Siguiendo los estándares internacionales en materia de protección de datos personales, la Ley de Protección de Datos Personales Nº 25.326 (“LPDP”) establece restricciones para la transferencia internacional de datos personales. En particular, prohíbe las transferencias hacia países que no brindan niveles de protección adecuados. En ese sentido, la Disposición 60–E/2016 emitida por la Agencia de Acceso a la Información Pública identificó a los países y jurisdicciones que sí proveen un nivel adecuado de protección. Estos son la Unión Europea, Suiza, Guernsey, Jersey, Isla de Man, Islas Feroe, Canadá (sólo su sector privado), Principado de Andorra, Nueva Zelanda, Uruguay e Israel. 

En el resto de los casos, la transferencia internacional de datos está permitida cuando se cuenta con el consentimiento del titular de los datos o cuando el nivel adecuado de protección surge de un acuerdo de transferencia internacional de datos entre el importador y el exportador o de un sistema de autorregulación (normas corporativas vinculantes).

Relacionado con esto último, recientemente, la Agencia de Acceso a la Información Pública dictó la Resolución Nº 34/2019 e incluyó al Reino Unido e Irlanda del Norte dentro de la lista de países que proveen un nivel adecuado de protección, reconociendo que ésta mantiene esta condición aún después de su salida de la Unión Europea.

Este reconocimiento se realiza ante un pedido formal presentado por el Reino Unido ante la Agencia de Acceso a la Información Pública, en el que se requirió mantener el flujo de datos entre ambos países aún después del Brexit.

UK added to the Argentine Whitelist for International Personal Data Transfers

In line with international data protection standards, the Argentine Data Protection Law No. 25,326 (“DPL”) sets forth certain restrictions in connection with the international transfer of personal data. Specifically, it prohibits the cross-border transfer of personal data from Argentina to other countries, if those countries do not provide an adequate level of protection. In that connection, Regulation 60-E/2016 of the Argentine Data Protection Authority (“DPA”) provided a whitelist of countries granting an adequate level of protection. These countries are the member states of the European Union and the European Economic Area, Switzerland, Guernsey and Jersey, the Isle of Man, the Faeroe Islands, Canada (only private sector), New Zealand, Andorra, Israel and Uruguay. It is worth noting that USA has not been included in the current white list, since it has not sanctioned a comprehensive federal law on personal data protection yet. 

For countries excluded from the whitelist, data controllers can still rely on (i) the data subject’s consent; or (ii) adequate protection levels arising from contractual clauses (i.e. international data transfer agreements) or self-regulation systems (i.e. binding corporate rules).

 Very recently, the DPA issued Regulation 34/2019, which added the United Kingdom and Northern Ireland to the whitelist, expressly stating that after their exit from the European Union they will still provide an adequate level of protection in terms of the DPL.

 This recent inclusion was based upon an official petition from the United Kingdom and Northern Ireland, requiring the DPA to adjust the whitelist to ensure that the free flow of information among the jurisdictions is still maintained after Brexit.

photo credit: Día de la bandera argentina via photopin (license)