Si el proveedor con el que celebra un acuerdo de procesamiento de datos está fuera de la Unión Europea o del Espacio Económico Europeo, el acuerdo de procesamiento de datos en sí no cambia fundamentalmente. Los mismos elementos que exige el RGPD —el objeto y la duración del procesamiento, la naturaleza y el propósito, el tipo de datos, las categorías de interesados, y las obligaciones y derechos suyos como responsable del tratamiento— deben estar presentes en cualquier caso, independientemente de dónde esté establecido el proveedor.
Lo que sí se añade es una capa adicional de normas: el RGPD impone condiciones adicionales para la transferencia de datos personales a un país fuera de la UE o el EEE. Esta capa le obliga a comprobar si para ese país específico se necesita una salvaguardia más allá de los acuerdos ordinarios en el acuerdo de procesamiento de datos, y si es así, cuál.
Qué sigue siendo igual
El núcleo de un acuerdo de procesamiento de datos trata sobre la relación entre usted y la parte que procesa datos en su nombre: quién hace qué, con qué propósito, durante cuánto tiempo, y qué ocurre ante una violación de datos o al término de la colaboración. Estos acuerdos se aplican a todo procesador, ya sea en Róterdam, Dublín o San Francisco. Por lo tanto, un proveedor fuera de la UE no le exime de la evaluación ordinaria de un acuerdo de procesamiento de datos; esa evaluación sigue siendo necesaria, solo que con algo añadido.
Las normas de transferencia: la capa adicional
El RGPD regula por separado bajo qué condiciones los datos personales pueden salir del territorio de la UE o del EEE. El principio fundamental es que el nivel de protección de los datos no debe debilitarse porque se transfieran a otro país. Para varios países, la Comisión Europea ha establecido que el nivel de protección es suficiente; esto se denomina decisión de adecuación, y no se aplica automáticamente a todo un país sino a veces solo a un sector o regulación específicos. Si no hay decisión de adecuación, un mecanismo muy utilizado son las cláusulas contractuales tipo que publica la Comisión Europea: un modelo establecido que se utiliza como complemento junto a o como anexo al acuerdo de procesamiento de datos. Qué variante es aplicable y si es actual cambia a veces; la ubicación de las listas y modelos actuales se encuentra en la Comisión Europea y en la Autoridad de Protección de Datos, no en un texto fijo que pueda memorizar.
La nube lo hace más complicado de lo que parece
En muchas herramientas SaaS, la pregunta "¿está mi proveedor dentro de la UE?" parece más sencilla de lo que es. Un proveedor puede tener una oficina matriz europea y aun así utilizar subprocesadores, centros de datos para copias de seguridad, o personal de soporte fuera de la UE. Esto también cuenta como transferencia, aunque la oficina principal esté en los Países Bajos o Alemania. Por lo tanto, la pregunta no es solo dónde está establecido el proveedor, sino dónde van a parar realmente los datos, incluidos los eslabones posteriores.
Lo que puede consultar en la práctica
Un proveedor que tiene sus asuntos en orden generalmente puede indicar dónde se procesan y almacenan los datos, si se utilizan subprocesadores fuera de la UE, y qué mecanismo de transferencia se ha aplicado para ello. Este tipo de preguntas tienen cabida en la misma evaluación que el resto del acuerdo de procesamiento de datos: no como ejercicio separado posterior, sino como parte de la lectura del acuerdo en sí. Quien busca estructura en esto, la encuentra en la base de conocimientos explicada por tema cómo se relacionan entre sí las diferentes situaciones.
Por qué la ubicación de referencia es especialmente importante aquí
Dado que las listas de decisiones de adecuación y los modelos de cláusulas contractuales tipo cambian con el tiempo, el riesgo de una suposición obsoleta es aquí mayor que en la mayoría de otros temas de RGPD. Un texto que es correcto hoy puede no serlo dentro de un año. Por eso, en este tipo de temas siempre trabajamos con una referencia directa a la fuente en lugar de con un resumen que deba mantenerse por sí solo; cómo se ve exactamente, lo puede leer en la página sobre de dónde procede nuestra información.
Lo que esto significa para su registro y sus acuerdos
Si mantiene un registro de qué proveedores utiliza y dónde están establecidos, verá de un vistazo en qué contratos de encargo de tratamiento las reglas de transferencia juegan un papel y en cuáles no. Esta es precisamente la razón por la que el país de establecimiento es una parte fija de cómo incorporamos un proveedor en el sistema. Las preguntas que surgen con frecuencia sobre este tema están recopiladas en las preguntas frecuentes sobre proveedores y datos fuera de los Países Bajos.
Si para su situación es realmente necesaria una salvaguardia adicional, y cuál, es en última instancia asunto suyo o de su abogado; ofrecemos orientación y estructura, no asesoramiento jurídico. Si tiene dudas sobre la aplicación en un caso concreto, también puede dirigirse a la Autoridad de Protección de Datos.
¿Desea obtener una visión clara de qué proveedores están dentro y cuáles fuera de la UE, y si hay un contrato de encargo de tratamiento con las salvaguardias adecuadas? Haga la verificación gratuita de un contrato de encargo de tratamiento o abra una cuenta empresarial para realizarle un seguimiento en su registro.