¿Volverá a caer el nuevo acuerdo referente a la transferencia de datos personales entre la Unión Europea y EE.UU?
La transferencia de datos personales entre la Unión Europea y EEUU lleva enfrentando un escenario cambiante desde tiempo atrás, pero este verano nos ha traído un avance en la materia que se espera dé un entorno regulatorio más estable en las relaciones internacionales a ambos lados del Atlántico.
Desde principios de los 2000, ambas administraciones han hecho varios intentos de crear un marco legal consensuado, pero estos intentos han acabado siendo invalidados por los Tribunales. En octubre de 2015 el Tribunal de Justicia de la Unión Europea declaró inválido el primer intento conocido como “Acuerdo Seguro” (o Safe Harbour) a raíz de una reclamación planteada ante la autoridad de datos de Irlanda, donde indicaba que los Servicios de Inteligencia de EE. UU. realizaban tratamientos de datos alojados en servidores de EE. UU. sin control ni protección jurídica. En julio de 2020 nuevamente el Tribunal de Justicia de la Unión Europea dejaba sin efecto la decisión sobre la adecuación del segundo intento conocido como “Privacy Shield”.
La última aprobación de acuerdo ha llegado a mediados de Julio de este año, con el anuncio del EU-U.S. Data Privacy Framework, que supone la adopción del tercer acuerdo marco. Esta decisión sigue la orden ejecutiva estadounidense 14086 “Enhancing Safeguards for United States Signals Intelligence Activities” firmada por el Presidente Biden en octubre de 2022. En el acuerdo se recogen medidas como «eliminar los datos cuando ya no se necesiten para la razón original por la que fueron recogidos»; «mecanismos de disputa gratuitos»; «salvaguardas para el acceso de estos datos por parte de autoridades estadounidenses» y «acceso limitado cuando sea necesario y proporcionado para la seguridad nacional».
¿Supondrá este nuevo acuerdo un marco consolidado en el tiempo? El Parlamento Europeo, cuya decisión no es vinculante, ya votó en contra de esta adopción. Igualmente, el Comité de Protección de Datos (EDPB) también se pronunció indicando que las medidas adoptadas en el acuerdo son insuficientes. Max Schrems, fundador de la ONG, Centro Europeo de Derechos Digitales (NOYB), de quién tomaron nombre las sentencias Schrems I y Schrems II, que invalidaban los anteriores acuerdos, ya ha anunciado su intención de promover también la impugnación este nuevo marco.
Según declaraciones, “Hasta que las empresas no firmen el tratado y lo apliquen no tendremos caso que presentar. Probablemente será en agosto o septiembre. Después podemos ir a los juzgados locales y presentar una demanda para pedir que las empresas frenen sus prácticas porque creemos que son anticonstitucionales. Ese juez tiene dos opciones: enviar el caso directo a la justicia o rechazarlo, lo más probable. En Austria, lo habitual es que lo rechacen hasta la tercera instancia y que después el Tribunal Supremo lo mande al TJUE en Luxemburgo. Así que podría llegar ahí entre finales de este año y la primera mitad de 2024. Otra vía que podría ser más rápida es a través del caso que Facebook tiene pendiente en Irlanda”.
La Comisión Europea por su parte defiende la decisión y pone en relieve las novedades. La presidenta Ursula von der Leyen declaró en la presentación del acuerdo: «El nuevo Marco de Privacidad de Datos UE-EE.UU. asegurará a los europeos la circulación segura de sus datos y establecerá seguridad jurídica para las empresas a ambos lados del Atlántico. Desde que alcancé el acuerdo de principio con el presidente Biden el año pasado, los Estados Unidos han cumplido unos compromisos sin precedentes al objeto de establecer el nuevo marco.
Hoy damos un paso importante con el objetivo de ofrecer a los ciudadanos la confianza en que sus datos estarán seguros, de profundizar la vinculación económica entre la UE y los Estados Unidos, y, de forma simultánea, de reafirmar nuestros valores compartidos. Demuestra que, cuando trabajamos juntos, somos capaces de abordar las cuestiones más complejas». Didier Reynders, comisario europeo de Justicia, al ser preguntado por la posibilidad de nuevos litigios apuntó: «Estoy seguro de que tenemos argumentos muy sólidos para demostrar que ahora tenemos un sistema muy diferente». Bruselas había «logrado cambios significativos en el marco jurídico de EE.UU.» para hacer frente a los requisitos previamente expuestos por el TJUE y que «este nuevo marco es sustancialmente diferente al Escudo de Privacidad UE-EE.UU.» “El mecanismo de recurso será gratuito y estará disponible en todas las lenguas de la UE, ya que las quejas se presentarán a través de las autoridades nacionales de protección de datos.
A continuación, se transmitirán al Consejo Europeo de Protección de Datos, que las trasladará a EE.UU., donde serán investigadas en primer lugar por el denominado «funcionario de protección de las libertades civiles» de la comunidad de inteligencia estadounidense. Su misión será evaluar si las agencias de inteligencia respetaron la intimidad y los derechos fundamentales y si se respetaron los principios de necesidad y proporcionalidad.
En caso de que el demandante de la UE no esté de acuerdo con esta primera evaluación, la denuncia podrá elevarse a un Tribunal de Revisión de Protección de Datos (DPRC) de nueva creación que estará compuesto por miembros ajenos al gobierno estadounidense, que no podrán ser destituidos sin causa justificada y que no podrán recibir instrucciones del gobierno. Este nuevo órgano independiente estará facultado para investigar las denuncias y podrá adoptar decisiones correctoras vinculantes, incluida la supresión de los datos.
Más allá de las impugnaciones, las próximas etapas implican una revisión periódica del funcionamiento del Marco de Privacidad de Datos UE-EE.UU por parte de La Comisión Europea, junto con representantes de las autoridades de protección de datos europeas y de las autoridades competentes estadounidenses. La primera revisión se llevará a cabo antes de que se cumpla un año de la entrada en vigor de la decisión de adecuación, con objeto de verificar si todos los elementos pertinentes se han implantado plenamente y funcionan eficazmente en la práctica.
