Modificaciones a la normativa argentina de protección de datos personales y repercusiones en México

Recientemente, con fecha 16 de noviembre de 2016, el Director Nacional de Protección de Datos Personales de Argentina, Dr. Eduardo Bertoni, emitió la Disposición 60 – E/2016 mediante la cual se aprueban las cláusulas contractuales tipo de transferencia internacional para la cesión de datos personales y para los casos de transferencia internacional en los supuestos de prestación de servicios.

Esta disposición en su artículo 3 enumera cuáles son los países con una legislación adecuada en cuanto al tratamiento de datos personales -Estados miembros de la Unión Europea y miembros del Espacio Económico Europeo (EEE), Suiza, Guernsey, Jersey, Isla de Man, Islas Feroe, Canadá (solamente respecto de su sector privado), Andorra, Nueva Zelanda, Uruguay e Israel (solamente respecto de los datos que reciban un tratamiento automatizado)- respecto de los cuales, en cuanto a las transferencias que se realicen, no será necesario celebrar contratos que incluyan las cláusulas contractuales objeto de la presente normativa. Los países que no se enumeren en este artículo, serán en consecuencia, países con niveles inferiores de protección de datos a los de la República Argentina.

En particular, respecto de México, al no incluirse en esta enumeración, cuando se pretendan transferir datos personales desde Argentina, ya sea mediante la modalidad de una cesión de datos personales o una prestación de servicios, se deberán utilizar estos modelos de contratos para dichas transferencias. Si se pretenden utilizar otros contratos diferentes, se deberá solicitar la aprobación de la autoridad de protección de datos personales argentina, la Dirección Nacional de Protección de Datos Personales (DNPDP). Nota: la DNPDP deberá autorizar el uso de las cláusulas contractuales, no la transferencia internacional de datos personales, aunque, si se pretende utilizar otro modelo de contrato diferente y se solicita su autorización para dicho uso, indirectamente podría autorizar –o no, en caso de no aprobar el contrato que contiene la transferencia- dicha transferencia.

Entonces, ¿por qué estas modificaciones en la normativa argentina son importantes para algunas personas físicas o morales mexicanas de carácter privado? Porque se trata de aquellas situaciones de transferencia internacional de datos personales, desde empresas o sociedades argentinas a sus sucursales o casa matriz o accionistas que se encuentran ubicadas en México –casos más comunes-, aunque también afecta a las transferencias que las empresas o sociedades argentinas realicen de los datos personales de los titulares a terceros ajenos a su grupo de empresas, como el caso de sus proveedores.

Si tu empresa mexicana se encuentra en alguna de estas situaciones, como receptora –mediante una cesión o una prestación de servicios- de una transferencia internacional de datos personales de empresas o sociedades argentinas, deberás cumplir con esta reciente normativa argentina.

A estos fines es importante entender dos definiciones que incluye la Disposición 60 – E/2016 a los fines de conocer si te encuentras alcanzado por esta legislación: i) exportador: el responsable del tratamiento que transfiera los datos personales –que será la empresa o sociedad argentina; ii) importador o encargado del tratamiento: el responsable del tratamiento radicado fuera de la jurisdicción argentina que reciba los datos personales procedentes del exportador de datos para su tratamiento así como el prestador de servicios en los términos del artículo 25 de la Ley N° 25.326 radicado fuera de la jurisdicción argentina que reciba los datos personales procedentes del exportador de datos para su tratamiento.

En consecuencia, el importador será quien se encuentre ubicado en la República Mexicana y que, al recibir los datos personales mediante la transferencia internacional de datos personales en alguno de los supuestos mencionados –cesión o prestación de servicios- y en virtud de este contrato de transferencia que celebre con la empresa o sociedad argentina, se obliga a tratar los datos personales que reciba de conformidad con la Ley N° 25.326. Asimismo, y tratándose de una persona física o moral mexicana de carácter privado, receptora de estos datos personales, también se encuentra obligada a respetar las previsiones de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y la demás normativa aplicable. Es decir, esta persona física o moral deberá conocer y respetar tanto la legislación argentina en materia de protección de datos personales como la mexicana. Una no excluye a la otra o por cumplir con una no se exceptúa del cumplimiento de la otra.

Adicionalmente el importador mexicano al celebrar estos contratos con el exportador argentino, también acepta que la autoridad de control argentina –DNPDP-, ejerza sus facultades respecto del tratamiento de datos que asume a su cargo –con los límites y facultades de la Ley N° 25.326– siendo que estas facultades de control se pueden ejercer a través de la autoridad local con facultades análogas. En el caso mexicano será a través del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) que podrá colaborar con la DNPDP.

También es importante mencionar que, como importador mexicano, al firmar estos contratos con las mencionadas cláusulas contractuales tipo para la transferencia internacional de datos, aceptas que la legislación aplicable al contrato que celebres, será la legislación argentina, en particular la Ley N° 25.326, el Decreto 1558/2201 –reglamentario de la ley- y las disposiciones de la DNPDP. Asimismo, en caso de conflictos derivados del mencionado contrato de transferencia, aceptas que la jurisdicción judicial y administrativa aplicable sea la argentina. Nota: en simple, significa que te deberás ir a litigar a Argentina.

Asimismo es importante destacar que, no se respetará el espíritu de esta nueva normativa y se podrá caer en situaciones de ilegalidad, en aquellos casos en los que se transfieran los datos personales a los países enumerados en el artículo 3 de la Disposición 60 – E/2016 y que por lo tanto no requieran celebrar contratos con las cláusulas contractuales tipo a las que nos estamos refiriendo, y desde allí, pretendan transferir dichos datos personales a terceros países, para eludir el cumplimiento de esta normativa y de la autoridad de la DNPDP.

Como conclusión –muy general ya que hay muchas aristas para analizar en esta situación- y principalmente como recomendación para las personas físicas o morales mexicanas, se sugiere que sólo en aquellos casos que sea absolutamente imprescindible para el cumplimiento de su objeto social o para la prestación de sus servicios y/o productos, acepten realizar, como receptores, estas transferencias internacionales de datos personales de empresas o sociedades argentinas. Esto, principalmente, para evitar la doble obligación en cuanto al tratamiento de datos personales al que se encontrarán sometidos, como importadores –bajo la ley argentina- y como responsables –bajo la ley mexicana y las consecuentes responsabilidades y deberes que se derivan de ambas.

Si te interesa conocer más sobre esta normativa y si te encuentras o no obligado a respetarla, estamos a tu disposición para apoyarte desde R10S Abogados.