Las transferencias internacionales de datos en la ley orgánica

• Le pone fin, y resuelve el Comité en su lugar
• Ninguno: el plazo máximo sigue corriendo
• Abre un plazo de silencio estimatorio de un mes
• Lo suspende hasta que se notifique el dictamen

La remisión suspende el procedimiento: el plazo deja de correr mientras el Comité prepara su dictamen y se reanuda cuando se notifica a la Agencia o, por su conducto, a la autoridad autonómica competente. La autorización la sigue dando la autoridad española, aunque sometida a ese dictamen, y la ley no liga ningún silencio a la espera.

• Tres meses
• Doce meses
• Seis meses
• Nueve meses

Seis meses. Es un plazo propio de la autorización previa, que la ley fija aparte, así que no se toma de los demás procedimientos de la Agencia: ni del de aprobar normas corporativas vinculantes ni de los del procedimiento por vulneración de la normativa.

• De la autorización que le haya dado la Agencia para hacerla
• De la transferencia y de los intereses que la justifican
• Del dictamen que haya emitido el Comité Europeo sobre ella
• De la decisión de adecuación que ampara al país de destino

Los afectados reciben dos datos: que sus datos se transfieren y qué intereses legítimos imperiosos del responsable lo justifican. Las otras tres opciones son garantías de otras vías de transferencia que aquí no concurren: precisamente porque faltan, el responsable se apoya en la necesidad de sus intereses imperiosos.

• A las de los responsables que hayan designado un delegado de protección de datos
• A las de las empresas con menos de doscientos cincuenta trabajadores
• A las de las entidades sin ánimo de lucro con fines de interés general
• A las de las autoridades públicas en el ejercicio de sus poderes públicos

La salvedad es para las autoridades públicas cuando ejercen sus poderes públicos, de acuerdo con el artículo 49.3 del Reglamento, que no les deja apoyar una transferencia en esta vía. Tener delegado de protección de datos, el tamaño de la empresa o la falta de ánimo de lucro no cambian nada: a todos ellos el artículo se les aplica igual.

• Al informe preceptivo del Consejo de Estado
• Al informe previo del Ministerio de Justicia
• Al dictamen del Comité Europeo de Protección de Datos
• A la autorización previa del Consejo de Ministros

Las cláusulas tipo que adopten la Agencia o una autoridad autonómica se someten previamente al dictamen del Comité Europeo de Protección de Datos, el órgano de la Unión que reúne a las autoridades de control: la transferencia saca los datos de la Unión y el criterio tiene que ser común. El artículo no prevé para este trámite un informe del Consejo de Estado o del Ministerio de Justicia, ni una autorización del Consejo de Ministros: la Agencia actúa con independencia del Gobierno.

• La que se dirige a un país con decisión de adecuación de la Comisión
• La que se ampara en normas corporativas vinculantes ya aprobadas
• La que se basa en cláusulas tipo adoptadas por la propia Agencia
• La que se basa en cláusulas contractuales que no son las tipo

La autorización es para lo que no tiene ya una garantía reconocida: unas cláusulas negociadas a medida entre las partes, que no son las cláusulas tipo, tienen que pasar antes por la Agencia. Un país con decisión de adecuación de la Comisión, unas normas corporativas vinculantes aprobadas o unas cláusulas tipo adoptadas por la Agencia son justo las garantías que hacen innecesaria esa autorización.

• Derechos efectivos y exigibles para los afectados
• La aprobación previa de la Comisión Europea
• La sumisión a los tribunales españoles
• El consentimiento expreso de cada afectado

Los acuerdos internacionales no normativos de las Administraciones y organismos públicos, memorandos de entendimiento incluidos, solo sirven de base si incorporan derechos efectivos y exigibles para los afectados: es lo que sustituye a la garantía que da un contrato entre particulares. La ley no pide que los apruebe la Comisión, ni una cláusula de sumisión a los tribunales españoles, ni recabar el consentimiento de cada afectado.

• Informarle de la transferencia antes de realizarla
• Pedirle una autorización y esperar a que la conceda
• Comunicársela en el mes siguiente a realizarla
• Inscribirla en un registro público de la Agencia

Para este supuesto la ley no pide autorización, sino información, y previa: el responsable informa a la Agencia, o a la autoridad autonómica que corresponda, de la transferencia que pretende llevar a cabo. Comunicarla después, aunque sea pronto, ya no cumple, y la ley no crea un registro de estas transferencias.