Si tienes que enviar datos fuera de la Unión Europea

¿Tienes razón?

Enviar datos personales desde Perú a destinos fuera de la Unión Europea es una operación común en empresas que trabajan con proveedores globales, pero no es automática ni inocua. Tres factores determinan si puedes hacerlo de forma segura y conforme: la clasificación de los datos (¿son datos sensibles?), la base jurídica que legitima la transferencia (consentimiento, cumplimiento de contrato, interés legítimo u otra base aplicable según tu política) y las garantías contractuales y técnicas que ofrezca el receptor. Además importa el tipo de receptor: un proveedor que sólo trata datos por encargo (encargado de tratamiento) exige un contrato distinto al que actúa como responsable propio.

Si en el flujo hay datos sensibles (por ejemplo, salud, ideología, biométricos), la carga de precauciones sube: necesitas justificarlos de forma clara y proporcionar mayores salvaguardias. También importan las leyes del país receptor: si ese país permite accesos de autoridad pública sin control, tendrás que compensarlo con medidas adicionales. Por último, las pruebas: conserva registros de decisiones, de evaluaciones de riesgo y de las cláusulas contractuales. Si no puedes demostrar que hiciste esas comprobaciones, te expones a una reclamación administrativa ante INDECOPI u otras autoridades competentes.

Cómo se soluciona

1. Identifica y documenta el flujo de datos. Haz una lista exacta de campos y categorías: nombres, correos, identificadores, historiales, ubicación, etc. Señala quién es responsable en cada extremo y qué operaciones hará (almacenamiento, análisis, profilado, compartición con terceros).

1. Clasifica la información. Marca qué es datos personales y qué son datos sensibles. Esto cambia las medidas que debes exigir al receptor. Para cada categoría anota el riesgo concreto (pérdida, divulgación no autorizada, acceso por parte de autoridades).

1. Determina la base legal del tratamiento. Revisa si cuentas con consentimiento válido (informado y específico) o si existe otra base aplicable para la transferencia. Si dependes del consentimiento, asegúrate de que fue recabado con claridad sobre la transferencia internacional.

1. Realiza una evaluación de riesgo y una evaluación de impacto sobre la protección de datos cuando corresponda. Explica qué riesgos identificaste y qué medidas técnicas y organizativas adoptas: cifrado en tránsito y reposo, control de accesos, separación de entornos, copias y retención.

1. Firma contratos adecuados. Si el receptor actúa como encargado, exige un contrato que obligue al receptor a procesar los datos solo según tus instrucciones y a implementar las medidas de seguridad. Si el receptor es responsable independiente, exige garantías equivalentes y cláusulas de colaboración para solicitudes de titulares y transferencia posterior.

1. Asegura mecanismos de cumplimiento y supervisión. Solicita auditorías, certificaciones o evidencia de controles (por ejemplo, reportes de pruebas de penetración, certificaciones de seguridad). Incluye derechos de auditoría y notificación de incidentes en los acuerdos.

1. Actualiza avisos y canales de ejercicio de derechos. Informa a titulares sobre la transferencia: finalidad, país receptor y medios para ejercer derechos. Mantén registros de las comunicaciones.

Qué puedes hacer hoy sin abogado: redacta la lista de datos y la descripción del flujo, revisa si tienes consentimiento específico y descarga la documentación del proveedor sobre medidas de seguridad. Cuándo conviene un abogado: para redactar o revisar contratos internacionales de tratamiento, para evaluar obligaciones ante una autoridad o cuando hay transferencia de datos sensibles o de cientos de miles de registros.

Qué puede pasar

1) Se arregla con una carta o negociación técnica. Lo más habitual es que la empresa receptora proporcione garantías adicionales o que se firme un contrato que cubra las dudas. Esto suele solventar el problema sin procedimientos administrativos.

2) Acuerdo o conciliación. Si un titular reclama o si INDECOPI inicia actuación, las partes pueden llegar a un acuerdo que incluya medidas correctoras, indemnizaciones y control externo. Para la empresa, aceptar un acuerdo por una suma moderada y obligaciones de remediación puede ser preferible a defender un expediente largo y costoso.

3) Procedimiento administrativo o judicial. Si hay incumplimiento grave (filtración de datos, tratamiento sin base legal, falta de garantías), puede abrirse una investigación administrativa ante INDECOPI o una acción civil por daños. Si pierdes, podrías enfrentar medidas correctoras, multas administrativas y obligación de reparar daños. Y si la empresa receptora es insolvente, una sentencia favorable no siempre garantiza el cobro efectivo; la ejecución depende de la solvencia del obligado.

Y si ganas, ¿cobras? Una sentencia o resolución a tu favor define la obligación del responsable o encargado, pero la efectividad del cobro depende de que exista patrimonio ejecutable. En muchos casos la solución práctica pasa por medidas contractuales que aseguren acceso a recursos (seguros, garantías, retenciones) antes de confiar en la ejecución judicial.

Errores que arruinan el caso

• Confiar en un consentimiento genérico: si no informaste de la transferencia internacional de modo específico, esa base puede ser inválida.
• No documentar la decisión: sin registros de la evaluación y de las cláusulas contractuales será difícil probar que actuaste con diligencia.
• Usar acuerdos inadecuados: firmar solo un acuerdo comercial sin cláusulas de tratamiento y seguridad deja vacíos legales.
• No comprobar la seguridad técnica del receptor: fiarse de una palabra sin pedir pruebas o auditorías es riesgoso.
• No preparar canales para titulares: si te piden acceso o eliminación y no respondes bien, el conflicto escala rápidamente.