Cuando una transferencia tiene que explicarse: ingeniería inversa de un procedimiento austríaco para construir una TIA trazable y defendible

De la reconstrucción de un procedimiento real a una metodología basada en realidad, evidencia, eficacia y trazabilidad

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

Resumen

La resolución dictada el 18 de mayo de 2026 por el Tribunal Administrativo Federal de Austria permite observar con especial claridad qué ocurre cuando una transferencia internacional de datos, inicialmente integrada en la operativa ordinaria de una organización, debe ser reconstruida y explicada dentro de un procedimiento formal. Este artículo no realiza un comentario jurídico exhaustivo de la resolución. Utiliza el expediente como caso técnico para identificar las dificultades que aparecen al determinar el flujo real de los datos, conciliar contratos y operativa, valorar la calidad de la evidencia, comprobar la eficacia de las medidas adicionales y reconstruir posteriormente la decisión adoptada. A partir de esas lecciones se propone una arquitectura de análisis de impacto de las transferencias —AITD o TIA— que refuerza las metodologías del CEPD y de la CNIL mediante una capa explícita de evidencia, incertidumbre, decisión y trazabilidad.

Palabras clave: transferencias internacionales; TIA; AITD; cláusulas contractuales tipo; evidencia; medidas complementarias; responsabilidad proactiva.

1. Un procedimiento útil por razones distintas de las aparentes

Hay resoluciones cuyo principal interés reside en la doctrina que fijan. Otras resultan especialmente valiosas porque permiten observar con detalle qué sucede cuando una organización debe reconstruir un tratamiento que hasta entonces formaba parte de su operativa ordinaria.

La resolución del Tribunal Administrativo Federal de Austria —Bundesverwaltungsgericht, BVwG— de 18 de mayo de 2026, asunto W171 2302513-1/17E, pertenece claramente a esta segunda categoría. Formalmente se trata de un Erkenntnis, una resolución sobre el fondo dictada por el tribunal administrativo federal. El BVwG desestimó el recurso formulado contra una decisión previa de la Autoridad Austriaca de Protección de Datos —Datenschutzbehörde, DSB—, que había apreciado, entre otros extremos, una infracción del artículo 44 RGPD respecto de la transferencia examinada.

El interés de este trabajo no consiste en desarrollar nuevamente el régimen jurídico de las transferencias internacionales ni en realizar un comentario exhaustivo de la resolución. Tampoco pretende evaluar de forma general el Derecho estadounidense aplicable al acceso a datos por autoridades públicas.

El enfoque es deliberadamente técnico.

Se parte del expediente público del BVwG para observar qué hechos tuvieron que reconstruirse, qué afirmaciones pudieron sostenerse, dónde aparecieron contradicciones, qué función desempeñaron los contratos y las medidas de protección y qué ocurrió cuando la explicación operativa de la organización tuvo que contrastarse con el resto de la evidencia disponible.

A partir de esa reconstrucción se realiza un ejercicio de ingeniería inversa: convertir las dificultades que hizo visibles el procedimiento en preguntas, evidencias y controles que puedan incorporarse a un análisis de impacto de las transferencias de datos —AITD—, habitualmente denominado en inglés Transfer Impact Assessment —TIA—.

La TIA utilizada en este artículo no debe confundirse con una evaluación de impacto relativa a la protección de datos —EIPD— del artículo 35 RGPD. Su finalidad es diferente: examinar una transferencia internacional y, especialmente cuando se utiliza un instrumento del artículo 46 RGPD, valorar si ese instrumento puede operar efectivamente en las circunstancias concretas de la transferencia.

La pregunta que orienta todo el trabajo puede formularse así:

¿Qué tendría que haber podido reconstruir, explicar y demostrar la organización para que la decisión de realizar la transferencia resultara técnicamente coherente y pudiera sostenerse posteriormente bajo escrutinio?

2. Una transferencia ordinaria en un momento extraordinario

El expediente parte de una situación reconocible para muchas organizaciones. Una empresa austríaca del sector editorial utilizaba un proveedor especializado en servicios de marketing y envío masivo de comunicaciones electrónicas.

Los datos implicados eran relativamente limitados: nombre, apellidos y dirección de correo electrónico. La organización disponía además de un Data Processing Agreement, había incorporado las cláusulas contractuales tipo de la Comisión Europea y el proveedor había implantado distintas medidas técnicas, contractuales y organizativas. La resolución menciona expresamente, entre ellas, mecanismos de cifrado, condiciones contractuales y sistemas de gestión del almacenamiento.

El caso no representa, por tanto, una ausencia total de documentación o de controles. Existía una arquitectura de cumplimiento que, observada superficialmente, podía parecer razonable:

proveedor → contrato → CCT → medidas de protección.

El problema apareció cuando esa arquitectura tuvo que explicar con precisión qué sucedía realmente con los datos.

Para entender el procedimiento es imprescindible, además, situarlo en su momento temporal correcto.

El tratamiento controvertido tuvo lugar el 7 de marzo de 2022. El Privacy Shield había sido invalidado por el Tribunal de Justicia mediante Schrems II el 16 de julio de 2020. Las nuevas cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 habían sido adoptadas el 4 de junio de 2021. Sin embargo, todavía no existía una nueva decisión de adecuación aplicable a Estados Unidos.

El cambio al proveedor de marketing se había producido el 1 de mayo de 2021. Los datos de clientes existentes no fueron migrados a centros europeos hasta los días 23 y 24 de marzo de 2023. El EU-US Data Privacy Framework llegaría posteriormente, mediante la Decisión de Ejecución (UE) 2023/1795 de 10 de julio de 2023.

El propio BVwG subraya que esa decisión posterior no podía utilizarse para valorar los hechos objeto del procedimiento.

Esta precisión evita una extrapolación que sería metodológicamente incorrecta. La resolución no permite afirmar que cualquier transferencia actual a Estados Unidos basada en CCT sea inviable. Permite observar cómo tuvo que explicarse una transferencia de marzo de 2022, realizada en ausencia de una decisión de adecuación y sustentada en garantías del artículo 46 cuya eficacia debía apreciarse en las circunstancias concretas del tratamiento.

(IA) Figura 1. La línea temporal sitúa el tratamiento controvertido en el marco normativo aplicable en marzo de 2022 y permite diferenciarlo de los cambios regulatorios producidos con posterioridad.

3. Reconstruir la transferencia: cuando contrato, operativa y evidencia deben contar la misma historia

Una de las cuestiones técnicamente más interesantes del expediente es la reconstrucción de la arquitectura real del servicio.

La estructura empresarial del proveedor incluía una entidad estadounidense y una entidad situada en Alemania. La resolución identifica una matriz con sede en Cambridge, Estados Unidos, y una entidad con sede en Berlín. También describe la participación de una entidad alemana en la cadena de prestación del servicio.

En el Data Processing Agreement, la empresa austríaca aparecía identificada como exportadora y la entidad estadounidense como importadora. El acuerdo hacía referencia a las CCT de la Decisión 2021/914.

Durante la vista, sin embargo, la defensa de la recurrente sostuvo que, aunque la documentación reflejara aquella configuración contractual, los datos se habían transferido materialmente únicamente a Alemania.

El BVwG no consideró suficientemente acreditada esa explicación.

Para reconstruir el flujo tuvo en cuenta conjuntamente la configuración contractual, la función atribuida a la entidad alemana, las manifestaciones realizadas anteriormente por la propia organización —incluida la afirmación de que no podía excluirse una transferencia a Estados Unidos— y la posterior migración de los datos europeos a nuevos centros situados en Europa.

La conclusión final fue que existió una transferencia a Estados Unidos.

Desde la perspectiva de este artículo, sin embargo, tan importante como el resultado es el recorrido que permitió alcanzarlo.

La transferencia tuvo que ser reconstruida mediante la confrontación de varias fuentes: documentación contractual, estructura empresarial, subprestación, explicaciones operativas, cronología y comportamiento posterior del servicio.

Este es el primer gran aprendizaje técnico del procedimiento.

Una TIA no debería reconstruir una transferencia exclusivamente desde el contrato, pero tampoco únicamente desde las manifestaciones operativas del proveedor. La descripción válida es aquella que puede conciliar ambos planos con el resto de la evidencia disponible.

Eso obliga a ampliar la pregunta habitual sobre residencia de los datos. Saber dónde se almacenan constituye sólo una parte de la descripción. También deben conocerse, cuando resulten relevantes, las entidades capaces de tratarlos, los accesos remotos, el soporte, las copias de seguridad, la administración de los sistemas y las transferencias ulteriores.

El almacenamiento en una determinada región no demuestra, por sí solo, la ausencia de tratamiento desde otros lugares.

La consecuencia práctica es sencilla: antes de analizar el instrumento de transferencia o el país tercero, debemos saber qué transferencia estamos evaluando.

4. Lo que el procedimiento hizo visible: evidencia, incertidumbre y eficacia

El expediente muestra que una transferencia puede disponer de abundante documentación y seguir presentando dificultades cuando llega el momento de demostrar sus hechos materiales.

Durante una TIA se utilizan habitualmente fuentes de naturaleza muy diferente: contratos, respuestas del proveedor, diagramas técnicos, listados de subencargados, documentación sobre residencia de datos, políticas internas, informes de transparencia, configuraciones operativas o explicaciones aportadas por las áreas técnicas.

No todas ofrecen el mismo grado de certeza.

Una cláusula contractual acredita que las partes han pactado una determinada configuración; no demuestra necesariamente que todas las operaciones técnicas se desarrollen exactamente de esa forma. Una declaración del proveedor aporta información, pero puede necesitar corroboración adicional. Una inferencia puede resultar sólida y seguir siendo una inferencia.

A partir de esta constatación, proponemos incorporar a la TIA una clasificación explícita de la calidad de la información utilizada. Esta clasificación no procede del BVwG, del CEPD ni de la CNIL; constituye una herramienta metodológica derivada de la ingeniería inversa del caso.

Estados propuestos de evidencia

Verificado. Existe evidencia suficiente y adecuadamente relacionada con la afirmación que pretende sostenerse. La verificación puede ser documental, contractual, técnica u operacional, pero debe conocerse su alcance y sus limitaciones.

Declarado. La información procede de una manifestación del proveedor o de otra parte, sin corroboración suficiente para tratarla todavía como hecho verificado.

Inferido. La conclusión se obtiene razonablemente a partir de varias evidencias, aunque no exista una comprobación directa del hecho.

Contradictorio. Existen fuentes o afirmaciones relevantes que no pueden conciliarse entre sí.

No determinado. La información disponible resulta insuficiente para alcanzar una conclusión razonablemente fundada.

La utilidad de estos estados no consiste en crear una nueva escala de riesgo. Al contrario, permiten evitar la falsa precisión.

Una TIA debería poder reconocer que un aspecto material está todavía no determinado antes que convertir una ausencia de información en una hipótesis favorable.

(IA) Figura 2. La figura distingue cinco estados de calidad de la información —verificada, declarada, inferida, contradictoria y no determinada— para hacer visible el grado de solidez probatoria sobre el que se apoya una decisión de transferencia.

De la existencia de medidas a su eficacia

La misma lógica aparece al analizar las medidas complementarias.

En el caso austríaco existían medidas técnicas, contractuales y organizativas. El BVwG menciona específicamente cifrado, condiciones contractuales y sistemas relacionados con la gestión del almacenamiento.

Su mera existencia, sin embargo, no cerró el análisis.

La resolución reconoce que estas medidas incrementaban el nivel general de protección, pero considera que no resolvían en el caso examinado las preocupaciones relacionadas con las posibilidades de acceso por autoridades estadounidenses y con las garantías existentes frente a dicho acceso.

El aprendizaje técnico es importante.

Una TIA no debería valorar una medida por su existencia aislada, sino por la relación entre la medida y el escenario que debe controlar.

La lógica de análisis puede formularse así:

escenario → exposición → medida → funcionamiento → limitación → resultado

El cifrado ilustra bien esta diferencia. Puede resultar altamente efectivo frente a la pérdida de soportes, una intrusión o determinadas formas de acceso no autorizado. Su eficacia frente a una obligación legal de entrega de información dependerá, entre otros factores, de quién pueda acceder a los datos en claro y quién controle las claves.

La misma medida puede ser eficaz frente a un escenario y limitada frente a otro.

La pregunta técnica no debería ser simplemente «¿existe cifrado?», sino «¿qué escenario reduce este cifrado y bajo qué condiciones deja de hacerlo?».

Medidas implantadas y medidas futuras

La cronología del procedimiento muestra además la importancia de distinguir la realidad presente de las mejoras proyectadas.

La migración de datos de clientes existentes hacia centros europeos se produjo en marzo de 2023, mientras que el tratamiento controvertido era de marzo de 2022.

El BVwG no apreció cómo esa migración posterior podía resolver las preocupaciones relativas al tratamiento que estaba examinando.

Por ello, una TIA debería distinguir al menos entre medidas implementadas, parcialmente implementadas, pendientes, no implementadas y no verificadas.

Una medida futura puede formar parte de un plan de mejora. No debería utilizarse como fundamento de una decisión favorable mientras no sea efectiva y verificable.

5. La misma dificultad reaparece en la trazabilidad informativa

El procedimiento contenía una segunda cuestión que, aunque distinta de la transferencia internacional, resulta especialmente útil para comprender el problema general de trazabilidad.

La DSB había apreciado también una infracción del artículo 13 RGPD, conclusión posteriormente confirmada por el BVwG.

La organización no consiguió demostrar que hubiera facilitado al interesado toda la información exigible en el momento correspondiente. El expediente mostraba la existencia de políticas y condiciones disponibles en línea, pero no pudo acreditarse suficientemente que el interesado hubiese sido dirigido a ellas, que las hubiese recibido o, en determinados casos, que las condiciones hubieran quedado incorporadas efectivamente a la relación contractual.

El BVwG recuerda además que la obligación de información es activa y que su incumplimiento no desaparece retroactivamente porque la persona afectada reciba posteriormente información en respuesta a una solicitud.

Esta parte del procedimiento no se incorpora aquí para ampliar el artículo hacia un análisis general del artículo 13. Su utilidad es metodológica.

Vuelve a aparecer la misma diferencia entre tener documentación y poder demostrar el funcionamiento del proceso al que esa documentación debía servir.

La idea afecta directamente a la gobernanza de transferencias. Un cambio de proveedor, la incorporación de un nuevo importador, un nuevo subencargado o una modificación sustancial de la arquitectura puede afectar simultáneamente a contratos, RAT, información de transparencia, evaluaciones previas y documentación de la transferencia.

Una TIA no debería funcionar como expediente aislado. Debe integrarse en un sistema de trazabilidad del tratamiento.

6. Ingeniería inversa: convertir las dificultades del expediente en controles preventivos

A partir de este punto dejamos de reconstruir el procedimiento.

Los elementos que siguen constituyen una propuesta metodológica derivada del ejercicio de ingeniería inversa. No representan categorías formuladas por el BVwG ni pretenden sustituir las metodologías publicadas por el CEPD o la CNIL.

El ejercicio consiste en tomar cada dificultad observable en el expediente y formular la pregunta preventiva que una TIA debería haber planteado antes de tomar una decisión.

Si el flujo real fue objeto de controversia, la evaluación debería comenzar por reconstruirlo.

Si la arquitectura contractual y la explicación operativa no coincidían plenamente, ambas deberían conciliarse antes de concluir.

Si determinadas afirmaciones dependían principalmente de declaraciones de una de las partes, la evaluación debería hacer visible la calidad de esa evidencia.

Si existían medidas cuya eficacia frente al escenario concreto resultaba limitada, cada medida debería vincularse con el riesgo que pretende controlar.

Si determinadas mejoras fueron posteriores a los hechos, el análisis debería separar claramente las medidas vigentes de las previstas.

Y si el procedimiento obligó años después a reconstruir qué había sucedido, la TIA debería conservar suficiente evidencia para permitir esa misma reconstrucción sin depender de la memoria de las personas que participaron en la decisión.

La consecuencia es una concepción ligeramente distinta de la evaluación:

Una TIA no debería diseñarse únicamente para decidir si una transferencia puede realizarse. También debería permitir reconstruir posteriormente qué se sabía, qué permanecía incierto y por qué se adoptó la decisión.

(IA) Figura 3. La infografía muestra cómo las dificultades observadas en el procedimiento pueden transformarse, mediante ingeniería inversa, en preguntas preventivas, evidencias exigibles y criterios operativos para una TIA.

7. Una arquitectura de TIA reforzada por evidencia y trazabilidad

Las Recomendaciones 01/2020 del Comité Europeo de Protección de Datos y la guía práctica de la CNIL proporcionan una base consolidada para realizar este tipo de evaluación.

La CNIL estructura su enfoque mediante cinco comprobaciones previas y seis etapas de AITD: conocer la transferencia, identificar el instrumento, evaluar la legislación y las prácticas relevantes y la eficacia del instrumento, identificar medidas adicionales, implementarlas y reevaluar periódicamente la situación. La propia guía señala que su metodología no es obligatoria y que pueden incorporarse otros elementos o utilizarse otros enfoques que permitan alcanzar el objetivo de la evaluación.

La propuesta de este artículo no pretende sustituir esa arquitectura.

Pretende reforzarla con una capa explícita de evidencia, incertidumbre y trazabilidad.

La secuencia resultante es:

REALITY → EVIDENCE → ENVIRONMENT → EFFECTIVENESS → SAFEGUARDS → DECISION → MONITORING

REALITY · ¿Qué ocurre realmente con los datos?

La evaluación debe comenzar por la transferencia real, antes de abordar el instrumento contractual o el análisis del país tercero.

Deben identificarse, cuando resulten aplicables:

• exportador e importador;
• responsables, encargados y subencargados;
• sistemas y operaciones;
• países implicados;
• almacenamiento;
• accesos remotos;
• soporte y administración;
• copias de seguridad;
• transferencias ulteriores.

El resultado de esta fase debe ser un mapa de flujo suficientemente comprensible y verificable.

EVIDENCE · ¿Cómo sabemos que la descripción anterior es correcta?

Cada afirmación material debe poder vincularse con una fuente.

El registro debería indicar, al menos:

• fuente;
• fecha;
• alcance;
• hecho que pretende demostrar;
• método de corroboración, cuando exista;
• limitaciones;
• estado de la evidencia.

No basta con que exista un documento. Debemos saber qué demuestra realmente y hasta dónde llega su capacidad probatoria.

ENVIRONMENT · ¿Qué leyes, prácticas y capacidades externas pueden afectar a la transferencia?

El análisis del tercer país no debería consistir en una descripción genérica de su ordenamiento.

Debe identificar aquellas leyes y prácticas capaces de afectar a la transferencia concreta y a la capacidad del importador para cumplir el instrumento utilizado.

Cuando resulte relevante, deberían analizarse:

autoridad → potestad → fundamento → destinatario obligado → datos susceptibles de acceso → requisitos → autorización o control previo → secreto → límites → supervisión → posibilidad de impugnación → recurso efectivo

El análisis debe considerar, por tanto:

• qué autoridades pueden acceder;
• qué organizaciones pueden quedar obligadas;
• para qué finalidades;
• bajo qué condiciones;
• qué límites existen;
• cómo funcionan en la práctica;
• qué supervisión se ejerce;
• y qué posibilidades efectivas de tutela conserva la persona afectada.

La pregunta no es si un país puede calificarse genéricamente como seguro o inseguro.

La pregunta relevante es:

¿Qué elementos de su legislación y de sus prácticas pueden afectar a este importador, a estos datos y al funcionamiento del instrumento utilizado en esta transferencia concreta?

EFFECTIVENESS · ¿Puede funcionar el instrumento elegido?

Identificar unas CCT, unas BCR u otro instrumento no debería cerrar el análisis.

Cuando existan CCT habrá que comprobar, entre otras cuestiones, que:

• las partes reflejan la arquitectura real;
• se utiliza el módulo adecuado;
• los anexos describen correctamente la transferencia;
• se contemplan las transferencias ulteriores;
• y el instrumento puede funcionar efectivamente en el entorno previamente identificado.

En el caso de las CCT de la Decisión 2021/914, la cláusula 14 constituye una referencia especialmente relevante para este análisis.

SAFEGUARDS · ¿Qué escenario controla realmente cada medida?

Las medidas técnicas, contractuales y organizativas deben vincularse con escenarios determinados.

Para cada medida interesa conocer:

escenario → mecanismo de protección → condiciones de eficacia → limitaciones → riesgo o exposición residual

Esto evita tratar el cifrado, la autenticación multifactor, la seudonimización, los controles contractuales o las medidas organizativas como simples casillas de una lista.

DECISION · ¿Qué hacemos con la transferencia?

La TIA necesita finalizar en una decisión inteligible.

Como propuesta metodológica del artículo, planteamos cinco posibles estados:

Admisible.

Admisible con condiciones.

Suspendida hasta completar o verificar determinadas medidas.

No admisible.

Información insuficiente para decidir.

La última categoría no constituye un resultado establecido formalmente por el CEPD, la CNIL o el BVwG. Es una propuesta metodológica destinada a hacer visible una situación frecuente: que la organización todavía no disponga de información suficiente sobre un elemento material para adoptar una decisión defendible.

En ese supuesto no debería forzarse una conclusión. La evaluación tendría que identificar la información pendiente y las acciones necesarias para obtenerla.

MONITORING · ¿Qué podría hacer cambiar la decisión?

La evaluación debe mantenerse durante la vida de la transferencia.

Entre los posibles eventos de revisión se encuentran:

• cambios legislativos o en las prácticas del país;
• nueva jurisprudencia;
• modificación de una decisión de adecuación;
• cambio del mecanismo de transferencia;
• nuevo importador o subencargado;
• incorporación de nuevos países o regiones;
• cambios en almacenamiento o accesos;
• modificación de la gestión de claves;
• solicitudes relevantes de autoridades públicas;
• incidentes;
• cambios sustanciales en los datos, las finalidades o las operaciones.

La TIA se convierte así en una decisión mantenida, no en una fotografía archivada.

Relación con la metodología CNIL

La arquitectura propuesta no crea un proceso paralelo. Refuerza elementos que ya existen en el modelo institucional.

La aportación específica del modelo no reside, por tanto, en sustituir el proceso existente, sino en hacer explícita la trazabilidad probatoria entre la realidad descrita, la evidencia utilizada y la decisión adoptada.

8. El registro de evidencias y la prueba de defendibilidad

La ingeniería inversa del caso sugiere que el registro de evidencias debería ocupar un lugar central dentro de la TIA.

No como una carpeta anexa de documentos, sino como una estructura capaz de conectar:

afirmación → evidencia → fuente → fecha → alcance → limitaciones → estado

Un ejemplo ilustrativo podría ser el siguiente:

Los estados de esta tabla son únicamente ilustrativos. Un determinado tipo de documento no debe recibir siempre la misma clasificación. El resultado dependerá de su contenido, alcance, actualidad y método de corroboración.

Reconocer expresamente la incertidumbre

Una evaluación profesional no debería considerar que reconocer una incertidumbre debilita el análisis.

Ocurre lo contrario.

La existencia de un aspecto material no determinado permite dirigir la diligencia hacia el punto en el que realmente falta información.

Puede conducir a solicitar documentación adicional, revisar la arquitectura, verificar subencargados, validar la gestión de claves o suspender temporalmente la decisión.

La incertidumbre deja así de ser un vacío incómodo y pasa a convertirse en un objeto de gestión.

La prueba de defendibilidad

Sobre la base de las lecciones anteriores, proponemos una última comprobación que denominamos prueba de defendibilidad.

El término no pretende sugerir que toda TIA deba diseñarse pensando en un litigio. Describe algo más sencillo: la capacidad de una organización para reconstruir posteriormente una decisión sin depender de afirmaciones retrospectivas o de la memoria de quienes participaron en ella.

La pregunta es:

Si esta transferencia fuese revisada dentro de dos años, ¿podríamos reconstruir qué sabíamos, qué permanecía incierto, qué evidencias utilizamos y por qué concluimos que podía mantenerse?

Para responder afirmativamente debería ser posible demostrar, al menos:

1. por dónde pasan realmente los datos;
2. qué entidades pueden recibirlos o acceder a ellos;
3. qué afirmaciones son hechos verificados y cuáles son declaraciones o inferencias;
4. qué evidencia respalda los elementos materiales del análisis;
5. qué contradicciones o incertidumbres se identificaron;
6. qué leyes y prácticas pueden afectar a la transferencia;
7. qué autoridades podrían acceder a los datos y bajo qué condiciones;
8. qué mecanismos de supervisión y recurso existen;
9. qué escenario controla cada medida complementaria;
10. qué medidas estaban efectivamente implantadas cuando se adoptó la decisión;
11. y cómo puede reconstruirse esa decisión sin depender de la memoria de las personas que la tomaron.

No se busca certeza absoluta.

Se busca evitar que una organización presente como hecho lo que sólo era una hipótesis, como verificado lo que únicamente había sido declarado o como mitigado un escenario cuya relación con las medidas nunca llegó a analizarse.

9. Conclusión: de documentar una transferencia a poder reconstruir una decisión

La resolución austríaca no resulta especialmente interesante porque demuestre que las cláusulas contractuales tipo sean insuficientes por naturaleza. Tampoco porque permita extraer una conclusión general sobre los proveedores estadounidenses.

Su valor técnico está en otro lugar.

El procedimiento muestra qué ocurre cuando una transferencia aparentemente ordinaria debe ser reconstruida años después y cada elemento de la explicación tiene que contrastarse con contratos, estructuras empresariales, decisiones técnicas, declaraciones anteriores y medidas efectivamente implantadas.

De ese recorrido surgen varias diferencias que una TIA debería mantener siempre visibles.

El contrato describe obligaciones, pero no sustituye la arquitectura real del tratamiento. La localización del almacenamiento no demuestra por sí sola desde dónde pueden accederse los datos. Una declaración del proveedor aporta información, pero no siempre constituye evidencia suficiente. Una medida de seguridad puede resultar muy eficaz frente a un escenario y limitada frente a otro. Una mejora futura no explica la situación existente antes de su implantación. Y la existencia de documentación de transparencia no demuestra, por sí sola, que el proceso informativo haya funcionado de la manera prevista.

Estas diferencias no exigen sustituir las metodologías existentes. Exigen trabajarlas con mayor trazabilidad.

De ahí la arquitectura propuesta:

REALITY → EVIDENCE → ENVIRONMENT → EFFECTIVENESS → SAFEGUARDS → DECISION → MONITORING

Su principal aportación consiste en conectar cada decisión con la realidad que pretende describir y con las evidencias que permiten sostenerla.

Una transferencia no está realmente gobernada porque pueda describirse mediante contratos y políticas. Está gobernada cuando la organización puede reconstruirla, explicar la evidencia sobre la que decidió y demostrar por qué mantiene esa decisión.

Fuentes y bibliografía

Resolución objeto del estudio

Bundesverwaltungsgericht — BVwG. Erkenntnis de 18 de mayo de 2026, W171 2302513-1/17E.

Fuente oficial: Rechtsinformationssystem des Bundes — RIS.
https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Bvwg&Dokumentnummer=BVWGT_20260518_W171_2302513_1_00

Referencia secundaria de localización:
https://gesetzefinden.at/judikatur/bvwg/bvwgt_20260518_w171_2302513_1_00

Para la reconstrucción técnica del caso resultan especialmente relevantes los apartados relativos a los hechos constatados sobre la estructura del proveedor y la transferencia, la valoración probatoria de la arquitectura contractual y operativa y el examen posterior de las garantías y de las obligaciones de información: II.1.4–II.1.8; II.2.6–II.2.8; III.3.4–III.3.12.

La decisión de la Datenschutzbehörde —DSB— de 2 de octubre de 2024, cuya referencia aparece anonimizada en la versión pública, se cita a través del propio Erkenntnis del BVwG. No se incorpora como entrada bibliográfica independiente al no disponer la versión pública utilizada de un identificador completo recuperable.

Jurisprudencia de referencia

Tribunal de Justicia de la Unión Europea. Sentencia de 16 de julio de 2020, Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems, C-311/18, Schrems II, ECLI:EU:C:2020:559.
https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?language=ES&num=C-311%2F18

Normativa y decisiones de la Comisión Europea

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 — Reglamento General de Protección de Datos.
https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=es

Comisión Europea. Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países conforme al Reglamento (UE) 2016/679. Especialmente relevante, para los fines de este artículo, la cláusula 14 sobre legislación y prácticas locales que pueden afectar al cumplimiento de las cláusulas.
https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?locale=es

Comisión Europea. Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023, relativa al nivel adecuado de protección de los datos personales en el marco del EU-US Data Privacy Framework. Se cita exclusivamente para contextualizar temporalmente el procedimiento.
https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj

Documentos metodológicos

Comité Europeo de Protección de Datos — CEPD. Recomendaciones 01/2020 sobre medidas que complementan los instrumentos de transferencia para garantizar el cumplimiento del nivel de protección de los datos personales de la UE. Versión 2.0, adoptada el 18 de junio de 2021.
https://www.edpb.europa.eu/documents/recommendation/recommendations-012020-on-measures-that-supplement-transfer-tools-to_es

Comité Europeo de Protección de Datos — CEPD. Directrices 05/2021 sobre la interacción entre la aplicación del artículo 3 y las disposiciones sobre transferencias internacionales conforme al capítulo V del RGPD. Versión 2.0, adoptada el 14 de febrero de 2023 y publicada como versión final en 2023.
https://www.edpb.europa.eu/documents/guideline/guidelines-052021-on-the-interplay-between-the-application-of-article-3-and-the_en

Commission Nationale de l’Informatique et des Libertés — CNIL. Guide pratique – Analyse d’impact des transferts de données, versión final, enero de 2025; publicación de la versión definitiva por la CNIL, 9 de julio de 2025.

PDF oficial:
https://www.cnil.fr/sites/default/files/2025-02/guide_aitd_pdf.pdf

Página oficial de publicación:
https://www.cnil.fr/fr/analyse-dimpact-des-transferts-des-donnees-la-cnil-publie-la-version-finale-de-son-guide

Fecha de cierre de fuentes: 19 de agosto de 2026.

Recursos entregados

Carpeta con las plantillas en word y excel para el TIA

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido