Las transferencias internacionales de datos de carácter personal, consideradas como las transmisiones de datos fuera del Espacio Económico Europeo, están reguladas por la Ley de Protección de Datos (LOPD) y el reglamento de desarrollo de esta norma. A grandes rasgos, la ley establece que no podrán realizarse transferencias, ni temporales ni definitivas, con destino a países que no proporcionen un nivel de protección equiparable al que presta la norma española sobre protección de datos.

La única salvedad a la transmisión de datos a países que no prestan una protección equiparable a la española es que exista una autorización previa del Director de la Agencia Española de Protección de Datos (AEPD). Por ello, las empresas, organismos y otras entidades que manejen ficheros de este tipo, deben conocer, en primer lugar, qué países fuera del Espacio Económico Europeo están al mismo nivel que el nuestro en protección de datos personales.

No todos los países tienen un nivel de protección de datos similar a los de la Unión Europea

Suiza, Canadá, Argentina, Israel, las entidades estadounidenses adheridas a los principios de “puerto seguro” (Safe Harbour); Jersey, Guernsey, Isla de Man, Andorra e Islas Feroe son los países a los que la Comisión Europea ha reconocido un nivel de protección similar al de los países miembros de la Unión. Cuando se tiene previsto realizar una transferencia internacional de datos con destino a uno de estos países con nivel adecuado de protección, deberá comunicarse dicha transferencia a la Agencia mediante la solicitud de la inscripción de ficheros.

En cuanto a las transferencias internacionales a países cuya legislación de protección de datos no es equiparable a la europea, como señalábamos más arriba, solo se podrán realizar si se ha obtenido previamente una autorización del Director de la AEPD, o bien si dicha transferencia se ampara en alguna de las excepciones previstas en el art. 34 de la LOPD, como que la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte España; que se haga a efectos de prestar o solicitar auxilio judicial internacional, o que sea necesaria para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos, entre otros supuestos.

En cualquier caso, la autorización del Director de la Agencia solo se otorga cuando el responsable del tratamiento ofrece garantías suficientes respecto de la protección de la vida privada, de los derechos y libertades fundamentales de la protección de datos de las personas, así como respecto al ejercicio de tales derechos.

Cómo conseguir autorizar la transferencia internacional de datos

El procedimiento de solicitud y tramitación de una autorización de transferencia internacional de datos, recogido en el artículo 33 de la LOPD, se iniciará habitualmente a solicitud del exportador que pretenda llevar a cabo la transferencia. Este deberá consignar de manera clara y precisa la finalidad, el colectivo/s de interesados y los datos objeto de la transferencia internacional, así como la identificación del fichero o ficheros afectados por la misma, y la documentación que incorpore las garantías exigibles para la obtención de la autorización, con descripción de las medidas de seguridad concretas que van a ser adoptadas.

La presentación de una solicitud de autorización de transferencia internacional da lugar al inicio del correspondiente expediente en el Registro General de Protección de Datos, que podrá requerir al solicitante una ampliación de la documentación o la subsanación de algún error, contando con un plazo de 10 días. Si transcurrido este plazo no se ha recibido respuesta contestación, se declara archivado el expediente. En caso contrario, el director de la AEPD dictará el Acuerdo de inicio del trámite de información pública que se remite al BOE.

Desde la publicación en el BOE se dispone de 20 días, periodo durante el cual quienes lo consideren adecuado podrían tener acceso a la documentación relativa a la transferencia internacional objeto de autorización, para realizar, en su caso, las alegaciones que estimen pertinentes. Autorizada la transferencia, el exportador podrá llevarla a cabo.