L'EDPB valida les clàusules de la RIPD i el Consell d'Europa per a dades
- L'EDPB valida l'ús de clàusules contractuals alternatives per a transferències successors de dades.
- S'accepten els models desenvolupats pel Consell d'Europa i la Xarxa Ibero-Americana de Protecció de Dades.
- L'objectiu és simplificar el compliment normatiu mantenint els estàndards de protecció de la UE.
- Aquesta mesura facilita el comerç digital i la cooperació amb països iberoamericans.
La governança global de les dades acaba de donar un pas significatiu cap a la flexibilitat operativa sense sacrificar la seguretat jurídica. El Comitè Europeu de Protecció de Dades (EDPB) ha adoptat recentment una declaració que reconeix la validesa d'altres models de clàusules contractuals per a les anomenades transferències successors de dades personals. Aquesta decisió, fruit d'una coordinació estreta amb la Comissió Europea, amplia el catàleg d'instruments legals que les empreses poden utilitzar quan les dades, ja rebutes sota el marc de la UE, han de ser transferides a tercers països.
L'obertura cap a models contractuals alternatius
Fins ara, les Standard Contractual Clauses (SCC) de la Comissió Europea havien estat l'eix central i quasi exclusiu per garantir que les dades personals que surten de la Unió Europea mantinguin un nivell de protecció equivalent al del Reglament General de Protecció de Dades (RGPD). No obstant això, la realitat dels negocis internacionals i la complexitat de les cadenes de subprocesament han exigit una visió més pragmàtica.
La nova postura de l'EDPB acull amb satisfacció les actualitzacions fetes per la Comissió Europea en les seves preguntes freqüents (FAQs). El punt clau és el reconeixement que els models de clàusules contractuals desenvolupats pel Consell d'Europa (CoE MCC) i els de la Xarxa Ibero-Americana de Protecció de Dades (RIPD MCC) poden ser utilitzats per a transferències successors. Això significa que, si una empresa ha rebut dades sota les SCC de la UE i després ha de transferir aquestes dades a un altre receptor fora de la UE, pot recórrer a aquests models alternatius sempre que es compleixin les condicions establertes.
Què són exactament les transferències successors
Per entendre l'impacte d'aquesta mesura, cal diferenciar entre la transferència inicial i la successiva. Una transferència successors ocorre quan una entitat que ja ha rebut dades personals des de la UE decideix transferir aquestes mateixes dades a un tercer receptor, situat també fora de la Unió. En aquest escenari, el risc de pèrdua de control sobre la privacitat augmenta, ja que la dada s'allunya progressivament de la jurisdicció europea.
L'estratègia de l'EDPB és permetre que aquest flux no es bloquegi per una burocràcia excessiva, però assegurant que el receptor final signi compromisos legals robusts. L'ús de clàusules preaprobades, com les de la Xarxa Ibero-Americana, actua com una garantia de que el nivell de protecció dels individus es manté intacte, independentment de quants salts doni la informació a través de diferents continents.
El pes de la Xarxa Ibero-Americana i el Consell d'Europa
La validació dels models de la RIPD (Red Iberoamericana de Protección de Datos) és especialment rellevant per a les empreses amb operacions a Llatinoamèrica. Aquesta xarxa ha treballat en la convergència de principis de privacitat que s'alineen amb els estàndards europeus. En reconèixer les seves clàusules, la UE admet que existeixen marcs legals regionals capaços de garantir la seguretat de la informació sense necessitat de duplicar exactament el text de les SCC europees.
D'altra banda, el Consell d'Europa ha desenvolupat models que busquen una harmonització més ampla, sovint més allà dels límits estrictes de la UE. Aquesta cooperació institucional demostra que la tendència actual no és l'aïllament normatiu, sinó la creació de ponts legals basats en principis compartits de drets humans i privacitat.
Guia pràctica per a l'implementació empresarial
Les organitzacions que vulguin basar-se en aquests models contractuals no poden fer-ho de manera indiscriminada. L'EDPB ha deixat clar que l'ús d'aquestes clàusules està subjecte a les condicions detallades en les FAQs de la Comissió Europea. Les empreses han de verificar que el model escollit cobreixi realment els aspectes essencials de la protecció de dades i que el flux de la informació estigui correctament documentat.
L'objectiu és proporcionar una guia pràctica per a les organitzacions, permetent que la seguretat jurídica no sigui un obstacle per a la cooperació internacional, sempre que es garanteixi el dret a la privacitat.
Per a els responsables de compliment (DPO) i els departaments legals, això implica una revisió dels contractes de subprocesament. Ja no és obligatori insistir exclusivament en el text literal de les SCC de la UE per a cada eslabó de la cadena, cosa que pot facilitar enormement les negociacions amb proveïdors de serveis en regions com Amèrica Llatina.
L'arquitectura dels instruments de transferència
És important situar aquesta notícia dins del mapa general de les eines de transferència. Les clàusules contractuals estàndard són només un dels mecanismes disponibles. Al costat d'aquestes, existeixen les decisions d'adequació, on la Comissió Europea decideix que un país tercer té un nivell de protecció suficient, i les Normes Corporatives Vinculants (BCR), més adequades per a grans grups empresarials.
La novetat actual no crea un nou mecanisme, sinó que amplia el catàleg de clàusules acceptades per a un cas d'ús específic: la transferència successors. Això redueix la fricció administrativa per a les pimes i les startups que operen en ecosistemes globals i que sovint troben dificultats per fer signar clàusules europees a socis locals en mercats iberoamericans.
Impacte en l'ecosistema empresarial de Catalunya i Espanya
Per a les empreses catalanes i espanyoles, aquesta notícia té una repercussió directa i tangible. Barcelona s'ha consolidat com un hub tecnològic i d'IA a Europa, amb un teixit d'empreses que no només exporten serveis, sinó que gestionen fluxos de dades massius amb partners a tot el món, especialment amb una connexió històrica i comercial molt forta amb Llatinoamèrica.
L'adopció de les clàusules de la Xarxa Ibero-Americana simplifica la vida de les startups del 22@ i les empreses d'enginyeria i software de Catalunya. En un moment on l'AI Act comença a desplegar-se, la gestió de les dades per a l'entrenament de models o el processament en el núvol requereix una agilitat jurídica extrema. Si una empresa espanyola utilitza un proveïdor de serveis en el núvol a un país tercer, i aquest proveïdor subcontrata un altre serveu a Llatinoamèrica, el procés de contractualització ara és molt més fluid.
A més, el mercat espanyol, que actua sovint com a pont entre la UE i el món hispanòfon, veu en aquesta mesura una oportunitat per augmentar la seva competitivitat. La reducció de la burocracia en el compliment del RGPD permet que les empreses locals es concentrin més en la innovació i menys en la redacció de contractes repetitius. En definitiva, l'estratègia de l'EDPB i la Comissió Europea reconeix que la protecció de dades no ha de ser un mur, sinó un filtre segur que permeti el creixement del negoci digital espanyol i català en l'àmbit global.
Preguntes freqüents
Què són les transferències successors de dades?
Són transferències que ocorren quan una entitat que ja ha rebut dades personals des de la UE les torna a transferir a un tercer receptor situat fora de la Unió Europea.
Quins models de clàusules són ara acceptats a part dels de la UE?
S'accepten els models desenvolupats pel Consell d'Europa (CoE MCC) i els de la Xarxa Ibero-Americana de Protecció de Dades (RIPD MCC).
Aquestes clàusules es poden utilitzar per a qualsevol transferència?
No, l'EDPB especifica que aquests models són vàlids per a transferències successors de dades que hagin estat rebutes originalment sota les clàusules estàndard (SCC) de la UE, i sempre seguint les condicions de les FAQs de la Comissió.
Com afecta això a una empresa de tecnologia a Barcelona?
Facilita la contractualització amb socis i proveïdors a Llatinoamèrica, permetent utilitzar marcs legals regionals reconeguts en lloc de dependre exclusivament de les SCC europees.
Fonts: Edpb (2), Commission ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
