¿Permite la Agencia de Protección de Datos registrar un fichero cuando su ubicación principal está en otro país?

La Agencia sí permite la inscripción de ese tipo de ficheros, pero esto es una TRANSFERENCIA INTERNACIONAL DE DATOS, y antes de realizarse esta “transferencia” se deberá dejar constancia de esta intención en el momento en que se notifique en el Registro de la AGPD la creación del correspondiente fichero de datos personales.

Para poder realizar la inscripción los pasos a seguir son:

Solicitar a la AGPD autorización para la Transferencia Internacional de Datos (almacenamiento de los datos en un servidor en EEUU). Es muy importante la finalidad y el motivo por el cual se deja fuera, a qué pueden tener acceso los de Estados Unidos y todo eso. Es decir, que también se habrá de indicar el país al que se pretende hacer la transferencia.

Una vez la AGPD de el “SI” procedemos a inscribir (adjuntando el OK de la propia Agencia).

En ocasiones lo que podemos hacer es inscribir incluyendo la justificación a la transferencia internacional, todo en uno, es más rápido.

Si ya se ha inscrito el Fichero de datos y es después cuando se quiere llevar a cabo una transferencia internacional de los datos, se deberá modificar la inscripción indicando igualmente el país de destino de los datos.

Cuando se esté haciendo la Declaración de la inscripción de este tipo de Ficheros en el Registro de Protección de Datos, será necesario introducir la dirección de esta empresa que alberga los sistemas de información de la entidad, ya que es en la misma donde estará ubicado este Fichero.

Por otro lado, en este caso entiendo que la empresa estadounidense es un “encargado de tratamiento” que solo trata o procesa los datos personales por cuenta del Responsable del Fichero, por lo que no habría una cesión de los datos sino mero acceso a los mismos en el marco de una relación contractual, por lo que en este caso la LOPD no exige que se informe al titular de los datos acerca del acceso a los datos por parte del encargado de tratamiento. Pero sí se requiere que la relación entre el responsable de los datos y el encargado del tratamiento quede reflejada en un contrato que contenga los datos exigidos por el artículo 12 LOPD.