Transferencias internacionales de datos



Para la normativa sobre protección de datos, se ha de entender como transferencia internacional el Tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio español.

Así lo define el artículo 5.1.s) RD 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 5/1999, de 13 de diciembre, de Protección de datos de carácter personal.

El uso cada vez más extendido de la “nube” por parte de las empresas para almacenar datos de carácter personal relativos a sus negocios (clientes, trabajadores, facturación, etc…) hace que sea muy frecuente esta transferencia internacional de datos, porque los servidores donde se almacena la información se encuentran ubicados físicamente en otros países.

No hay mayor complicación si la transferencia se produce entre Estados del Espacio Económico Europeo y Unión Europea. Pero si nos vamos a países como China, Estados Unidos, países sudamericanos, etc… la cuestión empieza a cambiar.

El artículo 33 LOPD sienta una norma general, que establece que no se podrán hacer transferencias de datos personales hacia países que no proporcionen un nivel de protección equiparable al que ofrece la LOPD, salvo que se obtenga autorización previa del Director de la Agencia Española de Protección de Datos. Por tanto, la Agencia estudiará cada supuesto y valorará las garantías que el país ofrece y resolverá otorgar o no la autorización.

Obviamente esto significa iniciar un proceso dirigido a la AEPD, tener que esperar la resolución de la misma y arriesgarse a recibir una negativa, lo que puede suponer un gran problema para algunas empresas.

En este punto, es importante, tener en cuenta que esta norma general del artículo 33 LOPD está excepcionada por un largo listado de supuestos que se recogen en el artículo 34, por lo que antes de iniciar un proceso de solicitud de autorización procede examinarlos y analizar si nos encontramos dentro de alguno de ellos.

En mi opinión, especial atención merecen los apartados  e), f) y g) del referido artículo 34, por ser supuestos muy habituales en la práctica, y que establecen que el artículo 33 no será aplicable en estos casos:

e) Cuando el afectado haya dado su consentimiento inequívoco a la transferencia prevista.

f) Cuando la transferencia sea necesaria para la ejecución de un contrato entre el afectado y el responsable del fichero o para la adopción de medidas precontractuales adoptadas a petición del afectado.

g) Cuando la transferencia sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del afectado, por el responsable del fichero y un tercero.

Habrá muchas veces en que la transferencia sea necesaria para cumplir obligaciones contractuales (supuesto de la letra f), y muchas más en las que sencillamente se pueda recabar un consentimiento del afectado para la transferencia.

De este modo, no sería necesario pedir autorización a la AEPD.

Camaras de videovigilancia falsas


No dejan de sorprenderme algunas de las resoluciones de la Agencia Española de Protección de Datos.

Por ejemplo, la nº 2155 del año 2012, dictada en el procedimiento sancionador nº 139 también del año 2012.

En ella, se ha impuesto una multa de 1.500 euros a un particular por tener cámaras de videovigilancia ficticias en su vivienda, dirigidas hacia la vía pública Es decir: cámaras que no estaban en funcionamiento, ni por tanto grababan imágenes ni recogían ningún tipo de dato de carácter personal.

¿Cómo puede la AEPD entrar a sancionar un hecho en el que no se ha producido tratamiento de datos personales en ninguna de sus modalidades?

Un disparate jurídico, en mi opinión.

Con anterioridad al procedimiento sancionador referido, hubo otro de apercibimiento (nº 136/2011), donde la misma persona fue requerida para que retirara las cámaras, cosa que no hizo y razón por la que finamente es multado.

Pero la cuestión es que a lo largo de los dos procedimientos citados, quedó probado que las cámaras eran ficticias y ni siquiera se hizo ningún tipo de comprobación in situ por parte de la AEPD para corroborar esta realidad.

Parece olvidar la AEPD que el artículo 2.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal  establece que:

La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.

Puedes leer la resolución sancionadora y la del expediente de apercibimiento previo aquí: