Muchas empresas se preguntan qué es eso del safe harbor (Puerto Seguro), un término que no paran de escuchar y ver en diferentes medios de información últimamente.
Este revuelo fue causado por la Sentencia dictada por el Tribunal de Justicia de la Unión Europea C-362/2014 de 6 de octubre de 2015. Concretamente, lo que se establece es que EEUU ya no garantiza un nivel adecuado de protección de los datos personales, lo cual afecta directamente a la transferencia internacional de la información de los ciudadanos europeos. Es decir, se invalida ese “safe harbor” (Puerto Seguro) al que se adherían las empresas de EEUU para garantizar (en teoría) un nivel equiparable de privacidad al que aseguran las empresas europeas.
Es importante resaltar que, la normativa europea (y la española) permite transferir datos personales a un país tercero siempre que éste garantice un nivel de protección adecuado según su legislación interna. Pero en caso de realizar la transferencia a un país que no proporcione ese nivel de protección establecido, será considerada como una infracción muy grave con una multa de hasta 600.000 €.
Por ello, aquellas empresas que utilicen plataformas telemáticas y plataformas SaaS que pertenecen a entidades con sede en EEUU (Google, Dropbox…) estarán obligadas a regularizar esta situación y tienen de plazo hasta el 29 de enero según la Agencia Española de Protección de Datos (“AEPD”).
¿Y cómo legalizar esta situación? La “AEPD” autorizará la transferencia si se solicita la aprobación de las cláusulas contractuales o de las normas corporativas vinculantes.
Sin embargo, existen otras formas que no necesitan de la autorización de la “AEPD”. Por ejemplo, requerir el consentimiento inequívoco de los afectados o en su caso, basarse en la necesidad de la transferencia para la ejecución del contrato entre el afectado y el responsable del fichero.
Un último apunte sobre el safe harbor es que, también aquellas empresas que dejen de realizar estas transferencias, deberán comunicárselo expresamente a la “AEPD”.
Conoce aquí las novedades del Reglamento Europeo de Protección de datos.
André Castelo Pichel
Abogado TIC
