Al finalizar un acuerdo de tratamiento de datos personales, es posible utilizar tanto el modelo danés como las Cláusulas Contractuales Europeas Estándar. Ambos son válidos, pero puede haber algunas desventajas dependiendo de la situación.
De conformidad con el artículo 28, apartado 3, del Reglamento General de Protección de Datos (GDPR), el tratamiento por parte de un encargado del tratamiento se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que sea vinculante para el encargado del tratamiento con respecto al responsable del mismo.
Acuerdo estándar danés de tratamiento de datos personales
A principios de 2018, la Autoridad de Protección de Datos danesa ha publicado un modelo de acuerdo estándar de tratamiento de datos personales para ayudar a las empresas y a las autoridades a cumplir con algunos requisitos del GDPR. El acuerdo estándar fue la propuesta de la Autoridad sobre cómo debe realizarse un acuerdo de procesamiento de datos personales para cumplir con los requisitos mínimos del GDPR.
En diciembre de 2019, tras el dictamen del Comité Europeo de Protección de Datos (EDPB), este modelo se convirtió en las llamadas Cláusulas Contractuales Estándar, de conformidad con el artículo 28, párrafo 8 del GDPR.
Esto significa que las Cláusulas Contractuales Estándar de la Autoridad Danesa de Protección de Datos tienen un carácter jurídico específico, incluyendo el hecho de que la Autoridad de Supervisión, por ejemplo durante una investigación, no verifica estas cláusulas.
Cláusulas Contractuales Estándares Europeas
El 4 de junio de 2021, la Comisión Europea también publicó una serie de Cláusulas Contractuales Estándar, similares al modelo de la Autoridad de Protección de Datos danesa, entre el controlador de datos y los procesadores, de conformidad con el artículo 28, párrafo 7 del GDPR.
Ese mismo día, la Comisión Europea también ha publicado sus Cláusulas Contractuales Tipo para las transferencias de datos a terceros países de conformidad con el RGPD.
Entonces, ¿qué es mejor utilizar? La respuesta más breve
El hecho de que la Comisión Europea haya publicado ahora una serie de Cláusulas Contractuales Tipo no significa que el modelo de la Autoridad de Protección de Datos danesa haya dejado de tener el estatus jurídico de antes. Esto significa simplemente que hay diferentes Cláusulas Contractuales Tipo que pueden ser seleccionadas. Ahora es parte del controlador de datos (y del procesador) elegir qué cláusulas contractuales estándar es mejor utilizar.
Entonces, ¿qué es mejor utilizar? Respuesta más larga
Si tanto el responsable del tratamiento como el encargado del mismo forman parte y trabajan en Dinamarca, la Autoridad de Protección de Datos Personales recomendará que se utilicen las cláusulas contractuales tipo de la Autoridad danesa, porque éstas ya se utilizan en Dinamarca. En otras palabras, no existe una norma para la elección de las cláusulas contractuales tipo de la Unión Europea en lugar de las danesas.
De todos modos, en el caso de acuerdos transfronterizos, en los que el responsable del tratamiento y el encargado del mismo o uno de ellos formen parte y trabajen no sólo en Dinamarca, sino también en toda Europa, donde pueda aplicarse el Reglamento General de Protección de Datos, podría considerarse el uso de las Cláusulas Contractuales Tipo Europeas entre el responsable del tratamiento y el encargado del mismo, ya que, con las mismas condiciones, es probable que sea -se volverá- en más utilizado en estos casos.
En una situación en la que una de las partes está situada en un país fuera de Europa que no ha sido aprobado por la Comisión Europea por tener un nivel de protección de datos suficientemente seguro (un llamado tercer país inseguro), puede ser útil considerar el uso de las Cláusulas Contractuales Tipo de la Comisión Europea para las transferencias de datos personales a terceros países, que – si se completan adecuadamente – pueden cubrir también los requisitos para un acuerdo de procesador de datos en el artículo 28 del Reglamento General de Protección de Datos. Esto evitaría la necesidad de redactar varios acuerdos diferentes.
Es importante tener en cuenta que el uso de las cláusulas contractuales tipo no es un requisito para el cumplimiento de las normas del Reglamento de Protección de Datos sobre los acuerdos del procesador de datos.
Sin embargo, en cualquier caso, debe celebrarse un contrato que cumpla los requisitos mínimos del artículo 28 del Reglamento.
Sin embargo, hay una ventaja importante en el uso de las cláusulas contractuales tipo, que consiste en la seguridad que proporciona el estatus legal del acuerdo, que, como se ha mencionado anteriormente, significa que el EDPB, por ejemplo en el contexto de una investigación de supervisión, no verificará el contenido ya establecido.