¿Cómo puedo hacer que mi empresa envíe datos a mi sede en EE.UU. legalmente?

La situación

Soy el responsable de sistemas de una pequeña empresa de software ubicada en Madrid, España. Desde hace unos meses, estamos trabajando en un proyecto de expansión y necesitamos que todos los datos de nuestros clientes españoles se compartan con nuestra oficina central en Estados Unidos para poder gestionar las copias de seguridad y el soporte técnico. El problema es que me han dicho que no podemos simplemente mandar la información allá porque hay leyes de privacidad muy estrictas. El pasado 15 de enero hablé con un consultor externo y me comentó que podríamos intentar que la Agencia Española de Protección de Datos nos apruebe unas normas internas o unos contratos estándar para que todo sea legal. Ya hemos revisado la documentación básica, pero no sé cómo empezar este trámite oficial ante la Agencia. Me preocupa mucho el tiempo que esto puede tardar, porque tenemos que tener el sistema operativo antes de junio para no perder clientes. ¿Es verdad que la Agencia puede aprobar estos modelos de contrato para que nosotros los usemos y así cumplir con la ley sin tener que negociar contrato por contrato con cada proveedor internacional?

Análisis detallado

Para que su empresa de software en Madrid pueda enviar datos de clientes a su sede en Estados Unidos, debe cumplir con el régimen de transferencias internacionales de datos^[2]. La ley permite que existan mecanismos que eviten tener que negociar cada contrato individualmente.

Usted tiene dos vías principales según la normativa: las cláusulas contractuales tipo (modelos de contrato estándar) y las normas corporativas vinculantes (reglas internas para grupos de empresas). La ley establece que "La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos podrán adoptar... cláusulas contractuales tipo para la realización de transferencias internacionales de datos"^[1]. Esto significa que la Agencia puede definir modelos de contrato que ya han sido validados para asegurar la privacidad. Asimismo, la Agencia puede "aprobar normas corporativas vinculantes"^[1], que son políticas internas que regulan cómo se mueven los datos dentro de su propio grupo empresarial.

Sin embargo, debe tener en cuenta un factor crítico de tiempo. El proceso que usted desea iniciar tiene un límite temporal legal. La ley indica que "El procedimiento se iniciará a instancia de una entidad situada en España y tendrá una duración máxima de nueve meses"^[1]. Dado que usted necesita tener el sistema operativo antes de junio y estamos ya en la segunda mitad del año, es muy probable que el trámite de aprobación de la Agencia no concluya antes de su fecha límite, ya que el plazo de nueve meses se puede suspender mientras el Comité Europeo de Protección de Datos emite su dictamen.

Tenga en cuenta que las leyes locales o autonómicas podrían añadir requisitos adicionales de seguridad o registro.

Preceptos citados

Preguntas relacionadas

• ¿A quién le puedo reclamar si una empresa de otro país me roba mis datos?
• ¿Pueden usar mis datos si denuncio algo malo en mi trabajo?
• ¿Cuánto tiempo tiene la Agencia de Protección de Datos para responderme si puse una queja?
• ¿Me pueden obligar a no trabajar en otra empresa si me voy de mi empleo?
• ¿Me pueden hacer una inspección de la empresa por videollamada?