SCC Cláusulas Contractuales Tipo.

Lo que realmente hacen las SCC

Las cláusulas contractuales tipo son un contrato preredactado entre un exportador de datos en la UE y un importador en un país sin decisión de adecuación. Al firmarlas, el importador se compromete a obligaciones de nivel GDPR: limitación de la finalidad, seguridad, controles de transferencias ulteriores, derechos de los interesados y cooperación con la autoridad de control. Como la Comisión Europea ya ha aprobado la redacción, no es necesario negociar ni justificar las cláusulas en sí, motivo por el cual son el mecanismo de transferencia por defecto para casi cualquier relación SaaS, cloud o de subencargado fuera de la UE.

Las cláusulas son modulares. Usted elige el módulo que se ajusta a la relación real: responsable a responsable, responsable a encargado, encargado a encargado, o encargado a responsable. Equivocarse de módulo es el error de redacción más común, porque las obligaciones y los puntos de acoplamiento para los subencargados difieren entre ellos. Las SCC también incluyen una cláusula de acoplamiento que permite que nuevas partes se incorporen a un conjunto existente, lo que mantiene manejables las largas cadenas de subencargados.

Por qué la TIA cambió las reglas del juego

Antes de la sentencia Schrems II de 2020, firmar las SCC se consideraba suficiente por sí solo. El Tribunal de Justicia puso fin a ello. Dictaminó que los compromisos contractuales no pueden vincular a un gobierno extranjero, de modo que el exportador debe evaluar si el importador puede honrar genuinamente las cláusulas a la luz de la legislación local de vigilancia y acceso. Esa evaluación es la evaluación de impacto de la transferencia. En la práctica, se documenta el país de destino, las leyes que podrían obligar a la divulgación, la naturaleza y la sensibilidad de los datos, y si medidas complementarias como un cifrado robusto, la seudonimización o el procesamiento dividido cierran cualquier brecha que se detecte.

Si la TIA concluye que el importador no puede cumplir los compromisos de las SCC y ninguna medida complementaria lo resuelve, la transferencia no debería realizarse sobre la base de las SCC. Aquí es donde las SCC difieren marcadamente de una decisión de adecuación: la adecuación es una constatación de la Comisión que elimina la carga caso por caso, mientras que las SCC trasladan esa carga a usted en cada transferencia. El EU-US Data Privacy Framework ofrece ahora una vía de adecuación para los importadores estadounidenses certificados, pero las SCC siguen siendo la herramienta de referencia para cualquier otro tercer país y para los proveedores estadounidenses que no están certificados.

Lo que realmente hacen los profesionales

Un proceso de SCC que funciona es repetible, no un ejercicio jurídico puntual. El patrón en el que se asienta la mayoría de los equipos es el siguiente.

1. Mapear la transferencia: identificar al exportador, al importador, las categorías de datos y el módulo correcto antes de tocar la plantilla.
2. Completar los anexos: las partes, la descripción del tratamiento y las medidas de seguridad técnicas y organizativas. Los anexos vagos son la parte que los reguladores cuestionan primero.
3. Ejecutar y documentar la TIA, incluyendo cualquier medida complementaria, y conservarla junto con las cláusulas firmadas.
4. Integrar las SCC en la incorporación de proveedores para que se firmen antes de que fluyan los datos, no de forma retroactiva después de que una auditoría detecte la brecha.
5. Revisar de nuevo cuando el proveedor cambie de subencargados, cuando el país de destino o sus leyes cambien, o con una cadencia fija.

Las SCC se sitúan dentro de su narrativa más amplia de responsabilidad proactiva del GDPR. Remiten a los registros de las actividades de tratamiento, a la DPIA cuando es necesaria y a los controles de seguridad que usted ya se ha comprometido a aplicar. Tratadas como documentos vivos en lugar de como una firma recogida una sola vez, son la diferencia entre una transferencia que puede defender y otra que se derrumba en el momento en que un regulador o un interesado pregunta cómo protege los datos que salen de la UE.