Jose Felgueroso
Abogado | Attorney
El fin del Acuerdo sobre el Escudo de la Privacidad entre Estados Unidos y la Unión Europea
info@josefelgueroso.com
2020-11-25
En julio, el Tribunal de Justicia de la Unión Europea (TJUE) anuló una decisión de la Comisión Europea que ponía en práctica el Acuerdo sobre el Escudo de la Privacidad, y de esta manera eliminó un mecanismo para transferir datos personales de la Unión Europea a Estados Unidos.
Resumen de la sentencia
El Alto Tribunal irlandés remitió varias cuestiones prejudiciales al TJUE relacionadas con el nivel de protección proporcionado a los datos personales transferidos de la Unión Europea a Estados Unidos de acuerdo con el Escudo de la Privacidad y las cláusulas contractuales tipo aprobadas por la Comisión Europea. El TJUE determinó lo siguiente:
- El Reglamento General de Protección de Datos (RGPD) es aplicable a la transferencia de datos personales de un operador económico establecido en la Unión Europea a un operador económico establecido en un tercer país, con independencia de que los datos sean utilizados por las autoridades del tercer país para proteger la seguridad nacional;
- la decisión de la Comisión Europea que pone en práctica el Acuerdo sobre el Escudo de la Privacidad entre Estados Unidos y la Unión Europea es nula;
- la decisión de la Comisión Europea sobre las cláusulas contractuales tipo para la transferencia de datos personales a encargados del tratamiento en países terceros es válida.
Antecedentes y etapas procesales
Maximilian Schrems es un ciudadano austriaco, residente en Austria y usuario de Facebook. Todos los usuarios de Facebook en la Unión Europea suscriben un contrato con Facebook Ireland, la cual transfiere los datos personales de los usuarios europeos a Facebook Inc. ("Facebook USA"), una compañía establecida en Estados Unidos.
En un caso anterior (Schrems I), Schrems presentó una queja ante la agencia irlandesa de protección de datos acerca de la transferencia de datos personales de Facebook Ireland a Facebook USA, impugnando la validez de la Decisión 2000/520 de la Comisión Europea (la "Decisión sobre Puerto Seguro"), la cual había determinado que los principios de puerto seguro emitidos por el Departamento de Comercio de Estados Unidos proporcionaban protección adecuada para los datos personales transferidos de la Unión Europea a Estados Unidos. La agencia irlandesa de protección de datos rechazó la queja de Schrems, y éste apeló al Alto Tribunal irlandés, el cual remitió varias preguntas al TJUE. Como resultado, el TJUE anuló la Decisión sobre Puerto Seguro.
El Alto Tribunal irlandés entonces refirió el caso a la agencia irlandesa de protección de datos, la cual pidió que Schrems reformulara su queja teniendo en cuenta la Decisión 2010/87/UE de la Comisión Europea sobre cláusulas contractuales tipo para la transferencia de datos personales a terceros países (la "Decisión sobre Cláusulas Contractuales Tipo"). Facebook Ireland transfería muchos datos personales a Facebook USA basándose en la Decisión sobre Cláusulas Contractuales Tipo.
Schrems afirmaba que la legislación de Estados Unidos exigía a Facebook USA proporcionar datos personales a las autoridades de ese país, y que la Decisión sobre Cláusulas Contractuales Tipo no justificaba la transferencia de datos personales a Estados Unidos. Schrems solicitó que la agencia irlandesa de protección de datos prohibiera la transferencia de datos personales a Facebook USA.
A continuación, la agencia irlandesa de protección de datos emitió un proyecto de decisión que indicaba que la legislación de Estados Unidos no proporcionaba medidas jurídicas compatibles con la Carta de los Derechos Fundamentales de la Unión Europea (la "Carta de la UE"), y que las cláusulas contractuales tipo no rectificaban los defectos jurídicos.
Por su parte, la Comisión Europea, después de la anulación de la Decisión sobre Puerto Seguro, adoptó la Decisión sobre el Escudo de la Privacidad, la cual determinó que el Escudo de la Privacidad entre Estados Unidos y la Unión Europea proporcionaba un nivel adecuado de protección para los datos personales transferidos de la Unión Europea a organizaciones autocertificadas en Estados Unidos. El Escudo de la Privacidad creó la figura del Defensor del Pueblo del Escudo de la Privacidad e incluía ciertas limitaciones y garantías aplicables al acceso y uso de datos personales por parte de las autoridades de Estados Unidos para fines de actuación policial y otros fines de interés público.
La agencia irlandesa de protección de datos presentó una demanda ante el Alto Tribunal irlandés, el cual a su vez remitió las siguientes preguntas, entre otras, al TJUE:
- ¿Es el RGPD aplicable a las transferencias comerciales de datos personales de la Unión Europea a Estados Unidos, cuando los datos personales serían proporcionados a autoridades de Estados Unidos para fines de seguridad nacional?
- ¿Cómo se determina el nivel adecuado de protección para datos personales en el contexto de la transferencia de datos personales a un tercer país?
- ¿Vulnera la Decisión sobre Cláusulas Contractuales Tipo la Carta de la UE?
- ¿Rectifica la figura del defensor del pueblo en el Departamento de Estado de Estados Unidos las limitadas medidas jurídicas en la legislación de Estados Unidos?
- Si las cláusulas contractuales tipo son inconsistentes con la legislación sobre vigilancia de un tercer país, ¿tienen las agencias de protección de datos de los estados miembros de la UE obligación de suspender los flujos de datos al tercer país?
- ¿Es la Decisión sobre el Escudo de la Privacidad vinculante para las agencias de protección de datos de los estados miembros de la UE?
Este artículo se centra en la validez de la Decisión sobre Cláusulas Contractuales Tipo y la Decisión sobre el Escudo de la Privacidad.
La Decisión sobre Cláusulas Contractuales Tipo
El TJUE determinó que la Decisión sobre Cláusulas Contractuales Tipo es válida, ya que concluyó que proporciona suficientes garantías para la transferencia de datos personales a terceros países.
La transferencia de datos personales de la Unión Europea a un tercer país no debe vulnerar derechos reconocidos en el RGPD. Si la Comisión Europea no ha emitido una decisión de adecuación acerca del nivel de protección de datos de un tercer país, el responsable o el encargado del tratamiento de datos deben tomar garantías adecuadas para proteger los datos personales transferidos al tercer país. En particular, las garantías deben proporcionar derechos protegidos jurídicamente y medidas jurídicas efectivas, incluidas la compensación y reparación judicial y administrativa por vulneraciones de derechos.
En 2010, la Comisión Europea determinó que las cláusulas contractuales tipo proporcionan suficientes garantías para la transferencia de datos personales a terceros países.
Aunque las cláusulas contractuales tipo no son vinculantes para las autoridades de terceros países, el TJUE determinó que contienen garantías. Un receptor de datos personales en el tercer país que no puede cumplir con las cláusulas contractuales tipo debe informar al responsable del tratamiento de datos acerca de su incapacidad de cumplimiento. Además, si el responsable o el encargado del tratamiento de datos incumple las cláusulas contractuales tipo, el interesado tiene derecho a compensación. Finalmente, si el receptor en el tercer país cumple con una obligación en el tercer país que vaya más allá de lo que es necesario en una sociedad democrática, el receptor incumple las cláusulas contractuales tipo.
Por otra parte, de acuerdo con el RGPD, la Comisión Europea no tiene autoridad para restringir los poderes de las agencias nacionales de protección de datos, las cuales pueden suspender la transferencia de datos personales, si es necesario. Si el receptor en el tercer país notifica al responsable del tratamiento de datos acerca de un cambio legislativo que tenga un impacto negativo sobre las cláusulas contractuales tipo y el responsable sigue transfiriendo datos personales al tercer país, el responsable debe enviar la notificación a la agencia nacional de protección de datos, la cual puede suspender la transferencia de datos personales al tercer país; si la Comisión Europea ha emitido una decisión de adecuación para ese tercer país, la agencia nacional de protección de datos puede remitir la cuestión al Comité Europeo de Protección de Datos. Además, el responsable del tratamiento de datos puede incluir garantías adicionales en las cláusulas contractuales tipo; si el responsable o el encargado no pueden aplicar las medidas adicionales, el responsable, el encargado o la agencia nacional de protección de datos pueden suspender la transferencia de datos personales al tercer país.
La Decisión sobre el Escudo de la Privacidad
El TJUE anuló la Decisión sobre el Escudo de la Privacidad, ya que concluyó que no proporcionaba una protección adecuada para los datos personales transferidos de la Unión Europea a Estados Unidos.
Una transferencia de datos personales de la Unión Europea a Estados Unidos debe proporcionar una protección equivalente a la proporcionada por la legislación de la Unión Europea, y en particular no debe socavar los derechos reconocidos en el RGPD.
Las agencias nacionales de protección de datos tienen un papel clave al supervisar la transferencia de datos personales fuera de la Unión Europea. Si una agencia nacional de protección de datos determina que un tercer país ofrece un nivel insuficiente de protección de datos, debe tomar medidas, tales como prohibir la transferencia de datos personales a ese país. Si la Comisión Europea, sin embargo, determina que un tercer país ofrece un nivel adecuado de protección, esa determinación vincula a las agencias de protección de datos de los estados miembros, pero pueden iniciar procesos judiciales que eventualmente lleven a una remisión para una cuestión prejudicial del TJUE.
La suficiencia del nivel de protección de un tercer país es determinado por las cláusulas contractuales entre el responsable o encargado del procesamiento de datos y el receptor, y el sistema jurídico del tercer país en vista de la Carta de la UE. Cualquier limitación de derechos y libertades debe estar clara y explícitamente establecida en la ley, debe respetar la esencia de esos derechos, y ser necesaria teniendo en cuenta el interés general y los derechos de otros. Además, los interesados deben tener acceso a una reparación judicial o administrativa efectiva.
Estados Unidos tiene varios programas de vigilancia relacionados con la seguridad nacional.
El artículo 702 de la Ley de Vigilancia de la Información Exterior (FISA por sus iniciales en inglés) es uno de ellos: si el Tribunal de Vigilancia de la Información Exterior (FISC por sus iniciales en inglés) lo aprueba, el secretario de justicia o el director de los servicios nacionales de inteligencia pueden autorizar la vigilancia de personas que no sean ciudadanos estadounidenses y se encuentren fuera de Estados Unidos. Esta es la base de los programas PRISM (de acuerdo con el cual los proveedores de servicios de información deben proporcionar a la Agencia Nacional de Seguridad (NSA) comunicaciones basadas en ciertos atributos) y UPSTREAM (de acuerdo con el cual las compañías de telecomunicaciones deben permitir que la NSA copie y filtre comunicaciones basadas en ciertos atributos). El FISC autoriza programas de vigilancia, no la vigilancia de individuos, y el artículo 702 no incluye limitaciones sobre la vigilancia o garantías para personas que no sean ciudadanos estadounidenses.
La Directiva de Política Presidencial (PPD28) proporciona procedimientos para la protección de la información personal obtenida a partir de las actividades de inteligencia de señales, pero no otorga a los interesados derechos susceptibles de reclamación judicial.
El Decreto 12333 proporciona autoridad de vigilancia para agencias de inteligencia. Según este decreto, la NSA puede acceder a datos en tránsito desde el exterior hacia Estados Unidos. Como la PPD28, este decreto no otorga derechos susceptibles de reclamación judicial.
La Decisión sobre el Escudo de la Privacidad proporciona ciertos principios para la transferencia de datos a Estados Unidos, pero establece que la seguridad nacional y la actuación policial priman sobre esos principios. Por lo tanto, el TJUE determinó que el Escudo de la Privacidad permite la interferencia con derechos fundamentales.
En relación con la reparación disponible para los interesados, el TJUE determinó que la reparación judicial era limitada, y la existencia de un Defensor del Pueblo en el Escudo de la Privacidad no compensaba esas limitaciones. En particular, el Defensor del Pueblo está subordinado al secretario de estado de Estados Unidos, no hay garantías de que el ejecutivo no destituirá al Defensor del Pueblo y las decisiones del Defensor del Pueblo no son vinculantes para los servicios de inteligencia. En resumen, la existencia del Defensor del Pueblo no proporciona un nivel de protección equivalente al derecho a una reparación efectiva y un juicio justo de acuerdo con la Carta de la UE.
En resumen, el TJUE determinó que el artículo 702, el Decreto 12333 y la PPD28 no proporcionan garantías mínimas para los derechos de los interesados establecidos en la Unión Europea cuyos datos personales se transfieren a Estados Unidos. Por consiguiente, el TJUE concluyó que la Decisión sobre el Escudo de la Privacidad es inválida, porque la transferencia de datos personales de la Unión Europea a Estados Unidos no proporciona un nivel de protección equivalente al proporcionado por la legislación de la Unión Europea.
Relevancia de la sentencia
El Escudo de la Privacidad era un mecanismo para la transferencia de datos personales de la Unión Europea a Estados Unidos. Después de la sentencia del TJUE resumida en este artículo, todavía existen otros mecanismos, tales como las normas corporativas vinculantes, las cláusulas contractuales tipo y exenciones para situaciones específicas.
Es probable que las cláusulas contractuales tipo se conviertan en la base más común para las transferencias frecuentes de datos personales a Estados Unidos entre distintas compañías. Las cláusulas contractuales tipo no proporcionarán protección adecuada en todos los casos, y a veces las partes tendrán que incluir disposiciones adicionales para alcanzar esa protección. Aunque las cláusulas contractuales tipo no vinculan a las autoridades de terceros países, las partes contratantes deben garantizar que los datos personales son procesados con un nivel adecuado de protección; en algunos casos, las agencias de protección de datos de los estados miembros de la Unión Europea pueden tomar sus propias medidas, incluida la suspensión de transferencias de datos personales.