Cumplimiento UE 5 min de lectura
GDPR International Data Transfers Requirements: Guía Práctica De Cumplimiento En La UE
El Capítulo V del RGPD condiciona cualquier envío de datos fuera del EEE. Esta guía ordena las vías disponibles —adecuación, cláusulas contractuales tipo, normas corporativas vinculantes y excepciones del artículo 49— y explica cómo documentar una evaluación de impacto de la transferencia defendible ante una autoridad de control.
Por qué la ubicación del tratamiento define el régimen aplicable
El RGPD (Reglamento (UE) 2016/679) no prohíbe enviar datos fuera del Espacio Económico Europeo (EEE). Lo que hace es condicionar la operación: toda transferencia a un tercer país o a una organización internacional necesita una base jurídica específica del Capítulo V (artículos 44 a 50). Esa base es independiente de la legitimación del tratamiento del artículo 6. Puede existir un consentimiento válido y, aun así, haber incumplimiento si el dato acaba en un proveedor cloud sin decisión de adecuación ni garantías.
Conviene separar tres situaciones que se confunden con frecuencia:
- Transferencia: el exportador del EEE transmite datos a un importador sujeto a la legislación de un tercer país. Aplica el Capítulo V.
- Acceso remoto: el importador no recibe el fichero, pero lo consulta desde fuera. Sigue siendo transferencia.
- Tránsito: los datos atraviesan servidores de un tercer país sin que nadie acceda a ellos. En general no es transferencia, aunque conviene documentarlo.
La consecuencia práctica es directa: antes de firmar con un proveedor hay que mapear dónde se alojan los datos, desde dónde se accede y qué subcontratistas intervienen. Ese mapa es el punto de partida de cualquier análisis de las GDPR international data transfers requirements.
Decisiones de adecuación: la ruta con menos fricción
La Comisión Europea puede declarar que un país ofrece un nivel de protección esencialmente equivalente. Si existe decisión de adecuación, la transferencia fluye sin autorización adicional ni garantías contractuales específicas. La lista vigente incluye, entre otros, Andorra, Argentina, Canadá (sector privado), Islas Feroe, Guernsey, Israel, Isla de Man, Japón, Jersey, Nueva Zelanda, Reino Unido, Suiza, Uruguay, Corea del Sur y Estados Unidos para organizaciones certificadas en el Marco de Privacidad de Datos UE-EE. UU.
Dos advertencias operativas:
- La adecuación es revisable. El Tribunal de Justicia de la Unión Europea anuló el marco anterior con Estados Unidos (asunto Schrems II, C-311/18), lo que obliga a incluir cláusulas de revisión y planes de contingencia en los contratos.
- La adecuación no cubre todo. Una organización estadounidense no certificada en el marco vigente sigue necesitando garantías del artículo 46.
Garantías apropiadas del artículo 46
Cuando no hay adecuación, las dos vías más utilizadas son las cláusulas contractuales tipo (SCC) y las normas corporativas vinculantes (BCR).
Cómo elegir entre SCC y BCR
| Criterio | SCC | BCR |
|---|---|---|
| Quién las adopta | Cualquier exportador o importador | Grupos empresariales |
| Aprobación previa | No requiere autorización de la autoridad | Requiere aprobación del supervisor principal |
| Plazo de implantación | Días o semanas | Meses |
| Nuevas entidades | Se añade un contrato | Se actualiza el grupo |
Las SCC vigentes se aprobaron mediante la Decisión de Ejecución (UE) 2021/914 y se estructuran en cuatro módulos: C2C, C2P, P2P y P2C. Elegir el módulo equivocado es uno de los defectos más habituales en auditorías. Además, las SCC exigen un análisis caso por caso: no son un salvoconducto automático.
Excepciones del artículo 49: uso residual
Las excepciones (consentimiento explícito e informado, ejecución de un contrato con el interesado, interés público, reclamaciones, interés vital, registro público) son ocasionales y no repetitivas. No sostienen un flujo continuo de datos de recursos humanos ni de telemetría industrial. La autoridad de control puede exigir garantías adicionales y, en determinados supuestos, información al interesado y a la propia autoridad.
Evaluación de impacto de la transferencia (TIA)
El Comité Europeo de Protección de Datos (EDPB) publicó las Recomendaciones 01/2020, que fijan una metodología en seis pasos. En la práctica se resume así:
- Conocer la transferencia: datos, categorías de interesados, finalidad, destinatarios, ruta y periodicidad.
- Identificar el instrumento: adecuación, artículo 46 o excepción del artículo 49.
- Analizar la legislación del tercer país: acceso de autoridades, proporcionalidad y vías de recurso.
- Definir medidas suplementarias: cifrado con claves custodiadas en el EEE, seudonimización, minimización y procedimientos de respuesta a requerimientos.
- Formalizar: documentar el análisis y obtener aprobación interna.
- Revisar: repetir el análisis ante cambios normativos o de proveedor.
El paso 4 es el que más trabajo genera. Cifrar en tránsito no basta si el importador posee la clave; el cifrado debe impedir que el destinatario acceda al dato en claro.
Documentación y conexión con otros marcos de conformidad
Un expediente de transferencias defendible incluye el registro de actividades de tratamiento (artículo 30), el inventario de proveedores, los contratos con SCC o BCR, la TIA firmada, las medidas suplementarias y el registro de decisiones de adecuación consultadas. Este paquete se solapa con la documentación técnica de producto cuando el dato viaja dentro de equipos o servicios conectados. En proyectos de maquinaria y marcado CE conviene alinear el expediente de datos con la evaluación de conformidad: la guía sobre la implicación de organismos notificados UE explica cómo estructurar ese expediente y los requisitos de intervención del organismo notificado detallan cuándo hace falta un tercero. Para equipos con conectividad, el Reglamento (UE) 2023/1230 de máquinas añade obligaciones de ciberseguridad que interactúan con la seguridad del dato, y una checklist de intervención del organismo notificado ayuda a no dejar cabos sueltos.
Las GDPR international data transfers requirements no se resuelven con una plantilla. La combinación de decisión de adecuación, SCC y medidas suplementarias debe justificarse por escrito. Si un proveedor no puede demostrar que esas exigencias se cumplen en toda su cadena de subencargados, el riesgo permanece en el exportador.
Errores frecuentes y cómo evitarlos
- Confundir el artículo 6 con el Capítulo V y creer que la base jurídica del tratamiento cubre la transferencia.
- Aplicar SCC sin TIA ni medidas suplementarias.
- Ignorar subencargados, accesos de soporte remoto y copias de seguridad alojadas fuera del EEE.
- Dar por válida una adecuación sin comprobar su ámbito territorial y material.
- No revisar el expediente tras una sentencia o una nueva guía del EDPB.
Un control trimestral del inventario de proveedores y una revisión anual de la TIA mantienen el expediente vivo. Con eso, una inspección se responde con documentos, no con explicaciones improvisadas.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
Articles 44-50
Chapter V of the GDPR, Articles 44-50, governs transfers of personal data to third countries and international organisations.
ID del dato:
GDPR_chapter_v_scopeArticle 45
Article 45 allows transfers to countries, territories, or sectors that the European Commission recognises as providing an adequate level of data protection.
ID del dato:
adequacy_decision_articleCommission Implementing Decision (EU) 2021/914
The current standard contractual clauses for international transfers were adopted by Commission Implementing Decision (EU) 2021/914.
ID del dato:
scc_decision_2021_91410 July 2023
The European Commission adopted the adequacy decision for the EU-US Data Privacy Framework on 10 July 2023.
ID del dato:
EU_us_dpf_adoption_dateC-311/18
The Court of Justice of the European Union's Schrems II judgment is Case C-311/18.
ID del dato:
schrems_ii_caseEUR 20 million or 4%
Infringements of the GDPR's transfer rules can attract administrative fines under Article 83(5) of up to EUR 20 million or 4% of total worldwide annual turnover, whichever is higher.
ID del dato:
GDPR_transfer_max_fine
Preguntas frecuentes
¿Basta con firmar las cláusulas contractuales tipo (SCC) para transferir datos fuera del EEE?
No. Las SCC son el instrumento del artículo 46, pero exigen una evaluación caso por caso de la legislación del país destinatario y, si procede, medidas suplementarias. Sin esa evaluación documentada, el contrato por sí solo no acredita el cumplimiento.
¿Qué diferencia hay entre una decisión de adecuación y las garantías del artículo 46?
La adecuación la adopta la Comisión Europea y declara que un país ofrece protección esencialmente equivalente, de modo que la transferencia no requiere garantías adicionales. Las garantías del artículo 46 (SCC, BCR, códigos de conducta) son responsabilidad del exportador y requieren análisis y documentación propios.
¿Cuántos módulos tienen las SCC vigentes y cuál debo usar?
La Decisión de Ejecución (UE) 2021/914 establece cuatro módulos: C2C, C2P, P2P y P2C. La elección depende de la condición de cada parte (responsable o encargado) y de la dirección del flujo. Seleccionar un módulo incorrecto invalida la cobertura contractual.
¿Puedo usar las excepciones del artículo 49 para un flujo continuo de datos de empleados?
No. Las excepciones están pensadas para situaciones ocasionales y no repetitivas. Un flujo sistemático y periódico debe apoyarse en una decisión de adecuación o en garantías del artículo 46.
¿Cada cuánto hay que revisar la evaluación de impacto de la transferencia?
No hay un plazo fijo en el RGPD, pero la práctica recomendada es revisarla al menos una vez al año y siempre que cambie el proveedor, la ruta de datos, la normativa del tercer país o la jurisprudencia aplicable.
¿El acceso remoto desde un tercer país cuenta como transferencia internacional?
Sí. Si el personal o el proveedor consulta datos del EEE desde fuera, existe transferencia aunque el fichero permanezca alojado en la Unión. El acceso de soporte remoto es uno de los puntos que más se pasa por alto en auditorías.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
