Noticias

La Junta Europea de Protección de Datos ha publicado unas directrices muy esperadas sobre las salvaguardias de la transferencia de datos, que podrían descartar el uso de muchos proveedores de servicios en la nube.

¿Qué se incluye en las nuevas directrices?

Las directrices de la Junta Europea de Protección de Datos (EDPB), adoptadas oficialmente el 10 de noviembre, incluyen un enfoque de seis pasos para determinar el uso de medidas adicionales y las condiciones en las que tendrían éxito. Esas medidas deben complementar las protecciones que ya existen en los marcos de transferencia de datos, como las cláusulas contractuales estándar. (SCC)

Según el Tribunal de Justicia de las Comunidades Europeas en la sentencia Schrems II (LINK TO SCHREMS II ARTICLE SEO #3), las cláusulas contractuales estándar, las normas corporativas vinculantes y otros mecanismos similares siguen siendo una forma válida de transferir datos al extranjero.

Sin embargo, las organizaciones deben utilizar medidas adicionales para elevar el nivel de protección exigido por la legislación de la UE, si la protección de los datos transferidos fuera de la UE en virtud de esos mecanismos no es adecuada.

La orientación de la EDPB era particularmente importante, ya que proporciona una lista no exhaustiva de posibles medidas que harían que las transferencias fueran seguras, mientras que antes, aunque existía la noción de medidas suplementarias, el tribunal no especificaba cuáles eran.

El enfoque de seis pasos:

En primer lugar, la orientación establece que los controladores deben trazar un mapa de sus transferencias de datos y, a continuación, comprobar las herramientas utilizadas para facilitar dichas transferencias. Después, se debe evaluar si hay algo en la legislación de los países a los que se transfieren los datos que pueda socavar la eficacia de los mecanismos de transferencia que figuran en las salvaguardias de la RDPI.

Si la legislación de un tercer país afecta a las salvaguardias de la PIB, las organizaciones deberían considerar la posibilidad de adoptar medidas adicionales. Por último, deben adoptarse los pasos formales de procedimiento relacionados con las medidas adicionales elegidas; ello puede suponer la consulta de las autoridades de protección de datos apropiadas. Además, deben mantener una reevaluación continua de las transferencias de datos.

¿Cuáles son las medidas adicionales?

La EDPB proporcionó una larga lista de posibles medidas adicionales y las separó en tipos técnicos, contractuales y organizativos. Destacó que la más eficaz probablemente sea una combinación de los tres tipos de medidas.

La Junta fue más lejos al afirmar que en las circunstancias en que el gobierno tuviera acceso a los datos, es probable que sólo las medidas técnicas fueran eficaces.

La EDPB declaró que la codificación es una de las medidas técnicas eficaces de que disponen las organizaciones, siempre que sea de última generación y esté sujeta a una serie de requisitos técnicos. Otras medidas técnicas son la seudonimización, que también está sujeta a condiciones separadas, y el «procesamiento dividido o multipartito», en el que los datos se transfieren a diferentes organizaciones que impiden la identificación de los interesados.

En la orientación se esbozaron dos casos en los que se afirmaba que no podía haber una medida satisfactoria para garantizar una protección adecuada de los datos. En primer lugar, se trata del caso de las transferencias a proveedores de servicios en la nube a los que las autoridades gubernamentales exigen que den acceso a los datos que se transfieren. El otro caso sería cuando se requiere el acceso remoto a los datos para fines comerciales.

El EDPB declaró que cuando no se dispone de medidas adecuadas de protección de datos, no se deben realizar transferencias.

En Twitter, Max Schrems, el activista de la privacidad que está detrás del evento, dijo que es probable que el 90 por ciento de las empresas se vean afectadas en los casos que involucren a los proveedores de servicios en la nube, mientras que los escenarios que involucran el acceso remoto impactarían a los centros de datos operados por los Estados Unidos con sede en la Unión Europea.

Las directrices identificaron además medidas contractuales que podrían utilizarse para reforzar las transferencias de datos, incluyendo elementos como las obligaciones contractuales relativas a la aplicación de medidas técnicas, las obligaciones de transparencia y las obligaciones relativas a la habilitación de los interesados para ejercer sus derechos.

Las medidas organizativas sugeridas comprenden políticas internas de control de las transferencias de datos, medidas relativas a la transparencia y la rendición de cuentas, medidas que entrañan la reducción al mínimo de los datos y la aplicación de normas y prácticas óptimas.