Transferencias internacionales de datos: cuándo son legales y cómo evitarlas sin darte cuenta
¿Usas Google, Mailchimp, Dropbox o un CRM en la nube? Puede que estés haciendo transferencias internacionales de datos sin saberlo. Te explico cuándo son legales y cómo cubrirte.
Transferencia internacional: el “detalle” que muchas PYMES se saltan
Cuando una empresa pequeña oye “transferencias internacionales de datos”, suele pensar:
“Eso es para multinacionales.”
“Yo no mando datos fuera de España.”
“Yo solo uso herramientas online.”
Y justo ahí está el problema: hoy, usar herramientas online es, muchas veces, enviar datos fuera del Espacio Económico Europeo (EEE)… aunque tú no lo hagas “a mano”.
Ejemplos típicos:
Email marketing (Mailchimp, ActiveCampaign, etc.).
CRM en la nube.
Herramientas de analítica.
Atención al cliente (tickets, chat).
Copias de seguridad en proveedores con servidores fuera del EEE.
Videollamadas y grabaciones.
Si hay datos personales y el proveedor (o sus subencargados) acceden desde fuera del EEE, puede haber transferencia internacional.
Y sí: esto es un punto que la AEPD mira cada vez más.
Qué dice el RGPD (en cristiano)
El RGPD permite transferir datos fuera del EEE solo si se garantiza un nivel de protección “equivalente” al europeo.
Hay tres grandes vías:
1) Decisión de adecuación
La Comisión Europea declara que un país ofrece un nivel adecuado de protección.
Ejemplos conocidos (pueden variar con el tiempo):
Reino Unido (tras Brexit, con adecuación).
Suiza.
Japón.
Si el país tiene adecuación, la transferencia es más sencilla.
2) Garantías adecuadas
Si no hay adecuación, necesitas garantías, como:
Cláusulas Contractuales Tipo (SCC).
Normas Corporativas Vinculantes (BCR) (más típico en grandes empresas).
En PYMES, lo habitual es SCC + medidas adicionales.
3) Excepciones (ocasionales)
Casos puntuales: consentimiento explícito, ejecución de contrato, reclamaciones legales, interés público…
Ojo: estas excepciones no son para “montar un sistema” permanente. Son para casos concretos.
El elefante en la habitación: EEUU y los proveedores “de siempre”
Muchísimas herramientas populares tienen matriz en EEUU o usan subprocesadores allí.
Esto no significa “prohibido”, pero sí significa:
Tienes que revisar base legal de la transferencia.
Tienes que documentar.
Tienes que firmar el contrato correcto.
Y, en algunos casos, aplicar medidas adicionales.
Cómo saber si estás transfiriendo datos fuera del EEE
Checklist rápida:
¿Tu proveedor indica dónde están sus servidores?
¿Tiene subencargados fuera del EEE?
¿El soporte técnico puede acceder desde fuera?
¿Hay almacenamiento, backups o logs en terceros países?
¿Tu herramienta usa servicios de terceros (CDN, analítica, etc.)?
Lo normal es que esto esté en:
DPA (Data Processing Addendum) del proveedor.
Listado de subprocesadores.
Política de privacidad / seguridad.
Qué documentación necesitas (lo que te pedirán si hay inspección)
Para estar cubierto, lo mínimo es:
1) Contrato de encargo del tratamiento (art. 28 RGPD)
Si el proveedor trata datos por tu cuenta, necesitas contrato.
2) Base de la transferencia internacional
Adecuación o SCC (lo más habitual).
3) Evaluación de riesgos (TIA)
En muchos casos, especialmente con SCC, se recomienda (y en la práctica se espera) una Transfer Impact Assessment (TIA):
Qué datos se transfieren.
A qué país.
Qué riesgos hay.
Qué medidas aplicas.
4) Registro de Actividades (RAT)
Reflejar proveedores y transferencias.
5) Información al usuario
Tu política de privacidad debe indicar:
Qué proveedores usas.
Si hay transferencias internacionales.
Qué garantías aplicas.
Errores típicos que meten a las PYMES en líos
“Mi proveedor es famoso, así que estará bien.”
No revisar subencargados.
No firmar SCC o firmarlas sin saber qué cubren.
No actualizar la política de privacidad.
No documentar nada (y luego no poder probarlo).
Cómo evitar transferencias “sin darte cuenta” (estrategia práctica)
1) Haz inventario de herramientas
Email, CRM, facturación, hosting, analítica, backups, soporte.
2) Prioriza las que tocan datos “sensibles” o de alto volumen
Clientes, empleados, salud, menores, bancarios.
3) Pide al proveedor su DPA/SCC y lista de subprocesadores
Y guárdalo.
4) Si puedes, elige proveedores con servidores en la UE
A veces cuesta un poco más, pero reduce riesgo y papeleo.
5) Documenta la decisión
Aunque sea una ficha simple por proveedor: país, base legal, medidas.
Medidas adicionales (cuando toca)
Dependiendo del caso, pueden ser:
Cifrado fuerte (y que el proveedor no tenga la clave).
Pseudonimización.
Minimización de datos.
Control de accesos.
Logs y auditoría.
No siempre son obligatorias, pero en ciertos escenarios son lo que marca la diferencia.
Cómo te ayuda Torreón Legal
En Torreón Legal te ayudamos a:
Detectar si estás haciendo transferencias internacionales sin saberlo.
Revisar proveedores y contratos (DPA/SCC).
Documentar TIAs de forma práctica.
Actualizar tu política de privacidad y tu RAT.
Porque esto no va de “cumplir por cumplir”. Va de que, si mañana te preguntan, puedas enseñar papeles y dormir tranquilo.
Preguntas frecuentes (FAQ)
¿Usar Google Workspace implica transferencias internacionales?
Depende de la configuración, región de datos y subprocesadores. Hay que revisarlo caso a caso.
¿Si mi proveedor tiene servidores en la UE ya está?
No siempre. Puede haber accesos desde fuera o subencargados fuera. Hay que revisar el ecosistema.
¿Necesito consentimiento para transferencias internacionales?
No necesariamente. Lo habitual es usar SCC o adecuación. El consentimiento explícito es una excepción, no la norma.