La Comisión Europea aprobó el pasado viernes las nuevas Cláusulas Contractuales Tipo (CCT) que deberán regir las transferencias internacionales de datos personales.
Recordemos que, como transferencia internacional, hay que entender cualquier flujo de datos personales que tenga lugar desde el territorio europeo a países fuera del Espacio Económico Europeo (EEE) (los países de la Unión Europea más Liechtenstein, Islandia y Noruega)
Tal y como prevé el RGPD, las CCT se configuran como una de las posibles garantías a adoptar para transmitir datos a países fuera del EEE.
Hasta ahora, las CCT vigentes regulaban el flujo internacional de datos en las relaciones entre: (i) Responsable-Responsable y (ii) Responsable-Encargado del Tratamiento. Sin embargo, no quedaba cubierto el flujo que pudiese haber entre Encargados del Tratamiento. Ahora bien, las nuevas CCT solventan este vacío y ofrecen cobertura y garantías en los siguientes flujos internacionales: (i) Responsable-Responsable; (ii) Responsable-Encargado; (iii) Encargado-Subencargado; y (iv) Encargado-Responsable.
Otra de las novedades introducidas es el refuerzo del principio de responsabilidad proactiva emanado del RGPD. En este sentido, recae en las partes la capacidad de demostrar el cumplimiento de las obligaciones adoptadas con las CCT suscritas y mantener las mismas actualizadas y documentadas. Todo ello, ligado a la debida diligencia respecto a terceros contratados ubicados fuera del EEE, permite reforzar el cumplimiento del RGPD.
Ahora bien ¿qué ocurre con los contratos firmados con las anteriores CCT?
La Decisión de la Comisión ha concedido un plazo de 3 meses para la total derogación de las CCT aprobadas a la luz de la Directiva 95/46. No obstante, los contratos celebrados bajo su amparo seguirán siendo válidos y con garantías suficientes hasta el 27 de diciembre de 2022. Fecha en la cual sí deberán actualizarse las CCT y contratos firmados. Ello siempre que las CCT y obligaciones a las que se encuentre sujeto el país tercero no impida cumplir el RGPD y principios emanados tras el caso Schrems II. En caso contrario, deberán Suscribirse las nuevas CCT.
Surge así, una vez más, la importancia de revisar y, en su caso, suscribir las debidas garantías en forma de CCT con aquellos terceros con quienes se transmiten datos internacionalmente.
Desde UBT Legal & Compliance apoyamos a nuestros clientes para que todas sus relaciones internacionales respeten y velen por el cumplimiento de la norma. Y, tras esta nueva Decisión, se encuentren también alineadas a las nuevas exigencias de la Comisión Europea respecto al flujo internacional.