Nearshoring en Portugal: RGPD con clientes fuera de la UE

Nearshoring · 4 min

Contratar un equipo en Portugal no somete automáticamente al cliente extranjero al RGPD. Descubra qué obligaciones recaen sobre el proveedor y cómo encuadrar los flujos de datos.

Nearshoring en Portugal: RGPD con clientes fuera de la UE

TL;DR

Contratar a un proveedor en Portugal no convierte, por sí solo, al cliente de fuera de la UE en sujeto del RGPD.
Cuando actúa como encargado del tratamiento, el proveedor portugués debe cumplir las obligaciones del RGPD que le son aplicables.
La devolución de datos al cliente fuera del Espacio Económico Europeo puede constituir una transferencia internacional.
Las garantías necesarias dependen del destino, del destinatario y de la existencia de una decisión de adecuación aplicable.
Antes de iniciar el servicio, conviene definir los roles, mapear los datos y los accesos y establecer las responsabilidades contractuales.

Un equipo en la UE trae también las normas de la UE

Cuando una empresa de Estados Unidos, del Reino Unido o de Suiza contrata servicios de nearshoring en Portugal, la evaluación no debe limitarse al talento, a los costes y a la zona horaria. Es importante entender si el equipo tendrá acceso a datos personales y en qué condiciones: información de clientes, de empleados, de usuarios de aplicaciones o registros técnicos que permitan identificar a personas. También es necesario definir los roles de cada entidad. Si el cliente determina los fines y los medios esenciales del tratamiento y el proveedor trata los datos por cuenta de este, el proveedor actuará, por regla general, como encargado del tratamiento. Esa calificación depende de las funciones efectivamente desempeñadas, no solo de la denominación utilizada en el contrato. Aclarar estos aspectos antes del inicio del proyecto facilita la definición de accesos, responsabilidades y medidas de seguridad.

El reglamento se aplica al tratamiento, no a toda la empresa

El RGPD establece su ámbito territorial en el artículo 3. Un proveedor establecido en Portugal está sujeto a las obligaciones que le sean aplicables en relación con el tratamiento realizado en el contexto de sus actividades, aunque el responsable del tratamiento se encuentre fuera de la Unión Europea. Sin embargo, contratar a ese proveedor no somete, por sí solo, al cliente extranjero al reglamento. El Comité Europeo de Protección de Datos confirma esta distinción en las Directrices 3/2018, utilizando el ejemplo de una empresa mexicana que contrata a un encargado del tratamiento en España. La situación del cliente debe analizarse de forma autónoma: podría estar incluido si el tratamiento está vinculado a las actividades de un establecimiento en la UE o, en las condiciones del artículo 3, apartado 2, si ofrece bienes o servicios a personas que se encuentren en la Unión o monitoriza su comportamiento. La evaluación debe centrarse en cada tratamiento concreto.

El proveedor en Portugal asume obligaciones propias

Cuando asume el papel de encargado del tratamiento, el proveedor portugués tiene obligaciones propias en virtud del RGPD. Entre ellas se cuentan el marco contractual previsto en el artículo 28, la adopción de medidas técnicas y organizativas adecuadas, el control de los subencargados del tratamiento y, cuando proceda, el mantenimiento de registros de las categorías de tratamientos realizados. También debe informar al responsable del tratamiento, sin dilación indebida, cuando tenga conocimiento de una violación de la seguridad de los datos personales. El contrato debe identificar el objeto y la duración del tratamiento, las categorías de datos y de interesados, las instrucciones documentadas, las condiciones de acceso y las responsabilidades en la respuesta a incidentes. Las obligaciones directamente aplicables al proveedor no desaparecen por el hecho de que el cliente extranjero no esté sujeto al RGPD. En Portugal, la Comisión Nacional de Protección de Datos (CNPD) es la autoridad nacional de control.

Mapear los flujos de datos antes de constituir el equipo

Antes de constituir el equipo, debe mapearse el recorrido de los datos: quién los proporciona, dónde se alojan, quién accede a ellos, si se copian a sistemas de tickets, repositorios o entornos de prueba y a quién se ponen posteriormente a disposición. Hay un detalle especialmente importante: si un proveedor portugués devuelve datos personales al cliente situado fuera del Espacio Económico Europeo, esa puesta a disposición puede constituir una transferencia internacional sujeta al capítulo V del RGPD, incluso cuando los datos fueron recibidos originalmente de ese cliente. El Comité Europeo de Protección de Datos aclara esta situación en las Directrices 05/2021, mediante un ejemplo específico. El acceso remoto por parte de entidades situadas en terceros países también debe analizarse, incluso sin descarga de archivos. Este mapeo permite anticipar requisitos contractuales, controles de acceso, políticas de conservación de registros y condiciones de uso de subencargados.

Una condición que gestionar, no un obstáculo

Una transferencia internacional no significa que el proyecto sea inviable. El mecanismo necesario varía según el destino y el destinatario. El Reino Unido y Suiza se benefician de decisiones de adecuación de la Comisión Europea. En Estados Unidos, la decisión asociada al EU–US Data Privacy Framework abarca a las organizaciones certificadas, dentro del ámbito aplicable. Cuando no exista una decisión de adecuación que cubra la transferencia, podría ser necesario recurrir a garantías adecuadas, como las cláusulas contractuales tipo, acompañadas de las evaluaciones exigibles. En la relación entre un encargado del tratamiento establecido en el Espacio Económico Europeo y un responsable del tratamiento situado fuera de dicho espacio, el módulo 4 de las cláusulas contractuales tipo puede ser relevante. Estas exigencias deben articularse con la legislación local del cliente y con las posibles normas sectoriales, sin presumir que la contratación de un equipo en Portugal resuelva, por sí sola, todas las cuestiones de cumplimiento.

Clarificar los roles antes del contrato reduce el retrabajo

El mejor momento para abordar estas cuestiones es antes de la firma del contrato. Un proceso de contratación sólido comienza con la identificación del responsable del tratamiento y del encargado del tratamiento, y continúa con la clasificación de los datos y la documentación de los accesos, ubicaciones, subencargados, plazos de conservación y reglas de eliminación o devolución. También debe prever medidas de seguridad, comunicación de incidentes, responsabilidades de las partes y, cuando sea necesario, mecanismos de transferencia internacional. En proyectos de soporte, desarrollo y operación continuada, conviene evitar que registros técnicos, copias de diagnóstico y entornos de prueba generen flujos de datos no previstos. El objetivo no es añadir burocracia indiscriminada, sino establecer un modelo operativo que permita prestar el servicio con seguridad y previsibilidad. El encuadre debe confirmarse a la luz del caso concreto y, cuando sea necesario, con asesoramiento jurídico especializado.