Qué es TIA?

Una TIA documenta si el mecanismo elegido para una transferencia internacional de datos personales puede ofrecer protección adecuada en las condiciones reales e identifica medidas complementarias cuando son necesarias.

El RGPD no establece un formulario normalizado específico llamado «TIA». Sin embargo, las CCT actuales de la Comisión Europea incluyen la cláusula 14, que exige a las partes evaluar las leyes y prácticas pertinentes del tercer país.

¿Por qué es importante Schrems II?

La sentencia Schrems II, C-311/18, del Tribunal de Justicia de la Unión Europea estableció que los exportadores no pueden confiar únicamente en el texto del mecanismo de transferencia; también deben considerar la protección efectiva del tercer país.

¿Qué exige la cláusula 14 de las CCT?

Con arreglo a la cláusula 14 del SCC de la Decisión de Ejecución 2021/914 de la Comisión, las partes evaluarán que no existen leyes o prácticas que impidan al importador de datos del tercer país cumplir con las obligaciones del SCC.

La evaluación puede considerar, en particular:

Las condiciones concretas de la transferencia,
longitud de la cadena de procesamiento,
categorías de datos,
naturaleza del destinatario,
finalidad del tratamiento,
localización del almacenamiento,
Derecho y prácticas de terceros países,
Medidas técnicas, contractuales y de organización adicionales

Estos factores deben considerarse en su contexto.

Paso 1: mapear los flujos de datos

La primera pregunta no es "¿A qué país enviamos datos?"

Primero, identifique:

qué datos personales se transfieren,
desde qué sistema,
a qué destinatario,
con qué finalidad,
a través de qué subencargados.

Estos elementos deben conocerse.

Paso 2: identificar el mecanismo de transferencia

Según el capítulo V del RGPD, una transferencia puede basarse en:

una decisión de adecuación,
un mecanismo de garantías adecuadas,
SCC,
normas corporativas vinculantes,

u otro mecanismo jurídico aplicable a la situación concreta.

Paso 3: Evaluar la legislación de terceros países

Si se utiliza el SCC, debe examinarse si las leyes y prácticas en el país donde se encuentra el importador de datos impiden el cumplimiento de las disposiciones contractuales.

Son especialmente importantes las facultades de acceso de las autoridades públicas a los datos personales y las garantías frente a ellas.

Paso 4: Examinar las condiciones concretas de transferencia

El perfil de riesgo de cada transferencia de datos al mismo país no es el mismo.

Por ejemplo:

copia de seguridad encriptada del cliente,
datos de empleados en texto claro,
solicitudes de atención al cliente,
datos de prompts enviados a una API de IA

pueden requerir evaluaciones técnicas y operativas distintas.

Paso 5: Medidas adicionales

Las recomendaciones del EDPB 01/2020 son una referencia importante a la evaluación de medidas complementarias cuando sea necesario.

Medidas técnicas

Encriptación fuerte,
control separado de las llaves,
pseudonimización,
minimización de datos.

Medidas contractuales

la notificación de las solicitudes de la autoridad pública,
obligaciones de transparencia,
control de subencargados.

Medidas de organización

procedimientos de acceso,
respuesta a incidentes,
la auditoría,
Autorización de personal.

¿El cifrado resuelve todos los problemas?

No. La eficacia del cifrado depende de quién posee la clave y de si los datos deben descifrarse durante el tratamiento.

Si el proveedor de nube debe tratar los datos en texto claro, el cifrado del disco por sí solo puede no reducir suficientemente el riesgo.

Transferencias de IA y SaaS

Al utilizar API de IA, CRM, analítica u otras plataformas SaaS, compruebe también:

Países en los que se procesan los datos,
la lista de subencargados,
la conservación de datos,
el uso de datos para entrenar modelos,
los permisos de acceso.

Estas comprobaciones también son necesarias.

Una TIA no es un documento que se elabore una sola vez

La evaluación debe reconsiderarse cuando cambie la estructura de transferencias o las condiciones de terceros países.

Por ejemplo, puede ser necesaria una reevaluación tras:

la incorporación de un nuevo subencargado,
cambio de categoría de datos,
el cambio a un nuevo país,
Cambios significativos en el régimen jurídico

Estos cambios pueden exigir una reevaluación.

Lista de comprobación TIA

¿Se ha mapeado el flujo de datos?
¿Está claro el mecanismo de transferencia?
¿Se ha seleccionado correctamente el módulo SCC?
¿Se ha realizado la evaluación de la cláusula 14?
¿Se ha estudiado la legislación y la práctica de terceros países?
¿Se conoce la cadena del subprocesador?
¿Se ha evaluado la necesidad de medidas adicionales?
¿Se ha confirmado que las medidas técnicas son realmente eficaces?
¿Se ha registrado la evaluación por escrito?
¿Está prevista una reevaluación periódica?

El enfoque B10

B10 Digital Agency evalúa el mecanismo jurídico junto con el flujo técnico real en las transferencias internacionales. Un inventario técnico muestra qué datos envían los sistemas SaaS, nube, API e IA y a qué países.

Marco oficial de referencia

Esta guía se actualizó teniendo en cuenta el capítulo V del RGPD, la cláusula 14 de las CCT de la Decisión de Ejecución (UE) 2021/914 de la Comisión y la versión final de las Recomendaciones EDPB 01/2020.

Conclusión

El propósito de TIA no es poner un formulario en el archivo, sino mostrar si el mecanismo de transferencia utilizado proporciona una protección adecuada en el flujo de datos real. El SCC, el análisis de los países y las medidas técnicas deberían abordarse en la misma evaluación.

Este contenido es para información general únicamente.