El 19 de diciembre pasado, el Ministerio de Economía dictó una resolución exenta que aprueba Cláusulas Contractuales Tipo (CCT) para la transferencia internacional de datos personales. Esta medida se enmarca en el proceso de implementación de la nueva Ley de Protección de Datos Personales (Ley N° 21.719), que entrará en vigencia el 1 de diciembre de 2026, modificando la actual ley sobre Protección de la Vida Privada (Ley N° 19.628).
La nueva Ley de Protección de Datos Personales introduce un marco sustancialmente más exigente para el tratamiento de datos personales, incorporando, entre otros elementos, un régimen sancionatorio robusto y la creación de la Agencia de Protección de Datos Personales (APDP) como organismo autónomo con facultades fiscalizadoras. En materia de transferencias internacionales, la nueva ley establece que éstas solo serán lícitas cuando concurra una causal habilitante expresamente prevista, entre las cuales se contemplan, entre otros mecanismos, garantías contractuales apropiadas.
En ese contexto, las Cláusulas Contractuales Tipo constituyen uno de los mecanismos habilitantes reconocidos por la nueva normativa, aunque no el único. Su relevancia práctica radica en que permite a los responsables y encargados del tratamiento adoptar anticipadamente las acciones necesarias para adecuar sus procesos a los estándares que la nueva normativa establece, mientras la APDP no dicte, en el ejercicio de sus funciones, una norma que cumpla una función equivalente.
Rol y alcance de las CCT
La resolución del Ministerio de Economía aprueba como modelo oficial las CCT contenidas en la Guía de Implementación de Cláusulas Contractuales Modelo para la Transferencia Internacional de Datos Personales[CW1] , elaboradas en el marco de la Red Iberoamericana de Protección de Datos.
Estas cláusulas están diseñadas como instrumentos estandarizados y de uso general, orientadas a facilitar el cumplimiento normativo, reducir los costos asociados a la negociación individual de cláusulas de transferencia y permitir una adopción temprana de los estándares que impone la nueva Ley N° 21.719.
Lineamientos prácticos para implementar CCT
El modelo considera diversos aspectos relevantes para su utilización en transferencias internacionales de datos personales, entre los que se incluyen:
- Identificación del modelo aplicable según el flujo de datos
Debe determinarse si la transferencia se realiza entre responsables (Responsable ↔ Responsable) o desde un responsable a un encargado (Responsable → Encargado), ya que el alcance de las obligaciones varía según el rol que asuma el receptor de los datos y el modelo contractual aplicable.
- Uso del modelo, carátula y anexos
La idea es que, en principio, no sea necesario modificar el texto de las CCT, salvo para completar la carátula y los anexos previstos en el propio modelo.
De todas formas, las CCT pueden incorporarse dentro de un contrato más amplio y complementarse con otras cláusulas o garantías, siempre que dichas disposiciones no contradigan, directa o indirectamente, las CCT ni perjudiquen los derechos fundamentales de los titulares de los datos.
Además, las CCT contemplan anexos destinados a identificar a las partes que intervienen en la transferencia y a describir sus elementos relevantes. En particular, estos documentos permiten: identificar a nuevas partes que se incorporen con posterioridad (Anexo A); describir los datos personales transferidos y sus finalidades, distinguiendo claramente cada transferencia o categoría de transferencias (Anexo B); detallar de manera precisa las medidas de seguridad aplicables (Anexo C); identificar a los subencargados del tratamiento, cuando corresponda (Anexo D); e incorporar documentación legal adicional, como avisos o políticas de privacidad (Anexo E).
- Cumplimiento del modelo durante la vigencia de la transferencia
Cabe destacar que el uso de CCT implica un conjunto de obligaciones y efectos jurídicos que se activan durante la vigencia de la transferencia internacional de datos personales.
En particular, el modelo reconoce a los titulares de los datos como terceros beneficiarios del acuerdo, habilitándolos para ejercer derechos de acceso, rectificación, supresión y oposición, lo que supone la existencia de mecanismos adecuados para su atención. Asimismo, las CCT contemplan obligaciones orientadas a asegurar el cumplimiento de los principios y obligaciones que el modelo establece, incluyendo la implementación de medidas administrativas, físicas y técnicas adecuadas, así como mecanismos que permitan acreditar dicho cumplimiento.
Durante la vigencia de la transferencia, el modelo también regula la gestión de incidentes de seguridad, estableciendo obligaciones de notificación y cooperación que varían según el tipo de relación contractual entre las partes. Adicionalmente, se contemplan condiciones específicas para las transferencias ulteriores de datos personales, las que solo se permiten en supuestos acotados, como la adopción de garantías equivalentes, la existencia de una decisión de adecuación, la concurrencia de una base excepcional prevista por la ley o el consentimiento expreso e informado del titular para un caso específico.
- Cerrar el ciclo de vida de los datos
El modelo también regula el destino de los datos una vez se hayan prestado los servicios de tratamiento. En particular, contempla la obligación del importador de devolver o destruir los datos personales transferidos y de acreditar dicha actuación. En caso de que una obligación legal del país de destino impida su devolución o eliminación, el tratamiento deberá limitarse estrictamente a lo exigido por dicha normativa, manteniendo en todo caso las garantías previstas en las CCT.
Consideraciones finales
En este contexto, comprender el alcance y funcionamiento de las Cláusulas Contractuales Tipo resulta especialmente relevante para anticipar la adecuación al nuevo régimen de protección de datos personales y para evaluar, desde ya, cómo se estructuran las transferencias internacionales de datos bajo los estándares que impondrá la Ley N° 21.719.
Para preguntas o mayor información sobre este tema, puede contactar a nuestro equipo legal corporativo.