RIPD-Guia de implementacion de clausulas contractuales modelo para la transferencia internacional de datos personales

Índice

1. Introducción .........................................................................................................................3

2. Precisiones y limitaciones ...................................................................................................4

3. Antecedentes de las TIDP ....................................................................................................6 3.1. Antecedentes internacionales .......................................................................................................6 3.2. Red Iberoamericana de Protección de Datos ....................................................................................8 3.3. Normativa Iberoamericana sobre TID .............................................................................................9

4. Principales actores en las TIDP ...........................................................................................9

5. Regla general en las TIDP. Excepciones y mecanismos de transferencia más usados ....13 5.1. Regla general ..............................................................................................................................................13 5.2. Excepciones ................................................................................................................................................15 5.3. Mecanismos de transferencia .....................................................................................................15

6. Las CCM como mecanismo de resguardo de las TIDP ......................................................16 6.1. Finalidad de las CCM.................................................................................................................16 6.2. Ventajas y beneficios de las CCM .................................................................................................16

7. Cuestiones prácticas en la implementación y ejecución de las CCM ...............................18 7.1. Aspectos generales .....................................................................................................................................18 7.2. Características de las CCM. Forma de uso. ...................................................................................................20 7.3. Posición de las partes. Incorporaciones de nuevas partes y uso del CCM con otros acuerdos. Modificaciones ....21 7.4. Ley aplicable a las TIDP ...............................................................................................................................21 7.5. Cumplimiento de las normas generales de protección de datos personales ..................................................22 7.6. Transferencias ulteriores .............................................................................................................................22 7.7. Terceros beneficiarios. .................................................................................................................................23 7.8. Responsabilidad demostrada .......................................................................................................................23 7.9. Imposibilidad de cumplimiento del Importador ................................................................................24

Glosario de la Guía ...................................................................................................................25 Siglas utilizadas .......................................................................................................................27

Documentos consultados .........................................................................................................28 Referencias de algunas organizaciones ...................................................................................30

GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP

1. Introducción El uso de cláusulas contractuales son una alternativa para poder realizar transferencias internacionales de datos personales. En ese sentido, el literal c) del inciso 1 del artículo 36 de los Estándares de protección de datos personales para los Estados Iberoamericanos de la Red Iberoamericana de Protección de Datos (RIPD) dispone que “El responsable y encargado podrán realizar transferencias internacionales de datos personales en cualquiera de los siguientes supuestos: … c. El exportador y destinatario suscriban cláusulas contractuales o cualquier otro instrumento jurídico que ofrezca garantías suficientes y que permita demostrar el alcance del tratamiento de los datos personales, las obligaciones y responsabilidades asumidas por las partes y los derechos de los titulares. La autoridad de control podrá validar cláusulas contractuales o instrumentos jurídicos según se determine en la legislación nacional de los Estados Iberoamericanos aplicable en la materia”.

En línea con lo anterior, la presente guía busca establecer los principales aspectos que deben tenerse en cuenta cuando se realizan transferencias internacionales de datos personales (en adelante, TIDP) mediante el uso de cláusulas contractuales modelo (en adelante CCM). Como tal, esta guía presenta algunas orientaciones para que sean tenidas en cuenta por quienes deben realizar TIDP a jurisdicciones no adecuadas desde los países miembros de la Red Iberoamericana de Protección de Datos Personales (RIPD). MEXICO BRASIL exportador receptor DATOS

PERSONALES

CCM

MEXICO BRASIL

exportador receptor

DPEARTOSOSNALES

ANU ÓT ICO CRI ETD OAD

R PD E E P DR O DT AEC DIC RIÓ ONTUA Asimismo, en América Latina no existen CCM aprobadas conjuntamente a nivel regional. Por eso la RIPD presenta como anexo a esta Guía un modelo de contrato de transferencia internacional en dos versiones, uno para transferencias entre Responsables y otro para transferencias de Responsables a Encargados. Se considera que estos dos modelos son un primer paso y se espera más adelante elaborar modelos adicionales para transferencias de Encargado a Encargado y de Encargado a Responsable. 3 GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP El contenido sustancial de ambos modelos sigue los lineamientos de los Estándares de protección de datos personales para los Estados Iberoamericanos de la RIPD1 (“Estándares”). Las CCM propuestas en el Anexo son además similares en su estructuración con las recientes cláusulas contractuales tipo para la transferencia de datos personales a terceros países aprobadas en junio de 2021 por la Comisión de la Unión Europea (“UE”)2 ya que en su esencia contienen elementos y principios similares. =

EESSTTÁÁNNDDAARREESS

CCM SCC

ANU ÓT ICO CRI ETD OA RD PDE

E

P DR O DTE AC DIC RIÓ ONTUA

2. Precisiones y limitaciones Esta Guía es complementaria de las recomendaciones, documentos y regulación vigente en cada país de Iberoamé- rica3. Las normativas de protección de datos aplicables en los países de Iberoamérica contienen disposiciones específicas relativas a las TIDP e incluso en varios incluyen una previsión para el uso de cláusulas contractuales. En

algunos casos se han desarrollado modelos de cláusulas contractuales propios basados en la legislación nacional (ver punto 3.3. de esta Guía). Esta Guía no reemplaza a las normativas nacionales ni a las orientaciones o criterios expresados por las distintas autoridades de protección de datos de la región en el ejercicio de sus facultades.

1. Cfr. Red Iberoamericana de Protección de Datos -RIPD- (2017). Estándares de protección de datos personales para los Estados Iberoamericanos. Disponibles en:

https://www.redipd.org/sites/default/files/inline-files/Estandares_Esp_Con_logo_RIPD.pdf

2. Cfr. DECISIÓN DE EJECUCIÓN (UE) 2021/914 DE LA COMISIÓN de 4 de junio de 2021 relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo. Disponibles en: https://eur-lex.europa.eu/ legal-content/ES/TXT/HTML/?uri=CELEX:32021D0914&from=EN#ntr2-L_2021199ES.01003701-E0002

3. Por ejemplo, ver las mencionadas en la sección de Documentos consultados de esta Guía.

4 GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP Cabe aclarar también que, en caso de contradicción manifiesta entre este documento y alguna recomendación o guía de la autoridad nacional de protección de datos, se sugiere seguir la recomendación de dicha autoridad en el entendimiento que corresponde a dicha entidad el determinar las reglas para hacer efectiva una TIDP de acuerdo a la legislación aplicable. En cualquier caso, la aplicación de esta Guía y el uso de los dos modelos contractuales anexos a la presente Guía

deberá hacerse en armonía con las recomendaciones, resoluciones y determinaciones de las autoridades de protección de datos locales y, sobre todo, con la legislación local aplicable. 1º

LEGISLACIÓN LOCAL

AUTORIDAD DE PROTECCIÓN DE DATOS LOCALES

CLÁUSULAS CONTRACTUALES MODELO

ESTÁNDARES DE PDP PARA LOS ESTADOS IBEROAMERICANOS DE LA RIPD Para la elaboración4 de este documento, así como las de las CCM se tomaron como referencia los Estándares de Protección de Datos Personales para los Estados Iberoamericanos de la RIPD5 para establecer los principios, términos, definiciones, obligaciones del Responsable y del Encargado y derechos de los titulares de datos personales. La Guía y las CCM no transcriben textualmente todos los aspectos de los mismos, sino que se tomaron los principios contenidos en los Estándares como fuente de todos los principios legales que corresponde aplicar en caso de una TIDP. Por lo tanto, este documento debe leerse de manera conjunta e integral con los citados Estándares, sin perjuicio de las eventuales adaptaciones que puedan realizarse a nivel nacional. La presente Guía no es un concepto legal, ni un artículo académico, ni constituye asesoría jurídica de ninguna clase. Tampoco pretende ser un listado exhaustivo de recomendaciones específicas porque ello es un asunto interno que corresponde decidir a cada organización a la luz de los objetivos y la magnitud de cada proyecto que implique transferir datos personales a jurisdicciones no adecuadas.

4. La Red Iberoamericana de Protección de Datos (RIPD) agradece la labor realizada por Pablo Palazzi en la elaboración de esta guía y su anexo. La RIPD publicó

la versión previa del presente documento para comentarios de la opinión pública. Se recibieron y analizaron las observaciones y sugerencias de las siguientes personas y organizaciones cuya participación agradecemos: (1) SEPD (Supervisor Europeo de Protección de Datos); (2) APEP (Asociación Profesional Española de Privacidad); (3) Gustavo Parra (Instituto de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Estado de México y Municipios); (4) La Asociación Latinoamericana de Internet (ALAI), (5) Daniel Bulnes; (6) Asociación de Internet MX; (7) Profesora Lourdes Zamudio; (8) Equifax.

5. Cfr. Red Iberoamericana de Protección de Datos -RIPD- (2017). Estándares de protección de datos personales para los Estados Iberoamericanos. Disponibles en:

https://www.redipd.org/sites/default/files/inline-files/Estandares_Esp_Con_logo_RIPD.pdf 5

GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP

3. Antecedentes de las TIDP 3.1. Antecedentes internacionales La Directiva de Protección de Datos de la Unión Europea del año 19956 fue la primera norma que implementó a nivel de derecho comunitario europeo reglas aplicables a las TIDP. La citada Directiva ha sido derogada y sustituida por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos

(en adelante Reglamento General de protección de Datos, RGPD)7. El RGPD contiene en su capítulo quinto una detallada regulación de las transferencias internacionales de datos personales (arts. 44 a 50, RGPD). El art. 46 inc. 2 del RGPD permite las TIDP cuando se adoptan garantías adecuadas, entre las que se enumeran las cláusulas tipo de protección de datos aprobadas por la Comisión Europea o por alguna autoridad de control. Mediante la Decisión 2001/497/CE de la Comisión8 y luego mediante la Decisión 2010/87/UE de la Comisión Europea9-, aprobó sendos modelos que contienen cláusulas contractuales tipo para facilitar la transferencia de datos personales por parte de un Responsable establecido en la UE a otro Responsable o Encargado establecido en un tercer país que no ofreciera un nivel de protección adecuado. Las cláusulas contractuales tipo de las Decisiones mencionadas han sido actualizadas en junio de 2021 para adaptarlas al RGPD, proceso que incluyó una consulta pública10. La nueva decisión11 aprueba un modelo más completo adaptado a los cambios normativos y a los nuevos modos de tratamiento de datos de carácter personal. Es del caso mencionar también el “Acuerdo sobre comercio electrónico del MERCOSUR”12 (vinculante para la República

6. Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281 de 23.11.1995, p. 31). Disponible en https://eur-lex.europa.eu/legal-content/ES/

TXT/?uri=OJ%3AL%3A1995%3A281%3ATOC

7. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, DO L 119 de 4.5.2016, p. 1. Disponible en

https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ%3AL%3A2016%3A119%3ATOC

8. Decisión 2001/497/CE de la Comisión, de 15 de junio de 2001, relativa a cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE. Disponible en https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ%3AL%3A2001%3A181%3ATOC

9. Decisión 2010/87/UE de la Comisión, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo. Disponible en https:// eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ%3AL%3A2010%3A039%3ATOC

10. Estas nuevas cláusulas contractuales recibieron comentarios, aportes y sugerencias de toda la comunidad internacional y constituyen un texto que refleja los

estándares más importantes a nivel internacionales incluidos los últimos desarrollos jurisprudenciales en la materia.

11. DECISIÓN DE EJECUCIÓN (UE) 2021/914 DE LA COMISIÓN de 4 de junio de 2021 relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo. Disponible en https://eur-lex.europa.eu/ legal-content/ES/TXT/HTML/?uri=CELEX:32021D0914&from=EN#ntr2-L_2021199ES.01003701-E0002

12. Ver MERCOSUR/CMC/DEC. Nº 15/20, Disponible en https://normas.mercosur.int/public/normativas/4018 y https://normas.mercosur.int/simfiles/normativas/82753_DEC_015-2020_ES_Acuerdo%20Comercio%20Electronico.pdf

6 GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP Argentina, la República Federativa del Brasil, la República del Paraguay y la República Oriental del Uruguay) firmado el 28 de enero de 2021. El art. 6.2 del citado Acuerdo dispone que las partes deberán adoptar o mantener leyes, regulaciones o medidas administrativas para la protección de la información personal de los usuarios que participen en el comercio electrónico. A tales efectos tomarán en consideración los estándares internacionales que existen en esta materia. Asimismo, por el art. 6.7 del Acuerdo se dispone que las partes se comprometen a aplicar a los datos personales que reciban de otra Parte un nivel de protección adecuado mediante una norma general o regulación específica

autónoma o por acuerdos mutuos, generales o específicos, o en marcos internacionales más amplios, admitiéndose para el sector privado la implementación de contratos o autorregulación. El art. 7 de la normativa del MERCOSUR establece el principio de no discriminación en materia de transferencias internacionales de datos personales. El 9 de abril de 2021, el Comité Jurídico Interamericano de la Organización de Estados Americanos aprobó los Principios Actualizados sobre la Privacidad y la Protección de Datos Personales13. El Principio n. 11 se refiere al Flujo Transfronterizo de Datos y dispone lo siguiente: “Reconociendo su valor para el desarrollo económico y social, los Estados Miembros deberían cooperar entre sí para facilitar el flujo transfronterizo de datos personales a otros Estados cuando éstos confieran un nivel adecuado de protección de los datos de conformidad con estos Principios. Asimismo, los Estados Miembros deberían cooperar en la creación de mecanismos y procedimientos que aseguren que los responsables y encargados del tratamiento de datos que operen en más de una jurisdicción, o los transmitan a una jurisdicción distinta de la suya, puedan garantizar y ser efectivamente hechos responsables por el cumplimiento de estos Principios”. Por otra parte el Convenio n. 108 del Consejo de Europa con las modificaciones del Protocolo del 200114 dispone en su art. 2 titulado “Transferencia de datos personales a destinatarios no sometidos a la competencia de las Partes del Convenio” que “Cada Parte preverá que la transferencia de datos personales a un destinatario sometido a la

competencia de un Estado u organización que no es Parte del Convenio se lleve a cabo únicamente si dicho Estado u organización asegura un adecuado nivel de protección”. Por su parte el art. 2.2 dispone que “No será de aplicación el párrafo 1 del Artículo 2 del presente Protocolo, pudiendo las Partes autorizar la transferencia de datos personales: … b) si se prevén las suficientes garantías, que pueden resultar, en particular, de cláusulas contractuales, por parte del responsable del tratamiento responsable de la transferencia y dichas garantías se estiman adecuadas por las autoridades competentes de conformidad con el derecho interno”.

13. OEA, Principios Actualizados sobre la Privacidad y la Protección de Datos Personales, con Anotaciones (CJI/RES. 266 (XCVIII-O/21)).

http://www.oas.org/es/sla/ddi/proteccion_datos_personales_Trabajos_Actuales_CJI.asp

14. Disponible en https://rm.coe.int/1680080626

7 GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP 3.2. Red Iberoamericana de Protección de Datos La RIPD con fundamento en el artículo 1, inciso a) del Reglamento de la Red Iberoamericana de Datos Personales y con el objetivo de elaborar y contar con normatividades que garanticen el derecho a la protección de datos y privacidad en los países de la región; se ha preocupado por la regulación legal de las TIDP desde sus orígenes. Así, en el marco del III Encuentro Iberoamericano de Protección de Datos celebrado en Cartagena de Indias (Colombia) en el año 200415 los miembros de la RIPD emitieron diversas conclusiones donde se evidenciaba su preocupación

por las TIDP. En ese encuentro los miembros de la RIPD concluyeron que “La transferencia internacional de datos personales debe estar sometida a un régimen de garantías para impedir que los principios que rigen el derecho fundamental a la protección de datos se vean vulnerados por el mero traslado de dichos datos a otro país. La Directiva de Protección de Datos de la Unión Europea ha consagrado este principio y ha otorgado a la Comisión Europea competencias para decidir que un país que ha establecido una legislación de protección de datos acorde con los estándares europeos y ha creado una autoridad de control independiente es un destino seguro para los datos personales provenientes de Estados miembros de la UE”. En el mismo documento los miembros de la RIPD aclararon que “En el caso que no exista este reconocimiento, es posible, entre otras opciones, la utilización de las cláusulas contractuales tipo […] Su utilización permite establecer las garantías necesarias que suplan la carencia de una legislación adecuada en el país de destino al otorgar a los titulares cuyos datos se transfieren la posibilidad de exigir el cumplimiento de las cláusulas del contrato que les afectan así como una reparación en el caso de que se les causen perjuicios por no respetarse”. La Declaración de Cartagena de Indias concluye señalando que “Por lo tanto, los participantes en el III Encuentro Iberoamericano de Protección de Datos hacen votos para que en los países iberoamericanos se promulguen regulaciones sobre protección de datos y se establezcan mecanismos de control independientes que promuevan una efectiva implantación del derecho fundamental a la protección de datos personales que, al mismo tiempo, faciliten

el libre flujo de datos personales entre los países”. En el marco del XVIII Encuentro Iberoamericano de Protección de Datos16 celebrado en línea el 4 de diciembre de 2020 en Montevideo (Uruguay), los miembros de la RIPD establecieron en su Declaración Final (conclusión punto 7) que: “[…] el tratamiento de datos personales como impulsor de la economía mundial requiere reglas claras y transparentes que permitan flujos internacionales de datos seguros, basados en la consideración del nivel de protección que brindan los países u organizaciones destinatarias de dichos flujos, en tratados internacionales, o en normas contractuales entre emisor y receptor que garanticen la vigencia de los principios en protección de datos, el ejercicio de los derechos por parte de los titulares, y el cumplimiento de las obligaciones correspondientes a responsables, encargados de tratamiento y otros terceros”.

15. RIPD, Declaración de Cartagena de Indias, mayo de 2004, punto III - “Las transferencias internacionales de datos. Perspectivas europeas e iberoamericanas” en https://www.redipd.org/sites/default/files/inline-files/declaracion_2004_III_encuentro_es.pdf

16. RIPD, XVIII Encuentro Iberoamericano de Protección de Datos, https://www.redipd.org/sites/default/files/2020-12/declaración-final-xviii-encuentro.pdf

8 GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP En conclusión, resulta natural que en el desarrollo de documentos adicionales a los Estándares y a las Declaraciones de la RIPD se busque elaborar guías y modelos que faciliten el libre flujo de datos, pero manteniendo una protección

adecuada de los datos personales de los titulares tales como las CCM o los códigos corporativos vinculantes. En el año 2017 los miembros de la RIPD aprobaron los Estándares de Protección de Datos Personales para los Estados Iberoamericanos. Los Estándares Iberoamericanos buscan establecer un conjunto de principios y derechos comunes de protección de datos personales que los Estados Iberoamericanos puedan adoptar y desarrollar en su legislación nacional, con la finalidad de contar con reglas homogéneas en la región. Por otra parte, los Estándares Iberoamericanos incluyen las mejores prácticas nacionales e internacionales en la materia al momento de su dictado. Entre los objetivos de los Estándares Iberoamericanos se encuentran los siguientes que de alguna forma justifican adoptar CCM para la región: (i) facilitar el flujo de los datos personales entre los Estados Iberoamericanos y más allá de sus fronteras, con la finalidad de coadyuvar al crecimiento económico y social de la región y (ii) favorecer la cooperación internacional entre las autoridades de control de los Estados Iberoamericanos, con otras autoridades de control no pertenecientes a la región y autoridades y organismos internacionales en la materia. El art. 36 inc. 1, letra “c” de los Estándares dispone que “El responsable y encargado podrán realizar transferencias internacionales de datos personales en cualquiera de los siguientes supuestos: … c. El exportador y destinatario suscriban cláusulas contractuales o cualquier otro instrumento jurídico que ofrezca garantías suficientes y que permita demostrar el alcance del tratamiento de los datos personales, las obligaciones y responsabilidades asumidas por las partes y los derechos de los titulares. La autoridad de control podrá validar cláusulas contractuales o

instrumentos jurídicos según se determine en la legislación nacional de los Estados Iberoamericanos aplicable en la materia”. De los Estándares Iberoamericanos surge lo siguiente: + El Exportador y el Importador pueden suscribir cláusulas contractuales. + Estas cláusulas contractuales deben ofrecer garantías suficientes, que permitan demostrar: (i) el alcance del tratamiento de los datos personales, (ii) las obligaciones y responsabilidades asumidas por las partes y (iii) los derechos de los Titulares. + La autoridad de control respectiva podrá validar cláusulas contractuales o instrumentos jurídicos según se determine en la legislación nacional de los Estados Iberoamericanos aplicable en la materia. 3.3. Normativa Iberoamericana sobre TID En consonancia con la normativa internacional antes citada y con los Estándares, gran parte de los países iberoamericanos regulan la transferencia internacional de datos personales, en ausencia de una continuidad en el nivel de protección. Este es el caso de los siguientes países: Argentina (art. 12 ley n. 25.326 de protección de datos personales, art. 12 del decreto reglamentario n. 1558/2001 y Disposición 60). Brasil (arts. 33 a 35 de la Ley general de Protección de Datos). 9 GUÍA DE IMPLEMENTACIÓN DE CLÁUSULAS CONTRACTUALES MODELO PARA LA TIDP Cabo Verde (art. 20, Ley nº 41/VIII/2013, de 17 de septiembre, de Protección de Datos Personales de las Personas Físicas). Colombia (Art. 26 de la Ley 1581 de 2012). Ecuador (arts. 55 a 61 de la Ley Orgánica de Protección de Datos Personales).

México (arts. artículos 65-71 de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados y arts. 36 y 37 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares). Nicaragua (art.14 de la Ley nº 787, Ley de Protección de Datos Personales). Panamá (arts. 5 y 33, Ley nº 81, de 26 de marzo de 2019, sobre Protección de Datos Personales y arts. 51 a 53 del Decreto ejecutivo n. 285 del 28 de mayo de 2021). Perú (arts. 11 y 15 de la ley 29.733, Ley de Protección de Datos Personales). República Democrática de Santo Tomé y Príncipe (arts. 19 y 20, Ley 3/2016, de 2 de mayo de Protección de Datos Personales de las Personas Físicas). República Dominicana (art. 80 de la Ley Nº 172-13, de 13 de diciembre de 2013, sobre Protección de Datos de Carácter Personal). Uruguay (art. 23 de la Ley N° 18.331 de Protección de Datos Personales, Resolución N° 4/019, de 12 de marzo de 2019 y Resolución N° 41/021, de 8 de setiembre de 2021). La mayor parte de las legislaciones antes citadas también establecen ciertas excepciones para permitir las TIDP a destinos no adecuados (cuando existen por ejemplo tratados internacionales). Por otra parte, es también posible recurrir a otras herramientas para la transferencia internacional. Por ejemplo, las normas de Argentina, Colombia17, México18, Panamá19, Perú20 y Uruguay contemplan o recomiendan la posibilidad de usar CCM.

Por su parte algunas autoridades de protección de datos como es el caso de Uruguay y de Argentina, han emitido normas donde aprueban directrices o modelos de CCM21.

17. Colombia: En su nueva versión del año 2021 la Guía emitida por la autoridad colombiana de protección de datos personales se dan lineamientos sobre la TIDP y el uso de CCM. Ver Colombia, SIC, Guía para la implementación del principio de responsabilidad demostrada en las transferencias internacionales de datos personales, pág. 17 donde se recomienda el uso de cláusulas contractuales para las TIDP como forma de demostrar accountability por parte del Encargado del tratamiento de datos personales. Disponible en https://www.sic.gov.co/sites/default/files/files/2021/2021%20Gu%C3%ADas%20para%20implementaci%- C3%B3n%20del%20principio%20de%20responsabilidad%20demostrada%202021.pdf

18. México, Artículo 75 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), sugiere las cláusulas contractuales, al disponer “A tal efecto, el responsable que transfiera los datos personales podrá valerse de cláusulas contractuales u otros instrumentos jurídicos en los que se prevean al menos las mismas obligaciones a las que se encuentra sujeto el responsable que transfiere los datos personales, así como las condiciones en las que el titular consintió el tratamiento de sus datos personales”. Por otra parte, el artículo 66 de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, que a la letra establece que “Toda transferencia deberá formalizarse mediante la suscripción de cláusulas contractuales, convenios de

colaboración o cualquier otro instrumento jurídico, de conformidad con la normatividad que le resulte aplicable al responsable, que permita demostrar el alcance del tratamiento de los datos personales, así como las obligaciones y responsabilidades asumidas por las partes”. Cabe aclarar que en México se cuenta con una Ley aplicable a particulares y otra para Sujetos Obligados, que de manera puntual son aquellas instituciones de carácter público.

19. Panamá, Art. 53 inc. 2 del Decreto ejecutivo n. 285 del 18 de mayo de 2021. Disponible en https://www.gacetaoficial.gob.pa/pdfTemp/29296_A/GacetaNo_29296a_20210528.pdf

20. Perú, Artículo 25 del Reglamento de la LPDP, considera también a las cláusulas contractuales, cuando señala que “… el emisor o exportador podrá valerse de cláusulas contractuales u otros instrumentos jurídicos en los que se establez