Lo esencial para el DPD
La CNPD escribe que la verificación de los requisitos del art. 28.3 debe ser SUSTANTIVA y no formal, y no puede limitarse a elegir un clausulado estándar cualquiera. Es la frase que vale la sanción: firmar el contrato del proveedor sin leerlo no es cumplimiento, es la prueba documental de lo contrario.
Las cinco infracciones
- Tratamiento ilícito de datos de salud y religión: el cuestionario no aclaraba que esas respuestas eran facultativas, por lo que las personas no pudieron formar una voluntad informada.
- Incumplimiento de los deberes de información hacia quienes respondían al cuestionario.
- Incumplimiento del deber de diligencia en la elección del encargado del tratamiento.
- Infracción de las normas sobre transferencias internacionales, arts. 44 y 46.2.
- Omisión de la evaluación de impacto relativa a la protección de datos para la operación censal.
El punto del art. 28
El INE confió la infraestructura a un proveedor que tenía oficina en Lisboa. El contrato, sin embargo, se celebró con la sociedad establecida en Estados Unidos, y establecía que el foro competente para los litigios era el tribunal de California. Ese mismo contrato admitía el tránsito de los datos personales por cualquiera de los doscientos servidores de la empresa, anticipando expresamente que los datos podían tratarse fuera del Espacio Económico Europeo.
Las cláusulas estaban. No bastaron.
El contrato incluía las cláusulas contractuales tipo aprobadas por la Comisión para las transferencias a Estados Unidos. Aun así la CNPD apreció la infracción de los arts. 44 y 46.2, porque no se preveía ninguna medida complementaria que impidiera el acceso a los datos por parte de las autoridades gubernamentales del tercer país, como exige Schrems II. Es exactamente el salto lógico que se ve en todas partes: se adjuntan las cláusulas y se da el asunto por cerrado, sin evaluar el contexto jurídico del destino.
Lo que había pasado antes
Durante el censo, tras recibir varias reclamaciones, la CNPD abrió una investigación y ordenó la suspensión inmediata del envío de datos a Estados Unidos y a otros terceros países sin un nivel de protección adecuado. El procedimiento se cerró solo con la deliberación final, que aplicó en cúmulo jurídico la sanción única por las cinco infracciones.
Qué hacer ahora, en sus clientes
1) Por cada proveedor del registro de encargados, compruebe con qué entidad jurídica se firmó el contrato, no qué oficina atiende el teléfono. Una oficina europea no basta si la contraparte contractual está fuera de la UE. 2) Lea la cláusula de foro: si remite a un tribunal no comunitario, pregúntese cómo piensa hacer valer las obligaciones del art. 28 el día que haga falta. 3) Si el contrato admite el tránsito de los datos por infraestructuras no especificadas, eso es una transferencia y hay que evaluarla, no ignorarla. 4) Las cláusulas contractuales tipo son el punto de partida de la evaluación, nunca el de llegada: sin medidas complementarias documentadas, el art. 46 no está cumplido. 5) Documente la verificación del art. 28.3 con evidencias y con fecha: es la única forma de demostrar que fue sustantiva.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
