Aplicable en España — basado en normativa española (BOE).El régimen que se aplica cuando datos personales salen de España hacia un tercer país fuera del Espacio Económico Europeo
Resumen rápido: La transferencia internacional de datos es el envío de datos personales desde España (o desde cualquier Estado miembro de la Unión Europea) a un país u organización internacional situado fuera del Espacio Económico Europeo.
Definición flash: Se rige por el RGPD y la LOPDGDD; los principios de protección de datos se aplican también a la propia transferencia, no solo al tratamiento previo.
Etiqueta lingüística
«Transferencia» procede del latín transferre (llevar de un lugar a otro): en protección de datos no equivale a cualquier acceso remoto, sino específicamente al envío de datos personales a un destinatario situado fuera del Espacio Económico Europeo, con un régimen de garantías reforzado por esa salida del marco jurídico común.
Definición técnica
El sistema verificado: remisión en cascada a tres niveles normativos — el Reglamento (UE) 2016/679, la propia LOPDGDD y sus normas de desarrollo, y las circulares de la Agencia Española de Protección de Datos y las autoridades autonómicas, cada una en el ámbito de sus competencias (art. 40 LOPDGDD)—; aplicación íntegra de los principios de protección de datos a los tratamientos en que consista la propia transferencia, «en particular las que regulan los principios de protección de datos» (art. 40 in fine); y competencia de la Agencia Española de Protección de Datos para adoptar cláusulas contractuales tipo —sometidas al dictamen previo del Comité Europeo de Protección de Datos del artículo 64 RGPD— y para aprobar normas corporativas vinculantes, con un procedimiento de duración máxima de nueve meses que se suspende mientras dura ese dictamen europeo (artículo 41 LOPDGDD).
Aplicación práctica
En la práctica, toda transferencia internacional de datos exige comprobar primero si el país de destino cuenta con una decisión de adecuación de la Comisión Europea; si no la tiene, hace falta acudir a alguna de las garantías del capítulo V del RGPD — cláusulas contractuales tipo, normas corporativas vinculantes u otro mecanismo—, y en cualquier caso, mantener aplicados los principios generales de protección de datos al tratamiento que la propia transferencia supone.
Contexto legal en España
La transferencia internacional de datos se regula en el artículo 40 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que remite al Capítulo V del Reglamento (UE) 2016/679; el artículo 41 de la misma ley orgánica atribuye a la Agencia Española de Protección de Datos la competencia para adoptar cláusulas contractuales tipo y normas corporativas vinculantes.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Encargado del tratamiento dentro de la UE
- Ceder datos a un encargado situado en un Estado miembro del Espacio Económico Europeo no es una transferencia internacional; el régimen reforzado del art. 40 LOPDGDD y el Capítulo V del RGPD solo se activa cuando el destino está fuera de ese espacio.
Términos relacionados
Dato de autoridad
El artículo 40 de la Ley Orgánica 3/2018 exige que, en toda transferencia internacional de datos, se apliquen a la propia transferencia las disposiciones sobre principios de protección de datos del Reglamento (UE) 2016/679, sin excepción por el mero hecho de que los datos salgan del Espacio Económico Europeo.
Encuentra un abogado
Preguntas frecuentes sobre transferencia internacional de datos
¿Qué normas rigen una transferencia internacional de datos desde España?
El Reglamento (UE) 2016/679, la LOPDGDD y sus normas de desarrollo, y las circulares de la Agencia Española de Protección de Datos y de las autoridades autonómicas en su ámbito de competencias (art. 40 LOPDGDD).
¿Quién puede aprobar cláusulas contractuales tipo para transferencias internacionales?
La Agencia Española de Protección de Datos y las autoridades autonómicas, sometiéndolas previamente al dictamen del Comité Europeo de Protección de Datos (art. 41.1 LOPDGDD).
¿Se aplican los principios generales de protección de datos a la propia transferencia?
Sí: el artículo 40 LOPDGDD lo dice expresamente, «en particular las que regulan los principios de protección de datos».
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.