La sentencia del TJUE de 16 de julio de 2020 en el asunto Schrems II invalidó el Escudo de Privacidad UE-EE. UU. y dejó claro que las Cláusulas Contractuales Tipo, aunque siguen siendo válidas en principio, no pueden invocarse si el derecho del país de destino socava la protección que proporcionan. Los responsables y encargados del tratamiento deben llevar a cabo una Evaluación de Impacto de la Transferencia (TIA) para cada transferencia.

Las Recomendaciones 01/2020 del EDPB establecen una metodología de seis pasos. Bien hecha, una TIA documenta la transferencia, el régimen jurídico del país de destino, las medidas complementarias aplicadas y su conclusión — defendible ante una auditoría. Mal hecha, es un mero trámite de marcar casillas que se desmorona ante una acción de cumplimiento.

El Marco de Privacidad de Datos UE-EE. UU. (DPF) de 2023 restauró la adecuación para las transferencias a importadores estadounidenses certificados. Pero no cubre todas las transferencias, puede volver a impugnarse (Schrems III ya se ha presentado) y la mayoría de las transferencias fuera de EE. UU. siguen basándose en SCC que requieren una TIA.

El asunto (C-311/18) anuló el Escudo de Privacidad y puso sobre aviso a los usuarios de SCC. El TJUE sostuvo que:

• Las SCC siguen siendo válidas como instrumento de transferencia.
• PERO — los responsables del tratamiento deben verificar, antes de transferir, que las leyes del país de destino ofrecen una protección esencialmente equivalente.
• Cuando el derecho del tercer país (incluida específicamente la vigilancia estadounidense conforme a la Sección 702 de la FISA y la EO 12333) socava esa equivalencia, deben aplicarse medidas complementarias para restaurarla.
• Si ninguna medida restaura la equivalencia, la transferencia debe suspenderse.

En la práctica: las SCC por sí solas no bastan. La TIA es la prueba documental de que ha hecho el trabajo.

1. Conozca sus transferencias. Mapee todas las transferencias de datos personales fuera del EEE — incluido el acceso remoto desde fuera del EEE.
2. Identifique el mecanismo de transferencia. SCC, BCR, excepciones, decisión de adecuación.
3. Evalúe el derecho y la práctica del tercer país — ¿proporciona una protección esencialmente equivalente?
4. Identifique medidas complementarias — técnicas, contractuales, organizativas.
5. Adopte los pasos procedimentales que exijan las medidas elegidas.
6. Reevalúe a intervalos apropiados o cuando cambien las circunstancias.

No puede hacer una TIA de aquello que desconoce. Inventaríe:

• Todos los encargados y subencargados del tratamiento fuera del EEE.
• El acceso remoto de ingenieros de soporte desde fuera del EEE (esto es una transferencia).
• Las regiones de la nube que alojan sus datos — incluidas las ubicaciones de replicación y copia de seguridad.
• Las transferencias ulteriores que realicen sus encargados del tratamiento.

Use su ROPA del Artículo 30 como punto de partida, pero verifíquelo frente a la infraestructura real. Los proveedores de la nube a menudo replican o conmutan por error a regiones fuera del EEE de forma predeterminada — esto cuenta como una transferencia.

• Decisión de adecuación (Artículo 45) — no se requiere TIA. Adecuación actual: Andorra, Argentina, Canadá (organizaciones comerciales), Islas Feroe, Guernsey, Israel, Isla de Man, Japón, Jersey, Nueva Zelanda, República de Corea, Suiza, Reino Unido, Uruguay, Estados Unidos (bajo el DPF). Sigue siendo útil documentar la adecuación invocada.
• SCC (Artículo 46(2)(c)) — Módulo 1 (Responsable a Responsable), Módulo 2 (Responsable a Encargado), Módulo 3 (Encargado a Encargado), Módulo 4 (Encargado a Responsable). El más común es el Módulo 2. Se requiere TIA.
• BCR (Artículo 47) — transferencias intragrupo bajo Normas Corporativas Vinculantes aprobadas. Se sigue recomendando la TIA para destinos fuera del EEE.
• Excepciones (Artículo 49) — consentimiento explícito, ejecución de un contrato, intereses vitales, interés público importante. Uso restringido y excepcional únicamente.
• IDTA del Reino Unido / Adenda del Reino Unido — las transferencias del Reino Unido usan la IDTA o la Adenda del Reino Unido a las SCC de la UE.

El núcleo de la TIA. Para cada país de destino, evalúe:

• Leyes y prácticas de vigilancia. Acceso gubernamental a los datos en poder de empresas privadas — alcance, supervisión, proporcionalidad, recurso judicial.
• Derechos de los interesados residentes en el EEE en el país de destino — ¿significativos y exigibles?
• Independencia de las autoridades de control.
• Indicadores del Estado de derecho — independencia judicial, transparencia.
• Facultades específicas de acceso de las autoridades públicas dirigidas al tipo de datos que se transfieren y al sector del importador.

La Recomendación 02/2020 del EDPB establece el marco de las «garantías esenciales». Para las transferencias a EE. UU., la Sección 702 de la FISA y la Orden Ejecutiva 12333 son la preocupación clave. Para destinos fuera de EE. UU.: evalúe las leyes del país de forma específica — muchas TIA recurren por defecto a un genérico «adecuado» para países de bajo riesgo sin examen, que es exactamente lo que los reguladores señalan.

Tres categorías. Aplique cada una en combinación:

4.1 Medidas técnicas

• Cifrado — criptografía robusta con claves custodiadas exclusivamente en el EEE (o en países con adecuación). El importador no debe tener acceso descifrado.
• Seudonimización — cuando el importador no pueda reidentificar sin información custodiada en el EEE.
• Tratamiento dividido — fragmentación (sharding) de modo que el importador nunca vea el conjunto de datos completo.
• Computación multiparte, enclaves seguros, computación confidencial — técnicas emergentes cuando sean aplicables.

4.2 Medidas contractuales

• Derechos de auditoría, obligaciones de transparencia sobre las solicitudes de acceso gubernamental, obligación de impugnar las solicitudes de acceso, obligación de informar a los interesados, indemnización por divulgación ilícita.
• El Anexo II del Módulo 2 de las SCC ya incluye muchas de estas — refuércelas cuando sean insuficientes.

4.3 Medidas organizativas

• Políticas internas que prohíban la divulgación voluntaria a las autoridades.
• Formación sobre acceso gubernamental para el personal.
• Procedimientos documentados para la gestión de las solicitudes de acceso.
• Informes de transparencia.
• Controles de acceso estrictos que limiten quién, en el país de destino, ve qué.

• Formalice la firma de las SCC (y la Adenda del Reino Unido cuando proceda).
• Documente la TIA — por escrito, fechada y con la aprobación de las partes interesadas.
• Actualice los avisos de privacidad para informar a los interesados sobre la transferencia.
• Actualice las entradas de la ROPA del Artículo 30.
• Cuando se usen las excepciones del Artículo 49, documente la base explícita y asegúrese de que las transferencias no sean repetitivas.
• Si la evaluación concluye que ninguna medida complementaria restaura la equivalencia esencial, suspenda la transferencia o notifíquelo a la Autoridad de Control.

Desencadenantes de la reevaluación:

• Cambio sustancial en el derecho o la práctica del país de destino.
• Nueva orientación de la Autoridad de Control o resolución judicial que afecte a la evaluación.
• Cambio de importador, subencargado del tratamiento o alcance del tratamiento.
• Nuevas categorías de datos añadidas a la transferencia.
• Revisión anual como cadencia por defecto.

El 10 de julio de 2023, la Comisión Europea adoptó una decisión de adecuación para el Marco de Privacidad de Datos UE-EE. UU. (DPF). Para las transferencias a empresas con sede en EE. UU. que se hayan certificado bajo el DPF, el efecto jurídico equivale a una decisión de adecuación plena — sin SCC, sin TIA requerida para la transferencia certificada bajo el DPF.

• Quién puede usarlo: empresas estadounidenses certificadas bajo el programa DPF del Departamento de Comercio.
• Qué cubre: la transferencia a ese importador certificado concreto.
• Qué no cubre: subencargados del tratamiento que no estén también certificados; transferencias posteriores; transferencias a empresas no certificadas.
• Riesgos: Schrems III (asunto C-446/23) se presentó en 2023 impugnando la adecuación del DPF. La mayoría de los profesionales mantienen las SCC en paralelo como medida de precaución por si la adecuación se invalida.

Consejo práctico: cuando su importador estadounidense esté certificado bajo el DPF, base esa transferencia en la adecuación del DPF, pero mantenga las SCC firmadas de fondo y realice TIA de todos modos como medida de protección frente al futuro.

• Decisiones sobre Google Analytics (Autoridad de Control de Austria 2021, CNIL de Francia 2022, Garante de Italia 2022) — declararon ilícito el uso de Google Analytics que implicaba transferencias a EE. UU. sin medidas complementarias.
• Meta / Facebook (DPC de Irlanda 2023) — multa de 1.200 millones de euros por transferir datos de usuarios de la UE a EE. UU. bajo SCC sin salvaguardas adecuadas.
• Autoridad de Control de Noruega — TikTok (2023) — conclusión provisional de transferencia ilícita.
• Diversas reclamaciones lideradas por NOYB — presión continua sobre las transferencias de analítica impulsadas por cookies.