Guillem Alsina Gonzàlez
El European Data Protection Board ha publicado una guía que establece las pautas para que las organizaciones que actúan como exportadoras de datos, aseguren que la información personal mantiene el nivel de protección exigido cuando se envía a un importador de fuera de la Unión Europea. Para lograrlo, la normativa permite el uso de mecanismos de certificación aprobados, una serie de sellos y marcas de garantía que se encuentran disponibles en un registro público para su consulta.
El uso de este recurso exige que tanto la entidad emisora como la receptora firmen compromisos vinculantes para mantener los estándares de privacidad. Antes de iniciar el envío, la organización exportadora debe verificar que la certificación del receptor es válida y está emitida por un organismo acreditado, además de tener que confirmar que este aval cubre exactamente las categorías de información, los propósitos del tratamiento y las rutas de tránsito previstas para la operación.
Durante la negociación contractual, resulta imprescindible implementar un instrumento legal que obligue al importador a cumplir las normas del certificado. Estos acuerdos se suelen incluir en los contratos de servicios o de procesamiento de datos existentes. Un aspecto fundamental es que estos compromisos deben otorgar derechos a los individuos para que puedan exigir su cumplimiento y solicitar compensaciones ante los tribunales europeos o las autoridades de protección pertinentes.
En cuanto al marco normativo del país de destino, los criterios de evaluación exigen que la entidad receptora analice y documente las leyes y prácticas locales. El emisor europeo debe obtener una garantía por parte del importador asegurando que la legislación extranjera no impide cumplir con las obligaciones asumidas.
Si fuera necesario, deberán aplicarse medidas suplementarias para proteger la información de posibles solicitudes de acceso por parte de gobiernos extranjeros. En estos casos, los sistemas del exportador deben configurarse para soportar adecuadamente estas protecciones conjuntamente con el receptor, utilizando tecnologías como el cifrado de la información.
Finalmente, la gestión de las peticiones gubernamentales requiere establecer un protocolo de acceso documentado y obligatorio. El importador debe notificar rápidamente cualquier demanda de autoridades de terceros países y tiene la obligación de recurrir las solicitudes desproporcionadas, minimizando siempre los datos revelados.
Para garantizar los derechos de los ciudadanos, el certificado debe asegurar que las personas afectadas puedan presentar reclamaciones ante las autoridades europeas, obligando al receptor a cooperar en las auditorías y acatar tanto las decisiones como las medidas correctoras dictadas.
