El BOE de 7 de junio de 2021 publicó la Decisión de Ejecución de la Comisión Europea del pasado 4 de junio de 2021, en la que se publicó el nuevo conjunto de cláusulas contractuales tipo (Standard Contractual Clauses o SCCs) que representan un mecanismo para asegurar garantías adecuadas de protección de datos en las transferencias internacionales de datos.
Entre las principales novedades de las nuevas cláusulas contractuales es importante destacar que sustituyen a sus predecesoras que dejarán de tener efecto a partir del 27 de septiembre de 2021 y, además, se componen de cuatro modelos diferentes dependiendo del escenario en el que se utilicen, incluyendo dos escenarios anteriormente no regulados (E-R y E-E):
- de responsable a responsable (R-R);
- de responsable a encargado (R-E);
- de encargado a responsable (E-R); y
- de encargado a encargado (E-E).
Las SCCs son herramientas usadas de manera habitual por los operadores del mercado para realizar transferencias internacionales de datos personales a terceros países que no están sujetos a una decisión de adecuación.
Las anteriores SCCs fueron aprobadas antes de la entrada en vigor del Reglamento General de Protección de Datos (RGPD), por lo tanto, necesitaban ser actualizadas. Dicha necesidad fue aumentando tras la publicación de la Sentencia Schrems II del Tribunal de Justicia de la Unión Europea - TJUE, que, aunque las considerara válidas, concluía que en algunos casos podían no ser suficientes para garantizar un nivel adecuado de protección.
Pues bien, las nuevas cláusulas se adaptan totalmente al RGPD incorporando el principio de «accountability» y haciendo propios los criterios señalados por el TJUE en la sentencia del caso Schrems II. No obstante, así como indica la AEPD, sigue siendo necesario que el exportador, en su caso ayudado por el importador, analice el impacto que la legislación del país del importador pueda tener en el nivel de protección proporcionado, de forma que sea esencialmente equivalente al que proporciona el marco europeo. También, deberán tenerse en cuenta las directrices del Comité Europeo de Protección de Datos sobre las medidas suplementarias que se considere adecuado adoptar para garantizar ese nivel de protección equivalente.
Como indicado, las cláusulas contractuales “antiguas” quedarán derogadas a partir del 27 de septiembre de 2021. No obstante, los contratos celebrados antes de dicha fecha con arreglo a las anteriores SCCs serán válidos hasta el 27 de septiembre de 2022 (es decir, tendrán un período de 15 meses para su adaptación a las nuevas cláusulas), siempre que las operaciones de tratamiento permanezcan inalteradas y las cláusulas contractuales garanticen que la transferencia de datos personales esté sujeta a garantías adecuadas.
Finalmente, es preciso indicar que tras la publicación de la Decisión de ejecución UE 2021/914 de la Comisión de 4 de junio de 2021 , solo nos queda esperar a las traducciones oficiales de dichas clausulas en los diferentes idiomas oficiales de la UE.