El capítulo V del Reglamento es la parte con la que una empresa de software se encuentra el día en que se da de alta en una región de alojamiento, un servicio de soporte o una herramienta de analítica operada desde fuera del Espacio Económico Europeo. El artículo 44 fija el principio: una transferencia de datos personales a un tercer país o a una organización internacional solo se realiza si el responsable y el encargado cumplen las condiciones del capítulo, incluidas las transferencias ulteriores, y todas sus disposiciones se aplican de modo que no se menoscabe el nivel de protección que el Reglamento garantiza. Este artículo lee el capítulo contra el catálogo que StandardOS mantiene del Reglamento y contra la propia lista de decisiones de adecuación de la Comisión, con la página gratuita que elige el mecanismo a partir del destino y de los dos roles.

Primera pregunta: ¿es siquiera una transferencia?

Un destinatario en uno de los 27 Estados miembros, o en Islandia, Liechtenstein o Noruega, no está en un tercer país: el Reglamento se aplica allí directamente, por los Tratados y por el Acuerdo EEE, y el capítulo V no entra en juego. El registro de actividades de tratamiento sigue nombrando al destinatario (artículo 30, apartado 1, letra d)), pero no hace falta ningún mecanismo. Todo lo que está fuera de esos 30 Estados es un tercer país, sea o no el destinatario una empresa conocida, estén o no los datos cifrados en tránsito, y se llame o no el destinatario conforme al RGPD. La pregunta se responde por el país del establecimiento que trata los datos, no por la bandera en el sitio web del importador.

Segunda pregunta: ¿hay una decisión de adecuación?

El artículo 45, apartado 1, permite que una transferencia a un país del que la Comisión ha decidido que garantiza un nivel de protección adecuado se realice sin autorización específica. La página de la Comisión sobre la adecuación de países no pertenecientes a la UE, leída el 12 de septiembre de 2026, dice que hasta ahora ha reconocido 17: Andorra, Argentina, Brasil, Canadá, las Islas Feroe, Guernsey, Israel, la Isla de Man, Japón, Jersey, Nueva Zelanda, la República de Corea, Suiza, el Reino Unido, los Estados Unidos, Uruguay y la Organización Europea de Patentes. Once de ellas se adoptaron conforme a la Directiva 95/46/CE y se revisaron en el informe de la Comisión de 15 de enero de 2024; el resto conforme al artículo 45, siendo los actos más recientes que la página lista la decisión para Brasil de 26 de enero de 2026, la renovación de la decisión para el Reino Unido el 19 de diciembre de 2025, la decisión para la Organización Europea de Patentes de 15 de julio de 2025 y la primera revisión de la decisión para la República de Corea el 23 de julio de 2026. Dos decisiones tienen un ámbito que una empresa de software debe comprobar: la de Canadá cubre las organizaciones comerciales, y la de los Estados Unidos cubre solo las organizaciones comerciales que participan en el Marco de Privacidad de Datos UE-EE. UU., así que un importador estadounidense es adecuado si está certificado y un importador de un tercer país como cualquier otro si no lo está. La página mantiene esa lista como datos, con la fecha en que se leyó, y la herramienta de transferencias hace la pregunta del ámbito donde una decisión lo tiene.

Tercera pregunta: qué garantía, y qué módulo

Sin decisión, el artículo 46, apartado 1, exige garantías adecuadas que den a los interesados derechos exigibles y acciones legales efectivas, y el artículo 46, apartado 2, enumera seis que no necesitan autorización específica: un instrumento jurídicamente vinculante entre autoridades públicas, normas corporativas vinculantes, cláusulas tipo de protección de datos adoptadas por la Comisión, cláusulas adoptadas por una autoridad de control y aprobadas por la Comisión, un código de conducta aprobado y una certificación aprobada. Para una empresa de software la respuesta es la tercera: las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión de 4 de junio de 2021, cuyo anexo tiene cuatro módulos según los roles de las partes. El módulo uno es responsable a responsable, la empresa que envía sus propios datos de clientes a un socio que decide qué hacer con ellos; el módulo dos es responsable a encargado, la empresa que envía sus propios datos a un CRM, una nómina o un proveedor de correo; el módulo tres es encargado a encargado, la empresa que envía los datos de sus clientes a su subencargado de alojamiento, soporte o IA; el módulo cuatro es encargado a responsable, el caso raro de un encargado que devuelve datos a un responsable fuera de la UE. Firmar el módulo no es toda la garantía: la cláusula 14 exige que las partes hayan evaluado, antes de la transferencia, si las leyes y prácticas del país del importador le impiden cumplir las cláusulas, que es la evaluación que el Tribunal de Justicia exigió en Schrems II, y la cláusula 15 fija las obligaciones del importador cuando una autoridad pública pide los datos. La evaluación se documenta y se conserva para la autoridad de control. Las normas corporativas vinculantes del artículo 47 son para un grupo empresarial y requieren la aprobación de una autoridad; un código o una certificación solo ayudan donde existan para el importador.

Cuarta pregunta: ¿es una situación específica?

El artículo 49, apartado 1, permite una transferencia sin adecuación ni garantías con una de siete condiciones: el consentimiento explícito tras ser informado de los riesgos, la ejecución de un contrato con el interesado, un contrato en interés del interesado, razones importantes de interés público, reclamaciones judiciales, intereses vitales, o un registro público. Su párrafo segundo añade la transferencia necesaria para intereses legítimos imperiosos, que no debe ser repetitiva, solo puede afectar a un número limitado de interesados, debe evaluarse y documentarse, y debe comunicarse a la autoridad de control. Nada de eso describe un producto en uso: un proveedor de alojamiento trata los datos de cada cliente cada día, y un consentimiento que habría que obtener de cada usuario final de cada cliente de la empresa no es un mecanismo. Las excepciones son para la ocasión única, el archivo enviado una vez, y una empresa que apoya su arquitectura en ellas no tiene mecanismo.

Qué hacer con ello

Tome el registro de actividades de tratamiento y su columna de destinatarios, y dé a cada destinatario fuera del EEE un país y un mecanismo: la decisión de adecuación que lo sostiene, con el ámbito comprobado para un importador estadounidense o canadiense, o el módulo de las CCT firmado con sus anexos y la evaluación de la cláusula 14 fechada. Pida a un importador estadounidense su certificación en el Data Privacy Framework y compruébela en la lista del Department of Commerce; a un importador británico o japonés no le pida nada más que el contrato; pida a un importador indio, australiano o singapurense las cláusulas firmadas y su propia lista de subencargados, ya que las transferencias ulteriores siguen bajo el capítulo V. Ponga el mecanismo en las cláusulas de encargo que envía un cliente, porque el artículo 28, apartado 4, somete a un subencargado a las mismas obligaciones que el encargado, y en el registro, porque el artículo 30, apartado 1, letra e), pide las transferencias y sus garantías. La página de transferencias hace la determinación a partir del destino y de los dos roles y la redacta; la determinación de obligaciones dice si las transferencias están siquiera entre las obligaciones de la empresa.