Las transferencias de datos personales a otros países son posibles, pero deben cumplirse una serie de requisitos. El Reglamento europeo de protección de datos (RGPD) mantiene lo ya establecido sobre esta materia, pero con alguna novedad.
Los datos personales sólo podrán comunicarse fuera de territorio de la Unión Europea:
a países, territorios, organismos internacionales a los que la Comisión Europea considere que poseen un nivel de protección de datos personales adecuado
si se ofrecen garantías adecuadas para la seguridad de los datos recibidos en destino
cuando sin existir garantías de protección interese la transferencia internacional de datos al titular de los mismos o haya intereses generales en hacerlo
las transferencias de datos realizadas en función de los criterios de la Comisión Europea, seguirán siendo correctas y podrán seguir realizándose aplicando esos criterios
las cláusulas tipo para los contratos de transferencia internacional de datos establecidas por la Comisión Europea seguirán siendo válidas si no se modifican
las transferencias realizadas a partir de autorizaciones realizadas por la Agencia Española de Protección de datos o por los organismos correspondientes de las Comunidades Autónomas serán válidas.
las garantías sobre la seguridad de los datos en su destino, serán responsabilidad de quien los exporta, ya sea responsable o encargado del tratamiento
las anteriores garantías se amplían en el Reglamento General de Protección de Datos (RGPD) a las normas corporativas vinculantes, los códigos de conducta, certificaciones, modelos de cláusulas contractuales aprobadas por la Agencia de Protecciòn de Datos u organismos competentes de las respectivas Comunidades Autónomas. En estos casos, para la transferencia de datos no será necesaria autorización
Se podrá realizar una transferencia internacional de datos a un país con un nivel insuficiente de protección y seguridad, cuando sea por intereses legítimos urgentes del responsable y esta transferencia no se repita en el tiempo, además de afectar a un número limitado de clientes o usuarios. Deberá comunicarse a la Agencia Española de Protección de Datos u organismos competentes de las respectivas Comunidades Autónomas