Privacidad de datos marítimos: RGPD, Schrems II y la carga de cumplimiento del armador

En el sector naviero, el cumplimiento en materia de privacidad suele tratarse como una formalidad de back office, una página del sistema de gestión de seguridad firmada una vez al año. Es una premisa cada vez más difícil de defender. Un buque comercial moderno es un emisor continuo de datos: los expedientes de tripulación viajan a las agencias de embarque, los historiales médicos a las autoridades sanitarias portuarias, los identificadores biométricos a los sistemas de inmigración, la telemetría a los fabricantes de motores, las rutas ECDIS a los fletadores, y las grabaciones de CCTV residen en un grabador que nadie ha documentado. Cada uno de esos flujos es un tratamiento de datos personales en el sentido del Reglamento UE 2016/679 (RGPD), y la mayoría cruza al menos una frontera antes del mediodía.

Este artículo se dirige a quienes realmente cargan con el problema dentro de un armador: el delegado de protección de datos (DPD), el CISO, el fleet manager que firma los contratos y el área legal interna que los revisa. El objetivo no es repetir el texto del RGPD, sino mapearlo sobre la realidad operativa del shipping comercial en 2026, donde la sentencia Schrems II, las nuevas Cláusulas Contractuales Tipo, el Reglamento europeo de Datos y un creciente número de excepciones nacionales han hecho del terreno jurídico algo claramente más exigente que hace cinco años.

Qué datos circulan realmente en una operación marítima comercial

Antes de cualquier análisis legal, conviene inventariar lo que de hecho se trata en una línea regular, un ferry o un tramper típico. La lista es más larga de lo que la mayoría de armadores espera.

• Datos administrativos de la tripulación: nombre completo, fecha de nacimiento, nacionalidad, número de pasaporte y de libreta de marino, persona de contacto, IBAN, residencia fiscal, condiciones contractuales.
• Datos de categoría especial en el sentido del artículo 9 RGPD: reconocimientos médicos, vacunaciones, resultados de tests de drogas y alcohol, restricciones dietéticas que revelan religión, afiliación sindical donde se aplica negociación colectiva conforme al MLC 2006.
• Datos biométricos: imágenes faciales y huellas para tarjetas de identificación de marino, control de accesos ISPS y, cada vez más, kioscos de inmigración portuaria.
• Datos de fletadores y cargadores: contactos, beneficiario último recogido para el cribado de sanciones, manifiestos que pueden identificar a destinatarios nominados.
• Datos de pasajeros para operadores de ferry: API y PNR conforme a las Directivas UE 2004/82 y UE 2016/681, además del historial de compras a bordo.
• Telemetría operativa que se convierte en dato personal: grabaciones de voz del VDR, CCTV, audio de puente, dispositivos de monitorización de fatiga, registros de gestión de máquinas vinculados a un oficial de guardia identificable.

La pregunta decisiva en cada flujo es si el armador actúa como responsable o como encargado del tratamiento. Un armador que opera su propia plataforma de crewing es responsable respecto a los datos de tripulación. Un operador de ferry que transmite datos API a una autoridad fronteriza extranjera es un responsable que transfiere a otro responsable. Un naviero mercante que utiliza una plataforma de mantenimiento de un tercero capaz de leer telemetría asociada a oficiales nominados es responsable con un encargado, y necesita un acuerdo del artículo 28. No son distinciones académicas: determinan quién responde al interesado, quién notifica a la AEPD u otra autoridad de control y quién paga la sanción.

El problema de las categorías especiales

Los expedientes de tripulación son inusualmente ricos en datos del artículo 9. Los reconocimientos previos al embarque son obligatorios bajo el STCW y el estándar A1.2 del MLC 2006. Las vacunaciones se exigen en numerosas rutas. Las pruebas de drogas y alcohol son contractuales en la mayoría de los pabellones. Las preferencias dietéticas religiosas y la composición familiar aparecen rutinariamente en manifiestos de catering y formularios de persona de contacto. Los identificadores biométricos, antes una curiosidad, son hoy estándar en cualquier puerto que haya digitalizado la inmigración.

Bajo el RGPD, la regla por defecto es que el tratamiento de estas categorías está prohibido salvo que concurra una base específica del artículo 9, apartado 2. Las bases más relevantes para el shipping son el consentimiento explícito (letra a, raramente sostenible en una relación laboral por el desequilibrio de poder), las obligaciones laborales y de seguridad social (letra b), la tutela de intereses vitales (letra c), el interés público esencial fundado en Derecho de un Estado miembro (letra g) y la medicina laboral preventiva (letra h). La mayoría de operadores se apoyará en la letra b para reconocimientos y biometría ligada al ISPS, pero esa base solo funciona si la obligación subyacente está anclada en Derecho de la Unión o nacional y el tratamiento es proporcionado. La documentación cuenta: la evaluación de impacto del artículo 35 no es opcional para el seguimiento sistemático de marinos ni para la identificación biométrica, y varias autoridades de control, incluida la AEPD, lo han hecho explícito.

Transferencias transfronterizas: pabellón, escala, fletador

Un único viaje puede mover el mismo expediente de marino a través de cinco jurisdicciones en una semana. El marino se contrata por una agencia en Filipinas, lo emplea una single-ship maltesa, embarca en un buque con pabellón liberiano, escala en un puerto francés y está fletado a una contraparte con sede en Singapur. Cada tramo puede ser una transferencia del Capítulo V.

El esquema aplicable es el de los artículos 44 a 49 del RGPD. Una transferencia a un país cubierto por una decisión de adecuación (Reino Unido, Suiza, Japón, Corea del Sur, Marco UE-EE. UU. de privacidad de datos mientras esté en vigor) no requiere instrumento adicional. Una transferencia a cualquier otro país requiere una garantía del artículo 46, en la práctica las Cláusulas Contractuales Tipo de 2021 (Decisión de Ejecución UE 2021/914), complementadas cuando proceda por medidas técnicas y organizativas adicionales. Las excepciones del artículo 49 existen pero son de interpretación estricta y no pueden usarse de forma sistemática.

El dolor de cabeza operativo en el shipping es que la cadena contractual rara vez coincide con la cadena de datos. La póliza de fletamento puede regirse por Derecho inglés, el contrato de embarque por Derecho filipino, la administración de pabellón puede llevar su propio registro de marinos, y el puerto de escala puede imponer la entrega de datos en virtud de su propia ley de inmigración. El armador debe conocer, documentar y justificar cada transferencia por separado.

Schrems II en clave naviera

La sentencia del Tribunal de Justicia Data Protection Commissioner contra Facebook Ireland y Maximillian Schrems (asunto C-311/18, 16 de julio de 2020) no ha perdido relevancia por la existencia del Marco UE-EE. UU. de privacidad de datos. El razonamiento sigue aplicándose siempre que los datos salen del Espacio Económico Europeo, y las Recomendaciones 01/2020 del CEPD sobre medidas complementarias siguen siendo el plano de trabajo. Para un armador, las implicaciones prácticas son concretas.

• Las evaluaciones de impacto de transferencia son obligatorias hacia destinos no adecuados. El análisis debe examinar el Derecho del país destinatario, incluido el régimen de acceso gubernamental, y no solo las CCT contractuales.
• Las medidas complementarias habituales son cifrado con claves custodiadas en el EEE, seudonimización, arquitecturas de procesamiento dividido y compromisos contractuales para impugnar requerimientos.
• Los subencargados importan tanto como los encargados directos. Una plataforma de crewing alojada en Frankfurt que utiliza un proveedor de soporte estadounidense con acceso remoto, en sustancia, exporta los datos.

Nada de esto es exclusivo del shipping, pero el carácter multinacional de las tripulaciones y la implicación rutinaria de fletadores fuera del EEE hacen que el análisis sea más frecuente y menos eludible que en muchos otros sectores.

Por qué la residencia europea de datos importa en la práctica

Residencia y protección de datos no son lo mismo, y el alojamiento europeo por sí solo no resuelve un problema Schrems II si una matriz fuera del EEE puede ser obligada a entregarlos. Pero la residencia en la Unión sigue siendo una primera línea de defensa relevante para los operadores europeos. Reduce la superficie de transferencias, simplifica las TIA y se alinea con las expectativas de las autoridades de control, desde la AEPD española hasta la CNIL francesa, el Garante italiano o la holandesa Autoriteit Persoonsgegevens, todas ellas con guías que favorecen el tratamiento dentro del EEE para datos laborales sensibles.

El Reglamento europeo de Datos, aplicable desde el 12 de septiembre de 2025, añade otra dimensión. Otorga a los usuarios de productos conectados, incluidos los activos industriales, derechos de acceso y portabilidad sobre los datos que generan. Para los armadores, eso supone una palanca más clara sobre los datos de motores y equipos en manos de los fabricantes, pero también obligaciones cuando el propio armador conserva datos por cuenta de terceros. Una infraestructura europea simplifica la implementación de esos derechos.

El impuesto de la fragmentación

La mayoría de los armadores con los que hablamos opera entre cuatro y ocho sistemas digitales distintos que tocan datos personales: una plataforma de crewing o RR. HH., un planned maintenance, un portal de compras, una herramienta de port call, un voyage performance, a veces una nómina aparte y, a veces, una plataforma médica aparte. Por separado son manejables. Juntos producen lo que llamamos el impuesto de la fragmentación.

• Cinco proveedores significan cinco contratos de encargo, cada uno con su lista de subencargados, su cláusula de notificación de brechas y su derecho de auditoría.
• Cinco listas de subencargados que vigilar. Muchos armadores descubren solo tras un incidente que un encargado cambió de región cloud seis meses antes.
• Cinco cadenas de notificación. El artículo 33 obliga al responsable a notificar a la autoridad en setenta y dos horas. Si el encargado tarda cuarenta y ocho en avisar, quedan veinticuatro.
• Cinco conjuntos de logs de acceso que reconciliar cuando un interesado ejerce un derecho de los artículos 15 a 22.
• Cinco baselines de seguridad distintas, a menudo sin base de evidencia comparable. ISO 27001 en uno, SOC 2 en otro, una autodeclaración no auditada en un tercero.

El impuesto de la fragmentación no se paga en multas. Se paga en horas del DPD, en honorarios legales, en proyectos demorados y en la lenta erosión de la certeza de que el armador sabe realmente dónde viven los datos de su tripulación.

Lista de comprobación práctica para armadores

Lo que sigue describe cómo se ve un programa creíble en 2026. Nada de ello es opcional bajo el RGPD, pero la profundidad de la evidencia exigida escala con la sensibilidad del dato y el tamaño de la operación.

1. Mantener un registro de actividades completo conforme al artículo 30, con cada flujo de tripulación, fletadores y telemetría listado, base jurídica identificada, plazo de conservación fijado y destinatarios nombrados. Actualizar con cada nuevo proveedor.
2. Realizar una evaluación de impacto ante cualquier seguimiento sistemático de marinos, tratamiento biométrico, fatigue tracking o tratamiento a gran escala de categorías especiales. Consultar a la autoridad cuando el riesgo residual sea elevado.
3. Ejecutar TIA para todo destino no adecuado, subencargados incluidos. Conservar el análisis.
4. Negociar contratos del artículo 28 que reflejen la realidad. Exigir alojamiento en el EEE para datos sensibles, cifrado con claves bajo control del armador, un procedimiento claro de cambio de subencargados con derecho de oposición y una notificación de brechas en veinticuatro horas, no en el techo regulatorio.
5. Documentar la base jurídica de cada tratamiento del artículo 9 y la norma de un Estado miembro que la sostiene. Las referencias genéricas a la letra b no bastan.
6. Construir una sola información al marino que cubra el ciclo completo desde el reclutamiento hasta la repatriación, en una lengua que el marino comprenda, y revisarla en cada renovación.
7. Mantener vivo el registro de subencargados, no anual. Suscribirse a las notificaciones de cambio de proveedor y automatizar la comparación cuando sea posible.
8. Probar el playbook de brechas. Un tabletop al año, con los encargados en la sala, expone los problemas de tiempos antes de que lo haga un incidente real.
9. Consolidar donde se pueda. Cada proveedor menos es un contrato menos, una lista de subencargados menos, una cadena de notificación menos. Consolidar no es una decisión de procurement, es una decisión de privacidad.

Cómo se ve un buen estándar

Un armador con su programa de privacidad bajo control puede contestar por escrito cuatro preguntas, en menos de una jornada, sin pánico. Dónde residen cada categoría de datos de tripulación, fletadores y telemetría, y bajo control de quién. Cuál es la base jurídica de cada tratamiento y qué norma de un Estado miembro o de un tercer país la sostiene. Qué transferencias salen del EEE, bajo qué garantía y con qué TIA de respaldo. Cómo se detectaría, contendría, comunicaría a la autoridad en setenta y dos horas y a los marinos sin dilación una brecha.

Si esas cuatro respuestas son limpias, el resto de la maquinaria del RGPD, desde las solicitudes de los interesados hasta el registro de actividades, tiende a encajar. Si no lo son, ningún volumen de documentación de políticas sustituye a la arquitectura de datos subyacente.

Cómo aborda el problema SupaMaritime

SupaMaritime está pensada para operadores comerciales europeos que quieren menos proveedores, infraestructura residente en la UE y una postura única de privacidad para toda la operación. Los módulos cubren los flujos de ferry, mercantes y agentes portuarios sobre un modelo de datos compartido, eliminando la mayor parte de los flujos intersistema que alimentan el impuesto de la fragmentación. El alojamiento y el procesamiento primario están en el EEE, las claves de cifrado son controlables por el armador y los cambios de subencargado se notifican, no se entierran en una nota. Publicamos nuestra postura de seguridad y confianza en /es/security, una visión de la arquitectura modular en /es/modules y los flujos dedicados en /es/ferry, /es/merchant y /es/agent. Nada de esto sustituye a un DPD competente, pero hace que su trabajo sea abordable en lugar de heroico.