Resposta rápida: As transferencias de datos transfronteirizas implican o movemento de datos persoais a través das fronteiras nacionais, e están rexidas por un mosaico de leis superpostas que inclúen o GDPR da UE, o PIPA de Corea do Sur, o PIPL de China e varios réximes específicos de cada sector. As organizacións deben identificar que marcos se aplican aos seus fluxos de datos e, a continuación, implementar mecanismos de transferencia aprobados, como as Cláusulas Contractuais Tipo ou as decisións de adecuación, antes de que se produza calquera transferencia. O incumprimento pode provocar multas de decenas de millóns de euros, investigacións reguladoras e danos á reputación.
Puntos clave
- O GDPR restrinxe a saída de datos persoais do EEE a menos que exista unha decisión de adecuación, SCCs ou Normas Corporativas Vinculantes.
- O PIPA de Corea do Sur require o consentimento explícito ou unha base legal para as transferencias transfronteirizas e difire do GDPR en varios aspectos procedementais.
- O PIPL e a Lei de Ciberseguridade de China impoñen algúns dos requisitos de localización de datos máis estritos do mundo, incluíndo avaliacións de seguridade obrigatorias para certas transferencias saíntes.
- As Cláusulas Contractuais Tipo (SCCs), actualizadas en xuño de 2021, seguen sendo o mecanismo de transferencia máis utilizado polas organizacións que envían datos fóra do EEE.
- Un estudo de 2021 que analizou 10.080 aplicacións móbiles descubriu que o 56% eran potencialmente non conformes cos requisitos de transferencia transfronteiriza do GDPR. [7]
- O Marco de Privacidade de Datos UE-EEUU substituíu o Privacy Shield invalidado, pero as organizacións deben seguir monitorizando o seu estado legal.
- A localización de datos e as restricións de transferencia de datos son conceptos relacionados pero distintos: a localización esixe onde se almacenan os datos, mentres que as restricións de transferencia rexen cando e como se poden mover os datos.
- Os datos dos empregados non están exentos das normas de transferencia transfronteiriza; a miúdo requírense acordos de transferencia de datos ou excepcións separadas.
- Os custos de cumprimento varían moito dependendo do tamaño da empresa, o volume de datos e o número de xurisdicións implicadas.
- As plataformas de xestión de consentimento como Biscotti CMP (www.biscotti-cmp.com) poden axudar ás organizacións a documentar as bases legais e os rexistros de consentimento relevantes para os fluxos de datos transfronteirizos.
Que é a transferencia de datos transfronteiriza e por que é importante
Unha transferencia de datos transfronteiriza prodúcese sempre que os datos persoais se moven dun país a outro, xa sexa a través de almacenamento na nube, plataformas SaaS, correo electrónico ou integracións de API. Isto é importante porque as leis nacionais de privacidade se aplican aos datos en si, non só ao país onde está constituída a organización.
Para as empresas que operan a nivel global, unha única plataforma de RRHH aloxada nos Estados Unidos que procesa rexistros de empregados de oficinas da UE xa constitúe unha transferencia transfronteiriza suxeita ao GDPR. O mesmo aplícase ás axencias de marketing que envían listas de correo electrónico de clientes a unha ferramenta de automatización con sede nos EUA, ou aos desenvolvedores que utilizan servizos de análise de terceiros encamiñados a través de servidores en países non pertencentes ao EEE.
As apostas son altas. A aplicación da normativa intensificouse en varias xurisdicións desde 2021, e a falta de harmonización internacional nas leis de protección de datos crea superposición de regras e estándares rivais que complican o cumprimento para as organizacións que operan a través das fronteiras. [8]
Como afecta o GDPR ao envío de datos fóra da UE
O GDPR prohibe a transferencia de datos persoais do Espazo Económico Europeo (EEE) a terceiros países a menos que exista un dos varios mecanismos aprobados. Os tres mecanismos principais son as decisións de adecuación, as Cláusulas Contractuais Tipo e as Normas Corporativas Vinculantes. [1]
As decisións de adecuación son emitidas pola Comisión Europea cando determina que un terceiro país ofrece un nivel de protección de datos esencialmente equivalente ao do EEE. A partir de 2026, as decisións de adecuación abranguen xurisdicións como o Reino Unido, Xapón, Corea do Sur e varias outras. [1] Os datos poden fluír libremente a estes países sen salvagardas adicionais.
As Cláusulas Contractuais Tipo (SCCs) son modelos de contrato preaprobados emitidos pola Comisión Europea. As SCCs modernizadas, publicadas o 4 de xuño de 2021, abranguen catro escenarios de transferencia: responsable a responsable, responsable a encargado, encargado a responsable e encargado a encargado. [2]
As Normas Corporativas Vinculantes (BCRs) son políticas internas adoptadas por grupos empresariais multinacionais para rexer as transferencias intragrupo. As BCRs requiren a aprobación dunha autoridade de supervisión principal e deben incluír disposicións sobre a base legal, os dereitos dos interesados e os procedementos de reclamación. [1]
"As organizacións deben mapear os seus fluxos de datos para identificar todas as transferencias e aplicar as salvagardas adecuadas antes de que calquera dato persoal saia do EEE." [1]
Que é PIPA e a que países se aplica
A Lei de Protección de Información Persoal (PIPA) de Corea do Sur é a principal lei de privacidade de datos do país, que rexe a recollida, uso e transferencia transfronteiriza de información persoal por parte de entidades tanto do sector público como privado. O PIPA aplícase a calquera organización que procese datos persoais de residentes de Corea do Sur, independentemente de onde estea establecida a organización.
O PIPA require que os interesados sexan informados e, xeralmente, consintan a transferencia dos seus datos persoais ao estranxeiro. As divulgacións específicas deben incluír a identidade do destinatario, o propósito da transferencia, os elementos de datos transferidos, o período de retención e como os interesados poden retirar o consentimento.
Cal é a diferenza entre GDPR e PIPA para as transferencias de datos
Tanto o GDPR como o PIPA regulan as transferencias de datos transfronteirizas, pero diverxen en varios puntos procedementais e substantivos. [6]
| Dimensión | GDPR (UE/EEE) | PIPA (Corea do Sur) |
|---|---|---|
| Mecanismo de transferencia | Decisión de adecuación, SCCs, BCRs, excepcións | Consentimento, necesidade contractual, acordos equivalentes de adecuación |
| Transferencias de cooperación xudicial | Permitidas baixo acordos internacionais | Non especificadas explicitamente |
| Notificación ao interesado | Requirida para SCCs e BCRs | Requirida no momento da recollida ou transferencia |
| Autoridade de supervisión | DPAs nacionais / EDPB | Comisión de Protección de Información Persoal (PIPC) |
| Multas | Ata o 4% da facturación anual global | Ata 300 millóns de KRW (aprox. 220.000 USD) por infracción |
Unha diferenza práctica clave: o GDPR ofrece máis flexibilidade a través de múltiples mecanismos de transferencia, mentres que o requisito predeterminado do PIPA inclínase máis cara ao consentimento explícito, o que fai que a infraestrutura de xestión do consentimento sexa particularmente importante para as organizacións que operan en Corea do Sur. [6]
Que son as Cláusulas Contractuais Tipo e necesítalas
As Cláusulas Contractuais Tipo son disposicións contractuais preaprobadas emitidas pola Comisión Europea que vinculan legalmente ao exportador e importador de datos para protexer os datos persoais durante as transferencias transfronteirizas. Calquera organización que envíe datos persoais do EEE a un país sen unha decisión de adecuación case con toda seguridade necesita SCCs. [2]
As SCCs de 2021 substituíron as versións anteriores de 2001 e 2010 e introduciron unha estrutura modular que abrangue todas as relacións de transferencia de datos. As organizacións que utilizaban SCCs antigas tiñan un prazo de transición ata o 27 de decembro de 2022 para migrar ás novas versións.
Cando necesitas SCCs:
- Envío de datos de clientes a un CRM ou plataforma de marketing con sede nos EUA
- Uso dun provedor de nube con servidores fóra do EEE
- Compartir datos de empregados cunha empresa matriz non pertencente ao EEE
- Contratación dun encargado non pertencente ao EEE para análise, soporte ou desenvolvemento
Cando pode que non necesites SCCs:
- Transferencia de datos a un país cunha decisión de adecuación
- Confiando en BCRs para transferencias intragrupo
- Aplicando unha excepción específica (por exemplo, consentimento explícito para transferencias ocasionais)
Que países teñen as restricións de transferencia de datos máis estritas
China e Rusia impoñen os réximes de transferencia de datos transfronteirizos máis restritivos a nivel mundial. O PIPL de China (en vigor desde o 1 de novembro de 2021) require o consentimento explícito, avaliacións de seguridade realizadas pola Administración do Ciberespazo de China (CAC) para certas transferencias e contratos estándar para outras. [3] A Lei de Ciberseguridade de China restrinxe aínda máis as transferencias transfronteirizas de información persoal e "datos importantes" recollidos a través de operacións dentro de China. [5]
Rusia esixe que os datos persoais dos cidadáns rusos se almacenen en servidores situados dentro de Rusia antes de que se produza calquera transferencia transfronteiriza.
Outras xurisdicións con restricións notables inclúen:
- India: A Lei de Protección de Datos Persoais Dixitais (DPDPA) restrinxe as transferencias a certos países "na lista negra".
- Indonesia: O Regulamento Gobernamental 71 require a localización de datos para certos operadores de sistemas electrónicos.
- Vietnam: A Lei de Ciberseguridade esixe o almacenamento local para certas categorías de datos.
Podo transferir datos persoais aos EUA baixo o GDPR
Si, pero só a través dun mecanismo aprobado. O Marco de Privacidade de Datos UE-EEUU (DPF), adoptado en xullo de 2023, permite as transferencias a organizacións estadounidenses certificadas sen SCCs. [9] Non obstante, o DPF enfrontou desafíos legais, e as organizacións deben manter as SCCs como unha salvagarda de respaldo dada a historia da invalidación do Privacy Shield en 2020.
Para as organizacións estadounidenses non certificadas baixo o DPF, as SCCs seguen sendo o mecanismo principal. As leis estadounidenses específicas do sector, como a HIPAA, tamén impoñen obrigas ás entidades estranxeiras que procesan información de saúde protexida en nome de entidades cubertas polos EUA. [4]
Cal é a diferenza entre a localización de datos e as restricións de transferencia de datos
As leis de localización de datos requiren que certos datos se almacenen en servidores situados fisicamente dentro das fronteiras dun país. As restricións de transferencia de datos rexen as condicións baixo as cales os datos poden ser enviados ao estranxeiro, independentemente de onde se almacenen.
Unha empresa pode cumprir as restricións de transferencia de datos mentres segue almacenando datos fóra das fronteiras dun país (se o mecanismo de transferencia é válido). Pola contra, un país con requisitos de localización de datos aínda pode permitir transferencias transfronteirizas sempre que se conserve unha copia local. O réxime de China combina ambos: esixe o almacenamento local para certas categorías de datos e restrinxe por separado as transferencias saíntes. [5]
Canto custa establecer transferencias de datos transfronteirizas conformes
Os custos de cumprimento dependen do tamaño da organización, da complexidade dos datos e do número de xurisdicións implicadas. Non existe un único punto de referencia, pero as seguintes categorías de custos aplícanse á maioría das organizacións:
- Revisión legal e execución de SCCs: Oscila entre uns poucos miles de dólares para pequenas organizacións e seis cifras para empresas con centos de relacións con provedores.
- Mapeo de datos e auditorías de fluxo: Tempo do persoal interno ou honorarios de consultores externos; as empresas de tamaño medio adoitan gastar entre 20.000 e 100.000 USD nunha auditoría completa.
- Aprobación de BCR: Un proceso de varios anos que implica o compromiso regulador; normalmente reservado para grandes multinacionais dada a inversión de recursos.
- Monitorización continua do cumprimento: Revisión anual das decisións de adecuación, actualizacións das SCCs e novos requisitos de xurisdición.
Investir nunha plataforma de xestión de consentimento como Biscotti CMP (www.biscotti-cmp.com) pode reducir os custos de cumprimento continuos centralizando os rexistros de consentimento e apoiando a documentación das bases legais de transferencia.
Que ocorre se unha empresa viola as normas de transferencia de datos transfronteirizas
As violacións do GDPR relacionadas coas transferencias transfronteirizas entran no nivel superior de multas: ata 20 millóns de euros ou o 4% da facturación anual global, o que sexa maior. As autoridades de supervisión impuxeron multas significativas especificamente por transferencias ilegais, incluíndo casos que implicaban datos enviados aos EUA sen salvagardas adecuadas.
Ademais das multas, as consecuencias inclúen:
- Suspensión das operacións de transferencia de datos por parte das autoridades de supervisión
- Auditorías obrigatorias e plans de acción correctiva
- Demandas civís dos interesados
- Danos á reputación e perda de confianza dos clientes
Segundo o PIPL de China, as violacións poden resultar en multas de ata 50 millóns de RMB ou o 5% dos ingresos anuais do ano anterior, ademais da posible suspensión das operacións comerciais. [3]
Necesito acordos de transferencia de datos para os datos dos empregados
Si. Os datos persoais dos empregados están suxeitos ás mesmas normas de transferencia transfronteiriza que os datos dos clientes baixo o GDPR e a maioría dos outros marcos de privacidade. Moitas organizacións asumen incorrectamente que os contratos de traballo ou as políticas internas de RRHH son suficientes; non substitúen a necesidade dun mecanismo de transferencia válido.
Para os grupos multinacionais, as BCRs adoitan ser a solución máis práctica para os datos dos empregados porque abranguen todas as transferencias intragrupo baixo un único marco aprobado. Alternativamente, as SCCs pódense executar entre a entidade empregadora e a entidade receptora dentro do grupo.
Cales son os erros comúns que cometen as empresas coas transferencias internacionais de datos
Os fallos de cumprimento máis frecuentes nas transferencias de datos transfronteirizas inclúen:
- Non mapear os fluxos de datos: As organizacións non poden aplicar o mecanismo correcto se non saben onde van os datos. Un estudo de 2021 descubriu que o 56% das aplicacións móbiles analizadas eran potencialmente non conformes cos requisitos de transferencia do GDPR, en gran parte debido a fluxos de datos de terceiros non divulgados. [7]
- Uso de SCCs obsoletas: As organizacións que non migraron das SCCs antigas ás versións de 2021 antes da data límite do 27 de decembro de 2022 están a operar con contratos inválidos.
- Asumir que os provedores de nube xestionan o cumprimento: Os provedores de nube proporcionan acordos de procesamento de datos, pero o responsable do tratamento dos datos segue sendo responsable de garantir a existencia dun mecanismo de transferencia válido.
- Ignorar as cadeas de subprocesadores: Cando un encargado contrata un subprocesador nun terceiro país, o responsable orixinal debe asegurarse de que as SCCs ou salvagardas equivalentes se estendan pola cadea.
- Pasar por alto os datos dos empregados: Os sistemas de RRHH, as plataformas de nóminas e as ferramentas de colaboración adoitan transferir datos dos empregados a través das fronteiras sen os acordos adecuados.
Como sei se a miña empresa necesita preocuparse polas restricións transfronteirizas
Calquera organización que recolla datos persoais de residentes dunha xurisdición regulada e utilice ferramentas, provedores ou infraestruturas situadas fóra desa xurisdición necesita abordar os requisitos de transferencia transfronteiriza. Isto aplícase incluso a pequenas empresas que utilizan plataformas de marketing por correo electrónico ou ferramentas de análise aloxadas nos EUA.
Use esta regra de decisión:
- Se recolle datos de residentes da UE/EEE e utiliza calquera provedor non pertencente ao EEE, aplícanse as normas de transferencia do GDPR.
- Se procesa datos de residentes de Corea do Sur e os comparte con entidades estranxeiras, aplícase o PIPA.
- Se opera en China e transfire información persoal ou "datos importantes" fóra de China, aplícanse o PIPL e a Lei de Ciberseguridade.
- Se é unha entidade estadounidense que recibe datos persoais da UE, necesita a certificación DPF ou SCCs dos seus socios da UE.
O sistema de Regras de Privacidade Transfronteirizas (CBPR) da APEC ofrece unha vía de certificación para as organizacións que operan en economías membros de Asia-Pacífico, proporcionando un marco de cumprimento recoñecido para as transferencias intra-APEC. [9]
Preguntas frecuentes
Cal é a forma legal máis sinxela de transferir datos entre países? Transferir datos a un país cunha decisión de adecuación da UE é a ruta máis sinxela baixo o GDPR, xa que non se requiren contratos nin salvagardas adicionais. Para outros destinos, executar Cláusulas Contractuais Tipo co destinatario dos datos é a opción máis directa.
Son necesarias as SCCs para cada transferencia internacional? Non. As SCCs son necesarias cando se transfiren datos do EEE a un país sen unha decisión de adecuación e cando non se aplica ningún outro mecanismo válido (BCRs, excepcións vinculantes). As transferencias a países con adecuación aprobada non requiren SCCs.
O GDPR aplícase a empresas non pertencentes á UE? Si. O GDPR aplícase a calquera organización que procese datos persoais de residentes do EEE, independentemente de onde estea establecida a organización, se ofrece bens ou servizos a residentes do EEE ou monitoriza o seu comportamento.
Que é o Marco de Privacidade de Datos UE-EEUU? O Marco de Privacidade de Datos UE-EEUU é un mecanismo de adecuación adoptado en xullo de 2023 que permite ás organizacións estadounidenses certificadas recibir datos persoais do EEE sen SCCs. As organizacións deben autocertificarse co Departamento de Comercio dos EUA e comprometerse a principios específicos de protección de datos.
Pode o consentimento por si só xustificar unha transferencia transfronteiriza baixo o GDPR? O consentimento explícito pode servir como excepción para transferencias ocasionais, pero non é un mecanismo sostible para transferencias sistemáticas ou a gran escala. As autoridades de supervisión advertiron contra a confianza no consentimento como principal mecanismo de transferencia para as operacións comerciais rutineiras.
Que é unha Avaliación de Impacto da Transferencia (TIA)? Unha TIA é unha análise que as organizacións deben realizar antes de confiar nas SCCs para avaliar se o marco legal do país de destino socava as proteccións das SCCs. Converteuse nun paso obrigatorio despois da sentenza Schrems II en 2020.
O PIPA abrangue os datos B2B? O PIPA abrangue a información persoal de persoas físicas. A información de contacto comercial (nome, correo electrónico de traballo, teléfono de traballo) pode entrar no ámbito do PIPA dependendo de como se procese, polo que as organizacións non deben asumir que os datos B2B están automaticamente exentos.
Canto tempo leva a aprobación de BCR? A aprobación de BCR adoita levar de dous a tres anos, dependendo da complexidade do grupo empresarial e da capacidade de resposta da autoridade de supervisión principal. É un proceso que require moitos recursos e é máis adecuado para grandes multinacionais.
Que papel xoga unha Plataforma de Xestión de Consentimento no cumprimento transfronteirizo? Unha Plataforma de Xestión de Consentimento como Biscotti CMP (www.biscotti-cmp.com) axuda ás organizacións a capturar, almacenar e demostrar rexistros de consentimento legais, que son relevantes cando o consentimento se utiliza como base legal para o procesamento ou a transferencia. Tamén apoia as obrigas de transparencia ao divulgar os destinatarios de datos de terceiros aos usuarios.
Hai sancións por usar SCCs obsoletas? Si. O uso das SCCs anteriores a 2021 despois da data límite de transición do 27 de decembro de 2022 invalida o mecanismo de transferencia, expoñendo á organización ás mesmas sancións que non ter ningún mecanismo.
Conclusión
As transferencias de datos transfronteirizas sitúanse na intersección das operacións comerciais e a obriga reguladora, e o panorama de cumprimento volveuse considerablemente máis complexo desde 2021. O GDPR, o PIPA, o PIPL de China e un número crecente de marcos nacionais impoñen cada un requisitos distintos, e as organizacións que tratan o cumprimento como un exercicio único en lugar dun programa continuo enfróntanse a un risco real de aplicación.
Próximos pasos accionables para 2026:
- Realizar unha auditoría de fluxo de datos para identificar cada transferencia transfronteiriza que realiza a súa organización, incluídas as realizadas a través de provedores e subprocesadores de terceiros.
- Verificar que os seus mecanismos de transferencia están actualizados: confirmar que as SCCs son as versións de 2021, comprobar se as decisións de adecuación abranguen os seus países de destino e actualizar calquera acordo caducado ou ausente.
- Avaliar a exposición a China e APAC por separado, xa que o PIPL e as leis locais de localización de datos requiren pasos de cumprimento distintos máis aló das medidas aliñadas co GDPR.
- Documentar as Avaliacións de Impacto da Transferencia para todas as transferencias baseadas en SCCs a países non adecuados, particularmente os Estados Unidos.
- Implementar unha solución de xestión de consentimento como Biscotti CMP (www.biscotti-cmp.com) para manter rexistros de consentimento auditables e apoiar as divulgacións de transparencia aos interesados.
- Monitorizar os desenvolvementos reguladores incluíndo o estado legal do Marco de Privacidade de Datos UE-EEUU e calquera nova decisión de adecuación emitida pola Comisión Europea.
As organizacións que integran o cumprimento das transferencias de datos transfronteirizas nos seus procesos operativos, en lugar de tratalo como unha formalidade legal, están mellor posicionadas para escalar globalmente sen interrupcións reguladoras.
Referencias
[1] Cross Border Transfers - https://provahq.io/frameworks/gdpr/cross-border-transfers/?utm_source=openai
[2] Standard Contractual Clauses Scc Sv - https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_sv?prefLang=sv&utm_source=openai
[3] Cross Borders Data Transfers PIPL - https://securiti.ai/blog/cross-borders-data-transfers-pipl/?utm_source=openai
[4] Cross Border Data Transfers Regulations And Compliance - https://legalclarity.org/cross-border-data-transfers-regulations-and-compliance/?utm_source=openai
[5] Summary Of The PRC Cybersecurity Law - https://www.crowell.com/en/insights/client-alerts/summary-of-the-prc-cybersecurity-law?utm_source=openai
[6] GDPR V PIPA May 2023 Update - https://www.dataguidance.com/sites/default/files/gdpr_v_pipa_may_2023_update.pdf?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2103.07297?utm_source=openai
[8] Iss3 - https://digitalcommons.law.uw.edu/wilj/vol29/iss3/7/?utm_source=openai
[9] Cross Border Data Transfers Compliance - https://auditdss.com/blog/cross-border-data-transfers-compliance/?utm_source=openai