{"id":10470,"date":"2020-06-27T12:16:00","date_gmt":"2020-06-27T12:16:00","guid":{"rendered":"https:\/\/asy9.webcozumleri.com\/insights\/transferencias-transfronterizas-datos-turquia-amazon\/"},"modified":"2020-06-27T12:16:00","modified_gmt":"2020-06-27T12:16:00","slug":"transferencias-transfronterizas-datos-turquia-amazon","status":"publish","type":"insight","link":"https:\/\/asy9.webcozumleri.com\/es\/insights\/transferencias-transfronterizas-datos-turquia-amazon\/","title":{"rendered":"Transferencias transfronterizas de datos en Turqu\u00eda y efectos de la decisi\u00f3n sobre Amazon Turkey"},"content":{"rendered":"
<\/span><\/p>\n
\n

La Junta de Protecci\u00f3n de Datos<\/em><\/strong> <\/em>emiti\u00f3 recientemente una nueva decisi\u00f3n<\/strong><\/a> e impuso a Amazon Turkey<\/strong> una multa de 1.100.000 TRY por infracciones de la legislaci\u00f3n de protecci\u00f3n de datos y comercio electr\u00f3nico, as\u00ed como por transferencias transfronterizas de datos<\/u><\/em><\/strong> il\u00edcitas, especialmente por transferencias de datos a sus filiales en el extranjero. De cara al futuro, la decisi\u00f3n tendr\u00e1 importantes repercusiones respecto de las transferencias de datos en Turqu\u00eda y, para comprender mejor estas consecuencias, primero debemos entender los antecedentes que dieron lugar a dicha decisi\u00f3n.<\/p>\n

<\/strong>Protecci\u00f3n de datos personales en Turqu\u00eda<\/u><\/strong><\/strong><\/h2>\n

<\/strong>En una econom\u00eda globalizada en la que las empresas tecnol\u00f3gicas dominan y controlan gran parte del marketing de contenidos y en la que los datos se consideran el nuevo oro, restringir y supervisar las transferencias transfronterizas de datos<\/strong> resulta cada vez m\u00e1s importante, aspecto que tambi\u00e9n se destaca en la decisi\u00f3n de la Junta de Protecci\u00f3n de Datos (DPB) sobre Amazon Turkey. En este sentido, Turqu\u00eda adopta una postura similar a la europea en materia de protecci\u00f3n de datos mediante la aplicaci\u00f3n de la Ley de Protecci\u00f3n de Datos Personales No. 6698 (LPPD<\/strong><\/a>), que es esencialmente la versi\u00f3n turca del Reglamento General de Protecci\u00f3n de Datos (GDPR<\/strong><\/a>).<\/p>\n<\/div>\n<\/div>\n

Transferencia de datos personales a terceros<\/u><\/strong><\/strong><\/h2>\n

Las transferencias de datos personales<\/strong> a terceros est\u00e1n reguladas de forma bastante restrictiva por la LPPD (de modo similar a las disposiciones del GDPR). El art\u00edculo 5 de la LPPD establece claramente que los responsables del tratamiento no pueden transferir datos personales a terceros sin el consentimiento expreso del titular de los datos, salvo en las circunstancias previstas en los art\u00edculos 5\/2 y 6\/3. El art\u00edculo 9 establece adem\u00e1s que las transferencias transfronterizas de datos est\u00e1n prohibidas salvo que el titular de los datos consienta expresamente dichas transferencias transfronterizas de datos<\/strong>. El art\u00edculo 9\/2 prev\u00e9 una excepci\u00f3n a esta regla y permite transferencias transfronterizas de datos sin el consentimiento expreso de los titulares cuando sean aplicables las circunstancias previstas en los art\u00edculos 5\/2 y 6\/3 y si (i) \u201cse proporciona protecci\u00f3n suficiente en el pa\u00eds extranjero al que se transferir\u00e1n los datos\u201d o (ii) \u201clos responsables en Turqu\u00eda y en el pa\u00eds extranjero correspondiente garantizan por escrito una protecci\u00f3n suficiente y la Junta ha autorizado dicha transferencia, cuando no se proporcione protecci\u00f3n suficiente\u201d.<\/p>\n

Transferencias de datos y excepciones al consentimiento expreso<\/u><\/strong><\/strong><\/h2>\n

<\/strong>Como se ha se\u00f1alado, la regla general para las transferencias de datos, sean nacionales o transfronterizas, es obtener el consentimiento expreso previo del titular de los datos. Sin embargo, la LPPD prev\u00e9 ciertas excepciones a este requisito tanto para datos personales como para datos personales de naturaleza especial, establecidas respectivamente en los art\u00edculos 5\/2 y 6\/3. Seg\u00fan el art\u00edculo 5\/2, los datos personales pueden tratarse y transferirse a terceros sin el consentimiento expreso del titular de los datos si:<\/p>\n

    \n
  1. Est\u00e1 previsto\/exigido por la ley,<\/em><\/li>\n
  2. Es necesario para proteger la vida o la integridad f\u00edsica de una persona que no est\u00e1 en condiciones f\u00edsicas de prestar consentimiento,<\/em><\/li>\n
  3. Es necesario para la celebraci\u00f3n, ejecuci\u00f3n o prestaci\u00f3n de los servicios indicados en un contrato,<\/em><\/li>\n
  4. Es necesario para que el responsable del tratamiento cumpla sus obligaciones legales,<\/em><\/li>\n
  5. Los datos han sido hechos p\u00fablicos por el titular de los datos,<\/em><\/li>\n
  6. Los datos se consideran obligatorios para el establecimiento, ejercicio o protecci\u00f3n de un derecho, o<\/em><\/li>\n
  7. Es obligatorio para los intereses leg\u00edtimos del responsable, siempre que no vulnere los derechos y libertades fundamentales del titular de los datos.<\/em><\/li>\n<\/ol>\n

    <\/em>El art\u00edculo 6\/3 establece adem\u00e1s que los datos personales de naturaleza especial, excluidos los relativos a la salud y a la vida sexual, pueden tratarse y transferirse a terceros sin el consentimiento expreso del titular si as\u00ed lo prev\u00e9n las leyes.<\/p>\n

    <\/strong>Transferencias transfronterizas de datos y el problema de la protecci\u00f3n suficiente<\/u><\/strong><\/strong><\/h2>\n

    Estas disposiciones que establecen excepciones a la regla del consentimiento expreso para las transferencias transfronterizas de datos son bastante claras, ya que el art\u00edculo 9\/2 dispone que dichas transferencias pueden realizarse sin el consentimiento expreso del titular si se proporciona protecci\u00f3n suficiente en el pa\u00eds extranjero al que se transferir\u00e1n los datos. Considerando que esta LPPD es casi una traducci\u00f3n directa del GDPR, ser\u00eda razonable asumir que todas las transferencias transfronterizas de datos hacia uno o m\u00e1s de los pa\u00edses en los que se aplica el GDPR quedar\u00edan cubiertas por esta disposici\u00f3n y, por tanto, exentas del requisito de consentimiento expreso.<\/p>\n

    Lamentablemente, no es as\u00ed. El problema surge del apartado 3 del mismo art\u00edculo 9, que establece que la DPB determinar\u00e1 y anunciar\u00e1 los pa\u00edses en los que se proporciona un nivel suficiente de protecci\u00f3n. La DPB a\u00fan no ha anunciado dicha lista, lo que significa que la excepci\u00f3n prevista en el art\u00edculo 9\/2\/a a\u00fan no resulta aplicable a ninguna transferencia transfronteriza de datos, incluidas las transferencias a pa\u00edses en los que se aplica el GDPR.<\/p>\n

    Resumen de la decisi\u00f3n sobre Amazon Turkey en materia de transferencias transfronterizas de datos<\/strong><\/strong><\/h2>\n

    <\/strong>Reclamaciones contra Amazon Turkey<\/u><\/strong><\/strong><\/h3>\n

    Como se indic\u00f3 al inicio de este art\u00edculo, tras una reclamaci\u00f3n presentada por un usuario de Amazon Turkey relativa al tratamiento y transferencia il\u00edcitos de datos, la Junta de Protecci\u00f3n de Datos impuso a Amazon Turkey una multa de 1.100.000 TRY por transferencias transfronterizas de datos il\u00edcitas a sus filiales en el extranjero y por incumplimiento de la legislaci\u00f3n de protecci\u00f3n de datos y comercio electr\u00f3nico. Una de las principales alegaciones formuladas en esta reclamaci\u00f3n fue que Amazon Turkey incluy\u00f3 la frase \u201cPodemos transferir sus datos personales a la Uni\u00f3n Europea y a los Estados Unidos para almacenar y procesar su informaci\u00f3n personal en el contexto de los fines establecidos en este Aviso de Privacidad<\/em>\u201d, lo cual, seg\u00fan la reclamaci\u00f3n, infring\u00eda las obligaciones establecidas en la LPPD porque Amazon Turkey no obtuvo el consentimiento expreso del titular de los datos para dichas transferencias internacionales, sino que se limit\u00f3 a informar de que pod\u00eda transferir los datos al extranjero.<\/p>\n

    Decisi\u00f3n de la DPB sobre Amazon Turkey respecto de las transferencias transfronterizas de datos<\/u><\/strong><\/strong><\/h3>\n

    Tras la reclamaci\u00f3n, la DPB inici\u00f3 una investigaci\u00f3n sobre Amazon Turkey y determin\u00f3 que, en efecto, no hab\u00eda obtenido consentimiento expreso de los titulares de los datos para las transferencias transfronterizas de datos, sino que hab\u00eda ofrecido a los titulares la opci\u00f3n de excluirse o elegir no compartir sus datos con terceros. Este mecanismo de exclusi\u00f3n voluntaria fue considerado contrario a la LPPD, ya que la ley exige claramente el consentimiento expreso de los titulares para las transferencias transfronterizas de datos y, por tanto, exige que los titulares opten expresamente por participar en dichas transferencias, en lugar de presumir que aceptaron por defecto y ofrecerles despu\u00e9s una opci\u00f3n de exclusi\u00f3n.<\/p>\n

    Como Amazon Turkey no obtuvo el consentimiento expreso previo de los titulares de los datos, la \u00fanica posibilidad para realizar l\u00edcitamente transferencias transfronterizas de datos en Turqu\u00eda era sostener que dichas transferencias quedaban dentro del alcance de las excepciones previstas en el art\u00edculo 9\/2 de la LPPD. <\/p>\n

    Sin embargo, como se ha visto, tales excepciones solo se aplican a las transferencias transfronterizas de datos si se proporciona protecci\u00f3n suficiente en el pa\u00eds extranjero al que se transferir\u00e1n los datos, y la DPB est\u00e1 autorizada para determinar los pa\u00edses con niveles suficientes de protecci\u00f3n conforme al art\u00edculo 9\/3. El problema aqu\u00ed, como tambi\u00e9n se indic\u00f3, es que la DPB a\u00fan no ha publicado esa lista de pa\u00edses exentos y, dado que la lista a\u00fan no est\u00e1 disponible, esta excepci\u00f3n prevista para pa\u00edses con protecci\u00f3n suficiente todav\u00eda no se aplica a ning\u00fan pa\u00eds, incluidos los pa\u00edses de la UE en los que se aplica el GDPR.<\/p>\n

    Dado que Amazon Turkey no puede beneficiarse de esta excepci\u00f3n de \u201cprotecci\u00f3n suficiente\u201d, queda la excepci\u00f3n final prevista en el art\u00edculo 9\/3, conforme a la cual las transferencias transfronterizas de datos pueden realizarse sin consentimiento expreso previo hacia pa\u00edses sin protecci\u00f3n suficiente si los responsables extranjeros de datos en Turqu\u00eda y en el pa\u00eds extranjero correspondiente entregan cartas de garant\u00eda por escrito a la DPB y la Junta aprueba dicha transferencia. Debe se\u00f1alarse aqu\u00ed que Amazon s\u00ed present\u00f3 una garant\u00eda ante la Junta para beneficiarse de esta excepci\u00f3n. <\/p>\n

    No obstante, en el momento de la reclamaci\u00f3n y de la decisi\u00f3n, la carta de garant\u00eda y la solicitud de excepci\u00f3n de Amazon todav\u00eda estaban pendientes ante la DPB, a la espera de la decisi\u00f3n y aprobaci\u00f3n final de la Junta. El art\u00edculo 9\/3 establece claramente que esta excepci\u00f3n solo ser\u00e1 aplicable si se presenta una carta de garant\u00eda Y<\/u><\/strong> la DPB aprueba las transferencias; dado que la DPB nunca aprob\u00f3 la solicitud de excepci\u00f3n de Amazon Turkey, la DPB decidi\u00f3 que dichas transferencias transfronterizas de datos realizadas por Amazon Turkey infring\u00edan las disposiciones de la LPPD.<\/p>\n

    De cara al futuro: efectos de la decisi\u00f3n Amazon Turkey sobre las transferencias transfronterizas de datos<\/strong><\/strong><\/h3>\n

    La decisi\u00f3n de multar a Amazon Turkey fue una decisi\u00f3n muy controvertida de la DPB. Fue controvertida porque Amazon Turkey transfer\u00eda datos personales a pa\u00edses de la UE, que deber\u00edan haberse considerado pa\u00edses con protecci\u00f3n suficiente al estar tambi\u00e9n sujetos a la regulaci\u00f3n del GDPR, y porque Amazon Turkey ya hab\u00eda presentado ante la Junta las cartas de garant\u00eda necesarias para beneficiarse de la segunda excepci\u00f3n prevista en el art\u00edculo 9\/3.<\/p>\n

    Aunque entendemos el origen de los argumentos contra esta decisi\u00f3n, tambi\u00e9n consideramos que la ley es bastante clara y transparente respecto de las excepciones. Las disposiciones de la LPPD establecen claramente que las excepciones para transferencias transfronterizas de datos solo ser\u00e1n aplicables si el pa\u00eds al que se transfieren los datos tiene niveles suficientes de protecci\u00f3n (a determinar por la Junta), o, cuando no exista protecci\u00f3n suficiente, si se presenta una carta de garant\u00eda y la transferencia es aprobada por la Junta. <\/p>\n

    Dado que la Junta a\u00fan no ha publicado la lista de pa\u00edses exentos, la \u00fanica forma de beneficiarse de las excepciones a las transferencias transfronterizas de datos es presentar una carta de garant\u00eda ante la Junta y esperar la aprobaci\u00f3n de la Junta para las transferencias. Aunque Amazon s\u00ed present\u00f3 una carta de garant\u00eda, no esper\u00f3 a que se tramitara la solicitud ni a la aprobaci\u00f3n de la Junta, y continu\u00f3 con las transferencias transfronterizas de datos sin obtener consentimientos expresos de los titulares. <\/p>\n

    En este sentido, la DPB ha dejado su posici\u00f3n abundantemente clara: si los responsables del tratamiento desean realizar transferencias transfronterizas de datos sin obtener consentimientos expresos, deben esperar a que se publique la lista de pa\u00edses exentos o presentar una carta de garant\u00eda y esperar la aprobaci\u00f3n de la Junta. En caso contrario, la LPPD exige a todos los responsables del tratamiento obtener consentimiento expreso de los titulares de los datos antes de realizar transferencias transfronterizas de datos.<\/p>\n

    Esta traducci\u00f3n se ofrece \u00fanicamente con fines informativos y puede presentar diferencias respecto del texto original.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

    An\u00e1lisis de la decisi\u00f3n de la Junta de Protecci\u00f3n de Datos sobre Amazon Turkey y sus consecuencias para las transferencias internacionales de datos personales bajo la LPPD turca.<\/p>\n","protected":false},"author":2,"featured_media":5304,"template":"","insight_category":[],"insight_topic":[],"class_list":["post-10470","insight","type-insight","status-publish","has-post-thumbnail","hentry"],"_links":{"self":[{"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/insight\/10470","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/insight"}],"about":[{"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/types\/insight"}],"author":[{"embeddable":true,"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/users\/2"}],"version-history":[{"count":0,"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/insight\/10470\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/media\/5304"}],"wp:attachment":[{"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/media?parent=10470"}],"wp:term":[{"taxonomy":"insight_category","embeddable":true,"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/insight_category?post=10470"},{"taxonomy":"insight_topic","embeddable":true,"href":"https:\/\/asy9.webcozumleri.com\/es\/wp-json\/wp\/v2\/insight_topic?post=10470"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}