¡Descarga Regulación Internacional de Protección de Datos: Transferencias Globales - Prof. Carretero y más Apuntes en PDF de Derecho Administrativo solo en Docsity!
LECCIÓN 7ª (1ª PARTE)
LA TRANSFERENCIA INTERNACIONAL DE DATOS DE CARÁCTER PERSONAL
Prof. Dr. Santiago Rosado Pacheco
I. Previo
Tanto el desarrollo internacional del comercio como el fenómeno del comercio electrónico, la presencia de una gran cantidad de empresas multinacionales en los estados Unidos de América y la Unión Europea, ha impuesto la necesidad de arbitrar una serie de medidas y normas que regulen la transmisión de datos personales de carácter personal entre Entidades (en general empresas privadas) que pueden encontrarse localizadas en cualquier parte del mundo. Junto a los hechos reales, se detecta la existencia de una diversidad de regulaciones normativas para la propia protección de datos de carácter personal, con un punto de encuentro, relativamente reciente, que es el Convenio de Estrasburgo de 28 de enero de 1981 (el Convenio 108) con un protocolo adicional de 8 de noviembre de 2001.
Una muestra de lo que se acaba de decir es el índice reciente de Decisiones de la Comisión Europea:
Decisión de la Comisión de 8 de mayo de 2008 de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales en Jersey
Decisión de la Comisión de 6 de septiembre de 2005, relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros (PNR) que se transfieren a la Agencia de Servicios de Fronteras de Canadá.
Decisión de la Comisión de 27 de diciembre de 2004, por la que se modifica la Decisión 2001/497/CE en lo relativo a la introducción de un conjunto alternativo de cláusulas contractuales tipo para la transferencia de datos personales a terceros países.
Decisión de la Comisión de 14 de mayo de 2004 relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros que se transfieren al Servicio de aduanas y protección de fronteras de los Estados Unidos (Bureau of Customs and Border Protection).
Decisión de la Comisión de 29 de abril de 2004 por la que se establece una lista de organismos cuyos investigadores pueden acceder, con fines científicos, a datos confidenciales.
Decisión de la Comisión de 28 de abril de 2004 relativa al carácter adecuado de la protección de datos personales en la Isla de Man.
Decisión de la Comisión de noviembre de 2003, relativa al carácter adecuado de la protección de datos personales en Guernsey.
Decisión de la Comisión de 30 de junio de 2003, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo sobre la adecuación de la protección de los datos personales en Argentina.
Decisión reguladora de la Unidad de Cooperación Judicial Eurojust.
Corrección de errores de la Decisión 2002/16/CE de la Comisión, de 27 de diciembre de 2001, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE.
Decisión 2002/16/CE de la Comisión, de 27 de diciembre de 2001, relativa a 'Cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE.
Decisión de la comisión de 20 de diciembre de 2001 con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección de los datos personales conferida por la ley canadiense Personal Information and Electronic Documents Act.
Decisión 2001/497/CE de la Comisión, de 15 de junio de 2001, relativa a 'Cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE.
- VERSIÓN CONSOLIDADA de la Decisión 2001/497/CE de la Comisión, de 15 de junio de 2001
Decisión de la Comisión de 26 de julio de 2000 con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo relativa al nivel de protección adecuado de los datos personales en Suiza.
Decisión de la Comisión de 26 de Julio de 2000 con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo relativa a la protección adecuada de los datos personales en Hungría.
Decisión de la Comisión de 26 de Julio de 2000 con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América.
REGLAMENTO (CE) No 831/2002 DE LA COMISIÓN de 17 de mayo de 2002 por el que se aplica el Reglamento (CE) no 322/97 del Consejo sobre la estadística comunitaria en lo relativo al acceso con fines científicos a datos confidenciales.
II. Transferencia Internacional de Datos: Concepto y Delimitación
El tráfico internacional de datos de carácter personal se canaliza jurídicamente mediante transferencias internacionales de datos, desde el ordenamiento jurídico que califica de ese
-el Convenio sobre tecnología de la información a efectos aduaneros (Unión Europea);
-el Convenio sobre fronteras (Schengen);
-el Convenio y Decisión sobre la Unidad de Cooperación Judicial (Eurojust)
Todos ellos tienen una Secretaria Común o Conjunta que da unidad dentro de la Unión Europea;
-el Reglamento CE/45/2001, del Parlamento y el Consejo europeos sobre protección de datos en el tratamiento entre instituciones y organismos europeos, sometido al Supervisor Europeo de Protección de Datos de Carácter Personal.
- La transferencia internacional entre sujetos privados que descansa sobre el principio básico que exige el consentimiento del afectado.
III. Clasificación de las transferencias Internacionales de datos
Los supuestos de transferencias internacionales de datos son tan usuales en el tráfico jurídico como heterogéneos.
La gran mayoría de estas transferencias se caracterizan por la presencia de dos Empresarios (privados) dentro de una misma estructura corporativa (centralización de datos en la sede matriz de un grupo de sociedades –BMW, por ejemplo- relativos a los empleados o sus clientes.
También son abundantes los supuestos en los que las transferencias se canalizan mediante contratos de arrendamiento de servicios (por ejemplo, servicios turísticos: envío de los datos personales del cliente por parte de una agencia de viajes a centrales de tratamiento situadas en terceros países), o el servicio del transporte a nivel mundial, también en el marco de un contrato de tarjeta de crédito.
Debe dejarse sentado que este tipo de negocios suelen integrar el denominado “Negocio” o “Contrato” de “Outsourcing” (figura jurídica de perfiles muy amplios y confusos) que podría describirse como una gestión empresarial no uniforme, instrumentada en un contrato de arrendamiento de servicios, cuyo objeto es una determinada prestación informática por parte de un proveedor, a la empresa solicitante, a cambio de un determinado precio.
No obstaste lo dicho anteriormente, se puede realizar una propuesta de clasificación según tres criterios:
a) En función de la finalidad de transmisión según las facultades del empresario de destino: dos supuestos
-el empresario transmitente cede datos a un tercero localizado en un país extranjero, y este decide la finalidad del tratamiento, constituyéndose en “responsable del tratamiento “ (art. 11 LOPD);
-transmisión al empresario localizado en el extranjero que actúa como “encargado del transmitente”, por cuenta del que transmitió (art. 12 LOPD), sin capacidad para decidir sobre la finalidad, contenido o uso del tratamiento;
b) El carácter principal o accesorio de la transferencia, o clasificación según el régimen jurídico que se deduce del objeto del negocio jurídico:
-la celebración o ejecución de un contrato o precontrato determinado, exige con carácter accesorio un tratamiento de daros (reserva de un billete de avión para la ejecución de un contrato de transporte entre el pasajero y la compañía aérea), aquí no se necesita autorización administrativa previa para la transferencia, aunque el país destinatario carezca de un nivel de protección de datos adecuado;
-cuando la transferencia de datos se desarrolla en el marco de un negocio cuyo objeto principal es la transmisión de esos datos (transferencia de datos de la filial española a su sede en otro país, relativa a clientes y empleados):
c) Según el nivel de protección del ordenamiento jurídico del destinatario de la transferencia. Se distingue, en virtud de los arts. 33 y 34 de la LOPD, entre:
-países que ofrecen un nivel de protección equivalente al español
-países que no lo ofrecen: requiere siempre la obtención previa de autorización del Director de la Agencia, que sólo la concede si se obtienen garantías adecuadas (contratos tipo)
-todos los países de la Unión Europea, más Noruega e Islandia, y aquéllos cuya suficiencia es reconocida por la Comisión Europea (Suiza, Canadá y EEUU), aunque en este caso es necesario hacer la siguiente reseña:
EEUU: El régimen de “Safe Harbor”
Ante la ausencia de un régimen estadounidense de protección de datos de carácter personal adecuado a los niveles y parámetros del sistema general de la Unión Europea, se ha establecido el régimen de “Puerto Seguro (Safe Harbor) que consiste en lo siguiente: conjunto de normas que constituyen un cuerpo normativo adoptado por el Departamento de Comercio de los EEUU, compuesto por los “principios de Régimen del Puerto Seguro” y de las “Preguntas más frecuentes” (FAQS), lo que ha sido considerado adecuado por la Comisión Europea en su Decisión de 26 de julio de 2000: esta decisión liberaliza definitivamente las transferencias de datos entre la Unión Europea hacia los EEUU.
Hay que señalar que esos denominados “principios” son sólo técnicas de autorregulación (como los Códigos Tipo), con alcance sectorial , cuya adopción por empresas de EEUU es voluntaria, si aceptan los “principios” están obligadas a divulgar sus políticas de protección de la vida privada y a aceptar la Jurisdicción de la Comisión Federal de Comercio (Federal Trade Comission).
