La gestión de empresas a nivel internacional y la protección de datos de la UE

Desde la entrada del Reglamento General de Protección de Datos 679/2016 (RGPD) y, más recientemente, con la aprobación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD), las empresas, empresarios individuales y profesionales en general, trabajan intentando cumplir con tan novedosa normativa.

Uno de los puntos con más repercusión es la relación entre empresas. La normativa identifica dos figuras principales: el responsable del tratamiento, quien determina los fines y medios del tratamiento, y el encargado del tratamiento, quien actúa por cuenta del primero. Por ejemplo, una empresa respecto a otra proveedora, en este supuesto la primera actuaría como responsable y la segunda como encargada del tratamiento.

En primer lugar, es importante destacar aquí que únicamente nos estamos refiriendo a empresas que traten datos personales, más concretamente a la relación existente entre las empresas con sus proveedores que traten datos personales por cuenta de las primeras.

Para comprender las implicaciones que tiene a nivel internacional, debemos acudir al artículo 3 del RGPD, en el que se especifica el ámbito de aplicación del mismo. Podemos resumir la aplicación en tres supuestos: primero, se aplicará cuando el establecimiento esté en la UE; segundo, se aplicará a todos los interesados que residan en la UE aun cuando la entidad no esté establecida en la Unión; y, por último, en los lugares en los que el derecho de los estados miembros sea de aplicación. Por ello, el ámbito de aplicación se extiende más allá de las fronteras de la Unión, queriendo garantizar así la máxima protección.

Así pues, si un responsable del tratamiento comunica datos de carácter personal a un encargado que no esté establecido en la Unión Europea o que efectúe el tratamiento fuera de la Unión, se debe atender a los establecido en el RGPD para las transferencias internacionales.

Tal y como se indicaba anteriormente, la norma busca la máxima protección, y una transferencia internacional no puede suponer en ningún caso una reducción del nivel de protección. Solo podrán realizarse las transferencias a terceros países que la Comisión haya decidido que se garantiza un nivel de protección adecuado, en caso de no ser así, el responsable deberá acreditar que el encargado del tratamiento está en disposición de ofrecer garantías adecuadas y, en todo caso, garantizar que los interesados cuenten con derechos exigibles y acciones legales efectivas.

El responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme a la normativa, cumpliendo así con su responsabilidad proactiva.

El responsable del tratamiento debe actuar de forma diligente para proteger los datos de carácter personal y asegurar el cumplimiento normativo. Ello comienza antes de la contratación, el Considerando 81 del RGPD indica que el encargado del tratamiento debe ofrecer garantías suficientes en la materia. Así pues, el responsable del tratamiento debe elegir un encargado del tratamiento que ofrezca garantías suficientes respecto a la implantación y el mantenimiento de las medidas técnicas y organizativas apropiadas, de acuerdo con lo establecido en el RGPD, y que garantice la protección de los derechos de las personas afectadas. Ello podría realizarse, por ejemplo, mediante la exigencia de una declaración de cumplimiento, un cuestionario o una auditoria en la materia de forma previa a la contratación.

Además de ello, la relación entre responsable y encargado del tratamiento deberá regir por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. El contrato regulará la relación entre las partes y asegurará que el encargado actúa conforme a la normativa y con arreglo a las instrucciones del encargado, asegurando así la protección efectiva de los datos de carácter personal.

Irene Rossello

Abogada

irossello@binauramonlex.com