Artículo 48 del RGPD y la solicitud de discovery estadounidense: guía práctica de minimización

Una obligación de retención legal (legal hold) derivada de un litigio en Estados Unidos alcanza a una entidad europea, y surgen dos reflejos. El primero es producir todo lo pertinente, bajo la premisa de que una orden judicial es una orden judicial. El segundo es negarse de plano, bajo la premisa de que el RGPD lo prohíbe. Ambos reflejos son equivocados, y ambos resultan costosos.

El RGPD no prohíbe transferir datos personales a un procedimiento estadounidense. Condiciona esa transferencia, y las condiciones favorecen a las partes que acotan el conjunto de datos antes de que cruce el Atlántico, no después.

Esta publicación explica qué hace realmente el artículo 48, en qué excepción se apoyará en la práctica un litigante, por qué la minimización es el trabajo de fondo y no una formalidad, y cómo documentarla de una forma que acepten tanto un tribunal estadounidense como una autoridad de control europea. En resumen: el volumen que usted transfiere es la variable que controla, y es precisamente la que ambos destinatarios están observando.

El artículo 48 limita el reconocimiento, no crea una prohibición

El artículo 48 establece que una sentencia de un órgano jurisdiccional de un tercer país, o una decisión de una autoridad administrativa de un tercer país, que exija a un responsable del tratamiento transferir o comunicar datos personales solo puede ser reconocida o ejecutable si se basa en un acuerdo internacional, como un tratado de asistencia jurídica mutua.

Léalo con atención. Es una norma sobre la eficacia de la orden extranjera dentro del ordenamiento jurídico de la Unión. No es una norma que impida que los datos se muevan. La disposición se aplica sin perjuicio de los demás motivos de transferencia previstos en el capítulo V.

El Comité Europeo de Protección de Datos (CEPD) lo dejó explícito en sus Directrices 02/2024 sobre el artículo 48, adoptadas en su versión definitiva en junio de 2025. Una orden extranjera no es en sí misma un instrumento de transferencia. Si usted pretende transferir, sigue necesitando una base jurídica conforme al artículo 6 y un mecanismo de transferencia independiente conforme al capítulo V. La orden no aporta ninguno de los dos. El Comité también espera que la solicitud y su razonamiento queden documentados, tanto si usted la atiende como si la rechaza.

La consecuencia práctica es que "un tribunal estadounidense nos lo ordenó" no es una respuesta válida ante un regulador europeo, y "el RGPD lo prohíbe" no es una respuesta válida ante un juez magistrado (magistrate judge) estadounidense. Usted necesita argumentos propios, construidos por usted mismo.

La excepción en la que se apoyará es más estrecha que la solicitud

La mayoría de los litigantes recurren al artículo 49(1)(e): transferencia necesaria para la formulación, el ejercicio o la defensa de reclamaciones. El considerando 111 confirma que esto abarca el discovery previo al juicio en procedimientos civiles.

Esto conlleva dos restricciones. La transferencia debe ser ocasional y debe ser necesaria. El Comité interpreta restrictivamente las excepciones del artículo 49: son supuestos excepcionales, no un sustituto habitual de una decisión de adecuación o de las cláusulas contractuales tipo.

La necesidad es el punto en el que fracasan la mayoría de las producciones. Exige una conexión estrecha y sustancial entre los datos concretos y la reclamación o defensa concreta. Una solicitud formulada en torno a custodios y rangos de fechas no establece esa conexión para cada documento que abarca. La pertinencia respecto de una solicitud de discovery estadounidense y la necesidad conforme al artículo 49(1)(e) son criterios distintos, y el segundo es más estricto.

Esa brecha no es un problema que haya que eliminar a fuerza de argumentos. Es una instrucción para delimitar el alcance.

La minimización es el trabajo, y ocurre antes de la transferencia

Si la necesidad se evalúa documento por documento, entonces la producción defendible es aquella en la que alguien realmente evaluó los documentos. Tres operaciones hacen el trabajo, en este orden.

La depuración elimina lo que está fuera del asunto. No fuera de los términos de búsqueda: fuera del asunto. El buzón de un custodio contiene información de nómina, licencias médicas, correspondencia familiar y material del comité de empresa que ningún criterio de pertinencia debería alcanzar jamás.

La seudonimización y el tachado (redaction) se ocupan de lo que queda. Los nombres de terceros no involucrados, los números de identificación nacional, los datos de salud y otras categorías especiales de datos del artículo 9 con frecuencia pueden eliminarse sin afectar el valor probatorio del documento. Un hilo de negociación contractual no pierde fuerza probatoria porque se oculte el domicilio particular de un empleado ajeno al asunto.

La revisión es lo que le indica qué es cada cosa. Aquí es donde una revisión de primer nivel asistida por IA se gana su lugar, porque la alternativa es una lectura humana lineal de un conjunto cuya transferencia usted aún no ha justificado. Realizar un análisis tema por tema sobre todo el conjunto, incluida una pasada específica para datos personales y categorías especiales de datos, produce la decisión de pertinencia y el registro de minimización a partir de la misma operación. Claira ejecuta este proceso dentro de Nuix Discover, y el flujo de trabajo de identificación de información personal (PII) está documentado precisamente para este fin.

El enfoque importa. Aquí, la revisión con IA es el motor de la minimización. Es lo que le permite transferir menos, no lo que pone más en riesgo.

Los principios de Sedona le piden que demuestre su trabajo

Los International Principles on Discovery, Disclosure and Data Protection (Principios internacionales sobre discovery, divulgación y protección de datos) de The Sedona Conference ofrecen a los tribunales estadounidenses un vocabulario para esto. El Principio 1 pide a los tribunales y a las partes que respeten debidamente la legislación extranjera de protección de datos. El Principio 2 establece que, cuando el cumplimiento de ambos regímenes entra en conflicto, la conducta debe juzgarse conforme a un estándar de buena fe y razonabilidad. El Principio 3 es el que debe guiar su planificación: un responsable del tratamiento sujeto a obligaciones de preservación, divulgación o discovery debe estar preparado para demostrar que atendió sus obligaciones de protección de datos y que adoptó las salvaguardas adecuadas.

Estar preparado para demostrar es un estándar probatorio, no una declaración de intenciones. Los tribunales que aplican el análisis de cortesía internacional (comity) heredado de Aérospatiale, por lo general, no se han dejado impresionar por la simple afirmación, sin respaldo, de que el derecho europeo hace imposible la producción. Han sido considerablemente más receptivos con la parte que se presenta con un conjunto acotado, un método declarado y una explicación de por qué esa reducción obedeció a criterios fundados.

La buena fe es más fácil de probar con un registro que con una carta.

El lugar donde se realiza la revisión cambia lo que usted debe justificar

Hay un paso previo a la cuestión de la transferencia que a menudo se omite. La revisión es tratamiento, y el tratamiento no es lo mismo que la transferencia. Si el análisis, la depuración y el tachado se realizan en infraestructura situada dentro de la Unión, lo único que sale de la Unión es la producción minimizada.

Eso cambia el tamaño de lo que usted debe defender. Ya hemos escrito sobre la implementación en el país para asuntos alemanes y europeos, y la razón por la que importa aquí es precisamente esta secuencia. Minimice dentro de la región y luego transfiera el resto.

Hacer lo contrario, es decir, exportar la colección completa a una plataforma estadounidense y filtrarla allí, significa que la transferencia que debe justificar conforme al capítulo V es todo el conjunto de datos y no solo la parte que realmente necesitaba.

Por dónde empezar

Tres cosas, en este orden.

Redacte una nota de transferencia de una página antes de que se mueva cualquier dato. Indique la reclamación, las categorías de datos involucradas, la excepción invocada y las medidas de minimización aplicadas. Si no puede completar esa página, no está listo para producir.

Ejecute la pasada de minimización como un paso diferenciado, con su propio registro, en lugar de tratarla como un subproducto de la revisión de pertinencia. Los dos criterios son distintos, y el registro debe mostrar que se aplicaron ambos.

Plantee la cuestión del alcance con el abogado de la contraparte desde el principio. Un protocolo negociado que refleje las restricciones europeas es mucho más barato que una moción para obligar a producir (motion to compel) resuelta después de que usted ya se haya negado.

Nada de esto hace desaparecer el conflicto. Lo convierte en algo que usted puede documentar, que es la única forma en que un regulador o un tribunal puede reconocerle el mérito. Si desea ver cómo se ejecuta una pasada de minimización sobre una colección europea antes de que nada cruce una frontera, agende una breve sesión con nuestro equipo.