Normas de transferencia transfronteriza de datos al compartir archivos

Las transferencias transfronterizas de archivos desde la UE a terceros países requieren uno de los instrumentos de transferencia del Capítulo V contemplados en los artículos 44-50 del RGPD: una decisión de adecuación (artículo 45), Cláusulas Contractuales Estándar (artículo 46), Normas Corporativas Vinculantes (artículo 47) o una excepción (artículo 49). Desde que Schrems II invalidó el Privacy Shield en julio de 2020, cada transferencia basada en CCE requiere también una Evaluación de Impacto de la Transferencia que documente si las leyes de vigilancia del país de destino socavan la protección. Ignorar esto conlleva multas de hasta el 4 % del volumen de negocio global más medidas cautelares que paralizan el flujo de datos.

Las decisiones de adecuación en las que puedes confiar

La Comisión Europea ha declarado adecuados los siguientes terceros países a fecha de 2026: Andorra, Argentina, Canadá (solo operadores comerciales), Islas Feroe, Guernesey, Israel, Isla de Man, Japón, Jersey, Nueva Zelanda, República de Corea, Suiza, Reino Unido, Estados Unidos (solo entidades certificadas bajo el DPF) y Uruguay. Las transferencias a estos destinos no necesitan salvaguardias adicionales del artículo 46. Para todos los demás — India, Brasil, China, Australia fuera de marcos específicos, la mayor parte de África y Latinoamérica — necesitas CCE más una EIT. La lista de adecuación se actualiza; consulta el registro oficial de la Comisión antes de confiar en ella.

Cláusulas Contractuales Estándar: los cuatro módulos

La Decisión de Ejecución de la Comisión 2021/914 (junio de 2021) introdujo las CCE actuales con cuatro módulos. Módulo 1: responsable a responsable (compartir un .csv exportado con un socio en Brasil). Módulo 2: responsable a encargado (usar un servicio de transferencia con sede en EE. UU. que no está certificado en el DPF). Módulo 3: encargado a encargado (tu encargado bajo el ATD usa un subencargado fuera del EEE). Módulo 4: encargado a responsable (exportar datos de vuelta desde un encargado a un responsable en un tercer país). Elige el módulo correcto — el incorrecto es tan inválido como ninguno.

Evaluaciones de Impacto de la Transferencia tras Schrems II

La sentencia Schrems II del TJUE (C-311/18, julio de 2020) exige a los exportadores verificar que el importador puede realmente cumplir los compromisos de las CCE dada la legislación de vigilancia local. Las Recomendaciones 01/2020 del CEPD (adoptadas en junio de 2021) establecen seis pasos: (1) mapear las transferencias, (2) identificar el instrumento de transferencia, (3) evaluar la eficacia en el país de destino, (4) identificar medidas suplementarias, (5) pasos procedimentales, (6) reevaluar periódicamente. Para transferencias a EE. UU., las leyes de preocupación son la Sección 702 de FISA y la Orden Ejecutiva 12333. Para transferencias a China, la Ley de Inteligencia Nacional de 2017 y la Ley de Seguridad de Datos de 2021.

Medidas suplementarias que realmente funcionan

El CEPD clasifica las medidas suplementarias en técnicas, contractuales y organizativas. Solo las técnicas resisten la vigilancia más agresiva. El texto cifrado en tránsito con claves en poder únicamente del exportador de datos (E2EE del lado del cliente) significa que el importador solo retiene blobs cifrados inútiles para las autoridades extranjeras. La pseudonimización donde las claves de reidentificación permanecen en el EEE es equivalente para la mayoría de los casos de uso. Las medidas contractuales — cláusulas de notificación de acceso, informes de transparencia — importan pero no superan la divulgación bajo coacción. Las medidas organizativas (controles de acceso, formación) son requisitos mínimos, no soluciones.

El Marco de Privacidad de Datos UE-EE. UU.

El DPF UE-EE. UU., vigente desde julio de 2023 tras la decisión de adecuación de la Comisión, restaura una vía simplificada para transferencias a EE. UU. a entidades certificadas. Las empresas se autocertifican anualmente a través del Departamento de Comercio de EE. UU., se comprometen con los Principios del DPF y quedan sujetas a la aplicación de la FTC. Más de 2.500 empresas estadounidenses se habían certificado a principios de 2026, incluyendo la mayoría de los principales proveedores de SaaS. Para destinatarios certificados bajo el DPF, no se necesitan CCE ni EIT. Verifica la certificación en dataprivacyframework.gov antes de cada transferencia; las certificaciones caducan, y las transferencias posteriores al vencimiento vuelven a requerir CCE.

Normas Corporativas Vinculantes para transferencias intragrupo

Las NVE en virtud del artículo 47 son códigos de conducta internos vinculantes para todas las empresas dentro de un grupo corporativo, aprobados por una autoridad supervisora principal tras consulta con todas las autoridades afectadas. La aprobación lleva entre 18 y 36 meses y cuesta entre 100.000 y 300.000 € en honorarios jurídicos. Una vez aprobadas, las NVE cubren todas las transferencias intragrupo — de modo que una sede alemana puede enviar libremente expedientes de personal a filiales en Singapur, México y Nigeria. Las NVE no sirven para encargados externos; para esos, las CCE siguen siendo el instrumento. Alrededor de 120 grupos tenían NVE aprobadas a fecha de 2025.

Excepciones del artículo 49 para casos límite

El artículo 49 permite transferencias sin salvaguardias del artículo 46 en situaciones específicas: consentimiento explícito con divulgación del riesgo (49(1)(a)), transferencia necesaria para la ejecución de un contrato (49(1)(b)), razones importantes de interés público (49(1)(d)), establecimiento o defensa de reclamaciones legales (49(1)(e)), intereses vitales (49(1)(f)), y transferencias desde un registro público (49(1)(g)). Las Directrices 2/2018 del CEPD subrayan que son excepciones estrictas — "ocasionales y no repetitivas". Usar el consentimiento del 49(1)(a) para transferencias continuas de archivos de clientes no es conforme. Usar el 49(1)(e) para enviar un expediente a la abogacía contraria en EE. UU. para un litigio sí lo es.

Normativas específicas de cada país más allá del RGPD

La Ley de Protección de Información Personal de China (PIPL, noviembre de 2021) exige una evaluación de seguridad por la CAC para exportaciones de datos sensibles o de gran volumen. La ley de localización de datos de Rusia (242-FZ, septiembre de 2015) exige que los datos personales de ciudadanos rusos se almacenen primero en suelo ruso. La LGPD de Brasil (agosto de 2020) tiene su propio marco de adecuación. La Ley de Protección de Datos Personales Digitales de India (agosto de 2023, reglamento pendiente) restringirá las transferencias a países incluidos en la lista negra del gobierno central. Las transferencias de archivos que afecten a estas jurisdicciones requieren asesoría jurídica local — el cumplimiento del RGPD por sí solo no es suficiente.

Arquitectura práctica para el cumplimiento transfronterizo

Una arquitectura limpia de transferencia transfronteriza de archivos: (1) cifra del lado del cliente con claves a las que el proveedor no puede acceder, de modo que el proveedor extranjero solo retenga texto cifrado; (2) fija el almacenamiento de archivos y metadatos en regiones de la UE (OVH Gravelines, AWS Frankfurt sin replicación, Scaleway París); (3) registra cada transferencia con el país de destino y la base jurídica; (4) expira los archivos automáticamente tras 7-30 días para minimizar el riesgo de residencia; (5) mantén un registro de subencargados actualizado con jurisdicciones. Servicios como HexaTransfer implementan estos patrones de serie — almacenamiento solo en la UE, AES-256-GCM del lado del cliente, expiración a los 7 días.

Llevar registros en virtud del artículo 30(1)(e)

El artículo 30(1)(e) exige a los responsables del tratamiento documentar, para cada actividad de tratamiento que implique transferencias internacionales, el tercer país y las salvaguardias utilizadas. La entrada del registro para un servicio de transferencia debería decir: "Entregables a socios clientes, transferencias a EE. UU. (certificados DPF) y Reino Unido (adecuado), CCE Módulo 2 para subencargados no certificados, EIT de fecha [fecha] revisada anualmente". Mantén las EIT bajo control de versiones; las autoridades supervisoras inspeccionan el historial durante las investigaciones, no solo la versión actual.

Diseña el camino de transferencia antes de que se mueva el primer byte. Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.