Aplicación restrictiva de las excepciones
Las transferencias internacionales de datos están reguladas en el capítulo V del Reglamento (UE) 2016/79 del Parlamento Europeo y del Consejo - de 27 de abril de 2016, en adelante "RGPD".
El artículo 49 regula las excepciones de situaciones específicas en donde no existen decisiones de adecuación ni garantías adecuadas para la transferencia internacional de datos.
Es importante destacar que para la aplicación del artículo 49, el exportador de datos que transfiere a terceros países deberá cumplir con las demás disposiciones del RGPD. Es decir, que cada tratamiento de datos tiene que estar en conformidad con el RGPD, en particular con los artículos 5 y 6 que establecen los principios y licitud del tratamiento.
Debe fundamentarse en una base jurídica junto con la conformidad con las disposiciones del Capítulo V sobre transferencias internacionales de datos.
El artículo 49 establece que en ausencia de una decisión de adecuación o de garantías adecuadas, una transferencia o una serie de transferencias de datos personales a un tercer país o a una organización internacional solo se permitirá con ciertas condiciones. Asimismo, el artículo 44 expresa la necesidad de garantizar el nivel de protección que ofrece el RGPD, por ello, las excepciones no pueden menoscabar los derechos fundamentales.
Para transferir internacionalmente datos fuera de la UE primero hay que hallar la posibilidad de utilizar los mecanismos de los artículos 45 y 46 del RGPD, y solo en su defecto, utilizar las excepciones del artículo 49.
Se tratan de una excepción al principio general de que los datos personales solo podrán transferirse a terceros estados cuando se garantice un nivel de protección adecuado en el tercer país o cuando hayan garantías apropiadas y los interesados estén protegidos con derechos efectivos y exigibles. Deben interpretarse restrictivamente de forma que la excepción no se convierta en regla, por ello el artículo 49 establece que estas excepciones están previstas para "situaciones específicas".
El Tribunal de Justicia de la Unión Europea ha sostenido en diferentes ocasiones que la protección del derecho fundamental al respeto de la vida privada e intimidad exige que las excepciones y limitaciones de la protección de datos personales deben aplicarse exclusivamente si es estrictamente necesario.
Estas excepciones generan un aumento de riesgo para los derechos y libertades de los interesados, por lo que los exportadores de datos deberán ofrecer soluciones a los interesados que sirvan para dar seguridad de que sus derechos y garantías fundamentales se respeten. Además, los exportadores deben saber que, como establece el artículo 49.5, en ausencia de dedición de adecuación el Derecho de la Unión o de los Estados miembros podrá, por razones de interés público, limitar expresamente las transferencias de categorías espécificas de datos personales a un tercer país o a una organización internacional.
Es importante destacar que el artículo 48 establece que las decisiones de autoridades u órganos jurisdiccionales de terceros países no constituyen motivos legítimos para las transferencias internacionales de datos, ya que estas deben ser conforme al capítulo V del RGPD.
Finalmente es necesario destacar la limitación a autoridades públicas en ampararse en las excepciones a) a c) debido al desequilibrio de poder entre las partes (artículo 49.3).
Transferencias ocasionales y no repetitivas
El artículo 41 (1), párrafo segundo del RGPD establece que "Cuando una transferencia no pueda basarse en disposiciones de los artículos 45 o 46, incluidas las disposiciones sobre normas corporativas vinculantes, y no sea aplicable ninguna de las excepciones para situaciones específicas a que se refiere el párrafo primero del presente apartado, solo se podrá llevar a cabo si:
1. No es repetitiva.
2. Afecta solo a un número limitado de interesados.
3. Es necesaria a los fines de intereses legítimos imperiosos perseguidos por el responsable del tratamiento sobre los que no prevalezcan los intereses o derechos y libertades del interesado.
4. El responsable del tratamiento evaluó todas las circunstancias concurrentes en la transferencia de datos y, basándose en esta evaluación, ofreció garantías apropiadas con respecto a la protección de datos personales."
Este artículo se relaciona con el considerando 111 del RGPD que se refiere a la posibilidad de realizar transferencias en determinadas circunstancias, de mediar el consentimiento explícito, si la transferencia es ocasional y necesaria en relación con un contrato o una reclamación, independientemente de tratarse de un procedimiento judicial o un procedimiento administrativo o extrajudicial, incluidos los procedimientos ante organismos reguladores.
El Comité en lo relativo a lo "ocasional" o "no repetitivo" considera que tales transferencias pueden producirse más de una vez, pero no de forma regular y se producen por fuera del desarrollo normal de las operaciones, en intervalos de tiempo arbitrarios y en circunstancias aleatorias y desconocidas.
Pero esta interpretación ha generado controversias, como máximo exponente en la Misión de Estados Unidos ante la Unión Europea. Se sostiene que puede generar dificultades en la transferencia desde estados miembros de la UE con fines de protección al público como los siguientes ejemplos:
a) Aquellas que rastrean enfermedades contagiosas y ayudan a garantizar que los medicamentos están debidamente respaldados por ensayos clínicos.
b) Las que garantizan que los productos de consumo cumplen con los estándares de seguridad.
c) Transferencias que supervisan a los participantes del mercado financiero y mantener la estabilidad de los mercados.
d) Aquellas que regulan a profesionales y empresas.
e) Las que protegen a las personas contra fraude y del abuso o prácticas engañosas.
f) Las que facilitan la aplicación de las leyes de competencia.
g) Transferencias que facilitan la aplicación de las leyes que protegen la propia privacidad.
Además, la Secretaría General de las Naciones Unidas citó ejemplos prácticos de transferencias que se podrían ver inadecuadas con la interpretación del Comité, como por ejemplo las transferencias relativas a refugiados, a las migraciones, a la investigación del Cáncer y a la celebración de contratos relativos a servicios tecnológicos para la misma Secretaría.
Para los Estados Unidos el último párrafo del artículo 49 contiene el término "no repetitivo", este solo se aplica a dicho párrafo. En cuanto al considerando 111 no se considera que sea una base suficiente concluyente de que todas las transferencias del artículo 49 deban ser ocasionales.
El Comité ante la polémica reconoció que el considerando 111 aplica a la distinción entre las excepciones, aquellas que se basan en la ejecución de un contrato o la defensa de las reclamaciones, es decir las letras b), c), y e) deben ser transferencias ocasionales. En cambio, las letras a), d), f) y g) no aplica la característica de transferencias ocasionales, son aquellas excepciones que se basan en un consentimiento explícito, razones importantes de interés público, interés vital y en la realización a partir de un registro público.
Finalmente, se argumenta por parte del Comité que estas disposiciones no contradigan a la propia naturaleza de las excepciones a la norma de que las transferencias internacionales de datos a un tercer país deben ser basadas en un nivel adecuado de protección de datos de dicho país, u ofrezcan garantías adecuadas para los interesados.
Criterio de necesidad
Este criterio de necesidad significa que la transferencia de datos debe ser necesaria para un fin determinado. Este aplica a las excepciones b) a f), salvo a aquellas con el consentimiento expreso o desde un registro público. Esto se relaciona con el principio de limitación de la finalidad que exige una relación estrecha y sustancial entre los datos y el fin. Para las letras b) y c) se requiere una relación estrecha y sustancial entre los datos y el objeto del contrato.
