¿Qué son las SCC o cláusulas contractuales tipo?

Algunas empresas a la hora de contratar servicios extranjeros se preguntarán qué son las SCC o cláusulas tipo. Pues para la transferencia de datos a nivel internacional son cláusulas no solo habituales sino prácticamente indispensables.

Definición

Las cláusulas contractuales tipo son aquellas estandarizadas que han sido adoptadas por la Comisión Europea o una autoridad de control. Están reguladas por varias decisiones de la Comisión. En concreto, cuatro decisiones, la nº 2016/2297/UE que modifica a la 2010/87/UE, así como la decisión 2004/915/CE que modifica la 2001/497/CE. Además, en el Reglamento de Protección de Datos (RGPD) se contempla su uso en el art. 46 RGPD. Son una forma de permitir la transferencia de datos entre países de la Unión Europea y un tercer país. Ya que estas suponen el cumplimiento de unas garantías en la protección de los datos del interesado.

En el Anexo de la Decisión 2010/87 se incluyen doce cláusulas modelo a usar. Una particularidad de estas cláusulas es que se usan cuando el encargado del tratamiento es el destinatario fuera de la Unión. Es decir, la relación es entre responsable en la Unión Europea y encargado fuera de la misma.  Sin embargo, las decisiones anteriores a esa fecha regulan las transferencias entre únicamente responsables. Es decir, de un responsable de la UE a un responsable de datos extranjero. Contándose así con otra decena de cláusulas tipo.

Para hacer transferencias internacionales de datos se requiere acudir a ciertos mecanismos como las SCC (por sus siglas en inglés). Si no se cumplen con uno de estos mecanismos será necesario que la autoridad de control autorice la transferencia. El único supuesto en el que no son necesarias es cuando hay una decisión de adecuación. Esto hace referencia a cuando la Comisión estima que un tercer país tiene un nivel de protección adecuado. Por tanto, al ser su nivel de protección similar o igual al nuestro no se requiere autorización de la transferencia. Sin embargo, en ocasiones que a pesar de existir dicha adecuación se usan las cláusulas tipo.

Si te ha interesado este artículo no dudes en leer:

Cómo adecuarse a la normativa GPRD tras la Sentencia Schrems II

Las Sentencias Schrems I y II son unas de las más relevantes en cuanto a protección de datos se refiere. ¿Y ahora qué ocurrirá con las filiales europeas que transfieren datos a sus matrices en EEUU?

Aspectos relevantes de estas cláusulas

Hay que considerar unas cuestiones clave a la hora de usar estas cláusulas.

• Primero que se necesita mayor protección para los datos especialmente sensibles. Para la transferencia de estos se deberá notificar a los interesados antes de su transferencia.
• Además, el lenguaje es ligeramente diverso a la RGPD. En estas se habla de exportador e importador. Para las decisiones de 2001 y 2004 ambos términos se refieren a responsables del tratamiento. En el caso de la decisión de 2010 modificada por la de 2016 el importador es el encargado.
• Aunque sean cláusulas adoptadas por la Comisión, las mismas se regirán por la legislación de cada Estado miembro.
• Protegen al interesado con máximas garantías. Intentan certificar que la relación entre contratantes será lo más equivalente posible al cumplimiento del RGPD. Por ello se incluyen cláusulas como la de tercero beneficiario. Esto significa que se regula incluso la situación en la que exportador o importador dejen de existir o devengan insolventes.

Situación actual tras las sentencias Schrem I y II

Al ser las SCC un medio para permitir las transferencias internacionales los contratantes las usan en abundancia. Sin embargo, tras una controversia entre un ciudadano austriaco y Facebook como matriz estadounidense surgieron dos sentencias. Las sentencias Schrem I y II del Tribunal de Justicia de la Unión Europea. Por las cuales actualmente las autoridades nacionales de control podrán incluso prohibir las transferencias internacionales realizadas mediante SCC. Siempre y cuando se dé una de las dos circunstancias siguientes.

1. Que las partes contratantes no respeten las cláusulas tipo poniendo en riesgo así al interesado.
2. Que la normativa extranjera suponga una supresión de las garantías de protección al interesado que ofrecen las cláusulas tipo.

Esto último ha sucedido con transferencias de datos a EEUU. Pues, aunque los contratantes respetaban la SCC, no lo hacía la norma americana. Como las SCC no vinculan a las autoridades estadounidenses esto permitía el acceso a los datos por sus agencias de seguridad. Hecho totalmente contrario a lo permitido por la legislación europea.

Conclusiones

Las cláusulas contractuales tipo siguen siendo válidas y uno de los medios más usados para las transferencias internacionales de datos. Pero, ahora los exportadores e importadores deberán observar si la legislación nacional de destino suprime las garantías de las SCC. Se tendrá en cuenta entonces el respeto por los contratantes y por la normativa de las garantías de protección de datos. Entonces si existe riesgo y perjuicio para el interesado por esas legislaciones las autoridades de control europeas podrán prohibir las transferencias.

Si le ha gustado este artículo, puede ampliar información pinchando en el siguiente enlace:

¿Qué se entiende por nivel adecuado en las transferencias internacionales de datos?