en Protección de datos de carácter personal

Nuevas cláusulas contractuales tipo para la transferencia de datos personales a terceros países que no garantizan un nivel de protección equiparable al europeo

Autor: Eric Gracia. Abogado Derecho.com

El próximo 15 de mayo de 2010 entrará en vigor la Decisión de la Comisión de 5 de febrero de 2010 relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países (en adelante, “Decisión 2010/87/UE”).

La Decisión 2010/87/UE, que derogará por completo a la vigente Decisión 2002/16/CE, contempla por fin la posibilidad de regular en las propias cláusulas contractuales tipo la subcontratación por un encargado del tratamiento establecido en un tercer país de sus servicios de tratamiento a un subencargado establecido a su vez en un tercer país, cosa que hasta ahora no era posible.

Hasta ahora, la Agencia Española de Protección de Datos (en adelante, “AEPD”) había advertido en numerosas ocasiones (Ver Informe jurídico 0108/2008) que el régimen de la subcontratación que establece el artículo 21 del Real Decreto 1720/2007 no puede trasladarse a las cláusulas contractuales tipo contenidas en la Decisión 2002/16/CE, ya que en el ámbito de las transferencias internacionales el responsable del tratamiento debe siempre formar parte de la relación jurídica que implica la transferencia internacional de datos a un encargado o “subencargado” del tratamiento, debiendo aportar directamente las garantías adecuadas para obtener la autorización del Director de la AEPD. Además, debe ser el responsable quien solicite esa autorización, respondiendo en caso de incumplimiento de las cláusulas tipo, lo que no es posible salvo si el mismo es parte en la relación contractual en que pretende fundarse la transferencia internacional de datos.

Teniendo eso en cuenta, la AEPD ofrecía tres escenarios posibles para regular contractualmente la contratación con el subencargado:

– Celebración de un contrato amparado por la Decisión 2002/16/CE entre el encargado del tratamiento, actuando en nombre y por cuenta del responsable que le hubiese otorgado poder a tal efecto, y el subcontratista (informe de 4 de julio de 2005).

– Celebración de un contrato entre el responsable del tratamiento y el encargado, amparado por las cláusulas previstas en la Decisión 2002/16/CE, actuando el encargado en nombre y por cuenta del subcontratista, habiéndosele otorgado poder suficiente para ello (informe de 25 de abril de 2006).

– Adhesión por el subcontratista a las cláusulas celebradas entre el responsable y el encargado del tratamiento, mediante un instrumento específico, firmado por las tres partes, en que el subcontratista se compromete, específicamente, al cumplimiento de las cláusulas contenidas en la Decisión 2002/16/CE (Resolución de autorización de transferencia internacional de datos de 29 de noviembre de 2006).

Ahora, con la entrada en vigor de la Decisión 2010/87/UE, las cláusulas contractuales tipo, en concreto la 11, pasan a regular directamente el subtratamiento de datos, que necesitará del previo consentimiento escrito del exportador de los datos.

Desde el punto de vista contractual, el importador de datos podrá suscribir un contrato específico con el subencarcado, o bien podrá incluirse a éste último como cosignatario del contrato celebrado por el exportador de datos y el importador de datos, lo que dependerá principalmente de si ya se conoce la identidad del subencarcado al momento de firmar las cláusulas contractuales tipo el exportador y el importador de los datos.