Las cláusulas contractuales tipo, o CCT, son un instrumento para aportar garantías a determinadas transferencias internacionales de datos personales. Las aprobadas mediante la Decisión de Ejecución (UE) 2021/914 tienen cuatro módulos, según las funciones del exportador y del importador. Elegir un módulo y adjuntar un documento al contrato no basta: deben encajar el ámbito de aplicación, los flujos, los anexos y las garantías que realmente puede cumplir el destinatario.
Esta guía permite preparar un expediente de transferencia: identificar las partes y su función, seleccionar el instrumento, completar los anexos y documentar la evaluación necesaria. No reproduce un contrato para firmar sin adaptación. El resultado útil es poder explicar qué datos salen, a quién llegan, qué protege a las personas y qué hará la organización si las condiciones cambian o dejan de poder cumplirse.
Determinar primero si hacen falta estas cláusulas
Antes de negociar CCT, dibuje el flujo real. Identifique al destinatario, el país, los datos y la operación que realizará. Incluya accesos remotos y transferencias posteriores cuando correspondan; no se limite al lugar anunciado para el servidor principal. La guía sobre transferencias internacionales de datos ayuda a separar la existencia de una transferencia del instrumento que permite realizarla.
Compruebe si existe una decisión de adecuación que cubra al destinatario y al tratamiento. La lista vigente de la Comisión Europea incluye decisiones con alcances distintos. En Estados Unidos, la adecuación del marco UE-EE. UU. no alcanza automáticamente a cualquier empresa: debe verificarse la participación del destinatario en el programa y la cobertura aplicable. Un logotipo en una presentación comercial no sustituye esa comprobación.
Para el Reino Unido, consulte la decisión RGPD renovada en diciembre de 2025 y su alcance, sin confundirla con la decisión correspondiente al ámbito policial. El análisis de transferencias entre España y el Reino Unido debe partir de ese marco actual. La adecuación evita necesitar garantías adicionales del artículo 46 para la transferencia cubierta, pero no elimina las restantes obligaciones, como la licitud del tratamiento o el encargo cuando exista.
Cuando no hay adecuación aplicable, las CCT son una opción entre los instrumentos de garantía descritos por la AEPD. Las normas corporativas vinculantes y otras garantías tienen sus propios requisitos. Las excepciones del artículo 49 tampoco constituyen una solución general para cualquier flujo habitual. Documente por qué se elige el instrumento y no utilice una casilla de consentimiento como sustitución automática de garantías que la operación necesita.
Comprobar el ámbito de la Decisión 2021/914
La Decisión 2021/914 permite utilizar sus cláusulas para transferencias a responsables o encargados en terceros países cuyo tratamiento, en el supuesto considerado, no esté sujeto al RGPD. El hecho de que una empresa esté fuera del EEE no resuelve por sí solo esa cuestión. Hay que analizar si las operaciones del importador entran en el ámbito territorial del artículo 3.
Las preguntas y respuestas de la Comisión distinguen expresamente ese supuesto del importador ya sujeto al RGPD. No fuerce el uso de estas CCT como instrumento aprobado para un escenario que excluyen. La guía sobre RGPD para empresas de fuera de la UE ayuda a preparar esa comprobación. Debe revisarse el tratamiento concreto, no solo la nacionalidad de la sociedad.
No confunda estas cláusulas de transferencia con las aprobadas por la Decisión 2021/915 para la relación entre responsable y encargado. Estas últimas responden a las obligaciones del artículo 28 y no constituyen por sí mismas una garantía del capítulo V. La denominación parecida puede provocar que compras archive un documento correcto para una finalidad y lo use erróneamente para justificar otra.
Elegir el módulo por las funciones reales
El módulo uno corresponde a una transferencia de responsable a responsable. Puede ser pertinente cuando dos entidades deciden, cada una, fines y medios de sus tratamientos. El módulo dos cubre la transferencia de un responsable a un encargado que actúa por su cuenta. La distinción entre responsable y encargado depende de la actividad, no de que el proveedor haya elegido una etiqueta en su contrato estándar.
El módulo tres se utiliza de encargado a encargado, normalmente para la relación con un subencargado situado en un tercer país. Por ejemplo, una empresa que presta un servicio por cuenta de su cliente puede necesitar apoyo externo para una parte de ese tratamiento. Debe comprobar además la autorización del responsable y las instrucciones aplicables. La firma de CCT no convierte una subcontratación no autorizada en una decisión válida.
El módulo cuatro se refiere a la transferencia de un encargado a un responsable. Un prestador establecido en el EEE puede tratar datos por cuenta de una entidad de un tercer país y transferírselos en el contexto del servicio. No debe elegir automáticamente el módulo dos solo porque exista una relación entre responsable y encargado: también importa quién exporta y quién importa los datos.
Un mismo proveedor puede actuar como encargado para una función y como responsable para otra. Separe esos flujos y vincule cada uno al módulo pertinente, en vez de seleccionar todos los módulos sin explicación. En un expediente práctico conviene que cada transferencia tenga una referencia reconocible, una descripción y una conexión clara con las partes y los anexos que la cubren.
Coordinar las CCT con el artículo 28 y el contrato comercial
Los módulos dos y tres incorporan los requisitos pertinentes del artículo 28. Por ello, las partes pueden cumplir mediante esos módulos tanto las exigencias del encargo como las garantías de transferencia, sin que sea siempre obligatorio firmar un segundo contrato separado. La explicación del contrato de encargado del tratamiento sigue siendo útil para comprobar instrucciones y obligaciones; debe evitar duplicidades contradictorias con las CCT.
Las instrucciones no permiten tratar los datos libremente para fines propios. En el régimen del artículo 28, la excepción a actuar únicamente por instrucciones se refiere al Derecho de la Unión o de un Estado miembro que obligue al encargado, con información previa al responsable salvo prohibición por importantes razones de interés público. Una exigencia de un tercer país no debe introducirse como excepción contractual ilimitada: se analiza también conforme a las cláusulas de transferencia aplicables.
La confidencialidad puede derivar de un compromiso o de una obligación legal adecuada. Para subencargados, deben trasladarse las obligaciones de protección exigibles mediante contrato u otro acto jurídico vinculativo admitido, y el encargado inicial mantiene frente al responsable la responsabilidad que establece el artículo 28. No confunda esa responsabilidad con un derecho comercial de repetir contra el subcontratista. Tampoco deje que un límite general de responsabilidad del contrato vacíe las garantías de las CCT.
Las partes pueden incorporar las CCT a un contrato más amplio y añadir garantías compatibles. No pueden alterar su texto protegido como si fuera una cláusula comercial libremente negociable y seguir afirmando que usan íntegramente el instrumento aprobado. Seleccionar módulos, completar opciones y anexos o añadir protección compatible es distinto de suprimir derechos, auditorías o remedios. Revise también la cláusula de prevalencia ante contradicciones.
Completar los anexos con datos verificables
El anexo I identifica a las partes y describe la transferencia. Incluya entidades jurídicas concretas, contactos, funciones, categorías de interesados y datos, finalidad, frecuencia y conservación o criterios aplicables. Cuando se transfieran datos sensibles, describa las restricciones y garantías pertinentes. Evite expresiones que no permiten saber qué ocurre, como todos los datos necesarios para todos los servicios del grupo.
La autoridad de control del anexo I.C se determina conforme a las reglas de la cláusula 13 cuando esta sea aplicable. No se elige la AEPD únicamente porque el contrato esté redactado en español, ni se selecciona una autoridad por conveniencia comercial. Deben examinarse el establecimiento del exportador y, en los supuestos previstos, su representante o los interesados afectados. El módulo cuatro tiene particularidades y no debe recibir automáticamente todas las opciones de otros módulos.
El anexo II debe describir medidas técnicas y organizativas concretas cuando corresponda al módulo. Explique cómo se aplican a la transferencia: control de accesos, cifrado, gestión de claves, trazabilidad, conservación y asistencia. Un certificado o un enlace genérico a una política comercial puede aportar contexto, pero no sustituye la descripción pertinente. Pida aclaraciones cuando la medida prometida no esté incluida en el servicio contratado.
El anexo III está previsto para subencargados en los módulos dos y tres cuando se utilice la opción de autorización previa específica. No es una lista que deba rellenarse siempre e indistintamente en los cuatro módulos. Si se acuerda autorización general escrita, debe funcionar el mecanismo de información de cambios y oportunidad de oposición previsto. En ambos casos, compruebe quién presta realmente cada servicio y qué tratamiento realiza.
Evaluar las condiciones de la transferencia
La evaluación de impacto de la transferencia, habitualmente denominada TIA, conecta el flujo con las leyes y prácticas relevantes del país de destino y con las garantías disponibles. No es lo mismo que una EIPD del artículo 35, aunque puedan compartir información. El expediente debe explicar qué normativa puede afectar al importador y si impide cumplir las cláusulas. Una declaración genérica de que el país protege la privacidad no resuelve ese análisis.
Considere la cadena de tratamiento, los destinatarios, los canales, el tipo de datos y las posibilidades de acceso. Solicite al importador información pertinente y compruebe las limitaciones de sus respuestas. La ausencia de solicitudes de acceso anteriores puede ser un dato contextual, pero no demuestra por sí sola que no exista un problema jurídico. Distinga hechos comprobados, hipótesis y aspectos para los que necesita información adicional.
La sección III contiene una particularidad importante del módulo cuatro: no se exige la evaluación de la cláusula 14 ni las obligaciones de la cláusula 15 cuando el encargado del EEE se limita a devolver los datos recibidos de su responsable del tercer país, en el supuesto explicado por la Comisión. La excepción no cubre sin más datos originados en Europa; si el conjunto transferido también los incluye, debe analizarse la aplicación de esa sección. No convierta la excepción en una dispensa general del módulo.
Cuando se aplique la cláusula 15, el importador debe gestionar las solicitudes de acceso de autoridades conforme a sus obligaciones de notificación, control de legalidad y minimización. La impugnación se exige cuando, tras la evaluación prevista, existan motivos razonables para considerar ilícita la solicitud; no se trata de recurrir automáticamente cualquier petición. Si existe una prohibición de informar, deben atenderse las obligaciones de intentar obtener una dispensa y documentar esas actuaciones, sin prometer una transparencia que la ley impida.
Para los supuestos sujetos a la cláusula 14, documente la evaluación y póngala a disposición de la autoridad competente cuando la solicite. No basta con conservar un documento escrito para otro cliente si sus datos, accesos o destinatarios son distintos. La persona que aprueba el expediente necesita entender qué conclusiones se sostienen y bajo qué condiciones, especialmente si la puesta en marcha depende de aplicar medidas adicionales.
Elegir medidas que funcionen frente al riesgo identificado
El cifrado puede ser importante, pero su eficacia depende del uso y del control de las claves. Si el importador necesita leer los datos para prestar el servicio, cifrar únicamente el transporte no impide todos los accesos relevantes durante el tratamiento. La seudonimización y la anonimización también tienen alcances diferentes. Seudonimizar no elimina automáticamente la aplicación del RGPD ni la necesidad de garantías para transferir.
Piense en un ejemplo hipotético de soporte remoto. El proveedor propone acceso permanente a la base completa, aunque solo necesita investigar incidencias concretas. Puede estudiarse un acceso temporal, limitado a los registros necesarios, con autorización y supervisión. Estas medidas reducen exposición, pero su suficiencia debe evaluarse frente al riesgo específico. No presente una lista de controles como prueba automática de que cualquier transferencia resulta aceptable.
Si no pueden alcanzarse garantías adecuadas, no debe iniciarse o mantenerse el flujo como si la firma corrigiera el problema. La cláusula 14 prevé medidas y suspensión en las condiciones correspondientes; la cláusula 16 regula incumplimiento y resolución. Prepare alternativas operativas antes de que sean necesarias: cambiar una función, reducir los datos, sustituir al destinatario o detener la transferencia. Una alternativa comercialmente incómoda puede ser necesaria para respetar los derechos.
Aplicar derechos, cambios y salida durante el servicio
Las obligaciones de transparencia requieren informar sobre la transferencia y las garantías aplicables en los términos del RGPD. Cuando proceda entregar una copia de las cláusulas utilizadas, no basta con un enlace al modelo vacío de la Comisión. Deben considerarse los módulos y anexos realmente acordados, protegiendo justificadamente secretos comerciales u otra información confidencial. Las omisiones no deben hacer incomprensibles las garantías ofrecidas a la persona.
Las reglas sobre responsabilidad y remedios varían según el módulo. Revise el texto oficial y sus correcciones, incluida la corrección española publicada en agosto de 2025 sobre responsabilidad solidaria en los módulos tres y cuatro. No copie una versión antigua y omita el derecho del interesado a demandar a cualquiera de las partes responsables en el supuesto previsto. Un pacto interno no puede neutralizar los derechos de tercero beneficiario.
Vincule la transferencia al registro de actividades y a la información proporcionada a los interesados. Establezca quién revisa nuevas entidades, países, funciones y cambios normativos. Una fecha anual de revisión puede ser una recomendación organizativa, pero no sustituye la reacción ante un cambio material conocido. Integre la comprobación en su checklist de cumplimiento RGPD sin tratar la casilla contrato firmado como cierre definitivo.
Al finalizar el servicio, coordine devolución, supresión y prueba de cumplimiento conforme al instrumento aplicable. En el encargo del artículo 28, devolver los datos no elimina por sí solo las copias existentes: estas deben suprimirse salvo la obligación de conservación admitida por el Derecho de la Unión o de un Estado miembro. Planifique también copias de seguridad sin inventar un plazo técnico universal. La limitación de la conservación permite delimitar qué sigue existiendo y para qué.
Preguntas frecuentes
¿Las CCT necesitan autorización previa de la AEPD?
Utilizadas correctamente como cláusulas adoptadas por la Comisión conforme al artículo 46, apartado 2, no requieren una autorización individual previa de la transferencia. Eso no elimina la obligación de comprobar su ámbito, completar los anexos y cumplirlas. Las cláusulas contractuales ad hoc sujetas al artículo 46, apartado 3, siguen un régimen diferente y no deben confundirse con el texto aprobado.
¿Hay que firmar siempre CCT y un contrato de encargado separado?
No. Los módulos dos y tres incorporan los requisitos pertinentes del artículo 28. Si se utiliza otro mecanismo de transferencia, como una adecuación aplicable, sigue siendo necesario regular el encargo cuando exista, mediante contrato u otro acto jurídico vinculativo admitido. Lo decisivo es que todas las obligaciones queden cubiertas y sean coherentes, no el número de documentos firmados.
¿Siguen sirviendo las antiguas cláusulas anteriores a 2021?
El período transitorio para apoyarse en las antiguas CCT terminó el 27 de diciembre de 2022. Revise contratos que todavía dependan de esos modelos y no confunda una renovación comercial con la actualización del instrumento de transferencia. Esto no significa que todas las transferencias deban basarse en CCT: pueden existir otros mecanismos válidos, cuyo alcance debe comprobarse para el flujo concreto.