El Comité Europeo de Protección de Datos (en adelante, EDPB) ha dado un paso relevante en la evolución del sistema de transferencias internacionales de datos con la adopción de su Opinión 15/2026 sobre el esquema de certificación Europrivacy.
La principal novedad reside en su reconocimiento como herramienta válida para la realización de transferencias internaciones conforme a los artículos 42 y 46 del RGPD.Tradicionalmente, el modelo predominante para legitimar las transferencias eran lascláusulas contractuales tipo (SCCs) y las normas corporativas vinculantes (BCRs). No obstante, este pronunciamiento abre la posibilidad a nuevas formas de cumplimiento basadas en certificación.
Hay que tener en cuenta que, hasta el día de hoy, el esquema Europrivacy había tenido un papel limitado a la demostración del cumplimiento del RGPD.
Ahora bien, El EDPB introduce un matiz esencial: la mera certificación no legitima automáticamente la transferencia internacional.
Es decir, que incluso con la certificación, el importador de datos deberá evaluar si las leyes locales podrían menoscabar las protecciones del RGPD, evaluar los riesgos para los derechos y libertades, así como verificar posibles accesos por autoridades públicas.
De esta forma, se evita que la certificación se convierta un “atajo” a los actuales métodos de cumplimiento.
Para que la certificación pueda operar como mecanismo de transferencia, el importador debe asumir compromisos vinculantes y exigibles, implementar medidas de seguridad sólidas y cooperar con las autoridades de protección de datos y la aceptación de auditorías.
La opinión del EDPB confirma una tendencia clara hacia un modelo en el que la certificación adquiera un papel más operativo y transversal. No obstante, el supervisor es igual de claro: la certificación no simplifica automáticamente las transferencias internacionales, sino que se integra en un enfoque más amplio de cumplimiento.