Cláusulas contractuales tipo (CCT)
Última actualización:
Las cláusulas contractuales tipo son cláusulas aprobadas por la Comisión Europea que permiten transferir con seguridad jurídica datos personales a terceros países que no ofrecen un nivel adecuado de protección de datos. Obligan a los exportadores y a los importadores de datos a aplicar medidas de protección concretas y crean así una base contractual para los flujos de datos transatlánticos. Existen en distintas versiones desde mucho antes de la sentencia Schrems II. La sentencia no las hizo necesarias, sino que añadió la obligación de evaluar cada caso concreto y, en su caso, de adoptar medidas de protección adicionales.
Las CCT se diferencian de forma fundamental de otros mecanismos de cumplimiento, como el Marco de Privacidad de Datos UE-EE. UU. o las normas corporativas vinculantes (BCR). Mientras que el Marco de Privacidad se basa en un reconocimiento estatal y las BCR son normas internas aplicables a todo un grupo empresarial, las CCT son contratos bilaterales entre dos partes concretas. No puedes limitarte a firmarlas y darlas por resueltas. Cada transferencia basada en CCT exige una evaluación de impacto de la transferencia (TIA) individual, que analiza si las leyes del país de destino vacían de contenido en la práctica las garantías contractuales. Eso convierte a las CCT en el instrumento más laborioso, pero también el más flexible, del arsenal de transferencias de datos.
En el día a día del marketing B2B, las CCT afectan prácticamente a todos los servicios en la nube fuera de la UE. Tu CRM en Estados Unidos, tu automatización del marketing con servidores en Singapur, tu proveedor de chatbot con subencargados en todo el mundo: todos necesitan una base para la transferencia. Para los proveedores estadounidenses con una certificación DPF válida basta con la decisión de adecuación; para todos los demás, las CCT son la norma. La mayoría de los proveedores SaaS te ofrecen CCT ya cumplimentadas en el contrato de encargo del tratamiento (DPA). El problema: como exportador de datos, sigues siendo responsable de comprobar si las cláusulas bastan en el caso concreto. Si tu proveedor estadounidense está sujeto a la CLOUD Act y transfieres datos de salud sensibles, las CCT estándar no son suficientes. Necesitas medidas técnicas adicionales, como el cifrado con gestión de claves en el lado de la UE.
La mayor trampa es la ilusión de seguridad jurídica. Las CCT no son un cheque en blanco, sino un requisito mínimo. Las autoridades de protección de datos ya han dejado claro en varias ocasiones que las CCT por sí solas no bastan si el país de destino practica la vigilancia masiva. Tienes que documentar por qué crees que tus datos siguen protegidos a pesar de la FISA 702 o de leyes comparables. Esa documentación cuesta tiempo y requiere conocimientos jurídicos. Muchas empresas subestiman el esfuerzo y solo despiertan con el primer requerimiento de la autoridad. Ponerse en regla a posteriori y con prisas sale bastante más caro que la revisión preventiva.
Al elegir herramientas de marketing, deberías tratar las CCT como un criterio eliminatorio, no como un extra opcional. Comprueba si el proveedor utiliza las CCT actuales de 2021; las versiones anteriores ya no son válidas. Pide la lista de subencargados y sus ubicaciones. Exige transparencia sobre los registros de acceso y los estándares de cifrado. Si una herramienta envía datos a Estados Unidos sin medidas técnicas de protección plausibles, el riesgo es real. El RGPD prevé multas de hasta 20 millones de euros o el cuatro por ciento del volumen de negocio total anual global del ejercicio anterior, lo que resulte de mayor cuantía. Las CCT solo te protegen si te las tomas en serio y haces los deberes.
Abre el chat con un prompt ya preparado.
Términos relacionados
Así funciona esta tecnología en la práctica.
Descubre cómo aplicamos tecnologías como esta en empresas o habla directamente con nosotros.