2.1 Decisiones de adecuación (Artículo 45 RGPD)
Podrá realizarse una transferencia de datos personales a un tercer país cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica.
2.2 Garantías adecuadas (Artículo 46 RGPD)
En el artículo 46 del RGPD se enumeran una serie de instrumentos de transferencia que contienen garantías adecuadas que los exportadores pueden utilizar para transferir datos personales a terceros países en ausencia de decisiones de adecuación:
- Cláusulas contractuales tipo.
- Normas corporativas vinculantes.
- Códigos de conducta.
- Mecanismos de certificación.
- Cláusulas contractuales ad hoc.
La situación en el tercer país al que se realiza la transferencia de datos puede requerir que se complementen estos instrumentos de transferencia y las garantías que contienen con medidas complementarias para garantizar un nivel de protección esencialmente equivalente. Este es el caso de EEUU de acuerdo con la sentencia Schrems II.
2.3 Excepciones para situaciones específicas (Artículo 49 RGPD)
Antes de acogerse a una excepción del artículo 49 del PBIR, debe comprobarse si la transferencia cumple las estrictas condiciones que esta disposición establece para cada una de ellas.
- Consentimiento explícito del interesado.
- La transferencia es necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado.
- La transferencia es necesaria para la celebración o ejecución de un contrato, en interés del interesado, entre el responsable del tratamiento y otra persona física o jurídica.
- La transferencia es necesaria por razones importantes de interés público.
- La transferencia es necesaria para la formulación, el ejercicio o la defensa de reclamaciones.
- La transferencia es necesaria para proteger los intereses vitales del interesado o de otras personas, cuando el interesado esté física o jurídicamente incapacitado para dar su consentimiento.
- La transferencia se realiza desde un registro público.
En el widget jurídico y curso Protocolo de transferencias de datos a EEUU tras la invalidez del Privacy Shield de Campus Ribas tratamos con detalle el protocolo completo a aplicar en el caso de las transferencias de datos personales a EEUU.
Este protocolo se describe en la infografía relativa al protocolo de transferencias de datos a EEUU.