Nemoteca
Bloque

Las transferencias internacionales de datos en la ley orgánica

9 preguntas · en 2 colecciones

El título VI de la Ley Orgánica 3/2018: el régimen de las transferencias internacionales de datos, las que adopta la Agencia Española de Protección de Datos, las que necesitan autorización previa y las que basta con comunicar antes a la autoridad de protección de datos.

Colecciones que lo incluyen

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según la LO 3/2018, cuando un responsable transfiere datos a un tercer país por su necesidad para intereses legítimos imperiosos, ¿de qué tiene que informar a los afectados?

  • De la autorización que le haya dado la Agencia para hacerla
  • De la transferencia y de los intereses que la justifican
  • Del dictamen que haya emitido el Comité Europeo sobre ella
  • De la decisión de adecuación que ampara al país de destino

Los afectados reciben dos datos: que sus datos se transfieren y qué intereses legítimos imperiosos del responsable lo justifican. Las otras tres opciones son garantías de otras vías de transferencia que aquí no concurren: precisamente porque faltan, el responsable se apoya en la necesidad de sus intereses imperiosos.

Asimismo, informarán a los afectados de la transferencia y de los intereses legítimos imperiosos perseguidos.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿qué duración máxima tiene el procedimiento en el que la Agencia Española de Protección de Datos decide si autoriza una transferencia internacional que carece de decisión de adecuación y de garantías reconocidas?
  • Tres meses
  • Doce meses
  • Seis meses
  • Nueve meses

Seis meses. Es un plazo propio de la autorización previa, que la ley fija aparte, así que no se toma de los demás procedimientos de la Agencia: ni del de aprobar normas corporativas vinculantes ni de los del procedimiento por vulneración de la normativa.

El procedimiento tendrá una duración máxima de seis meses. 2. La autorización quedará sometida a la emisión por el Comité Europeo de Protección de Datos del dictamen
Ley Orgánica 3/2018, de 5 de diciembre

Según el art. 43 de la LO 3/2018, ¿a qué actividades no se aplica lo que dispone sobre las transferencias internacionales basadas en intereses legítimos imperiosos?
  • A las de los responsables que hayan designado un delegado de protección de datos
  • A las de las empresas con menos de doscientos cincuenta trabajadores
  • A las de las entidades sin ánimo de lucro con fines de interés general
  • A las de las autoridades públicas en el ejercicio de sus poderes públicos

La salvedad es para las autoridades públicas cuando ejercen sus poderes públicos, de acuerdo con el artículo 49.3 del Reglamento, que no les deja apoyar una transferencia en esta vía. Tener delegado de protección de datos, el tamaño de la empresa o la falta de ánimo de lucro no cambian nada: a todos ellos el artículo se les aplica igual.

Lo dispuesto en este artículo no será de aplicación a las actividades llevadas a cabo por las autoridades públicas en el ejercicio de sus poderes públicos
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿a qué se someten previamente las cláusulas contractuales tipo que adopte la Agencia Española de Protección de Datos para realizar transferencias internacionales de datos?
  • Al informe preceptivo del Consejo de Estado
  • Al informe previo del Ministerio de Justicia
  • Al dictamen del Comité Europeo de Protección de Datos
  • A la autorización previa del Consejo de Ministros

Las cláusulas tipo que adopten la Agencia o una autoridad autonómica se someten previamente al dictamen del Comité Europeo de Protección de Datos, el órgano de la Unión que reúne a las autoridades de control: la transferencia saca los datos de la Unión y el criterio tiene que ser común. El artículo no prevé para este trámite un informe del Consejo de Estado o del Ministerio de Justicia, ni una autorización del Consejo de Ministros: la Agencia actúa con independencia del Gobierno.

podrán adoptar, conforme a lo dispuesto en el artículo 46.2.c) del Reglamento (UE) 2016/679, cláusulas contractuales tipo para la realización de transferencias internacionales de datos, que se someterán previamente al dictamen del Comité Europeo de Protección de Datos
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿qué duración máxima tiene el procedimiento para que la Agencia Española de Protección de Datos apruebe unas normas corporativas vinculantes?
  • Seis meses
  • Nueve meses
  • Doce meses
  • Dieciocho meses

Nueve meses, y el procedimiento empieza a instancia de una entidad situada en España. Las normas corporativas vinculantes son las reglas con las que un grupo empresarial mueve datos entre sus sociedades fuera de la Unión; el plazo es propio de su aprobación y no se toma de los demás procedimientos de la Agencia.

podrán aprobar normas corporativas vinculantes de acuerdo con lo previsto en el artículo 47 del Reglamento (UE) 2016/679. El procedimiento se iniciará a instancia de una entidad situada en España y tendrá una duración máxima de nueve meses.
Ley Orgánica 3/2018, de 5 de diciembre
Ver 4 preguntas más

Según la LO 3/2018, ¿qué efecto tiene sobre el procedimiento de autorización previa de una transferencia internacional la remisión del expediente al Comité Europeo de Protección de Datos?
  • Le pone fin, y resuelve el Comité en su lugar
  • Ninguno: el plazo máximo sigue corriendo
  • Abre un plazo de silencio estimatorio de un mes
  • Lo suspende hasta que se notifique el dictamen

La remisión suspende el procedimiento: el plazo deja de correr mientras el Comité prepara su dictamen y se reanuda cuando se notifica a la Agencia o, por su conducto, a la autoridad autonómica competente. La autorización la sigue dando la autoridad española, aunque sometida a ese dictamen, y la ley no liga ningún silencio a la espera.

La remisión del expediente al citado comité implicará la suspensión del procedimiento hasta que el dictamen sea notificado a la Agencia Española de Protección de Datos
Ley Orgánica 3/2018, de 5 de diciembre

Un responsable del tratamiento pretende transferir datos a un tercer país porque lo necesita para fines relacionados con intereses legítimos imperiosos suyos. Según la LO 3/2018, ¿qué debe hacer ante la Agencia Española de Protección de Datos?
  • Informarle de la transferencia antes de realizarla
  • Pedirle una autorización y esperar a que la conceda
  • Comunicársela en el mes siguiente a realizarla
  • Inscribirla en un registro público de la Agencia

Para este supuesto la ley no pide autorización, sino información, y previa: el responsable informa a la Agencia, o a la autoridad autonómica que corresponda, de la transferencia que pretende llevar a cabo. Comunicarla después, aunque sea pronto, ya no cumple, y la ley no crea un registro de estas transferencias.

deberán informar a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, de cualquier transferencia internacional de datos que pretendan llevar a cabo sobre la base de su necesidad para fines relacionados con intereses legítimos imperiosos perseguidos por aquéllos y la concurrencia del resto de los requisitos previstos en el último párrafo del artículo 49.1 del Reglamento (UE) 2016/679. Asimismo, informarán a los afectados de la transferencia y de los intereses legítimos imperiosos perseguidos. Esta información deberá facilitarse con carácter previo a la realización de la transferencia.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿cuál de estas transferencias internacionales de datos necesita autorización previa de la Agencia Española de Protección de Datos?
  • La que se dirige a un país con decisión de adecuación de la Comisión
  • La que se ampara en normas corporativas vinculantes ya aprobadas
  • La que se basa en cláusulas tipo adoptadas por la propia Agencia
  • La que se basa en cláusulas contractuales que no son las tipo

La autorización es para lo que no tiene ya una garantía reconocida: unas cláusulas negociadas a medida entre las partes, que no son las cláusulas tipo, tienen que pasar antes por la Agencia. Un país con decisión de adecuación de la Comisión, unas normas corporativas vinculantes aprobadas o unas cláusulas tipo adoptadas por la Agencia son justo las garantías que hacen innecesaria esa autorización.

Las transferencias internacionales de datos a países u organizaciones internacionales que no cuenten con decisión de adecuación aprobada por la Comisión o que no se amparen en alguna de las garantías previstas en el artículo anterior y en el artículo 46.2 del Reglamento (UE) 2016/679, requerirán una previa autorización de la Agencia Española de Protección de Datos o, en su caso, autoridades autonómicas de protección de datos, que podrá otorgarse en los siguientes supuestos: a) Cuando la transferencia pretenda fundamentarse en la aportación de garantías adecuadas con fundamento en cláusulas contractuales que no correspondan a las cláusulas tipo
Ley Orgánica 3/2018, de 5 de diciembre

Un organismo público español quiere transferir datos a una autoridad de un tercer Estado con base en un memorando de entendimiento. Según la LO 3/2018, ¿qué tiene que incorporar ese acuerdo para que la Agencia pueda autorizar la transferencia?
  • Derechos efectivos y exigibles para los afectados
  • La aprobación previa de la Comisión Europea
  • La sumisión a los tribunales españoles
  • El consentimiento expreso de cada afectado

Los acuerdos internacionales no normativos de las Administraciones y organismos públicos, memorandos de entendimiento incluidos, solo sirven de base si incorporan derechos efectivos y exigibles para los afectados: es lo que sustituye a la garantía que da un contrato entre particulares. La ley no pide que los apruebe la Comisión, ni una cláusula de sumisión a los tribunales españoles, ni recabar el consentimiento de cada afectado.

Cuando la transferencia se lleve a cabo por alguno de los responsables o encargados a los que se refiere el artículo 77.1 de esta ley orgánica y se funde en disposiciones incorporadas a acuerdos internacionales no normativos con otras autoridades u organismos públicos de terceros Estados, que incorporen derechos efectivos y exigibles para los afectados, incluidos los memorandos de entendimiento.
Ley Orgánica 3/2018, de 5 de diciembre