Al final de la actividad de investigación, los investigadores pueden decidir difundir su trabajo. Si la difusión no incluye los datos personales tratados durante la investigación, el trabajo puede difundirse a otras partes interesadas. Si la difusión sí incluye los datos procesados durante la investigación (por ejemplo, poner los datos a disposición de la comunidad científica para su revisión por pares), deberán tomarse medidas adicionales. La difusión de datos personales constituye una operación de tratamiento según el artículo 4.2 del RGPD y -como se ha descrito anteriormente- cualquier operación de tratamiento que incluya datos biométricos estará prohibida a menos que se apliquen exenciones. Por lo tanto, los investigadores deben repetir los pasos ya descritos en 3.2.2 antes de proceder a la difusión. En particular, si el responsable del tratamiento se basa en la base jurídica de la “investigación científica”, y si se cumplen todos los requisitos para adoptar dicha base jurídica (véase la sección ‘Identificar la base jurídica más adecuada’), es posible distinguir además dos escenarios. En el primero, el equipo de investigación (Equipo A) ha completado la actividad de investigación y pretende difundir los datos en beneficio de otros equipos de investigación (Equipo B). En este caso, la difusión no es una operación necesaria para alcanzar los objetivos de investigación del equipo A, pero podría ser necesaria para los objetivos de investigación del equipo B. Por lo tanto, el equipo A no puede invocar la base jurídica de la “investigación científica”. De ello se desprende que el Equipo A no tiene ningún fundamento jurídico para compartir los datos con el Equipo B, o con cualquier otro destinatario, a menos que se encuentre una base jurídica diferente (por ejemplo, el Equipo A puede recabar el consentimiento explícito con el fin de compartir los datos con el Equipo B). En el segundo escenario, el Equipo A se da cuenta, tras la recogida de los datos personales, de que no tiene la capacidad adecuada (por ejemplo, técnica) para procesar los datos y continuar con la investigación. Por lo tanto, el Equipo A decide confiar en la capacidad del Equipo B para procesar los datos. En esta situación, la difusión de los datos al Equipo B es un paso necesario para lograr los objetivos de investigación del Equipo A, y el Equipo B debe ser nombrado “encargado del tratamiento” de acuerdo con las disposiciones del artículo 28 del RGPD. El artículo 4.8 del RGPD define al encargado del tratamiento como “una persona física o jurídica, una autoridad pública, una agencia u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. La designación y las funciones del encargado del tratamiento se comunicarán al interesado antes de la transferencia, y se regirán por un contrato o por el Derecho de la Unión o de los Estados miembros, que contendrá al menos el objeto y la duración del tratamiento, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados, así como las obligaciones y los derechos del responsable del tratamiento.

En caso de que sea necesario transferir datos personales fuera del Espacio^[1] Económico Europeo, y siempre que dicha transferencia no esté sujeta a una o varias de las excepciones enumeradas en el artículo 49 del RGPD^[2], deberán tomarse medidas adicionales. El RGPD prevé una serie de instrumentos para la transferencia internacional de datos. Sin embargo, no todos son aplicables en la actualidad, ya que las autoridades competentes todavía están trabajando para formalizar algunos de ellos.

Transferencia internacional de datos
Perseguir una decisión de adecuación	Aplicable
Aplicación de las cláusulas estándar de protección de datos	Aplicable
Persecución de normas corporativas vinculantes	Aplicable
Cumplir con los códigos de conducta	Planificado
Perseguir los mecanismos de certificación	Planificado
Persecución de un instrumento jurídicamente vinculante entre autoridades u organismos públicos	Planificado[3]

En el primer caso (perseguir la decisión de adecuación), los datos pueden transferirse a otros estados de la UE si existe una decisión de adecuación por parte de la Comisión Europea. Se puede adoptar una decisión de adecuación si el otro Estado ofrece un nivel de protección de datos adecuado a la norma^[4] europea. En el segundo caso, (perseguir las cláusulas estándar de protección de datos), los datos pueden transferirse si existe un acuerdo entre el exportador y el importador de datos y si dichos acuerdos contienen una serie de cláusulas estándar relativas a la protección de datos que han sido aprobadas previamente por la Comisión Europea^[5]. En el tercer caso, si la transferencia extraterritorial se produce dentro de la misma entidad (por ejemplo, una transferencia entre dos sucursales de un grupo internacional), los datos pueden transferirse si existen normas corporativas vinculantes que ofrezcan garantías de protección de datos según el artículo 47 del RGPD y estén aprobadas por la autoridad de supervisión de protección de datos competente.

 

 

1. Que incluye a todos los Estados miembros de la UE y a Islandia, Liechtenstein y Noruega. ↑
2. Para más información, véase también European Data Protection Board, ‘Guidelines 2/2018 on Derogations of Article 49 under Regulation 2016/679’, May 2018. ↑
3. A partir de julio de 2021, estas tres opciones para la transferencia internacional de datos están previstas, pero aún no se han aplicado. ↑
4. La lista de países reconocidos mediante una decisión de adecuación puede consultarse en https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en. ↑
5. La versión más actualizada de las cláusulas tipo puede encontrarse en European Commission, ‘Implementing Decision 2021/914 on Standard Contractual Clauses for the Transfer of Personal Data to Third Countries Pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council’ (2021), https://doi.org/10.5040/9781782258674. ↑