{"id":5246,"date":"2021-03-29T06:07:00","date_gmt":"2021-03-29T04:07:00","guid":{"rendered":"https:\/\/mascalvet.com\/?p=5246"},"modified":"2021-03-25T18:08:17","modified_gmt":"2021-03-25T17:08:17","slug":"transferencia-internacional-de-datos","status":"publish","type":"post","link":"https:\/\/mascalvet.com\/en\/transferencia-internacional-de-datos\/","title":{"rendered":"Uso de Google Drive, Dropbox, Mailchimp&#8230; riesgos en la transferencia internacional de datos"},"content":{"rendered":"\n<p class=\"has-background\" style=\"background-color:#eef1f2\">Son cada vez m\u00e1s las empresas, pymes y aut\u00f3nomos que utilizan en su actividad diaria <strong>herramientas como Dropbox, Google Drive o We Transfer<\/strong> para enviar im\u00e1genes o carpetas de documentos pesados. Y lo mismo ocurre con aplicaciones para dise\u00f1ar boletines informativos o para enviar campa\u00f1as de email marketing, como <strong>Mailchimp<\/strong>. Son populares porque son f\u00e1ciles de utilizar y ofrecen soluciones \u00e1giles y sencillas para problemas cotidianos. Pero el uso de <strong>estos medios de almacenamiento digital <\/strong>y de <strong>difusi\u00f3n masiva de correos electr\u00f3nicos<\/strong>, que est\u00e1n radicados en Estados Unidos, conlleva una serie de implicaciones y riesgos legales en materia de protecci\u00f3n de datos que muchas entidades desconocen. Y es que, en realidad, se est\u00e1 realizando una <strong>transferencia internacional de datos personales<\/strong>. <\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n<ul class=\"wp-block-latest-posts__list wp-block-latest-posts\"><li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/ser-patrono-de-una-fundacion-un-cargo-honorifico-o-una-responsabilidad-real\/\">Ser patrono de una fundaci\u00f3n: \u00bfun cargo honor\u00edfico o una responsabilidad real?<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/participacion-en-el-xviii-seminario-del-espacio-en-santander\/\">Participaci\u00f3n del Bufete Mas y Calvet en el XVIII Seminario del Espacio en Santander<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/la-extincion-indemnizada-del-contrato-de-trabajo-por-impago-o-retraso-continuado-en-el-abono-del-salario\/\">La extinci\u00f3n indemnizada del contrato de trabajo por impago o retraso continuado en el abono del salario<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/arbitraje-orden-publico-y-recurso-de-amparo-la-actualidad-de-la-stc-146-2024\/\">Arbitraje, orden p\u00fablico y recurso de amparo: la actualidad de la STC 146\/2024<\/a><\/li>\n<li><a class=\"wp-block-latest-posts__post-title\" href=\"https:\/\/mascalvet.com\/en\/motivacion-del-laudo-arbitral-estandar-negocial-control-externo-y-limites-del-orden-publico\/\">Motivaci\u00f3n del laudo arbitral: est\u00e1ndar negocial, control externo y l\u00edmites del orden p\u00fablico<\/a><\/li>\n<\/ul>\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Resulta fundamental, tal como se\u00f1ala el <strong><a href=\"https:\/\/mascalvet.com\/miembro\/alejandro-alvarez-serrano\/\">abogado Alejandro \u00c1lvarez Serrano<\/a><\/strong>, del \u00e1rea de <strong>Tecnolog\u00eda y Telecomunicaciones<\/strong> de nuestro bufete, tener tres conceptos claros: <\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<ol class=\"wp-block-list\"><li>La empresa u organizaci\u00f3n (fundaci\u00f3n u ONG) que utiliza estas herramientas tiene el rol de <strong>\u201cresponsable de tratamiento\u201d <\/strong>de los datos personales. <\/li><li>Cada vez que \u201csube\u201d informaci\u00f3n de terceros a estas plataformas estar\u00eda realizando una <strong>transferencia internacional de datos, tal como lo define el <a href=\"https:\/\/www.boe.es\/doue\/2016\/119\/L00001-00088.pdf\">Reglamento General de Protecci\u00f3n de Datos (RGPD)<\/a>. <\/strong><\/li><li><strong>Las empresas <\/strong>como Google Drive, Microsoft One Drive o Dropbox, a las que se suben dichos datos, tendr\u00e1n el rol de \u201cencargados de tratamiento\u201d de dichos datos personales.<\/li><\/ol>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Pero, \u00bfqu\u00e9 dice el RGPD o la normativa espa\u00f1ola espec\u00edficamente sobre el uso de estas plataformas? <strong><em>&#8220;El RGPD o la normativa espa\u00f1ola no indican nada espec\u00edfico sobre el almacenamiento en la nube, ni sobre plataformas de email marketing ni de trabajo digital colaborativo. Pero s\u00ed aclara que el responsable de tratamiento solo elegir\u00e1 un encargado del tratamiento de datos personales que ofrezca garant\u00edas suficientes en materia de protecci\u00f3n de datos; es decir, el responsable debe confirmar que el encargado es originario de un pa\u00eds donde se garanticen niveles de protecci\u00f3n de datos similares o superiores a los de la Uni\u00f3n Europea (UE). Y se sobreentiendo que, de su falta de diligencia, se derivar\u00e1n responsabilidades<\/em><\/strong>&#8220;, aclara el abogado Alejandro \u00c1lvarez.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>El fin del Escudo de Privacidad<\/strong> <strong>y las CCT<\/strong><\/h2>\n\n\n\n<p>Este tipo de situaciones hab\u00edan quedado solucionadas con los que se conoce como <a href=\"https:\/\/www.aepd.es\/sites\/default\/files\/2019-09\/guia-acerca-del-escudo-de-privacidad.pdf\">Escudo de Privacidad<\/a>, un marco normativo que reg\u00eda las relaciones entre la Uni\u00f3n Europea y los Estados Unidos. Pero <strong>desde que se public\u00f3 la Sentencia del Tribunal de Justicia de la Uni\u00f3n Europea de 16 de julio de 2020<\/strong>, tambi\u00e9n denominada <em>Scheme<\/em> <em>II<\/em>, este \u201cEscudo\u201d qued\u00f3 invalidado.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>\u00bfQu\u00e9 soluci\u00f3n prev\u00e9 el RGPD para una <strong>transferencia internacional de datos<\/strong> entre distintas entidades? Que se puedan pactar <a href=\"https:\/\/ec.europa.eu\/info\/law\/law-topic\/data-protection\/international-dimension-data-protection\/standard-contractual-clauses-scc_en\">CCT<\/a> o Cl\u00e1usulas Contractuales Tipo &#8211;<em>SCC<\/em>, las siglas en ingl\u00e9s de <em>Standard Contractual Clauses<\/em>. <\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Sin embargo, la citada sentencia tambi\u00e9n alude a las CCT y dice que aunque estas cl\u00e1usulas sean aplicables al exportador y al importador de los datos, no son vinculantes para un tercer pa\u00eds (en este caso, para Estados Unidos). Y tambi\u00e9n se\u00f1ala que no hay garant\u00edas ni protecci\u00f3n equivalentes al art. 52 de la Carta de los Derechos Fundamentales de la Uni\u00f3n Europea en caso de cualquier injerencia de programas de vigilancia, como las que puede realizar el <strong>Gobierno estadounidense <\/strong>en virtud de la USA Patriot Act de 2001<strong>.<\/strong><\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Por otra parte, el Tribunal de Justicia de la Uni\u00f3n Europea considera que la comunicaci\u00f3n de datos personales a un tercero, como una autoridad p\u00fablica, supone una injerencia en los derechos fundamentales que protegen los art\u00edculos 7 y 8 de la Carta, sea cual sea la utilizaci\u00f3n posterior de la informaci\u00f3n comunicada. Y, por \u00faltimo, indica que en Estados Unidos no hay un \u00f3rgano equivalente a los existentes en la UE que permita a las personas recurrir y contar con garant\u00edas sobre sus datos personales transferidos a ese pa\u00eds.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Adem\u00e1s, reforzando esta idea, el EDPB (Comit\u00e9 Europeo de Protecci\u00f3n de Datos o, en ingl\u00e9s, European Data Protection Board) tambi\u00e9n se ha pronunciado sobre la situaci\u00f3n legal de Estados Unidos en materia de privacidad: \u201c<em>el Derecho estadounidense (\u2026) no garantiza un nivel de protecci\u00f3n sustancialmente equivalente\u201d de la normativa europea de protecci\u00f3n de datos.<\/em><\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>\u00bfQue se puede concluir de todo ello? <em><strong>&#8220;Teniendo en cuenta todos estos antecedentes, podemos afirmar que si un proveedor estadounidense de este tipo de servicios cuenta con unas Cl\u00e1usulas Contractuales Tipo, esto no supone que ofrezca la seguridad suficiente de estar contratando a un encargado de tratamiento que cumpla con todas las garant\u00edas que exige el Reglamento General de Protecci\u00f3n de Datos<\/strong>&#8220;<\/em>, explica el abogado de nuestra \u00e1rea de Tecnolog\u00eda y Telecomunicaciones.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>El consentimiento del usuario<\/strong><\/h2>\n\n\n\n<p>\u00bfQu\u00e9 ocurrir\u00eda si el titular de los derechos da su <strong>consentimiento para dicha transferencia internacional<\/strong>? El RGPD considera que solo ser\u00eda suficiente si lo ha hecho de forma expl\u00edcita y tras haber sido informado de los posibles riesgos que entra\u00f1a la inexistencia de garant\u00edas adecuadas. <\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Adem\u00e1s, la transferencia solo se podr\u00e1 llevar a cabo si no es repetitiva; si afecta a un n\u00famero limitado de interesados; si es <strong>necesaria a los fines de intereses leg\u00edtimos imperiosos <\/strong>del responsable del tratamiento, pero solo si no prevalecen los intereses o derechos y libertades del interesado; si el responsable del tratamiento evalu\u00f3 correctamente todas las circunstancias relacionadas con la transferencia y ofreci\u00f3 garant\u00edas apropiadas para la <strong>protecci\u00f3n de datos<\/strong>.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Por otra parte, el <strong>responsable del tratamiento <\/strong>est\u00e1 obligado a informar tanto a la autoridad de control como al interesado de los intereses leg\u00edtimos que le mueven a realizar dicha transferencia internacional.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Transferencia internacional de datos y alternativas<\/strong><\/h2>\n\n\n\n<p>Dentro de las empresas que prestan estos servicios, podemos decir que <strong>Microsoft <\/strong>se convirti\u00f3 en el <strong>primer proveedor\u00a0cloud\u00a0en trabajar con las autoridades europeas de protecci\u00f3n de datos<\/strong> para la aprobaci\u00f3n de las cl\u00e1usulas modelo europeas, fue pionera tambi\u00e9n en adoptar nuevos est\u00e1ndares t\u00e9cnicos para la privacidad en la nube, y firmes defensores del GDPR desde su primera propuesta en el a\u00f1o 2012. <\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Otras <strong>herramientas y soluciones <em>cloud<\/em> <\/strong>a\u00fan no se han adecuado a la Normativa Europea, a pesar de que en sus p\u00e1ginas web traten sobre dicha adecuaci\u00f3n. Por ejemplo, <strong>Google y Dropbox <\/strong>-entre otras- no hacen referencia a la realidad vigente tras la <strong>STJUE 16\/7\/2020<\/strong> en sus t\u00e9rminos y condiciones sobre transferencia internacional, y la impresi\u00f3n que ofrecen es que siguen sin adecuarse.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Una alternativa real a la <strong>transferencia internacional de datos<\/strong> consiste en que el prestador de servicios, aunque sea de origen estadounidense, <strong>tenga ubicados los servidores, la sede, etc. en territorio de la Uni\u00f3n Europea<\/strong>, por lo que tendr\u00eda que cumplir la legislaci\u00f3n europea.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Por otra parte, la anonimizaci\u00f3n de los datos puede ser tambi\u00e9n una alternativa. Con ello, no se aportan datos personales \u2013y ya no se estar\u00eda sujeto a las normas del RGPD-. Por ejemplo, se dar\u00eda si solo se aportan n\u00fameros que no tengan referencia con personas identificables (puede consultarse en este sentido la <a href=\"https:\/\/www.aepd.es\/sites\/default\/files\/2019-09\/guia-orientaciones-procedimientos-anonimizacion.pdf\"><strong>Gu\u00eda publicada por la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD) en 2016, y revisada en 2019, sobre la anonimizaci\u00f3n de datos personales<\/strong><\/a>).<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<p>Si la empresa u organizaci\u00f3n quiere seguir utilizando este tipo de servicios de prestadores de Estados Unidos, ser\u00e1 imprescindible contar con el <strong>consentimiento informado y expreso de los interesados<\/strong>, estar al corriente de las comunicaciones que haga sobre esta materia la UE y tambi\u00e9n de las medidas que vaya adoptando el proveedor, estudiando pormenorizadamente su pol\u00edtica. En estos casos concretos, ser\u00e1 imprescindible que el <strong>Delegado de Protecci\u00f3n de Datos<\/strong> o el <strong>bufete <\/strong>que asesore a la entidad en materia de privacidad lleve a cabo <strong>auditor\u00edas peri\u00f3dicas<\/strong> para detectar posibles cambios y analizar el impacto legal de los mismos.<\/p>\n\n\n\n<div style=\"height:35px\" aria-hidden=\"true\" class=\"wp-block-spacer\"><\/div>\n\n\n\n<hr class=\"wp-block-separator\"\/>\n\n\n\n<h3 class=\"wp-block-heading\">Ayudamos a tu empresa a cumplir con el RGPD<\/h3>\n\n\n\n<p>En el <strong>Bufete Mas y Calvet<\/strong> contamos con un equipo de abogados especializados en el cumplimiento de la <strong>normativa de protecci\u00f3n de datos<\/strong>. Contamos con los conocimientos y la experiencia para ayudar a tu empresa en su proceso de digitalizaci\u00f3n y en el uso de las tecnolog\u00edas, para que desarrolles tu actividad con seguridad jur\u00eddica. Somos el primer bufete de abogados en ofrecer la <strong><a href=\"https:\/\/mascalvet.com\/europrivacy\/\">certificaci\u00f3n europea de protecci\u00f3n de datos Europrivacy<\/a><\/strong>. Si quieres que te asesoremos de forma personalizada, <strong><a href=\"https:\/\/mascalvet.com\/contacto\/\" target=\"_blank\" rel=\"noreferrer noopener\">contacta con nuestro equipo de abogados<\/a><\/strong>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p><span class=\"excerpt-hellip\"> [\u2026]<\/span><\/p>\n","protected":false},"author":5,"featured_media":5255,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-5246","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia-telecomunicaciones"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/5246","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/comments?post=5246"}],"version-history":[{"count":10,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/5246\/revisions"}],"predecessor-version":[{"id":5260,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/posts\/5246\/revisions\/5260"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/media\/5255"}],"wp:attachment":[{"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/media?parent=5246"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/categories?post=5246"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mascalvet.com\/en\/wp-json\/wp\/v2\/tags?post=5246"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}