La transferencia internacional de datos personales
| Autor | Francisco de Quinto Zumárraga |
| Cargo del Autor | Piqué Abogados Asociados |
11.1. INTRODUCCION
La TRANSFERENCIA INTERNACIONAL DE DATOS personales es uno de los puntos más complejos y con mayores implicaciones en lo relativo a la protección de datos de carácter personal.
Es uno de los puntos más complejos debido a la intervención de partes que trascienden el ya de por sí complicado ámbito nacional donde se encuentra ubicado el responsable del fichero para trasladarlo a otro lugar. Las implicaciones aparecen correlativamente en cuanto que estamos inmersos en un proceso en principio irreversible de globalización a todos los niveles, de internacionalización de empresas y procesos de gestión en los cuales la transferencia internacional de datos personales y la protección de la privacidad e intimidad aparecen como un elemento que ineludiblemente se debe tener en cuenta.
11.2. APROXIMACION AL MARCO JURIDICO DE LA TRANSFERENCIA INTERNACIONAL DE DATOS PERSONALES
El marco jurídico de la transferencia internacionales de datos personales se encuentra configurado en dos vertientes entrelazadas: la vertiente comunitaria y la española.
En cuanto a la vertiente comunitaria encontramos la transferencia internacional en la Directiva DIRECTIVA 95/46/CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que es la fuente de la que emana toda la normativa posterior, no tan solo en materia de transferencia internacional sinó en cuanto a la protección de datos personales en general.
La anterior Directiva se transpuso al derecho estatal en la vigente LEY ORGANICA 15/99, de 1 de diciembre, DE PROTECCION DE DATOS DE CARACTER PERSONAL, la cual contempla este tema en su Título Quinto titulado «Movimiento Internacional de Datos» y a la que dedica dos artículos en los que se establece la norma general y posteriormente sus excepciones que posteriormente analizaremos.
En este punto la Agencia de Protección de Datos dicta la INSTRUCCION 1/2000, DE 1 DE DICIEMBRE, RELATIVA A LAS NORMAS POR LAS QUE SE RIGEN LOS MOVIMIENTOS INTERNACIONALES DE DATOS en virtud de las atribuciones que le aparecen conferidas en la
L.O.P.D. para «dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la presente Ley».
La Agencia de Protección de Datos debido a su experiencia es plenamente consciente de la problemática del tema de la transferencia internacional de datos personales y dicta la referida instrucción con el objetivo de tal y como aparece en misma de «aclarar y facilitar» las actuaciones a seguir en caso de encontrarnos con un supuesto en el que apareca algún tipo de transferencia.
El pasado 15 de junio de 2001 apareció la DECISION DE LA COMISION RELATIVA A CLAUSULAS CONTRACTUALES TIPO PARA LA TRANSFERENCIA DE DATOS PERSONALES A UN TERCER PAIS PREVISTAS EN LA DIRECTIVA 95/46/CE. Nuevamente encontramos un desarrollo legislativo que complementa esta vez una parte de la Instrucción 1/2000 aunque esta vez proviene de un órgano comunitario como es la Comisión.
La penúltima referencia legislativa son las RECOMENDACIONES DE LA AGENCIA DE PROTECCION DE DATOS AL SECTOR DEL COMERCIO ELECTRONICO, PARA LA ADECUACION DE SU FUNCIONAMIENTO A LA LEY ORGANICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCION DE DATOS DE CARACTER PERSONAL, en el que, muy resumidamente, la Agencia de Protección de Datos también trata lo referido a la transferencia internacional de datos por razones obvias.
Para finalizar, las últimas disposiciones normativas de las que poseemos noticia hasta la fecha en el tema que nos ocupa son las DECISIONES DE LA COMISION de 20 y de 27 de diciembre de 2001; que consideran a Canadá como uno de los países que proporcionan un nivel de protección adecuado de los datos personales y establecen las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países.
11.3. CONCEPTO Y SUPUESTOS DE TRANSFERENCIA INTERNACIONAL DE DATOS PERSONALES
Una vez vistos la introducción y el marco jurídico referentes a la transferencia internacional debemos continuar básicamente con tres
cuestiones básicas para obtener una perspectiva global:
-
qué es una transferencia internacional de datos,
-
supuestos de transferencia internacional de datos.
11.3.1. Concepto de transferencia internacional y de datos personales
El concepto de transferencia internacional de datos curiosamente no aparece como tal hasta la norma primera de la Instrucción 1/2000 relativa a las normas por las que se rigen los movimientos internacionales de datos:
Se considera transferencia internacional de datos toda transmisión de los mismos fuera del territorio español. En particular se consideran como tales las que constituyan una cesión o comunicación de datos y las que tengan por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero
.
Ya que las transferencias internacionales hacen referencia a los datos personales, conviene destacar que tan solo se aplicará la normativa de protección de datos a aquellas transferencias que contengan datos personales, y entendemos como dato personal cualquier información concerniente a personas físicas indentificadas o identificables.
11.3.2. Supuestos de transferencia internacional de datos
La transferencia internacional de datos personales aparece dividida fundamentalmente en unos supuestos principales: la norma general y las excepciones, la que se realiza a países con un nivel adecuado de protección, las que se realizan al territorio de otros Estados, la realización de un tratamiento por cuenta del responsable del fichero y las relativas al movimiento internacional de datos ligado a redes de comunicaciones.
11.3.2.1. Norma general y excepciones
En el supuesto que estemos ante una TRANSFERENCIA INTERNACIONAL se deberá observar en primer lugar lo dispuesto en los artículos 33 y 34 de la LO 15/99 de Protección de datos personales:
Art. 33. Norma general
-
No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas.
-
El carácter adecuado del nivel de protección que ofrece el país de
destino se evaluará por la Agencia de Protección de Datos atendiendo a todas las circunstancias que concurran en la transferencia o categoría de transferencia de datos. En particular, se tomará en consideración la naturaleza de los datos de finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de Derecho, generales o sectoriales, vigentes en el país tercero de que se trate, el contenido de los informes de la Comisión de la Unión Europea, así como las normas profesionales y las medidas de seguridad en vigor en dichos países.
La primera conclusión es que para realizar una TRANSFERENCIA INTERNACIONAL de datos de carácter personal es preceptivo como regla general contar con la AUTORIZACION PREVIA de la AGENCIA DE PROTECCION DE DATOS, con las excepciones que señala el artículo 34 de la Ley Orgánica de Protección de Datos y que en resumen son:
– Que se efectue con destino a países que proporcionan un nivel de protección equiparable al existente en España.
– Que resulten de la aplicación de tratados o convenios en los que sea parte
España. – Que se realice a efectos de prestar o solicitar auxilio judicial internacional. – Que sea necesaria para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos o la gestión de servicios sanitarios.
– Se refiera a transferencias dinerarias conforme a su legislación específica.
– El afectado haya dado su consentimiento. – Sea necesaria para la ejecución de un contrato entre el titular del dato y el responsable del fichero o para la adopción de medidas precontractuales adoptadas a petición del afectado.
– Sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del titular del dato, por el responsable del fichero y un tercero.
– Sea necesaria o legalmente exigida para la salvaguarda de un interés público.
– Sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
– Se efectue a petición de persona con interés legítimo, desde un Registro
Público y sea acorde con la finalidad del mismo.
11.3.2.2. La transferencia internacional de datos a países con un nivel adecuado
de protección
En el caso de que la transferencia internacional se efectúe a países que poseen un nivel adecuado de protección facilita en gran manera la realización de la transferencia internacional. Los países que posee dicha consideración del nivel adecuado de protección son básicamente los Estados miembros de las Comunidades Europeas, Suiza, Hungría, así como las entidades de Estados Unidos que se hayan acogido a la Decisión de Puerto Seguro 2000/520/CE de la Comisión de las Comunidades Europeas. Recientemente y en virtud de una Decisión de la Comisión Europea de 20 de diciembre de 2001 también Canadá se ha añadido a la lista de los países considerados seguros siempre que como dice su artículo 1 los receptores de los datos personales transferidos desde la Comunicad estén sujetos a la ley canadiense sobre la materia denominada: «Personal Information and Electronic Documents».
La transferencia a uno de los anteriores países se encuentra recogida como excepción a la norma general y por lo tanto se podrá realizar amparándose en que la transferencia internacional resulta de la aplicación de...
-
Para continuar leyendo
Solicita tu prueba