Las transferencias internacionales de datos de carácter personal adquirieron una mayor relevancia pública tras las revelaciones de Snowden y, sobre todo, con la sentencia del Tribunal de Justicia de la Unión Europea, de octubre de 2015,  que invalidó la Decisión de Puerto Seguro de la Comisión Europea que consideraba que las entidades de EEUU adheridas a dicho sistema proporcionaban un nivel adecuado de protección. Esta sentencia dio lugar a que muchos responsables de ficheros adquirieran consciencia de que estaban realizando transferencias internacionales con motivo de la contratación de determinados servicios, fundamentalmente de  cloud computing.

Puerto Seguro fue sustituido por  Escudo de la Privacidad como sistema para poder transmitir datos a los EEUU, pero no vamos a centrarnos en él sino en las novedades que el  Reglamento General de Protección de Datos (RGPD) establece en la regulación de las transferencias internacionales de datos.

El RGPD parte de los criterios ya establecidos en la Directiva 95/46 e incorporados en la legislación interna española, es decir, que sólo se podrán transmitir datos a aquellos países, territorios, sectores u organismos internacionales respecto de los que la Comisión Europea haya considerado que disponen de un nivel adecuado de protección o, en otro caso, se aporten garantías suficientes o se den algunas de las circunstancias previstas como excepciones, y siempre y cuando se observen los demás requisitos del Reglamento.

El RGPD introduce novedades que afectan a todo el régimen de transferencias internacionales, pero vamos a fijarnos en las que hacen referencia al régimen de autorizaciones que supone un cambio radical con el modelo de la actual normativa.

La primera cuestión es que el RGPD establece sin duda alguna que el exportador de datos puede ser tanto un responsable como un encargado del tratamiento, precisión con la que definitivamente se pone fin a las restricciones legales de determinados Estados miembros en los que el exportador ha de ser siempre el responsable del tratamiento. Ello da lugar a que los prestadores de servicio establecidos en terceros países se encuentren en mejor situación a la hora de subcontratar en esos u otros terceros países que los prestadores de servicios establecidos en la UE. Situación que, en nuestro ámbito, fue abordada por la Agencia Española de Protección de Datos mediante la adopción de un modelo de cláusulas contractuales que ofrecen las garantías adecuadas para las transferencias internacionales de encargados establecidos en España a subencargados en terceros países.

Asimismo, se amplía el abanico de instrumentos en los que se pueden incluir y aportar las garantías adecuadas para proteger los derechos de los afectados como consecuencia de la transferencia de datos. Se incorporan los códigos de conducta y los mecanismos de certificación como instrumentos que pueden incorporar esas garantías, además de las Normas Corporativas Vinculantes (conocidas por sus siglas en inglés, BCR) para los grupos multinacionales que, aunque en la práctica ya están operativas, merced al trabajo del Grupo de Trabajo del Artículo del 29 (GT29), por primera vez se reconocen con rango legal, lo que va a posibilitar su uso en aquellos Estados miembros que hasta la fecha no las consideran válidas al derivar la vinculación no sólo de la vía contractual sino también de declaraciones unilaterales. Esta gama más amplia de instrumentos tendría que facilitar la labor de los exportadores al disponer de más entre los que elegir.

Pero donde más evidente son las novedades que introduce el RGPD es en el régimen de autorización y notificación previa de las transferencias internacionales, que quedan reducidas a muy pocos supuestos.

La actual normativa aplicable obliga a los exportadores de datos a solicitar de la Agencia Española de Protección de Datos una autorización previa para poder transferir datos a importadores establecidos en países que no cuentan con un nivel adecuado de protección, siempre que aporten las garantías suficientes, y a notificarle las transferencias cuando se dirigen a países que sí disponen de dicho nivel adecuado o, en otro caso, se realizan al amparo de alguna de las excepciones previstas en el artículo 34 de la Ley Orgánica de Protección de Datos. En el marco del RGPD las transferencias se pueden llevar a cabo sin necesidad de autorización previa, salvo que las garantías se aporten a través de un contrato ad hoc o de un acuerdo administrativo entre autoridades públicas, ni de notificación a la autoridad de control, salvo que se amparen en la excepción basada en el interés legítimo imperioso del responsable del tratamiento y se cumplan los demás requisitos que para este supuesto establece el RGPD.

Modificaciones sustantivas que, sin duda, van a facilitar las relaciones comerciales y la cooperación internacional al evitar tener que solicitar la autorización de la Agencia en la mayoría de los casos, pero al mismo tiempo garantizando los derechos de los afectados en la transmisión de los datos fuera de la UE.

La proliferación del uso de cámaras con fines de seguridad motivó que la Agencia Española de Protección de Datos publicase la  Instrucción 1/2006 para adecuar estos tratamientos de datos a la normativa.

Esta instrucción se completó con la publicación de la  Guía de Videovigilancia, cuya actualización está contemplada en el  Plan Estratégico 2015-2019 de la Agencia, así como con la emisión de  informes jurídicos, y fichas informativas específicas (por ejemplo, videovigilancia en comunidades de vecinos, en la plaza de garaje o en viviendas unipersonales).

La evolución tecnológica de los últimos años ha provocado que surjan nuevos instrumentos a través de los cuales se puede realizar la captación de imágenes, como los drones, las cámaras-globos y las denominadas cámaras on-board. Estas últimas suelen incorporarse en los vehículos, o en los cascos de los ciclistas o motociclistas, captando imágenes durante el recorrido.

La Agencia Española de Protección de Datos se ha pronunciado en el  informe jurídico 0456/2015, sobre la utilización de este tipo de cámaras con la finalidad de obtener pruebas para denunciar si se cometen infracciones de tráfico.

Partiendo de que ciertas imágenes pueden ser un dato de carácter personal, y que su captación y grabación supone un tratamiento de datos, procede valorar la legitimación sobre la que se permitiría dicho tratamiento.

Por ello, debe considerarse si procedería aplicar a este tipo de grabaciones la regla del interés legítimo regulado en el artículo 7.f) de la Directiva 95/46, por lo que procede realizar la oportuna ponderación en relación a “si existe un interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos que prevalezca sobre interés o los derechos y libertades fundamentales del interesado” o si por el contrario deben prevalecer estos últimos sobre el interés del responsable.

Como nos hemos referido anteriormente, la finalidad de la grabación es la obtención de pruebas para denunciar infracciones de tráfico y el interés legítimo invocado se referiría al derecho fundamental a la tutela judicial efectiva, que regula el artículo 24 de nuestro texto constitucional, y sobre el cual esta Agencia ya se ha manifestado en alguna ocasión.

En este sentido, esta ponderación para determinar la aplicación del interés legítimo requiere, además de tener en cuenta el principio de proporcionalidad, que se incorporen una serie de cautelas al respecto, de tal forma que no procede una implantación genérica y sin límites.

Como expone el informe jurídico citado con anterioridad, de entre estas cautelas pueden destacarse alguna de las siguientes:

La activación de la grabación cuando se produzca un evento concreto, o bien su activación manual;
El acceso a las imágenes únicamente en caso de que ocurra el citado evento;
Difuminar la imagen de las personas o datos como las matrículas que no estén vinculadas al accidente en cuestión;
Las diferentes fórmulas que se adopten en relación al cumplimiento con el derecho de información a los interesados.

La Agencia Española de Protección de Datos (AEPD) ha colaborado en el concurso ‘Ellos te enseñan’, puesto en marcha por la Organización de Consumidores y Usuarios (OCU) con el apoyo de Google. La iniciativa pretende concienciar de manera activa a alumnos, padres y profesores sobre la importancia de fomentar la privacidad y la seguridad en internet. En el concurso también han colaborado la Agencia Española de Consumo, Seguridad Alimentaria y Nutrición (AECOSAN), el Instituto Nacional de Ciberseguridad (INCIBE) y la Confederación Española de Asociaciones de Padres y Madres de Alumnos (CEAPA).

El concurso propone a estudiantes de la ESO o del primer curso de FP que, con la ayuda de sus profesores, y utilizando la información y materiales contenidos en la web  Vive un internet seguro, presenten un trabajo creativo en forma de decálogo dirigido a sus padres, en el que podrán explicar a estos a través de fotografías, redacciones, vídeos o infografías de qué manera pueden navegar por internet de manera segura. Entre los materiales de apoyo aportados por la AEPD para participar en el concurso se pueden encontrar las guías  No te enredes en internet y  Sé legal, además de un  cómic o  fichas didácticas.

En el trabajo que pueden presentar los alumnos a través de los centros escolares (la participación puede ser individual o en equipos de hasta tres personas) tendrán que acreditar que poseen conocimientos suficientes sobre un uso adecuado, responsable y positivo de internet, a la vez que ayudar a sus padres a avanzar en el conocimiento aquellas prácticas que mejoran la protección de los menores y su privacidad.

El plazo para la presentación de los trabajos estará abierto hasta el próximo 16 de marzo, pudiendo encontrar toda la información necesaria en  la convocatoria del concurso.

Una vez finalizado este plazo, el jurado compuesto por representantes de las instituciones colaboradoras elegirá un total de tres finalistas en función de la originalidad y el potencial didáctico de los trabajos, siendo estos finalistas los que optarán a los premios que serán entregados en el mes de mayo.