Las nuevas Cláusulas Contractuales Tipo apuestan por un solo modelo adaptable a las distintas necesidades de las empresas contratantes.
Fuente: Canal de YouTube Actualidad IP & IT
Desde el 27 de junio ya están vigentes las nuevas Cláusulas Contractuales Tipo que fueron publicadas a inicio de ese mes por la Comisión Europea. Son dos sets de cláusulas distintos: el primero de ellos para responsables y encargados del tratamiento y el segundo, para las transferencias internacionales de datos.
En el primer set de cláusulas, siguiendo el artículo 28.7 del RGPD, estandariza algunas de las obligaciones de los acuerdos de encargo que se regulan en el artículo 28 de esta norma. En concreto, las estipuladas en los artículos 28.3 y del 28.4.
Con ellas, se facilitará el trabajo de negociación a las pequeñas y medianas empresas a la hora de realizar acuerdos de encargo. Sin perjuicio de que, por supuesto, los responsables y encargados del tratamiento puedan negociar sus propios acuerdos de encargo como se venía haciendo hasta ahora.
Fuente: Photo by Romain Dancre on Unsplash
Transferencias internacionales de datos
Por otra parte, el segundo set deroga las dos anteriores Cláusulas Contractuales Tipo que estaban en vigor anteriormente. Y resultan una novedad bastante significativa dentro del ámbito de protección de datos.
Pero ¿realmente qué implican estas Cláusulas Contractuales Tipo?. Las SCC (por sus siglas en inglés) constituyen un mecanismo de legitimación de las transferencias internacionales de datos a terceros países fuera del Espacio Económico Europeo. Así como de aquellos que no tengan aprobada una decisión de adecuación por parte de la Comisión Europea. Las SCC constituyen un contrato que deberá de firmarse por las partes y establecen una serie de obligaciones que legitiman esta transferencia internacional de datos.
Las antiguas SCC se habían aprobado antes de la entrada en vigor del RGPD y en relación a él contenían menos garantías. Además, sólo se preveían dos tipos de flujos de datos: de responsable exportador a responsable importador y de responsable exportador a encargado importador de datos.
Schrems II
Con esto, excluían algunos supuestos, como el de encargado a subencargado. Y si lo unimos a la reciente sentencia Schrems II y consecuente anulación del acuerdo Privacy Shield, generaba cierta inseguridad jurídica en el entorno de las transferencias internacionales de datos.
Entre las novedades incorporadas en las nuevas Cláusulas Contractuales Tipo, nos encontramos con que se trata de un formato modular. ¿Qué quiere decir esto? Que sólo tenemos un único modelo en el que se han incorporado distintos módulos para que se pueda escoger el más adecuado en función de la naturaleza del flujo de datos.
Por ejemplo, las nuevas Cláusulas Contractuales Tipo contienen una primera sección con términos generales. Pero a partir de la segunda nos encontraremos con estos módulos. El primero será el de las transferencias entre responsables del tratamiento.
De manera que, si nos encontramos ante un flujo de datos con esta naturaleza, será este el que tendremos que incluir y así a lo largo de todo el documento. Así, el segundo módulo es transferencias de responsable a encargado, el tercero es el de encargado a subencargado y el último será el de encargado a responsable del tratamiento.
Otra de las novedades es la de la inclusión de una cláusula voluntaria de adhesión de terceras partes, la número 7. Esta permite que, después de la firma, si las partes están de acuerdo, se introduzca un tercero en calidad de importador o exportador de datos, adhiriéndose a las distintas obligaciones ya contenidas en el contrato. Del mismo modo, las nuevas SCCs se han adaptado a las sentencia Schrems II y a las recomendaciones del Comité Europeo de Protección de Datos. Lo que se refleja en las cláusulas 14 y 15 que contienen algunas de estas obligaciones.
Fuente: Photo by Sebastian Herrmann on Unsplash
Otras obligaciones
No obstante, hay que considerar que la firma de estas SCC no exime a las partes de desarrollar el análisis para determinar si en el país de destino nos encontramos con un marco normativo equivalente al del Espacio Económico Europeo.
Este análisis se recoge en la cláusula 14 de las SCCs y se incorporan a obligaciones como su realización y puesta a disposición de las partes si así lo solicitan. Aunque, sí contienen algunas otras responsabilidades que refuerzan la seguridad de las transferencias internacionales.
Por ejemplo, la parte importadora tendrá que notificar a la exportadora en caso de que reciba cualquier solicitud legalmente vinculante de acceder a los datos por parte de organismos públicos. Y estará obligada a revisar la legalidad de esta solicitud e incluso impugnarla si fuera necesario.
También se incluye la obligación de que el importador de datos notifique al exportador cuando considere que no es capaz de cumplir con las SCCs. De manera que el exportador pueda adoptar medidas para intentar compensar o mitigar este riesgo o, si no fuera posible, directamente suspender la transferencia internacional de datos.
Con todo, las nuevas Cláusulas Contractuales Tipo tendrán un período de transición de 18 meses para ser adoptadas.
Autor del vídeo referenciado:
