Domina el Capítulo V del RGPD: el principio general que somete toda transferencia a un tercer país a las condiciones del Reglamento (art. 44), las decisiones de adecuación de la Comisión (art. 45), las garantías adecuadas como las cláusulas tipo y las normas corporativas vinculantes (arts. 46-47), el límite a las resoluciones de autoridades de terceros países (art. 48) y las excepciones para situaciones específicas (art. 49). Materia frecuente de los temas comunes. Basado en los arts. 44 a 49 del RGPD (Reglamento UE 2016/679).
El art. 44 del RGPD establece, como principio general de las transferencias, que cualquier transferencia de datos a un tercer país u organización internacional:
📖 Art. 44 RGPD
Explicación: El art. 44 del RGPD (principio general) dispone que solo se realizarán transferencias de datos que estén siendo tratados o vayan a tratarse tras su transferencia a un tercer país u organización internacional si, sin perjuicio de las demás disposiciones del Reglamento, el responsable y el encargado cumplen las condiciones del Capítulo V, con el fin de asegurar que no se menoscabe el nivel de protección garantizado.
Conforme al art. 45 del RGPD, una transferencia podrá realizarse sin necesidad de autorización específica cuando la Comisión haya decidido que el tercer país garantiza:
📖 Art. 45.1 RGPD
Explicación: El art. 45.1 del RGPD permite que se realice una transferencia cuando la Comisión haya decidido, mediante una decisión de adecuación, que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional, garantizan un nivel de protección adecuado; en tal caso la transferencia no requerirá ninguna autorización específica.
A falta de decisión de adecuación, el art. 46 del RGPD permite la transferencia si el responsable o encargado ofrece:
📖 Art. 46.1 RGPD
Explicación: El art. 46.1 del RGPD dispone que, a falta de decisión de adecuación, el responsable o el encargado solo podrán transmitir datos a un tercer país si hubieran ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.
Entre las garantías adecuadas que NO requieren autorización de la autoridad de control, el art. 46.2 del RGPD menciona:
📖 Art. 46.2 RGPD
Explicación: El art. 46.2 del RGPD enumera, entre las garantías adecuadas que no requieren autorización expresa de la autoridad de control: un instrumento jurídicamente vinculante entre autoridades públicas, las normas corporativas vinculantes (art. 47), las cláusulas tipo de protección de datos adoptadas por la Comisión o por una autoridad de control, un código de conducta aprobado o un mecanismo de certificación.
Las normas corporativas vinculantes del art. 47 del RGPD deben ser aprobadas por:
📖 Art. 47.1 RGPD
Explicación: El art. 47.1 del RGPD establece que la autoridad de control competente aprobará normas corporativas vinculantes (BCR), de conformidad con el mecanismo de coherencia del art. 63, siempre que sean jurídicamente vinculantes, se apliquen a todos los miembros del grupo y confieran derechos exigibles a los interesados.
Según el art. 48 del RGPD, las sentencias o decisiones de una autoridad administrativa de un tercer país que exijan transferir datos:
📖 Art. 48 RGPD
Explicación: El art. 48 del RGPD dispone que cualquier sentencia de un órgano jurisdiccional o decisión de una autoridad administrativa de un tercer país que exija a un responsable o encargado transferir o comunicar datos personales únicamente será reconocible o ejecutable si se basa en un acuerdo internacional vigente entre el tercer país requirente y la Unión o un Estado miembro, sin perjuicio de otros motivos del Capítulo V.
El art. 49.1.a) del RGPD admite, como excepción para situaciones específicas, la transferencia cuando el interesado:
📖 Art. 49.1.a) RGPD
Explicación: El art. 49.1.a) del RGPD permite la transferencia si el interesado ha dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él debido a la ausencia de una decisión de adecuación y de garantías adecuadas.
El art. 49.1.b) del RGPD permite la transferencia cuando sea necesaria para:
📖 Art. 49.1.b) RGPD
Explicación: El art. 49.1.b) del RGPD admite la transferencia cuando sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado.
Entre las excepciones del art. 49.1 del RGPD figura también la transferencia necesaria por:
📖 Art. 49.1.d) RGPD
Explicación: El art. 49.1.d) del RGPD admite la transferencia cuando sea necesaria por razones importantes de interés público (reconocido por el Derecho de la Unión o del Estado miembro). Otras excepciones del art. 49.1 incluyen la formulación o defensa de reclamaciones y la protección de intereses vitales del interesado.
El nivel de protección adecuado de un tercer país, según el art. 45.2 del RGPD, se valora teniendo en cuenta, entre otros elementos:
📖 Art. 45.2 RGPD
Explicación: El art. 45.2 del RGPD indica que, para evaluar la adecuación del nivel de protección, la Comisión tendrá en cuenta el Estado de Derecho, el respeto de los derechos humanos y libertades fundamentales, la legislación pertinente, la existencia de autoridades de control independientes y eficaces, y los compromisos internacionales asumidos por el tercer país.
Conforme al art. 46.3 del RGPD, ciertas garantías adecuadas, como las cláusulas contractuales específicas «ad hoc» entre el responsable y el destinatario, sí requieren:
📖 Art. 46.3 RGPD
Explicación: El art. 46.3 del RGPD precisa que las cláusulas contractuales específicas entre el responsable o encargado y el responsable, encargado o destinatario en el tercer país, así como las disposiciones que se incorporen a acuerdos administrativos entre autoridades públicas, requieren la autorización de la autoridad de control competente.
Una decisión de adecuación de la Comisión, según el art. 45.3 y 45.4 del RGPD, está sujeta a:
📖 Art. 45.4 RGPD
Explicación: El art. 45.3 del RGPD prevé que el acto de ejecución establezca un mecanismo de revisión periódica, al menos cada cuatro años, y el art. 45.4 obliga a la Comisión a supervisar de manera continuada la evolución en los terceros países que pueda afectar a la decisión de adecuación, pudiendo derogarla, modificarla o suspenderla.
Según el art. 44 del RGPD, las transferencias internacionales de datos solo podrán realizarse si el responsable y el encargado cumplen las condiciones del Capítulo V, con el fin de:
Fuente: Art. 44 RGPD. El art. 44, principio general de las transferencias, dispone que solo se realizarán transferencias a un tercer país u organización internacional si, a reserva de las demás disposiciones del Reglamento, el responsable y el encargado cumplen las condiciones del Capítulo V, también respecto de las transferencias ulteriores, a fin de que el nivel de protección garantizado por el Reglamento no se vea menoscabado.
Conforme al art. 46.2.c del RGPD, constituyen garantías adecuadas, sin necesidad de autorización de la autoridad de control:
Fuente: Art. 46.2.c RGPD. El art. 46.2.c incluye, entre las garantías adecuadas que no requieren autorización de la autoridad de control, las cláusulas tipo de protección de datos adoptadas por la Comisión con arreglo al procedimiento de examen del art. 93.2.
Según el art. 46.2.b del RGPD, también son garantías adecuadas que no requieren autorización:
Fuente: Art. 46.2.b RGPD. El art. 46.2.b reconoce como garantía adecuada, sin necesidad de autorización de la autoridad de control, las normas corporativas vinculantes de conformidad con el art. 47.
El art. 46.2.e del RGPD admite como garantía adecuada para transferencias internacionales:
Fuente: Art. 46.2.e RGPD. El art. 46.2.e incluye como garantía adecuada un código de conducta aprobado con arreglo al art. 40, junto con compromisos vinculantes y exigibles del responsable o el encargado en el tercer país de aplicar garantías adecuadas, incluidas las relativas a los derechos de los interesados.
Según el art. 47.1 del RGPD, las normas corporativas vinculantes deben ser aprobadas por la autoridad de control competente conforme al:
Fuente: Art. 47.1 RGPD. El art. 47.1 dispone que la autoridad de control competente aprobará normas corporativas vinculantes de conformidad con el mecanismo de coherencia establecido en el art. 63, siempre que cumplan los requisitos de los apartados 1 y 2 del propio art. 47.
Conforme al art. 49.1.c del RGPD, en defecto de decisión de adecuación o de garantías adecuadas, una transferencia será posible cuando:
Fuente: Art. 49.1.c RGPD. El art. 49.1.c admite la transferencia, en ausencia de decisión de adecuación o garantías adecuadas, cuando sea necesaria para la celebración o ejecución de un contrato, celebrado en interés del interesado, entre el responsable del tratamiento y otra persona física o jurídica.
El art. 49.1.d del RGPD permite la transferencia cuando sea necesaria por:
Fuente: Art. 49.1.d RGPD. El art. 49.1.d admite la transferencia cuando sea necesaria por razones importantes de interés público, debiendo dicho interés público estar reconocido en el Derecho de la Unión o de los Estados miembros aplicable al responsable.
Según el art. 49.1.e del RGPD, también es posible la transferencia cuando sea necesaria para:
Fuente: Art. 49.1.e RGPD. El art. 49.1.e admite la transferencia cuando sea necesaria para la formulación, el ejercicio o la defensa de reclamaciones.
Conforme al art. 49.1.f del RGPD, cabe la transferencia cuando sea necesaria para:
Fuente: Art. 49.1.f RGPD. El art. 49.1.f admite la transferencia cuando sea necesaria para proteger los intereses vitales del interesado o de otras personas, cuando el interesado esté física o jurídicamente incapacitado para dar su consentimiento.
Según el art. 49.1.a del RGPD, una transferencia será posible si el interesado:
Fuente: Art. 49.1.a RGPD. El art. 49.1.a permite la transferencia, en defecto de decisión de adecuación o de garantías adecuadas, si el interesado ha dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él debidos a la ausencia de una decisión de adecuación y de garantías adecuadas.
El art. 49.2 del RGPD admite, de forma excepcional, una transferencia que no sea repetitiva, afecte a un número limitado de interesados y se base en:
Fuente: Art. 49.2 RGPD. El art. 49.2 permite, cuando la transferencia no pueda basarse en los arts. 45 o 46 ni en las excepciones del 49.1, una transferencia no repetitiva que afecte a un número limitado de interesados, necesaria a los fines de intereses legítimos imperiosos del responsable sobre los que no prevalezcan los del interesado, evaluadas todas las circunstancias y ofreciendo garantías apropiadas, informando a la autoridad de control y al interesado.
Según el art. 45.3 del RGPD, las decisiones de adecuación de la Comisión deben prever un mecanismo de revisión periódica, al menos cada:
Fuente: Art. 45.3 RGPD. El art. 45.3 exige que el acto de ejecución por el que la Comisión declare la adecuación establezca un mecanismo de revisión periódica, al menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes en el tercer país u organización internacional.
El art. 50 del RGPD, en materia de transferencias internacionales, establece que la Comisión y las autoridades de control adoptarán medidas para:
Fuente: Art. 50 RGPD. El art. 50 dispone que, en relación con terceros países y organizaciones internacionales, la Comisión y las autoridades de control adoptarán medidas apropiadas para desarrollar mecanismos de cooperación internacional, prestar asistencia mutua, promover la participación de las partes interesadas y fomentar el intercambio y la documentación de la legislación de protección de datos.