Logotipo de OLYMPOLYMP
Contacto
Guía de cumplimiento

RGPD y externalización en Kosovo

Kosovo tiene una ley de protección de datos moderna, muy inspirada en el RGPD, pero no tiene decisión de adecuación de la UE. Las transferencias desde la UE, el Reino Unido o Suiza son lícitas con los contratos y garantías adecuados. Esta guía explica cuáles son.

Pregunte por nuestro esquema de protección de datosVer los pasos
Por qué KosovoRiesgos de externalizarFicha de KosovoGlosario

¿Pueden las empresas de la UE externalizar en Kosovo cumpliendo el RGPD?

Sí. La Ley kosovar n.º 06/L-082 está muy inspirada en el RGPD, pero Kosovo no tiene decisión de adecuación de la UE, así que las transferencias necesitan un instrumento específico. Las empresas de la UE suelen firmar un contrato de encargo del tratamiento y las cláusulas contractuales tipo de la Comisión Europea, documentan una evaluación de la transferencia y mantienen los datos en sus propios sistemas con accesos estrictos.

Ley kosovar
Ley n.º 06/L-082 de protección de datos personales (2019)
Autoridad de control
Agencia de Información y Privacidad (AIP)
Adecuación de la UE
Ninguna; usar cláusulas contractuales tipo
También hace falta
Contrato de encargo, evaluación de la transferencia

Configurar una transferencia conforme, paso a paso

Esto es información general, no asesoramiento jurídico. Su DPD o asesor debe confirmar el esquema para su caso.

  1. Mapear los datos

    Antes del contrato

    Enumere qué datos personales verá el equipo, de quién son, por qué se necesitan y en qué sistemas permanecen. Menos acceso significa menos riesgo y menos papeleo.

  2. Firmar un contrato de encargo del tratamiento

    Con el contrato

    El artículo 28 del RGPD exige un contrato que regule el tratamiento, las instrucciones, la confidencialidad, la seguridad, los subencargados y la ayuda con las solicitudes de los interesados.

  3. Añadir un instrumento de transferencia

    Con el contrato

    Como Kosovo no tiene decisión de adecuación, las transferencias desde la UE suelen usar las cláusulas contractuales tipo de la Comisión Europea. Las del Reino Unido usan el anexo británico o el acuerdo de transferencia propio del Reino Unido.

  4. Evaluar la transferencia

    Antes de empezar

    Documente una evaluación de impacto de la transferencia que analice la ley y la práctica en Kosovo y las garantías aplicadas, como controles de acceso y cifrado.

  5. Aplicar controles técnicos

    Antes de empezar

    Cuentas nominativas con autenticación multifactor, privilegios mínimos, dispositivos gestionados, registro de accesos y datos en sus propios sistemas siempre que sea posible.

  6. Revisar con regularidad

    Cada año

    Vuelva a comprobar accesos, subencargados, incidentes y cambios legales, y actualice el registro de actividades y la evaluación.

Qué deben comprobar los responsables del tratamiento

Los contratos hacen lícita una transferencia; los controles diarios la hacen segura. Ambas cosas importan.

¿Qué regula la ley kosovar de protección de datos?

La Ley n.º 06/L-082 establece, siguiendo el modelo del RGPD, principios, bases jurídicas, derechos de los interesados, obligaciones de seguridad y gestión de brechas, y otorga a la Agencia de Información y Privacidad poderes de supervisión y sanción. Un proveedor en Kosovo está sujeto a ella por sus propios tratamientos, además del contrato con usted.

¿Qué debe cubrir el contrato de encargo del tratamiento?

  • Objeto, duración, naturaleza y finalidad del tratamiento
  • Tipos de datos personales y categorías de interesados
  • Tratamiento solo según sus instrucciones documentadas
  • Confidencialidad de todas las personas con acceso
  • Medidas de seguridad descritas de forma concreta
  • Reglas para subencargados y su derecho de oposición
  • Ayuda con solicitudes de interesados, brechas y evaluaciones de impacto
  • Devolución o eliminación de los datos al terminar y derechos de auditoría

¿Qué controles técnicos cabe esperar?

  • Cuentas nominativas, inicio de sesión único y autenticación multifactor
  • Acceso limitado a las colas y campos que necesita cada función
  • Dispositivos gestionados y cifrados, con límites a las descargas locales
  • Registro de accesos y revisiones periódicas de permisos
  • Procedimientos claros para las bajas y para notificar incidentes en plazos acordados
Seguir leyendo

¿Y las categorías especiales de datos?

Los datos de salud, financieros u otros sensibles exigen un examen más detenido: una evaluación de impacto relativa a la protección de datos, accesos más estrictos y, a veces, seudonimización o enmascaramiento en las herramientas del equipo. Algunos trabajos regulados deben quedarse en la empresa o en el país; decídalo antes de dimensionar el equipo.

Última revisión: . Redactado y revisado por el equipo de OLYMP BPO en Pristina, Kosovo. Sobre la empresa

Protección de datos y Kosovo: preguntas frecuentes

¿Cumple Kosovo con el RGPD?

Kosovo no forma parte de la UE, así que el RGPD no se aplica allí directamente. Su propia Ley n.º 06/L-082 de protección de datos personales, en vigor desde 2019, está muy inspirada en el RGPD y la aplica la Agencia de Información y Privacidad. Las empresas de la UE pueden transferir datos a Kosovo de forma lícita con las garantías adecuadas.

¿Tiene Kosovo una decisión de adecuación de la UE?

No. La Comisión Europea no ha adoptado una decisión de adecuación para Kosovo. Las transferencias desde la UE necesitan por tanto otro instrumento, normalmente las cláusulas contractuales tipo, junto con una evaluación de impacto de la transferencia y medidas técnicas y organizativas adecuadas.

¿Qué cláusulas contractuales tipo se usan para externalizar en Kosovo?

Cuando una empresa de la UE es responsable del tratamiento y el proveedor kosovar trata los datos por su cuenta, lo habitual es el módulo «responsable a encargado» de las cláusulas contractuales tipo de 2021 de la Comisión Europea. Su asesor debe confirmar el módulo y completar los anexos para su tratamiento.

¿Pueden externalizar en Kosovo las empresas británicas y suizas?

Sí. Las empresas británicas suelen usar el International Data Transfer Agreement del Reino Unido o el anexo británico a las cláusulas de la UE. Las suizas pueden basarse en las cláusulas contractuales tipo de la UE con las adaptaciones que exige la ley federal de protección de datos. En ambos casos también hace falta un contrato de encargo.

¿Tienen que salir los datos de sus sistemas?

Normalmente no. En la mayoría de los esquemas, los agentes acceden al sistema de tickets, CRM o ERP del cliente, de modo que los datos permanecen en sus sistemas y solo se consultan o editan a distancia. El acceso remoto desde Kosovo sigue siendo una transferencia según el RGPD, pero mantiene baja la exposición.

Fuentes

Las referencias jurídicas de esta página enlazan con sus fuentes oficiales. Las leyes y las directrices cambian: compruebe las versiones vigentes.

  1. Agencia de Información y Privacidad (Ley n.º 06/L-082), República de Kosovo
  2. Decisiones de adecuación, Comisión Europea
  3. Cláusulas contractuales tipo para transferencias internacionales, Comisión Europea
  4. Recomendaciones 01/2020 sobre medidas complementarias para transferencias, Comité Europeo de Protección de Datos
  5. International Data Transfer Agreement y anexo, Information Commissioner's Office, Reino Unido

¿Necesita nuestros documentos de protección de datos?

Pida nuestro contrato de encargo del tratamiento y el resumen de seguridad. Su DPD puede revisarlos antes de cualquier compromiso.

Solicitar documentosPor qué Kosovo