Domina el Capítulo V del RGPD: el principio general que somete toda transferencia a un tercer país a las condiciones del Reglamento (art. 44), las decisiones de adecuación de la Comisión (art. 45), las garantías adecuadas como las cláusulas tipo y las normas corporativas vinculantes (arts. 46-47), el límite a las resoluciones de autoridades de terceros países (art. 48) y las excepciones para situaciones específicas (art. 49). Materia frecuente de los temas comunes. Basado en los arts. 44 a 49 del RGPD (Reglamento UE 2016/679).
El art. 44 del RGPD establece, como principio general de las transferencias, que cualquier transferencia de datos a un tercer país u organización internacional:
📖 Art. 44 RGPD
Explicación: El art. 44 del RGPD (principio general) dispone que solo se realizarán transferencias de datos que estén siendo tratados o vayan a tratarse tras su transferencia a un tercer país u organización internacional si, sin perjuicio de las demás disposiciones del Reglamento, el responsable y el encargado cumplen las condiciones del Capítulo V, con el fin de asegurar que no se menoscabe el nivel de protección garantizado.
Conforme al art. 45 del RGPD, una transferencia podrá realizarse sin necesidad de autorización específica cuando la Comisión haya decidido que el tercer país garantiza:
📖 Art. 45.1 RGPD
Explicación: El art. 45.1 del RGPD permite que se realice una transferencia cuando la Comisión haya decidido, mediante una decisión de adecuación, que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional, garantizan un nivel de protección adecuado; en tal caso la transferencia no requerirá ninguna autorización específica.
A falta de decisión de adecuación, el art. 46 del RGPD permite la transferencia si el responsable o encargado ofrece:
📖 Art. 46.1 RGPD
Explicación: El art. 46.1 del RGPD dispone que, a falta de decisión de adecuación, el responsable o el encargado solo podrán transmitir datos a un tercer país si hubieran ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.
Entre las garantías adecuadas que NO requieren autorización de la autoridad de control, el art. 46.2 del RGPD menciona:
📖 Art. 46.2 RGPD
Explicación: El art. 46.2 del RGPD enumera, entre las garantías adecuadas que no requieren autorización expresa de la autoridad de control: un instrumento jurídicamente vinculante entre autoridades públicas, las normas corporativas vinculantes (art. 47), las cláusulas tipo de protección de datos adoptadas por la Comisión o por una autoridad de control, un código de conducta aprobado o un mecanismo de certificación.
Las normas corporativas vinculantes del art. 47 del RGPD deben ser aprobadas por:
📖 Art. 47.1 RGPD
Explicación: El art. 47.1 del RGPD establece que la autoridad de control competente aprobará normas corporativas vinculantes (BCR), de conformidad con el mecanismo de coherencia del art. 63, siempre que sean jurídicamente vinculantes, se apliquen a todos los miembros del grupo y confieran derechos exigibles a los interesados.
Según el art. 48 del RGPD, las sentencias o decisiones de una autoridad administrativa de un tercer país que exijan transferir datos:
📖 Art. 48 RGPD
Explicación: El art. 48 del RGPD dispone que cualquier sentencia de un órgano jurisdiccional o decisión de una autoridad administrativa de un tercer país que exija a un responsable o encargado transferir o comunicar datos personales únicamente será reconocible o ejecutable si se basa en un acuerdo internacional vigente entre el tercer país requirente y la Unión o un Estado miembro, sin perjuicio de otros motivos del Capítulo V.
El art. 49.1.a) del RGPD admite, como excepción para situaciones específicas, la transferencia cuando el interesado:
📖 Art. 49.1.a) RGPD
Explicación: El art. 49.1.a) del RGPD permite la transferencia si el interesado ha dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él debido a la ausencia de una decisión de adecuación y de garantías adecuadas.
El art. 49.1.b) del RGPD permite la transferencia cuando sea necesaria para:
📖 Art. 49.1.b) RGPD
Explicación: El art. 49.1.b) del RGPD admite la transferencia cuando sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado.
Entre las excepciones del art. 49.1 del RGPD figura también la transferencia necesaria por:
📖 Art. 49.1.d) RGPD
Explicación: El art. 49.1.d) del RGPD admite la transferencia cuando sea necesaria por razones importantes de interés público (reconocido por el Derecho de la Unión o del Estado miembro). Otras excepciones del art. 49.1 incluyen la formulación o defensa de reclamaciones y la protección de intereses vitales del interesado.
El nivel de protección adecuado de un tercer país, según el art. 45.2 del RGPD, se valora teniendo en cuenta, entre otros elementos:
📖 Art. 45.2 RGPD
Explicación: El art. 45.2 del RGPD indica que, para evaluar la adecuación del nivel de protección, la Comisión tendrá en cuenta el Estado de Derecho, el respeto de los derechos humanos y libertades fundamentales, la legislación pertinente, la existencia de autoridades de control independientes y eficaces, y los compromisos internacionales asumidos por el tercer país.
Conforme al art. 46.3 del RGPD, ciertas garantías adecuadas, como las cláusulas contractuales específicas «ad hoc» entre el responsable y el destinatario, sí requieren:
📖 Art. 46.3 RGPD
Explicación: El art. 46.3 del RGPD precisa que las cláusulas contractuales específicas entre el responsable o encargado y el responsable, encargado o destinatario en el tercer país, así como las disposiciones que se incorporen a acuerdos administrativos entre autoridades públicas, requieren la autorización de la autoridad de control competente.
Una decisión de adecuación de la Comisión, según el art. 45.3 y 45.4 del RGPD, está sujeta a:
📖 Art. 45.4 RGPD
Explicación: El art. 45.3 del RGPD prevé que el acto de ejecución establezca un mecanismo de revisión periódica, al menos cada cuatro años, y el art. 45.4 obliga a la Comisión a supervisar de manera continuada la evolución en los terceros países que pueda afectar a la decisión de adecuación, pudiendo derogarla, modificarla o suspenderla.