Carlos B Fernández. El pasado 25 de mayo la Comisión Europea presentó dos nuevos modelos de cláusulas contractuales tipo; uno para su uso entre responsables y encargados del tratamiento y otro para la transferencia de datos personales a terceros países.
Estos modelos tienen en cuenta el contenido de la sentencia del TJUE de 16 de julio de 2020, Schrems II, que confirmó la validez de las cláusulas contractuales tipo de la UE para la transferencia de datos personales a los encargados del tratamiento fuera de la UE/EEE ("CSC"), al tiempo que invalidó el Escudo de Privacidad UE-EE.UU.
Por ello, la finalidad de estas nuevas cláusulas contractuales es ofrecer una mayor previsibilidad jurídica a las empresas europeas y ayudar, en particular, a las PYME a garantizar el cumplimiento de los requisitos de las transferencias de datos seguras, permitiendo, al tiempo, que los datos circulen libremente a través de las fronteras, sin obstáculos jurídicos.
Para su elaboración se ha tenido en cuenta el dictamen conjunto del Consejo Europeo de Protección de Datos y del Supervisor Europeo de Protección de Datos, las reacciones de las partes interesadas durante una amplia consulta pública y la opinión de los representantes de los Estados miembros.
Según el texto de la primera Decisión de Implementación de la Comisión, de 4 de junio de 2021, las cláusulas contractuales tipo que figuran en el anexo de la misma cumplen los requisitos de los contratos entre responsables y encargados del tratamiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 (LA LEY 6637/2016) y del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725 (LA LEY 18401/2018), y podrán utilizarse en los contratos entre un responsable del tratamiento y un encargado del tratamiento que trate datos personales por cuenta del responsable.
Por lo que se refiere a la segunda, también de fecha 4 de junio de este año, su contenido establece que las cláusulas contractuales tipo que figuran en su anexo ofrecen garantías adecuadas en el sentido del artículo 46, apartados 1 y 2, letra c), del RGPD para la transferencia por un responsable o un encargado del tratamiento de datos personales tratados con arreglo a dicho Reglamento (exportador de datos) a un responsable o (sub)encargado del tratamiento cuyo tratamiento de datos no esté sujeto a dicho Reglamento (importador de datos).
Dichas cláusulas también establecen los derechos y obligaciones de los responsables y encargados del tratamiento y encargados del tratamiento con respecto a las cuestiones mencionadas en el artículo 28, apartados 3 y 4, del Reglamento, en lo que respecta a la transferencia de datos personales de un responsable del tratamiento a un encargado del tratamiento, o de un encargado a un subencargado del tratamiento.
Se añade igualmente que, cuando las autoridades competentes del Estado miembro ejerzan los poderes correctores en virtud del artículo 58 del RGPD (LA LEY 6637/2016), en respuesta a que el importador de datos esté o pase a estar sujeto a leyes o prácticas en el tercer país de destino que le impiden cumplir con las cláusulas contractuales tipo establecidas en el anexo, lo que da lugar a la suspensión o prohibición de transferencias de datos a terceros países, el Estado miembro en cuestión informará sin demora a la Comisión, que transmitirá la información a los demás Estados miembros.
Principales novedades de las nuevas cláusulas contractuales tipo:
Las cláusulas contractuales tipo son modelos de cláusulas de protección de datos normalizados y preaprobados que pueden incorporarse a los acuerdos contractuales de forma voluntaria, proporcionando una herramienta de fácil aplicación para cumplir los requisitos de protección de datos, ayudando a demostrar el cumplimiento del RGPD. Además, la Comisión puede adoptar cláusulas contractuales tipo que ofrezcan garantías de protección de datos para los datos que vayan a transferirse a nivel internacional.
Según la Comisión, las cláusulas contractuales ahora publicadas, reflejan los nuevos requisitos del Reglamento General de Protección de Datos (LA LEY 6637/2016) y abordan las realidades a las que se enfrentan las empresas modernas. Gracias a su estandarización y preaprobación, las cláusulas contractuales tipo ofrecen a las empresas una plantilla fácil de aplicar, de forma que, al utilizarlas, las empresas saben que cumplen los requisitos de protección de datos.
Además, con ellas, mediante un único punto de entrada que cubre una amplia gama de escenarios de transferencia, en lugar de conjuntos separados de cláusulas.
Ofrecen mayor flexibilidad para las cadenas de tratamiento complejas, mediante un "enfoque modular" y ofreciendo la posibilidad de que más de dos partes se adhieran y utilicen las cláusulas.
Constituyen un práctico conjunto de recursos para cumplir con la sentencia Schrems II; es decir, una visión general de los diferentes pasos que las empresas tienen que dar para cumplir con la sentencia Schrems II, así como ejemplos de posibles "medidas complementarias", como el cifrado, que las empresas pueden adoptar en caso necesario.
Según se indica, para los responsables y encargados del tratamiento que actualmente utilizan conjuntos anteriores de cláusulas contractuales tipo, se prevé un período de transición de 18 meses.
Por otra parte, y dado que estas cláusulas contractuales tipo se adoptan en un momento en el que varias organizaciones regionales y terceros países están desarrollando o han publicado sus propias cláusulas contractuales tipo sobre la base de principios convergentes, la Comisión ha anunciado su intención de intensificar su cooperación con estos socios internacionales para seguir facilitando las transferencias de datos entre las distintas regiones del mundo.