Cláusulas Contractuales Tipo (SCCs)

Qué son las SCCs

Las Cláusulas Contractuales Tipo (Standard Contractual Clauses, SCCs) son contratos estandarizados aprobados por la Comisión Europea mediante la Decisión de Ejecución 2021/914. Constituyen el mecanismo más utilizado para legitimar las transferencias internacionales de datos personales a países fuera del EEE que carecen de una decisión de adecuación.

Módulos disponibles

Las SCCs de 2021 se organizan en cuatro módulos según la relación entre las partes:

• Módulo 1: Responsable a responsable (controller-to-controller)
• Módulo 2: Responsable a encargado (controller-to-processor)
• Módulo 3: Encargado a encargado (processor-to-processor)
• Módulo 4: Encargado a responsable (processor-to-controller)

Cada módulo contiene obligaciones específicas adaptadas a la naturaleza de la relación y del flujo de datos.

El impacto de Schrems II

La sentencia del TJUE Schrems II (2020) invalidó el Privacy Shield UE-EE.UU. y estableció que las SCCs por sí solas pueden no ser suficientes. El exportador debe realizar una Evaluación de Impacto de la Transferencia (TIA) para verificar que la legislación del país importador no impide al importador cumplir con las cláusulas, especialmente en materia de acceso gubernamental a los datos.

Implementación práctica

Las empresas deben: incorporar las SCCs en todos los contratos con proveedores fuera del EEE, realizar TIAs documentadas, implementar medidas suplementarias cuando sean necesarias (cifrado, pseudonimización, restricciones de acceso) y revisar periódicamente la idoneidad de las garantías. El EU-US Data Privacy Framework (2023) ha simplificado las transferencias a empresas estadounidenses certificadas, pero las SCCs siguen siendo imprescindibles para el resto de destinos.